Politica de gestionare a riscurilor de securitate cibernetică: ce cere OUG nr. 155/2024 să conțină documentul

Legislație: România · OUG 155/2024

Publicat: 2026-09-09 · AIPOS OÜ · nis2europe.eu

Ce este, în termeni legali, „politica de gestionare a riscurilor”

OUG nr. 155/2024 privind securitatea cibernetică, aprobată prin Legea nr. 124/2025, nu vorbește despre un formular tip, ci despre măsuri tehnice, operaționale și organizatorice pe care entitatea trebuie să le adopte și să le poată prezenta. Documentul intern pe care firmele îl numesc uzual „politica de gestionare a riscurilor” este exact locul în care aceste măsuri sunt scrise, atribuite și datate.

Punctul de plecare este art. 11 alin. (1): entitățile esențiale și entitățile importante iau măsuri proporționale și adecvate pentru a identifica, evalua și gestiona riscurile aferente securității rețelelor și sistemelor informatice pe care le utilizează, precum și pentru a elimina sau reduce efectele incidentelor asupra destinatarilor serviciilor lor.

Două precizări din același articol modelează direct redactarea documentului:

Nivelul de securitate se raportează la nivelul de risc al entității, ținând seama de stadiul actual al tehnologiei, de standardele și bunele practici relevante și de costurile de punere în aplicare (art. 11 alin. (2)).
Măsurile trebuie să cuprindă o abordare cuprinzătoare a amenințărilor cibernetice, la nivel logic și fizic, „inclusiv prin jurnalizarea și asigurarea trasabilității tuturor activităților în cadrul rețelelor și sistemelor informatice” (art. 11 alin. (4)).

Cu alte cuvinte: politica nu descrie doar intenții, ci descrie cum sunt urmărite și reconstituite activitățile în sisteme.

Conținutul minim: lista de la art. 13 lit. a)-j)

Art. 13 este secțiunea de conținut a documentului. Textul legii spune că măsurile prevăzute la art. 11 alin. (1) „cuprind cel puțin următoarele” — deci lista este un prag minim, nu un maxim. Fiecare literă poate deveni un capitol distinct al politicii:

Referință	Domeniul care trebuie acoperit în document
art. 13 lit. a)	politicile și procedurile referitoare la analiza riscurilor și la securitatea sistemelor informatice și revizuirea periodică a acestora
art. 13 lit. b)	politicile și procedurile de evaluare a eficacității măsurilor de gestionare a riscurilor
art. 13 lit. c)	utilizarea criptografiei și, după caz, a criptării
art. 13 lit. d)	securitatea lanțului de aprovizionare, inclusiv relația cu prestatorii și furnizorii direcți
art. 13 lit. e)	securitatea achiziției, dezvoltării, întreținerii și casării rețelelor și sistemelor informatice, inclusiv gestionarea și divulgarea vulnerabilităților
art. 13 lit. f)	securitatea resurselor umane, politicile de control al accesului și gestionarea activelor
art. 13 lit. g)	gestionarea incidentelor
art. 13 lit. h)	continuitatea activității, inclusiv copiile de rezervă, redresarea în caz de dezastru și managementul crizelor
art. 13 lit. i)	practicile de bază de igienă cibernetică și formarea în domeniul securității cibernetice
art. 13 lit. j)	soluții de autentificare multifactor sau autentificare continuă, comunicații vocale, video și text securizate și sisteme de comunicații de urgență securizate în interiorul entității, după caz

Două detalii sunt ușor de ratat la redactare: litera a) cere explicit revizuirea periodică (documentul are, deci, un ciclu de viață, nu o singură dată de emitere), iar litera j) folosește formula „după caz”, adică aplicarea se justifică în raport cu realitatea entității.

Proporționalitatea: de ce două firme au, legitim, politici diferite

Aceasta este cea mai frecventă sursă de confuzie. Legea nu impune același volum de măsuri tuturor. Criteriile de calibrare sunt enumerate limitativ în textul legii:

„Atunci când este evaluată proporționalitatea măsurilor de gestionare a riscurilor în conformitate cu dispozițiile alin. (1) , se ține seama în mod corespunzător de amploarea expunerii la riscuri a entității și a serviciilor pe care le furnizează, de dimensiunea entității, de probabilitatea producerii unor incidente și de gravitatea acestora, inclusiv de impactul lor social și economic.” — OUG nr. 155/2024, art. 11 alin. (10)

Practic, politica ar trebui să conțină un paragraf explicit de calibrare, în care firma arată cum a aplicat aceste patru repere: expunerea, dimensiunea, probabilitatea incidentelor și gravitatea lor, inclusiv impactul social și economic. Fără acest paragraf, un capitol mai scurt arată ca o omisiune; cu el, arată ca o decizie motivată.

