DNSC aprobă cerințe pentru notificarea și înregistrarea entităților cibernetice | Ordin nr. 1/2025

Aprobarea Cerințelor privind procesul de notificare în vederea înregistrării și metoda de transmitere a informațiilor

Ordinul nr. 1/2025 al Directoratului Național de Securitate Cibernetică (DNSC) aprobă cerințele privind procesul de notificare în vederea înregistrării și metoda de transmitere a informațiilor, conform Anexei nr. 1, care face parte integrantă din prezentul ordin. Acest act normativ este emis în temeiul dispozițiilor art. 18 alin. (9) și ale art. 10 alin. (2) din Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, precum și ale art. 5 lit. b) și ale art. 7 alin. (3) și (4) din Ordonanța de urgență a Guvernului nr. 104/2021 privind înființarea DNSC.

Cerințe privind procesul de notificare în vederea înregistrării și metoda de transmitere a informațiilor (Anexa nr. 1):

Cerințele asigură un cadru coerent și eficient pentru entitățile din sectoarele prevăzute în anexele nr. 1 și 2 la OUG nr. 155/2024, având ca obiective procedurarea și standardizarea procesului de notificare și stabilirea metodei de transmitere a informațiilor către DNSC.

DNSC pune la dispoziția entităților două mecanisme pentru facilitarea procesului de identificare și calificare: un instrument digital de evaluare și generare a datelor de notificare, denumit Instrument NIS2@RO, și o platformă de înrolare, informare și cooperare, denumită Platforma NIS2@RO. Aceste mecanisme sunt destinate tuturor entităților definite de OUG nr. 155/2024 și facilitează evaluarea datelor și informațiilor furnizate de entitate pentru identificarea acesteia ca esențială sau importantă, generând formularul de notificare.

Formularul de notificare este structurat în șase secțiuni:

• Date generale: Identitatea entității (denumire, CUI, nr. înregistrare), date de contact (adresă, e-mail, telefon), activitatea desfășurată (CAEN principal și secundare).
• Date specifice: Dimensiunea entității (salariați, cifră de afaceri, active), serviciile furnizate (sector, subsector, tip entitate), persoana responsabilă cu securitatea cibernetică, mijloacele permanente de contact și persoana însărcinată cu monitorizarea, intervalele de adrese IP publice, prezența în Uniunea Europeană.
• Situații specifice: Rezultatele autoevaluării impactului generat de perturbarea serviciului, identificarea ca entitate critică (conform Legii nr. 294/2024), rezultatele autoanalizei privind dependența de infrastructuri informatice și de comunicații de interes național, autoanaliza privind statutul de singur furnizor de serviciu esențial.
• Documente anexate: Informații necesare pentru a dovedi îndeplinirea condițiilor de identificare (ex: extrase de la registrul comerțului, situații financiare).
• Evaluare preliminară: Secțiune pentru evaluarea inițială a încadrării entității.
• Reprezentare entitate: Datele reprezentantului entității.

Ordinul detaliază, de asemenea, metodologia de evaluare a nivelului de risc al entității, inclusiv calculul scorului de risc pe baza impactului, probabilității și tipului de actor al amenințării. Entitățile din sectoarele bancar, infrastructuri ale pieței financiare, furnizori digitali și infrastructură digitală aplică măsuri de gestionare a riscurilor conform reglementărilor UE specifice (DORA, NIS2 implementation regulation) și nu realizează evaluarea nivelului de risc conform acestui ordin.