Directoratul Național de Securitate Cibernetică a emis noi reguli care definesc modul în care companiile integrate în grupuri de întreprinderi trebuie să gestioneze riscurile digitale. Decizia DNSC nr. 3 din 14 septembrie 2026, publicată în Monitorul Oficial luni, 21 septembrie, vizează situațiile în care strategia de securitate este stabilită centralizat, dar aplicată la nivelul entităților componente.
Conform noilor norme, controalele de securitate cibernetică pot fi clasificate în trei categorii distincte: preluate, implementate sau partajate. Controalele preluate sunt cele gestionate și garantate direct la nivelul grupului, în timp ce cele implementate respectă standardele centrale, dar sunt puse în practică de structurile proprii ale entității. În cazul controalelor partajate, responsabilitățile sunt împărțite între compania locală și grupul de care face parte.
Indiferent de modelul ales, regula fundamentală impusă de DNSC este că fiecare entitate locală rămâne responsabilă pentru demonstrarea funcționării efective a măsurilor în propriul domeniu de activitate. Normele acoperă șase domenii esențiale: guvernare, identificare, protecție, detecție, răspuns și recuperare. De exemplu, deși guvernanța este stabilită la nivel de grup, entitatea trebuie să adopte formal politicile și să stabilească liniile locale de raportare.
În ceea ce privește monitorizarea și gestionarea incidentelor, autoritatea precizează că detecția poate fi operată centralizat, însă entitatea trebuie să asigure acoperirea propriilor sisteme. Răspunsul la incidente este coordonat la nivel de grup, dar necesită acțiuni concrete la nivel local. Totodată, evaluarea riscurilor și inventarierea activelor, serviciilor și furnizorilor trebuie realizate în principal la nivelul entității, utilizând metodele stabilite de grup.
DNSC introduce un sistem de evaluare a maturității controalelor, structurat pe cinci stadii, de la „Inițial” la „Optimizare”. O companie poate atinge un nivel ridicat de maturitate chiar dacă folosește politici de grup, cu condiția să existe documentație formală și dovezi de implementare. La stadiul 4, controalele trebuie aplicate consecvent, cu metrici colectate, iar la stadiul 5, entitatea trebuie să contribuie activ la perfecționarea controalelor grupului.
Aceste reglementări vin într-un context în care protecția infrastructurilor critice și a datelor corporative devine o prioritate de securitate națională. Implementarea acestor norme obligă companiile integrate în structuri internaționale să nu se bazeze doar pe politicile globale, ci să demonstreze prin audit și documentație că mecanismele de apărare sunt funcționale și adaptate realității operaționale locale.