MĂSURILE din 6 august 2026de gestionare a riscurilor de securitate cibernetică aferente rețelelor și sistemelor informatice utilizate de entitățile esențiale și importante
EMITENT
  • DIRECTORATUL NAȚIONAL DE SECURITATE CIBERNETICĂ
    • Publicat în  MONITORUL OFICIAL nr. 712 bis din 27 august 2026



     Notă
    Aprobate prin ORDINUL nr. 1 din 6 august 2026, publicat în Monitorul Oficial al României, Partea I, nr. 712 din 27 august 2026.      +  Articolul 1Structura măsurilor de gestionare a riscurilor de securitate cibernetică(1) Măsurile de gestionare a riscurilor de securitate cibernetică sunt organizate în șase Funcții, după cum urmează:a) Guvernare (GV) - asigură tratarea securității cibernetice ca prioritate strategică și stabilește politicile, responsabilitățile și atribuțiile de autoritate, care sunt comunicate și revizuite la nivelul entității;b) Identificare (ID) - asigură înțelegerea activelor, sistemelor, persoanelor și datelor relevante, precum și a riscurilor asociate, fundamentând deciziile privind gestionarea riscurilor de securitate cibernetică;c) Protecție (PR) - cuprinde măsurile de protecție, de natură tehnică, procedurală și de conștientizare, menite să reducă probabilitatea producerii unui incident sau să îi limiteze impactul;d) Detecție (DE) - susține detecția promptă a evenimentelor de securitate cibernetică, în vederea reducerii daunelor și a unui răspuns mai rapid;e) Răspuns (RS) - cuprinde acțiunile întreprinse la producerea unui incident, pentru limitarea acestuia, coordonarea comunicării și reducerea perturbărilor;f) Recuperare (RC) - vizează restabilirea serviciilor și a operațiunilor afectate de un incident, precum și valorificarea lecțiilor învățate pentru creșterea rezilienței.(2) Fiecare Funcție prevăzută la alin. (1) se împarte în Categorii, fiecare Categorie se împarte în Subcategorii, iar fiecare Subcategorie cuprinde unul sau mai multe Controale.(3) Controalele reprezintă cerințele de securitate cibernetică ce trebuie implementate de către entități și constituie, în ansamblul lor, măsurile de gestionare a riscurilor de securitate cibernetică prevăzute de prezentul ordin. Un Control poate consta într-un proces, o politică, un dispozitiv, o practică sau orice altă acțiune cu rol în gestionarea riscurilor.(4) Fiecare Control este identificat printr-un cod alfanumeric unic, având forma "XX.YY-NN.MM", în care "XX" desemnează Funcția, "YY" Categoria, "NN" Subcategoria, iar "MM" Controlul din cadrul Subcategoriei.(5) Anumite Controale sunt marcate ca Măsuri cheie pe baza tipurilor comune de atacuri cibernetice. Măsurile cheie sunt obligatorii și trebuie tratate cu prioritate, conform nivelului de asigurare căruia le sunt aplicabile.(6) Anumite Controale sunt marcate ca fiind aferente unor Aspecte de management, corespunzând principiilor sistemelor de management pe care standardul ISO/IEC 17021-1 le impune auditorilor să le evalueze, respectiv: imparțialitate, competență, responsabilitate, deschidere, confidențialitate, răspuns la plângeri și abordare bazată pe risc. Stadiul îndeplinirii acestor Controale se revizuiește în cadrul fiecărui audit de evaluare a nivelului de asigurare.  +  Articolul 2Conținutul ControalelorConținutul integral al Controalelor, cuprinzând, pentru fiecare Control, codul de identificare, enunțul cerinței și ghidul de implementare, este prevăzut în continuare, în cuprinsul prezentei anexe.  +  Articolul 3Nivelurile de asigurare(1) Controalele se aplică pe trei niveluri de asigurare, denumite, în ordinea crescătoare a rigorii:a) nivelul de Bază, care cuprinde Controale aplicabile tuturor entităților și asigură un nivel fiabil de protecție prin utilizarea unor tehnologii și procese, în general, deja disponibile;b) nivelul Important, la care Controalele nivelului de Bază sunt consolidate pentru a contribui la reducerea riscurilor cibernetice cunoscute și la limitarea impactului atacurilor efectuate de actori de amenințare cu resurse și competențe limitate;c) nivelul Esențial, la care Controalele nivelului Important sunt consolidate suplimentar pentru a îndeplini cele mai înalte cerințe de securitate cibernetică, incluzând caracteristici avansate de securitate și fiind destinate să reziste atacurilor cibernetice sofisticate efectuate de actori de amenințare cu resurse și expertiză semnificative.(2) Nivelurile de asigurare se află în raport de incluziune ierarhică, astfel:a) nivelul Important cuprinde toate Controalele aplicabile nivelului de Bază, precum și Controalele suplimentare prevăzute pentru acest nivel;b) nivelul Esențial cuprinde toate Controalele aplicabile nivelului Important, precum și Controalele suplimentare prevăzute pentru acest nivel.  +  Articolul 4Controalele și aplicabilitatea acestora sunt prevăzute în anexă la prezenta.  +  ANEXĂla Anexa nr. 1  +  GUVERNARE  +  [GV.OC] CONTEXT ORGANIZAȚIONALSunt înțelese circumstanțele - misiunea, așteptările părților interesate, dependențele și cerințele legale, de reglementare și contractuale - aferente deciziilor organizației privind managementul riscului de securitate cibernetică.  +  GV.OC-01Misiunea organizației este înțeleasă și se află la baza managementului riscului de securitate cibernetică.  +  GV.OC-01.1Misiunea organizației trebuie stabilită, comunicată și trebuie să constituie baza pentru managementul riscului de securitate cibernetică sau a informației.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că misiunea organizației este clar definită și comunicată și că servește drept bază pentru gestionarea riscurilor de securitate cibernetică sau a informației. Înțelegerea misiunii contribuie la identificarea riscurilor care ar putea interfera cu atingerea obiectivelor strategice.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Misiunea organizației ar trebui comunicată prin intermediul unor materiale precum declarații de viziune și misiune, strategii de servicii sau documente de marketing. Aceasta contribuie la identificarea și prioritizarea riscurilor.● Procesele organizației și obiectivele strategice ar trebui dezvoltate ținând seama de securitatea cibernetică sau a informației. Aceasta include înțelegerea modului în care riscurile pot afecta operațiunile, activele, persoanele fizice, partenerii sau interesele societății în general.● Necesitatea de a proteja informațiile sensibile, inclusiv datele cu caracter personal, ar trebui evaluată pe baza misiunii organizației și a modului în care funcționează sistemele și serviciile sale.● Misiunea și procesele conexe ale organizației ar trebui revizuite periodic, de exemplu anual, pentru a se asigura că rămân relevante și continuă să sprijine un management al riscului eficace.  +  GV.OC-02Părțile interesate interne și externe sunt înțelese, iar nevoile și așteptările acestora în ceea ce privește managementul riscului de securitate cibernetică sunt înțelese și luate în considerare.  +  GV.OC-02.1Organizația trebuie să demonstreze că înțelege și ia în considerare nevoile și așteptările părților interesate interne și externe în ceea ce privește managementul riscului de securitate cibernetică sau a informației.