Separat, art. 11 alin. (3) prevede că nivelul de risc al entității se evaluează conform metodologiei cuprinse în ordinul directorului DNSC prevăzut la art. 10 alin. (2) — metodologia aplicabilă se consultă în actele și ghidurile publicate de Directoratul Național de Securitate Cibernetică (DNSC), sursa oficială.

Ce depinde de profilul propriu: sector, dimensiune, clasificare, servicii

Aceleași zece litere de la art. 13 se scriu diferit în funcție de patru variabile ale firmei:

1. Sectorul. Anexa nr. 1 (sectoare cu o importanță critică ridicată — energie, transport, bancar, sănătate, apă potabilă, ape uzate, infrastructură digitală, gestionarea serviciilor TIC, administrație publică, spațiu) și anexa nr. 2 (poștă și curierat, deșeuri, substanțe chimice, alimente, fabricare, furnizori digitali, cercetare) determină dacă entitatea intră în domeniul de aplicare și pe ce tip de entitate.

2. Dimensiunea. Art. 5 alin. (2) leagă calitatea de entitate esențială de întreprinderile mari din anexa nr. 1, iar art. 6 alin. (1) încadrează drept entitate importantă întreprinderile mari și mijlocii din anexele nr. 1 și 2 care nu sunt esențiale conform art. 5.

3. Clasificarea statutară. Unele entități sunt esențiale indiferent de dimensiune (art. 5 alin. (1)): entitățile administrației publice centrale din anexa nr. 1, entitățile identificate conform art. 9, entitățile critice, furnizorii de servicii DNS, prestatorii de servicii de încredere calificați și registrele de nume TLD. Alte categorii sunt importante indiferent de dimensiune (art. 6 alin. (2)), între care prestatorii de servicii de încredere.

4. Serviciile și dependențele. Capitolul despre lanțul de aprovizionare are cerințe proprii: art. 11 alin. (8) lit. a) impune să se țină seama de vulnerabilitățile specifice ale fiecărui furnizor direct și ale fiecărui furnizor de servicii, de calitatea produselor și a practicilor lor de securitate, inclusiv securitatea proceselor lor de dezvoltare, iar lit. b) de rezultatele evaluărilor coordonate ale riscurilor. Art. 11 alin. (9) adaugă obligația de a transmite DNSC, la cerere, date despre furnizorii de cloud computing, centre de date, servicii gestionate, servicii de securitate gestionate și ceilalți prestatori enumerați.

Aprobare, supraveghere și formare: rolul organelor de conducere

Documentul nu este complet fără decizia de aprobare. Art. 14 alin. (1) prevede că organele de conducere ale entităților esențiale și ale entităților importante aprobă măsurile de gestionare a riscurilor luate în vederea respectării art. 11-13, supraveghează punerea acestora în aplicare și sunt responsabile de încălcările acestor dispoziții.

Din art. 14 mai rezultă elemente care își găsesc locul firesc în politică:

Formarea. Membrii organelor de conducere urmează cursuri de formare profesională acreditate, iar entitatea asigură, în mod regulat, formarea profesională întregului personal (art. 14 alin. (2)). Aceasta se conectează direct cu art. 13 lit. i).
Contact și resurse. Conducerea stabilește mijloacele permanente de contact și alocă resursele necesare punerii în aplicare a măsurilor (art. 14 alin. (3)).
Responsabilul. Conducerea desemnează, în termen de 30 de zile de la data comunicării deciziei directorului DNSC pentru identificarea și înscrierea în registru, responsabilii cu securitatea rețelelor și sistemelor informatice (art. 14 alin. (3)). Pentru entitățile esențiale, cu excepțiile prevăzute, art. 14 alin. (4) cere cumulativ autoritate managerială, subordonare directă față de conducere, independență față de structurile IT și de tehnologie operațională, acces la resurse și un curs de specialitate acreditat, recunoscut de DNSC, în termen de 12 luni de la desemnare.

