Articolul 6
Prevederi generale referitoare la securitatea cibernetică
Art. 6 din NORMĂ nr. 25 din 30 august 2021 privind guvernanța și securitatea sistemelor de tehnologia informațiilor și a comunicațiilor utilizate de către societățile de asigurare și de reasigurare
(1) În vederea implementării strategiei TIC stabilite și aprobate de conducere conform art. 2 alin. (1) , societățile instituie politici privind securitatea cibernetică în care stabilesc principii și reguli pentru a se asigura respectarea confidențialității, integrității și disponibilității activelor TIC.
(2) În politicile prevăzute la alin. (1) , societățile au în vedere cel puțin:
a) alocarea clară a atribuțiilor și răspunderii pentru managementul securității cibernetice;
b) criteriile avute în vedere la derularea proceselor și achiziționarea echipamentelor tehnologice;
c) cerințele specifice pentru tot personalul în funcție de nivelul ierarhic.
(3) Societățile elaborează proceduri în vederea punerii în practică a politicilor prevăzute la alin. (1) având drept scop dezvoltarea de procese prin care să minimizeze riscurile TIC.
(4) Societățile desemnează persoanele cărora le alocă atribuțiile funcției de securitate cibernetică care este independentă de funcțiile operaționale și de cele de dezvoltare a sistemelor TIC, pentru a putea asigura în mod obiectiv securitatea cibernetică.
(5) Prin excepție de la prevederile alin. (4) , societățile pot aloca atribuțiile funcției de securitate cibernetică unor persoane care dețin funcții operaționale, cu respectarea principiului documentării, numai dacă sunt îndeplinite cumulativ următoarele condiții:
a) cumularea funcțiilor este necesară date fiind natura, amploarea și complexitatea riscurilor inerente activității;
b) nu apar conflicte de interese pentru persoanele care exercită funcția de securitate cibernetică;
c) costurile pentru menținerea în funcția de securitate cibernetică a unor persoane care nu exercită alte funcții ar genera pentru societăți costuri disproporționate în raport cu totalul cheltuielilor administrative.
(6) Funcția instituită conform alin. (4) are cel puțin următoarele atribuții:
a) consiliază conducerea în vederea stabilirii politicii privind securitatea cibernetică;
b) asigură cunoașterea de către toți furnizorii de servicii TIC și de către toți angajații care au acces la date și la sistemele TIC a politicii privind securitatea cibernetică prin organizarea unor sesiuni de informare și de instruire;
c) supervizează aplicarea și respectarea procedurilor prevăzute la alin. (3) de către furnizorii de servicii TIC și de către toți angajații care au acces la date și la sistemele TIC;
d) coordonează procesul de verificare a producerii incidentelor de securitate;
e) transmite un raport către conducere, periodic sau ad-hoc, referitor la stadiul elementelor menționate la lit. a)-d) .