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că organizația înțelege și ia în considerare nevoile și așteptările părților interesate interne și externe în gestionarea riscurilor de securitate cibernetică sau a informației. Aceasta contribuie la alinierea eforturilor de securitate cibernetică la prioritățile organizației, obligațiile legale și încrederea părților interesate.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Organizația ar trebui să identifice părțile interesate interne cheie, precum angajații, conducerea superioară, membri ai consiliului de administrație sau echivalent și auditorii interni. Rolurile, responsabilitățile și așteptările acestora în ceea ce privește securitatea cibernetică ar trebui înțelese și documentate.● Ar trebui identificate părțile interesate externe cheie, inclusiv clienții, furnizorii, partenerii, autoritățile de reglementare, acționarii, furnizorii de servicii și auditorii externi, iar așteptările acestora în materie de conformitate, contracte și protecția datelor ar trebui luate în considerare.● Nevoile și așteptările părților interesate ar trebui colectate prin metode precum interviuri, sondaje, revizuiri ale contractelor sau analize ale reglementărilor.● Aceste informații ar trebui integrate în strategia de management al riscului de securitate cibernetică a organizației, pentru asigurarea alinierii cu prioritățile organizației și de reglementare.● Ar trebui stabilite canale periodice de comunicare pentru a menține părțile interesate informate și implicate în chestiuni legate de securitatea cibernetică.● Așteptările părților interesate ar trebui revizuite și actualizate periodic, în special atunci când apar modificări în operațiunile organizației, cerințele legale sau expunerea la risc.  +  GV.OC-03Cerințele legale, de reglementare și contractuale privind securitatea cibernetică sunt înțelese și gestionate.  +  GV.OC-03.1Cerințele legale și de reglementare privind securitatea cibernetică sau a informației trebuie identificate și implementate.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că cerințele legale, de reglementare și contractuale referitoare la securitatea cibernetică sau a informației sunt identificate, monitorizate și implementate. În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Ar trebui stabilit un proces pentru urmărirea și aplicarea cerințelor legale și de reglementare relevante legate de securitatea cibernetică sau a informației.● Aceste cerințe ar trebui integrate în toate politicile, procedurile și practicile operaționale relevante.● Domeniile care ar trebui acoperite includ, dar nu se limitează la:() Evaluarea riscurilor și protecția sistemelor informatice;() Răspunsul la incidente, continuitatea activității și managementul crizelor;() Securitatea lanțului de aprovizionare și dezvoltarea de sisteme securizate;() Managementul vulnerabilităților și configurarea securizată;() Conștientizarea și instruirea în materie de securitate;() Măsuri de control criptografic și comunicații securizate;() Sisteme de comunicare de urgență;() Controlul accesului, managementul activelor și autentificarea multifactor (MFA);() Divulgarea coordonată a vulnerabilităților (CVD).  +  GV.OC-03.2Obligațiile legale, de reglementare și contractuale legate de securitatea cibernetică sau a informației trebuie gestionate în mod continuu pentru a se asigura că acestea rămân corecte, actualizate și aplicate în mod eficace.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că cerințele legale și de reglementare legate de securitatea cibernetică sau a informației sunt gestionate în mod continuu, actualizate și aplicate în mod eficace în cadrul organizației.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Ar trebui să existe un proces structurat pentru gestionarea continuă a cerințelor legale și de reglementare legate de securitatea cibernetică sau a informației.● Aceste cerințe ar trebui documentate, revizuite periodic și actualizate pentru a reflecta modificările legislației și reglementărilor.● Abordarea organizației în materie de conformitate ar trebui să fie clar definită, incluzând rolurile, responsabilitățile și răspunderea.● Ar trebui implementate mecanisme pentru monitorizarea modificărilor din peisajul legislativ și de reglementare. Astfel de modificări ar trebui să declanșeze o revizuire a politicilor, procedurilor și controalelor relevante pentru asigurarea conformității continue.● Dovezile privind activitățile de conformitate ar trebui menținute pentru a sprijini auditurile și pentru a demonstra due diligence.  +  GV.OC-04Obiectivele, capabilitățile și serviciile critice de care depind sau pe care le așteaptă părțile interesate externe de la organizație sunt înțelese și comunicate.  +  GV.OC-04.1Organizația trebuie să identifice, să documenteze și să comunice obiectivele, capabilitățile și serviciile critice pe care se bazează părțile interesate externe, să le prioritizeze în funcție de criticitate și să integreze această prioritizare în procesul de evaluare a riscurilor.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că organizația înțelege care servicii, capabilități și obiective critice sunt esențiale pentru părțile interesate externe, le prioritizează în funcție de importanță și le include în procesul de evaluare a riscurilor.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Acest Control se concentrează pe ceea ce organizația oferă altora, cu alte cuvinte, serviciile și funcțiile de care depind părțile interesate externe (lanțul de aprovizionare din aval, precum clienții, partenerii sau utilizatorii finali).● Serviciile critice și funcțiile interne care le susțin ar trebui identificate în mod clar.● Ar trebui definite criterii pentru a determina importanța fiecărui serviciu sau capabilitate, atât din perspectivă internă, cât și externă.● O analiză a impactului asupra activității (BIA) poate contribui la identificarea activelor și operațiunilor vitale pentru atingerea obiectivelor cheie și a consecințelor în cazul în care acestea ar fi întrerupte.● Obiectivele de reziliență, cum ar fi viteza cu care serviciile critice trebuie recuperate în timpul perturbărilor, ar trebui stabilite și comunicate.  +  GV.OC-04.2Organizația trebuie să definească și să documenteze cerințele de securitate cibernetică pentru operațiunile esențiale, să le valideze prin teste și audituri, să mențină înregistrări ale rezultatelor și măsurilor corective și să actualizeze periodic cerințele în funcție de evoluția riscurilor.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că operațiunile esențiale sunt protejate prin măsuri de securitate clar definite și testate și că aceste măsuri rămân eficace și actualizate pe măsură ce riscurile evoluează.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Identificarea și documentarea() Definirea serviciilor critice și a dependențelor acestora (de exemplu, sisteme, furnizori) printr-o evaluare structurată a riscurilor.() Documentarea cerințelor de securitate și operaționale, inclusiv a cerințelor specifice reglementărilor și domeniului (de exemplu, CyFun(R), ISO/IEC 27001, IEC 62443).● Validarea și aprobarea() Stabilirea proceselor de guvernanță pentru revizuirea și aprobarea cerințelor de securitate identificate.