Ce face politica verificabilă

O politică verificabilă are trei trăsături care nu țin de stil, ci de structură:

Fiecare capitol își poartă temeiul exact. „Copii de rezervă și redresare în caz de dezastru — art. 13 lit. h)” este o formulare care poate fi confruntată cu textul legii; „bune practici de backup” nu poate.
Există liste care pot fi produse la cerere. Art. 11 alin. (7) prevede că entitățile pun la dispoziția DNSC, la cerere, lista activelor relevante și lista riscurilor identificate în urma analizei riscurilor. Dacă politica trimite la aceste liste, ele trebuie să existe efectiv și să fie actuale.
Documentul rezistă unei verificări externe. Art. 11 alin. (5) prevede obligația de a se supune unui audit de securitate cibernetică, în condițiile și cu periodicitatea stabilite prin ordinul directorului DNSC prevăzut la art. 12 alin. (1), în funcție de nivelul de risc.

Miza este reală: art. 60 alin. (1) lit. a) sancționează nerespectarea obligației privind luarea măsurilor prevăzute la art. 11 alin. (1), iar lit. g) și h) vizează neîndeplinirea obligațiilor de supraveghere și de formare ale membrilor organelor de conducere. Limitele amenzilor sunt prevăzute la art. 60 alin. (2), diferențiat pentru entitățile esențiale și entitățile importante.

O primă etapă utilă este o verificare a încadrării și o evaluare internă: în ce anexă intră activitatea, ce clasificare statutară rezultă din art. 5 și art. 6 și care dintre literele art. 13 sunt deja acoperite de documente existente. Pentru interpretarea oficială a cerințelor și pentru metodologiile aplicabile, sursa de referință este Directoratul Național de Securitate Cibernetică (DNSC), autoritatea competentă potrivit art. 24 alin. (1).

Întrebări frecvente

Politica trebuie să fie un singur document sau pot fi mai multe documente separate?

OUG nr. 155/2024 nu impune un anumit format editorial. Art. 13 prevede că măsurile de la art. 11 alin. (1) cuprind cel puțin domeniile de la lit. a)-j), fără să ceară un fișier unic. O politică-cadru cu proceduri anexate este la fel de acceptabilă ca un document unitar, cu condiția ca fiecare literă a art. 13 să fie acoperită și trasabilă. Ce contează suplimentar este aprobarea de către organele de conducere prevăzută la art. 14 alin. (1) — aceasta trebuie să acopere ansamblul măsurilor, nu doar un capitol.

Cât de des trebuie revizuită politica de gestionare a riscurilor?

Art. 13 lit. a) prevede expres „revizuirea periodică” a politicilor și procedurilor referitoare la analiza riscurilor și la securitatea sistemelor informatice, dar textul citat nu fixează un interval în luni. În practică, documentul ar trebui să conțină el însuși ciclul de revizuire ales și motivul alegerii, raportat la criteriile de proporționalitate din art. 11 alin. (10). Pentru periodicitatea așteptată de autoritate și pentru metodologia de evaluare a nivelului de risc (art. 11 alin. (3)), sursa de consultat este ghidul publicat de Directoratul Național de Securitate Cibernetică (DNSC).

De ce două firme din același sector pot avea politici de dimensiuni foarte diferite?

Pentru că legea calibrează măsurile, nu le uniformizează. Art. 11 alin. (10) cere să se țină seama de amploarea expunerii la riscuri a entității și a serviciilor pe care le furnizează, de dimensiunea entității, de probabilitatea producerii unor incidente și de gravitatea acestora, inclusiv de impactul social și economic. Se adaugă art. 11 alin. (2), care raportează nivelul de securitate la nivelul de risc, la stadiul actual al tehnologiei și la costurile de punere în aplicare. Diferența devine defendabilă atunci când politica explică raționamentul, nu atunci când pur și simplu omite un capitol.

Autentificarea multifactor trebuie inclusă obligatoriu în document?

Art. 13 lit. j) se referă la utilizarea soluțiilor de autentificare multifactor sau de autentificare continuă a comunicațiilor vocale, video și text, a sistemelor de comunicații de urgență securizate în interiorul entității, „după caz”. Formula „după caz” înseamnă că aplicarea concretă se apreciază în raport cu situația entității — dar litera j) rămâne parte din conținutul minim al art. 13, deci politica trebuie să trateze subiectul și să arate ce s-a decis și pe ce bază, nu să îl ignore.