() Atribuirea răspunderii părților interesate relevante (de exemplu, echipele de securitate, responsabilii cu conformitatea, conducerea superioară).● Testarea și asigurarea() Efectuarea de teste de penetrare, evaluări ale vulnerabilităților și simulări de incidente pentru a valida implementarea.() Asigurarea efectuării de audituri pentru evaluarea eficacității și identificarea lacunelor în măsurile de securitate.() Implementarea unor măsuri corective în cazul în care sunt constatate deficiențe, asigurând îmbunătățirea continuă.● Păstrarea înregistrărilor și conformitatea() Menținerea unei documentații detaliate a procedurilor de testare, a rezultatelor, a aprobărilor și a măsurilor corective.() Alinierea cadrelor de securitate la obligațiile de reglementare pentru asigurarea conformității și supravegherea guvernanței.● Revizuirea și adaptarea continue() Reevaluarea periodică a cerințelor ca răspuns la amenințările, incidentele și modificările de reglementare în continuă evoluție.() Asigurarea faptului că organismele de guvernanță supraveghează actualizările și îmbunătățirile pentru menținerea rezilienței cibernetice pe termen lung.  +  GV.OC-04.3Redundanța trebuie implementată pentru a îndeplini cerințele de disponibilitate definite de organizație, legislație și/sau reglementări.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura disponibilitatea sistemelor și serviciilor critice prin implementarea redundanței în conformitate cu cerințele organizaționale, legale și de reglementare privind disponibilitatea.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Acest Control se concentrează pe asigurarea continuității funcționării serviciilor esențiale, chiar și în cazul în care o parte a sistemului se defectează.● Redundanța ar trebui integrată în componente cheie, precum stocarea datelor, infrastructura de rețea și sistemele critice. Exemplele includ:() Servere de rezervă, echilibratoare de sarcină, matrice redundante de discuri independente (RAID) și centre de date multiple;() Conexiuni internet de tip failover și mai mulți furnizori de servicii de internet (ISP).● Echipamentele și serviciile critice ar trebui protejate împotriva întreruperilor de curent și a întreruperilor de utilități folosind:() Surse de alimentare neîntreruptibilă (UPS), generatoare de rezervă și cabluri de alimentare redundante, 2 furnizori diferiți de servicii de alimentare cu energie electrică;() Contracte de testare și mentenanță periodică pentru asigurarea fiabilității.  +  GV.OC-04.4Obiectivele timpului de recuperare (RTO) și obiectivele punctului de recuperare (RPO) pentru reluarea proceselor esențiale ale sistemelor de tehnologia informației și comunicațiilor (TIC)/tehnologie operațională (OT) trebuie să fie definite și monitorizate.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că organizația definește și monitorizează obiective clare privind RTO și RPO pentru restabilirea proceselor esențiale ale sistemelor TIC și OT după o întrerupere.Pentru definirea și monitorizarea RTO-urilor și RPO-urilor pentru sistemele TIC/OT critice, ar trebui luate în considerare următoarele elemente:● Guvernanță și definirea politicilor() Stabilirea unor politici formale și a răspunderii pentru definirea și monitorizarea RTO/RPO.() Alinierea obiectivelor de recuperare la cadrele de continuitate a activității și de recuperare în caz de dezastru (de exemplu, ISO 22301, ISO/IEC 27031).() Asigurarea implicării conducerii și a conformității cu cerințele de reglementare.● BIA() Identificarea interdependențelor dintre sistemele TIC și OT, precum și a efectelor lor în cascadă asupra operațiunilor organizației.() Determinarea pragurilor acceptabile de nefuncționare pentru diferite categorii de sisteme.● Evaluarea riscurilor și amenințărilor() Efectuarea unor simulări de amenințări din lumea reală (de exemplu, exerciții de tip ransomware, testare la stres pentru atacuri DDoS).() Integrarea informațiilor privind amenințările în planificarea recuperării pentru anticiparea riscurilor în evoluție.● Clasificarea și prioritizarea sistemelor() Definirea unor strategii de recuperare pe niveluri, în funcție de impactul asupra activității (de exemplu, Nivelul 1 = restaurare imediată, Nivelul 2 = recuperare întârziată).() Stabilirea mecanismelor de failover pentru procesele OT critice care trebuie să funcționeze continuu.● Strategii de backup și recuperare() Implementarea de backup-uri imuabile pentru protecție împotriva ransomware-ului.() Asigurarea opțiunilor de recuperare la o locație externă și în cloud pentru reziliență geografică.() Efectuarea verificărilor periodice de validare și integritate ale backup-urilor pentru prevenirea eșecurilor în timpul recuperării.● Testarea și validarea obiectivelor de recuperare() Efectuarea testelor de recuperare în caz de dezastru (exerciții teoretice, exerciții de restaurare completă).() Măsurarea eficacității RTO/RPO prin monitorizare în timp real și simulări de răspuns la incidente.() Stabilirea unei coordonări automate a recuperării pentru accelerarea reluării serviciilor.● Monitorizarea continuă și îmbunătățirea() Utilizarea de analize în timp real pentru evaluarea abaterilor de la valorile RTO/RPO preconizate.() Adaptarea obiectivelor de recuperare pe baza lecțiilor învățate din incidente și audituri.  +  GV.OC-05Rezultatele, capabilitățile și serviciile de care depinde organizația sunt înțelese și comunicate.  +  GV.OC-05.1Organizația trebuie să identifice, să documenteze și să comunice rolul său în lanțul de aprovizionare, inclusiv capabilitățile externe, serviciile și dependențele de care depinde (din amonte), precum și interacțiunile sale cu părțile interesate din aval.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că organizația identifică, documentează și comunică rolul său în cadrul lanțului de aprovizionare, prin înțelegerea capabilităților, serviciilor și dependențelor externe pe care se bazează (din amonte), recunoscând în același timp interacțiunile sale cu părțile interesate din aval.Acest Control se concentrează în principal pe lanțul de aprovizionare din amonte, respectiv asupra elementelor de care organizația depinde din partea altor entități, menținând în același timp alinierea cu GV.OC-04, care abordează ceea ce organizația furnizează altor entități. Împreună, acestea oferă o imagine completă a dependențelor și responsabilităților lanțului de aprovizionare.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Rolul organizației în lanțul de aprovizionare ar trebui definit în mod clar, prin includerea atât a ceea ce este livrat altor părți (din aval), cât și a ceea ce este primit din surse externe (din amonte).● Dependențele de resurse externe - precum incintele, furnizorii de servicii cloud și furnizorii de servicii, produse sau capabilități - ar trebui identificate și documentate.● Aceste dependențe ar trebui corelate cu funcțiile operaționale conexe și cu activele organizației pentru a înțelege impactul lor asupra operațiunilor.● O atenție deosebită ar trebui acordată dependențelor externe care reprezintă potențiale puncte de eșec pentru serviciile sau capabilitățile critice.● Aceste informații ar trebui comunicate personalului relevant și părților interesate pentru sprijinirea managementului riscului, a planificării continuității și a coordonării răspunsului.● Ar trebui stabilite canale de comunicare pentru a se asigura că rolurile și dependențele din lanțul de aprovizionare sunt înțelese în mod clar în cadrul organizației și de către partenerii cheie.  +  [GV.RM] STRATEGIA DE MANAGEMENT AL RISCULUIPrioritățile, constrângerile, declarațiile privind toleranța și apetitul pentru risc ale organizației, precum și ipotezele sunt stabilite, comunicate și utilizate pentru sprijinirea deciziilor privind riscurile operaționale.  +  GV.RM-01Obiectivele de management al riscului sunt stabilite și convenite de părțile interesate ale organizației.  +  GV.RM-01.1Obiectivele privind securitatea cibernetică sau a informației trebuie identificate, convenite de părțile interesate ale organizației și aprobate de conducerea superioară.  +  GHID DE IMPLEMENTAREÎn vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Respectarea principiilor de management al riscului descrise în ISO/IEC 27005, care oferă recomandări privind identificarea, evaluarea și atenuarea riscurilor de securitate a informației. Mai exact:() Clauza 6.1 ar trebui utilizată pentru stabilirea unui proces structurat de evaluare a riscurilor;() Clauza 6.3 ar trebui să ghideze definirea strategiilor adecvate de tratare a riscurilor.● Actualizarea obiectivelor pe termen scurt și lung în materie de securitate cibernetică sau a informației în cadrul planificării strategice anuale și ca răspuns la modificările organizaționale majore.● În organizațiile din sectorul OT, conducerea superioară ar trebui să ia în considerare factorii de sănătate, siguranță și mediu atunci când identifică riscurile.● Stabilirea unor obiective specifice, măsurabile, realizabile, relevante și încadrate în timp (SMART) pentru securitatea cibernetică sau a informației (de exemplu, îmbunătățirea calității instruirii utilizatorilor, asigurarea unei protecții adecvate pentru sistemele de control industrial - ICS).● Utilizarea acestor obiective pentru măsurarea și gestionarea riscului și performanței în cadrul organizației.  +  GV.RM-02Declarațiile privind apetitul pentru risc și toleranța la risc sunt stabilite, comunicate și menținute.  +  GV.RM-02.1Declarațiile privind apetitul pentru risc și toleranța la risc trebuie definite, documentate, aprobate de conducerea superioară, comunicate și menținute.  +  GHID DE IMPLEMENTAREObiectivul GV.RM-02.1 este de a asigura că organizația are o înțelegere clară și aplicabilă a limitelor sale de risc, ceea ce ajută la orientarea procesului decizional și a practicilor de management al riscului. În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Apetitul pentru risc reprezintă cantitatea și tipul de risc pe care o organizație este dispusă să le asume sau să le accepte și are caracter strategic/calitativ (sursa: ISO/IEC 27005).● Toleranța la risc reprezintă abaterea acceptabilă de la nivelul stabilit prin apetitul pentru risc și obiectivele organizației și are caracter tactic/cantitativ (sursa: ISACA).● Apetitul pentru risc al organizației ar trebui să țină seama de rolul său în infrastructura critică și în sectorul său.● Organizațiile din sectorul OT ar trebui să țină seama de prioritățile în materie de sănătate, siguranță și mediu în definirea apetitului lor pentru risc.● Declarațiile privind apetitul pentru risc ar trebui traduse în declarații specifice, măsurabile și ușor de înțeles privind toleranța la risc (SMART).● Obiectivele organizației și apetitul pentru risc ar trebui ajustate periodic pe baza expunerii cunoscute la riscuri și a riscului rezidual.● Cu Awareness Raising in a Box (AR-in-a-Box), Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) oferă organizațiilor instrumentele și resursele esențiale pentru creșterea în mod eficace a gradului de conștientizare cu privire la securitatea cibernetică în cadrul operațiunilor lor. Acest set de instrumente Do-It-Yourself elaborat de către ENISA conține un ghid de nivel C.  +  GV.RM-03Activitățile și rezultatele managementului riscului de securitate cibernetică sunt incluse în procesele de management al riscului la nivel de organizație (ERM).  +  GV.RM-03.1Ca parte a strategiei de management al riscului la nivelul întregii organizații, trebuie elaborată o strategie cuprinzătoare de management al riscului de securitate cibernetică sau a informației, care trebuie actualizată atunci când apar modificări.  +  GHID DE IMPLEMENTAREAcest Control se concentrează pe elaborarea și menținerea unei strategii specifice de gestionare a riscurilor de securitate cibernetică sau a informației. Aceasta asigură că organizația dispune de un plan dedicat și aplicabil, care evoluează odată cu peisajul amenințărilor.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● O strategie de management al riscului la nivelul întregii organizații include o exprimare a toleranței la riscul de securitate pentru organizație, strategii de atenuare a riscurilor de securitate, metodologii acceptabile de evaluare a riscurilor, un proces de evaluare a riscurilor de securitate în cadrul organizației în raport cu toleranța la risc a organizației și abordări pentru monitorizarea riscurilor în timp.● Riscurile de securitate cibernetică sau a informației ar trebui agregate și gestionate alături de celelalte riscuri ale organizației (de exemplu, de conformitate, financiare, operaționale, de reglementare, de reputație, de siguranță).● Strategia de management al riscului de securitate cibernetică sau a informației ar trebui să includă identificarea și alocarea resurselor necesare pentru protejarea activelor critice pentru activitatea organizației.● Aceasta este implementarea specifică securității cibernetice a viziunii mai largi definite în GV.RM-04.1.  +  GV.RM-03.2Riscurile de securitate cibernetică sau a informației trebuie documentate, ca parte a proceselor ERM, aprobate în mod formal de conducerea superioară și actualizate atunci când apar modificări.  +  GHID DE IMPLEMENTAREAcest Control ar trebui să asigure punerea în aplicare a strategiei prin procese structurate. Se concentrează pe nivelul operațional și de guvernanță, asigură răspunderea și trasabilitatea riscurilor și pune accentul pe procesele formale și supravegherea.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Identificarea sistematică a riscurilor() Obiectiv:■ Identificarea proactivă a riscurilor de securitate cibernetică sau a informației în cadrul organizației.() Măsuri:■ Evaluări periodice ale riscurilor ar trebui efectuate utilizând metode precum modelarea amenințărilor, ateliere de lucru privind riscurile și scanări de vulnerabilități.■ Riscurile legate de toate activele digitale și fizice (hardware, software, date, rețele) ar trebui incluse în inventarul activelor, împreună cu metadatele cheie (locație, proprietar, utilizare).■ Utilizarea unor surse precum:– Jurnale de incidente de securitate.– Rezultatele testelor de penetrare.– Cerințe de reglementare.– Informații privind amenințările din domeniu.() Luarea în considerare a implicării echipelor interfuncționale (tehnologia informației - IT/OT, juridic, conformitate, unități organizaționale).() Instrumente de luat în considerare:■ Șabloane de evaluare a riscurilor.■ Platforme de informații privind amenințările (de exemplu, platformă de schimb de informații despre malware - MISP, Recorded Future).■ Inventare de active și diagrame de fluxuri de date.● Documentarea riscurilor în cadrul ERM() Obiectiv:■ Asigurarea integrării riscurilor de securitate cibernetică în procesul ERM mai amplu.() Măsuri:■ Luarea în considerare a utilizării unui registru centralizat de riscuri sau a unui instrument de guvernanță, risc și conformitate (GRC) pentru a documenta:– Descrierea riscului.– Probabilitatea și impactul.– Responsabilul de risc.– Controale existente.– Riscul rezidual.– Planul de tratare.■ Managementul riscului de securitate cibernetică ar trebui să fie aliniat la obiectivele strategice ale organizației pentru a asigura relevanța și sprijinul.() Instrumente de luat în considerare:■ Platforme GRC.■ Foi de calcul/platforme de colaborare (de exemplu, Excel/SharePoint) pentru organizații mai mici.● Aprobarea formală și implicarea conducerii superioare a organizației() Obiectiv:■ Asigurarea supravegherii și a răspunderii conducerii în luarea deciziilor privind riscurile.() Măsuri:■ Evaluările riscurilor și planurile de tratare a riscurilor ar trebui prezentate unui Comitet de risc sau unui Comitet executiv.■ Luarea în considerare a includerii riscurilor de securitate cibernetică în rapoartele trimestriale de risc.■ Ar trebui obținută aprobarea formală pentru:– Acceptarea riscurilor.– Planuri de atenuare.– Alocările bugetare.() Instrumente de luat în considerare:■ Șabloane pentru raportarea către consiliul de administrație sau echivalent.■ Tablouri de bord privind riscurile.■ Procese-verbale ale ședințelor cu aprobări documentate.● Comunicarea și conștientizarea() Obiectiv:■ Asigurarea informării și implicării tuturor părților interesate relevante.() Măsuri:■ Ar trebui stabilite linii clare de comunicare pentru riscurile de securitate cibernetică, inclusiv cele provenite de la furnizori și părți terțe.■ Riscurile aprobate și strategiile de atenuare ar trebui comunicate echipelor relevante.■ Conștientizarea ar trebui promovată prin instruire, sesiuni de informare și comunicări interne.() Instrumente de luat în considerare:■ Platforme de comunicare internă (de exemplu, Teams, Slack).■ Planuri de comunicare a riscurilor.■ Liste ale părților interesate.● Monitorizarea continuă și actualizările() Obiectiv:■ Menținerea la zi a informațiilor privind riscurile și adaptarea acestora la modificări.() Măsuri:■ Ar trebui implementată o monitorizare continuă pentru a detecta modificările în peisajul amenințărilor sau în mediul organizațional.■ Luarea în considerare a definirii unor factori declanșatori pentru actualizări, precum:– Noi amenințări sau vulnerabilități.– Modificări în procesele organizației sau în sistemele IT.– Modificări ale reglementărilor.■ Ar trebui stabilit un proces de management al modificărilor care să includă actualizarea documentației privind securitatea cibernetică.■ Ar trebui efectuate revizuiri periodice (de exemplu, trimestrial sau de două ori pe an) ale riscurilor documentate.() Instrumente de luat în considerare:■ Sisteme de management al modificărilor.■ Instrumente de monitorizare continuă.■ Calendare de revizuire a riscurilor.Acest Control pune în aplicare GV.RM-03.1 prin integrarea riscurilor de securitate cibernetică în cadrul ERM și prin asigurarea guvernanței și răspunderii.  +  GV.RM-04Direcția strategică care descrie opțiunile adecvate de răspuns la riscuri este stabilită și comunicată.  +  GV.RM-04.1Un plan sau o viziune la nivel înalt trebuie să fie stabilit în mod formal și comunicat în mod clar tuturor persoanelor implicate cu privire la modul de gestionare a riscurilor, inclusiv diferitele strategii pe care organizația le poate utiliza pentru a aborda riscurile identificate, în funcție de apetitul pentru risc sau de nivelul de toleranță la risc.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a stabili fundamentul strategic pentru managementul riscului, care include:● Toleranța la risc și apetitul pentru risc.● Direcția strategică pentru gestionarea riscurilor (de exemplu, atenuarea, transferul, acceptarea).● Asigurarea alinierii între departamente.● Asigurarea faptului că toți membrii organizației înțeleg imaginea de ansamblu a modului în care sunt abordate și gestionate riscurile.Controlul se concentrează pe:● Managementul riscului la nivel strategic și organizațional.● Stabilirea unei viziuni sau a unui plan formal și cuprinzător.● Comunicarea strategiilor de management al riscului (de exemplu, evitarea, atenuarea, transferul, acceptarea).● Se aplică tuturor tipurilor de riscuri, nu doar securității cibernetice.În raport cu Controalele GV.RM-03.1, GV.RM-03.2 și GV.RM-05.1, acest Control reprezintă punctul de plecare; el definește filosofia organizației în materie de risc, inclusiv apetitul și toleranța, care ghidează toate celelalte activități.  +  GV.RM-05Liniile de comunicare în cadrul organizației sunt stabilite pentru riscurile de securitate cibernetică, inclusiv riscurile provenite de la furnizori și alte părți terțe.  +  GV.RM-05.1Pentru a sprijini viziunea de nivel înalt privind managementul riscului, organizația trebuie să stabilească linii de comunicare clare pentru riscurile de securitate cibernetică, inclusiv cele provenite de la furnizori și părți terțe.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că informațiile privind riscurile de securitate cibernetică sau a informației sunt partajate în mod eficace în cadrul organizației și cu părți externe.Acest Control axat pe comunicarea operațională și tactică este specific riscurilor de securitate cibernetică și pune accentul pe canalele de comunicare (de exemplu, raportarea, escaladarea, coordonarea), inclusiv riscurile externe provenite de la furnizori și părți terțe.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Definirea rolurilor și responsabilităților în materie de comunicare() Atribuirea clară a răspunderii pentru raportarea, escaladarea și răspunsul la riscurile de securitate cibernetică între departamente și cu părți terțe.● Stabilirea unor canale de comunicare() Utilizarea de canale structurate, precum grupuri de e-mail, sisteme de ticketing, platforme de răspuns la incidente sau instrumente de colaborare (de exemplu, Teams, Slack) pentru comunicarea la timp a riscurilor.● Includerea părților terțe() Integrarea furnizorilor și partenerilor în procesul de comunicare prin clauze contractuale, protocoale comune de raportare sau planuri comune de răspuns la incidente (IRP).● Documentarea și instruirea() Menținerea unui protocol de comunicare sau a unui manual și instruirea personalului relevant cu privire la modul și momentul în care trebuie raportate riscurile de securitate cibernetică.● Revizuirea și îmbunătățirea() Testarea și revizuirea periodică a eficacității comunicării prin exerciții teoretice sau revizuiri post-incident.Acest Control sprijină implementarea GV.RM-03.2, asigurând comunicarea riscurilor identificate și documentate către părțile interesate relevante, permițând un răspuns și o coordonare în timp util.  +  [GV.RR] ROLURI, RESPONSABILITĂȚI ȘI ATRIBUȚII DE AUTORITATERolurile, responsabilitățile și atribuțiile de autoritate în materie de securitate cibernetică pentru a promova răspunderea, evaluarea performanței și îmbunătățirea continuă sunt stabilite și comunicate.  +  GV.RR-01Conducerea organizației este responsabilă și răspunzătoare pentru riscul de securitate cibernetică și promovează o cultură conștientă de riscuri, etică și în continuă îmbunătățire.  +  GV.RR-01.1Conducerea de vârf a organizației trebuie să fie responsabilă și răspunzătoare pentru riscul de securitate cibernetică și trebuie să promoveze o cultură conștientă de riscuri, etică și în continuă îmbunătățire.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că conducerea de vârf este răspunzătoare pentru riscul de securitate cibernetică și promovează o cultură conștientă de riscuri și în continuă îmbunătățire.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Conducerea de vârf a organizației ar trebui să convină asupra rolurilor și responsabilităților sale în elaborarea, implementarea și evaluarea strategiei de securitate cibernetică a organizației.● Așteptările conducerii de vârf a organizației în ceea ce privește o cultură a securității, inclusiv evidențierea exemplelor pozitive sau negative de management al riscului de securitate cibernetică, ar trebui comunicate întregii organizații.● Conducerea de vârf a organizației ar trebui să dispună ca managerul superior pentru securitatea informației (de exemplu, manager de securitate - CSO, manager securitatea informației - CISO) să mențină o strategie cuprinzătoare de management al riscului de securitate cibernetică și să o revizuiască și să o actualizeze cel puțin anual și după evenimente majore (a se vedea și GV.RR-02.2).● Ar trebui efectuate revizuiri pentru a se asigura autoritatea și coordonarea adecvate între persoanele responsabile de gestionarea riscului de securitate cibernetică.  +  GV.RR-02Rolurile, responsabilitățile și atribuțiile de autoritate legate de managementul riscului de securitate cibernetică sunt stabilite, comunicate, înțelese și puse în aplicare.  +  GV.RR-02.1Rolurile, responsabilitățile și atribuțiile de autoritate în materie de securitate cibernetică sau a informației pentru angajați, furnizori, clienți și parteneri trebuie documentate, revizuite, autorizate, actualizate, comunicate și coordonate la nivel intern și extern.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că toate părțile interne și externe înțeleg și își îndeplinesc rolurile, responsabilitățile și atribuțiile de autoritate în materie de securitate cibernetică, reducând lacunele, suprapunerile și întârzierile în răspunsul la incidente și în conformitate.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Descrierea rolurilor, responsabilităților și atribuțiilor de autoritate în materie de securitate: cine din cadrul organizației ar trebui consultat, informat, considerat responsabil și tras la răspundere pentru toate sau o parte din activele organizației. Poate fi luată în considerare utilizarea modelului responsabil, răspunzător, consultat, informat (RACI). Ghidul poate fi găsit și în Profilurile de rol ale Cadrului european al competențelor în securitate cibernetică (ECSF) elaborate de către ENISA (https://www.enisa.europa.eu/publications/european-cybersecurity-skills-framework-role-profiles).● Includerea rolurilor, responsabilităților și atribuțiilor de autoritate în materie de management al riscului.● Includerea responsabilităților și cerințelor de performanță în materie de securitatea cibernetică sau a informației în descrierile posturilor.● Articularea în mod clar a responsabilităților în materie de securitatea cibernetică sau a informației în cadrul operațiunilor, funcțiilor de risc și funcțiilor de audit intern.● Identificarea unuia sau mai multor roluri ori posturi specifice care vor fi responsabile și răspunzătoare de planificarea, alocarea resurselor și executarea activităților de management al riscului în lanțul de aprovizionare pentru securitate cibernetică (C-SCRM) sau a informației.● Urmarea orientării anterioare, extinderea rolurilor, responsabilităților și atribuțiilor de autoritate de securitate internă la rolurile, responsabilitățile și atribuțiile de autoritate C-SCRM sau a informației.● Dezvoltarea rolurilor, responsabilităților și atribuțiilor de autoritate pentru furnizori, clienți și parteneri ai organizației pentru abordarea responsabilităților comune pentru riscurile aplicabile de securitate cibernetică sau a informației și integrarea acestora în politicile organizației și în acordurile aplicabile părților terțe.● Comunicarea internă a rolurilor și responsabilităților C-SCRM sau a informației pentru părți terțe.● Stabilirea de reguli și protocoale pentru procesele de schimb de informații și de raportare între organizație și furnizorii săi.● Luarea în considerare a stabilirii unei distincții clare între IT și OT în implementarea acestui Control, ținând cont de următoarele:() Roluri și responsabilități■ IT– Definirea de roluri precum administrator de sistem, analist de securitate a rețelelor, personal de răspuns la incidente.■ OT– Definirea de roluri precum inginer sisteme de control, coordonator securitate cibernetică OT, operator de instalație.() Documentare și revizuire■ Asigurarea documentării separate, dar aliniate, a rolurilor IT și OT.■ Ciclurile de revizuire pot diferi: IT (trimestrial/anual), OT (aliniat cu perioadele de mentenanță).() Autorizare și actualizări■ Asigurarea aprobării documentației IT și OT de către conducerea relevantă (de exemplu, responsabilul pentru tehnologia informației - CIO pentru IT, director de fabrică pentru OT).■ Actualizările în OT pot necesita proceduri de control al modificărilor din cauza implicațiilor asupra siguranței.() Comunicare și coordonare■ Intern– Asigurarea existenței unor IRP-uri comune ale echipelor IT și OT.■ Extern– Includerea furnizorilor și partenerilor specifici OT (de exemplu, vânzătorii ICS) și IT (de exemplu, furnizorii de servicii cloud).  +  GV.RR-02.2Organizația trebuie să numească un manager superior pentru securitatea informației.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a stabili o răspundere executivă clară pentru securitatea cibernetică, prin numirea unui membru al conducerii superioare care să conducă strategia, supravegherea și alinierea la obiectivele organizației.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Un membru al conducerii superioare este definit ca un membru de rang înalt al organizației, implicat în procesele importante de luare a deciziilor.● Managerul superior pentru securitatea informației, care ar putea fi CISO, ar trebui să aibă autoritatea, responsabilitatea și resursele necesare pentru a coordona, dezvolta, implementa, monitoriza și menține o viziune, o strategie și un program la nivelul întregii organizații, pentru a se asigura că activele și tehnologiile informaționale sunt protejate în mod adecvat.  +  GV.RR-03Resursele adecvate sunt alocate proporțional cu strategia, rolurile, responsabilitățile și politicile de management al riscului de securitate cibernetică.  +  GV.RR-03.1Trebuie alocate resurse suficiente în conformitate cu strategia, rolurile, responsabilitățile și politicile de management al riscului de securitate cibernetică.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că securitatea cibernetică este susținută în mod eficace prin alinierea alocării resurselor (care pot include personal, buget, tehnologie) la prioritățile strategice, rolurile și politicile.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Ar trebui efectuate revizuiri periodice ale managementului pentru a asigura că persoanele responsabile de managementul riscului de securitate cibernetică dispun de autoritatea necesară.● Alocarea resurselor și investițiile ar trebui stabilite în conformitate cu apetitul pentru risc al organizației.● Ar trebui asigurate resurse umane, procese și resurse tehnice adecvate și suficiente pentru a sprijini strategia de securitate cibernetică.● Personalul specializat ar trebui să dețină cunoștințele și competențele necesare pentru securitatea OT, pentru a permite colaborarea cu inginerii OT, astfel încât alertele să fie interpretate cu acuratețe și să se răspundă în mod eficace la amenințări.  +  GV.RR-03.2Organizația trebuie să atribuie roluri și responsabilități pentru revizuirea și actualizarea planurilor de răspuns și recuperare, asigurându-se că acestea reflectă modificările din mediul de risc și rămân eficace.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura eficacitatea planurilor de răspuns și recuperare prin atribuirea de roluri și responsabilități pentru revizuirea și adaptarea periodică la riscurile în continuă evoluție.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Definirea și atribuirea responsabilităților() Atribuirea de roluri clare pentru menținerea, revizuirea și actualizarea planurilor de răspuns și recuperare.() Asigurarea faptului că persoanele fizice responsabile au autoritatea și resursele necesare pentru a acționa în funcție de modificările identificate.() Desemnarea unui coordonator central sau a unei echipe pentru supravegherea procesului de actualizare și asigurarea răspunderii.● Înțelegerea și monitorizarea contextului organizațional() Evaluarea periodică a factorilor interni și externi, precum:■ Structura organizațională și sistemele critice.■ Amenințările și vulnerabilitățile emergente.■ Modificările reglementărilor și dinamica pieței.■ Lecțiile învățate din incidente, teste sau exerciții.● Actualizarea planurilor în funcție de modificările contextuale() Revizuirea planurilor pentru a reflecta:■ Amenințările noi sau în evoluție.■ Modificările tehnologiei sau infrastructurii.■ Provocările operaționale sau lacunele identificate în timpul testării.() Actualizările pot include liste de contacte, protocoale de comunicare, căi de escaladare și alocări de resurse.● Comunicarea și instruirea() Asigurarea informării părților interesate relevante cu privire la actualizări.() Furnizarea de instruire sau sesiuni de informare pentru a clarifica rolurile și responsabilitățile din planurile revizuite.● Testare și îmbunătățire() Efectuarea de exerciții și simulări periodice pentru validarea eficacității planurilor actualizate.() Utilizarea rezultatelor pentru identificarea lacunelor și stimularea îmbunătățirii continue.● Ciclul de revizuire continuă() Stabilirea unui calendar de revizuire (de exemplu, trimestrial sau după modificări majore).() Integrarea actualizărilor planului în procesele mai ample de management al riscului și de guvernanță.  +  GV.RR-04Securitatea cibernetică este inclusă în practicile de resurse umane.  +  GV.RR-04.1Personalul care are acces la informațiile sau tehnologiile cele mai critice ale organizației trebuie să fie autentificat.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a proteja activele critice prin asigurarea faptului că numai personalul autentificat poate avea acces la acestea.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● "Autentificat" înseamnă că utilizatorul trebuie să-și dovedească identitatea din punct de vedere tehnic la punctul de acces, în mod ideal utilizând MFA sau metode mai puternice, nu doar validat în timpul procesului de integrare organizațională.● Accesul la informații sau tehnologii critice ar trebui luat în considerare în cadrul recrutării, în cadrul procesului de integrare organizațională, pe durata relațiilor contractuale, la modificarea funcției și în cadrul procesului de ieșire organizațională (încetarea relațiilor contractuale).● Verificările de fond ar trebui efectuate înainte de integrarea noului personal în roluri sensibile, iar verificările de fond ar trebui repetate periodic pentru personalul care ocupă astfel de roluri. Verificările de fond ar trebui totuși să țină cont de legile, reglementările și principiile etice aplicabile, proporțional cu cerințele organizației, clasificarea informațiilor la care se va avea acces și riscurile percepute.● Expertiza în domeniul securității cibernetice ar trebui recunoscută ca un atu valoros în deciziile de recrutare, instruire și retenție a personalului.  +  GV.RR-04.2Trebuie elaborat și menținut un proces de securitate cibernetică pentru resurse umane, aplicabil la recrutare, pe durata angajării și la încetarea contractului de muncă.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura gestionarea riscurilor de securitate cibernetică pe tot parcursul ciclului de viață al angajaților, prin integrarea securității în procesele de resurse umane, de la angajare până la încetarea contractului de muncă.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Considerentele privind managementul riscului de securitate cibernetică ar trebui integrate în procesele de resurse umane (de exemplu, verificarea personalului, procesul de integrare organizațională, notificarea modificărilor și procesul de ieșire organizațională).● Procesul de securitate cibernetică a resurselor umane ar trebui să includă accesul la informații sau tehnologii critice, verificări de fond, codul de conduită, roluri, atribuții de autoritate și responsabilități.● Obligațiile personalului de a cunoaște, adera și respecta politicile de securitate în raport cu rolul lor ar trebui definite și puse în aplicare.  +  [GV.PO] POLITICIPolitica organizației privind securitatea cibernetică este stabilită, comunicată și pusă în aplicare.  +  GV.PO-01Politica de gestionare a riscurilor de securitate cibernetică este stabilită pe baza contextului organizațional, a strategiei de securitate cibernetică și a priorităților și este comunicată și pusă în aplicare.  +  GV.PO-01.1Politicile și procedurile pentru gestionarea securității cibernetice sau a informației trebuie stabilite, documentate, revizuite, aprobate, actualizate atunci când apar modificări, comunicate și puse în aplicare.  +  GHID DE IMPLEMENTAREAcest Control stabilește baza modului în care ar trebui gestionate toate politicile și procedurile privind securitatea cibernetică sau a informației. Acesta pune accentul pe ciclul de viață al guvernanței, de la creare până la punerea în aplicare și asigură alinierea la direcția strategică a organizației.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Elaborarea de politici, procese și proceduri clare și practice care:() Definesc comportamente și așteptări acceptabile pentru protejarea informațiilor și sistemelor organizației.() Precizează modul în care conducerea se așteaptă ca angajații să utilizeze și să protejeze resursele organizației.● Asigurarea conștientizării angajaților prin comunicarea acestor politici, procese și proceduri:() La integrarea organizațională a noului personal;() Ori de câte ori se fac actualizări sau modificări semnificative;() Menținerea accesibilității, prin punerea cu ușurință la dispoziția angajaților a tuturor documentelor relevante.● Revizuirea și actualizarea periodice (de exemplu, anual) pentru a reflecta:() Modificările organizaționale, precum fuziuni, achiziții sau noi obligații contractuale.() Evoluții tehnologice, precum adoptarea inteligenței artificiale sau a unor noi instrumente de securitate.● Definirea criteriilor de evaluare a riscurilor în cadrul politicii de management al riscului a organizației:() Organizația ar trebui să stabilească și să documenteze criterii clare pentru determinarea probabilității și impactului riscurilor.() Aceste criterii ar trebui adaptate contextului specific al organizației și utilizate în mod consecvent pentru evaluarea și prioritizarea riscurilor de securitate cibernetică. Astfel se asigură că deciziile bazate pe risc sunt aliniate la strategia generală și la apetitul pentru risc al organizației.  +  GV.PO-01.2Politicile și procedurile privind securitatea cibernetică sau a informației la nivelul întregii organizații trebuie să includă utilizarea criptografiei și, după caz, a criptării, să reflecte modificările în ceea ce privește cerințele, amenințările, tehnologia și rolurile organizației și să fie aprobate de conducerea superioară, care supraveghează punerea lor în aplicare.  +  GHID DE IMPLEMENTAREAcest Control se bazează pe GV.PO-01.1 și se concentrează pe conținutul și supravegherea politicilor de securitate cibernetică sau a informației. Acesta asigură abordarea unor subiecte tehnice specifice (precum criptografia și criptarea), adaptarea politicilor la modificări și implicarea activă a conducerii superioare în procesul de aprobare și supraveghere.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Definirea domeniului de aplicare și a obiectivelor() Asigurarea aplicării politicilor la nivelul întregii organizații și a alinierii acestora cu prioritățile organizației și cu cele de risc.● Includerea criptografiei și a criptării() Abordarea criptării în repaus/în tranzit, managementul cheilor și algoritmii aprobați.() Definirea cazurilor când criptarea este necesară (de exemplu, date personale, acces la distanță).● Menținerea politicilor actualizate() Actualizarea politicilor pentru a reflecta modificările în:■ Cerințele legale/de reglementare;■ Peisajul amenințărilor;■ Tehnologie;■ Structura organizațională.● Supravegherea realizată de către conducerea superioară() Solicitarea aprobării formale a conducerii superioare a organizației.() Desemnarea unui responsabil de politici (de exemplu, CISO) pentru supravegherea implementării și conformității.● Atribuirea rolurilor și responsabilităților() Utilizarea profilurilor de rol ECSF elaborat de către ENISA (https://www.enisa.europa.eu/publications/european-cybersecurity-skills-framework-role-profiles) pentru:■ Definirea rolurilor în domeniul securității cibernetice (de exemplu, responsabil de politici, manager de risc);■ Alinierea sarcinilor, abilităților și competențelor.● Comunicarea și instruirea() Diseminarea politicilor și furnizarea de instruire specifică rolului.● Monitorizarea și punerea în aplicare() Utilizarea controalelor tehnice și auditurilor pentru a asigura conformitatea.  +  [GV.OV] SUPRAVEGHERERezultatele activităților și performanțelor de management al riscului de securitate cibernetică la nivelul întregii organizații sunt utilizate pentru a informa, îmbunătăți și ajusta strategia de management al riscului.  +  GV.OV-02Strategia de management al riscului de securitate cibernetică este revizuită și ajustată pentru a asigura acoperirea cerințelor și riscurilor organizației.  +  GV.OV-02.1Strategia de management al riscului de securitate cibernetică sau a informației trebuie revizuită și ajustată pentru asigurarea acoperirii cerințelor și riscurilor organizației.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că strategia de management al riscului de securitate cibernetică sau a informației este revizuită și actualizată periodic pentru a reflecta nevoile organizației, riscurile în evoluție și cerințele de conformitate.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Strategia ar trebui să definească direcția generală și obiectivele pentru gestionarea riscurilor de securitate cibernetică sau a informației.● Politicile și procedurile de sprijin ar trebui să ghideze modul în care strategia este pusă în practică.● Strategia ar trebui să abordeze riscurile pentru operațiunile organizației, activele, persoanele fizice și alte entități, inclusiv potențialele impacturi asupra vieții private.● Revizuirile ar trebui efectuate la intervale planificate, inclusiv prin audituri interne, pe baza unui program de audit documentat care definește frecvența, metodele, responsabilitățile și raportarea.● Auditurile ar trebui efectuate de personal competent și imparțial.● Rezultatele auditului ar trebui revizuite pentru a evalua dacă strategia îndeplinește așteptările interne și respectă cerințele legale și de reglementare.● Strategia ar trebui actualizată atunci când este necesar, în special după incidente sau constatări ale auditului.● Dovezile activităților de audit și rezultatele acestora ar trebui documentate și raportate conducerii relevante.  +  GV.OV-03Performanța organizației în materie de management al riscului de securitate cibernetică este evaluată și revizuită pentru identificarea ajustărilor necesare.  +  GV.OV-03.1Performanța organizației în materie de management al riscului de securitate cibernetică trebuie evaluată, revizuită și ajustată atunci când este necesar.  +  GHID DE IMPLEMENTAREObiectivul acestui Control este de a asigura că performanța organizației în materie de management al riscului de securitate cibernetică este evaluată, revizuită și ajustată în mod continuu, după cum este necesar.În vederea realizării acestui obiectiv, ar trebui luate în considerare următoarele:● Indicatorii cheie de performanță (KPI) ar trebui identificați, implementați și revizuiți periodic pentru a asigura că politicile și procedurile la nivelul întregii organizații ating obiectivele în materie de securitate cibernetică sau a informației.● Indicatorii cheie de risc de securitate cibernetică sau a informației ar trebui evaluați periodic pentru identificarea riscurilor la care este expusă organizația, inclusiv probabilitatea și impactul potențial. Indicatorii de risc de securitate cibernetică sau a informației sunt, de exemplu:() Numărul de atacuri cibernetice detectate.() Numărul de scurgeri de date detectate.() Timpul necesar pentru detecție.() Timpul necesar pentru recuperare.() Numărul de dispozitive care nu sunt gestionate de organizație.() Nivelul de acces al diferiților utilizatori la datele sensibile.() Numărul de software și sisteme neactualizate.() Numărul conexiunilor de rețea negestionate.● Indicatorii privind managementul riscului de securitate cibernetică sau a informației ar trebui colectați și comunicați conducerii superioare a organizației.