Articolul I
Art. I din ORDIN nr. 2 din 14 septembrie 2026 privind completarea Ordinului directorului Directoratului Național de Securitate Cibernetică nr. 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente rețelelor și sistemelor informatice utilizate de entitățile esențiale și importante și a Metodologiei de autoevaluare a maturității măsurilor de gestionare a riscurilor de securitate cibernetică și pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităților, aprobată prin Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor și pragurilor de determinare a gradului de perturbare a unui serviciu și a Metodologiei privind evaluarea nivelului de risc al entităților
pentru aprobarea de gestionare a riscurilor de securitate cibernetică aferente rețelelor și sistemelor informatice utilizate de entitățile esențiale și importante și a de autoevaluare a maturității măsurilor de gestionare a riscurilor de securitate cibernetică și pentru modificarea privind evaluarea nivelului de risc al entităților, aprobată prin pentru aprobarea de determinare a gradului de perturbare a unui serviciu și a privind evaluarea nivelului de risc al entităților, publicat în Monitorul Oficial al României, Partea I, nr. 712 și 712 bis din 27 august 2026, se completează după cum urmează:
1. La se introduce un nou alineat, alin. (3), cu următorul cuprins:
(3) Atunci când entitatea face parte dintr-un grup de întreprinderi, aceasta implementează cerințele de securitate cibernetică în conformitate cu regulile de aplicabilitate aprobate prin decizie a directorului DNSC.
2. La se introduce un nou articol, art. 4, cu următorul cuprins:
(1) Entitatea poate exclude de la autoevaluare Controalele care nu sunt aplicabile activității sale, prin selectarea opțiunii «N/A» pentru ambii parametri prevăzuți de dispozițiile art. 2 alin. (1), în următoarele limite:
a) pentru nivelul de Bază, cel mult un Control;
b) pentru nivelul Important, cel mult trei Controale;
c) pentru nivelul Esențial, cel mult cinci Controale.
(2) Nu pot fi excluse de la autoevaluare:
a) Controalele marcate ca Măsuri-cheie, indiferent de nivelul de asigurare;
b) Controalele aferente Aspectelor de management, pentru nivelul Esențial.
(3) Pentru fiecare Control exclus potrivit dispozițiilor alin. (1), în calculul scorurilor prevăzute de dispozițiile art. 2 alin. (6)-(9) se utilizează valoarea:
a) 2,5 pentru nivelul de Bază;
b) 3 pentru nivelurile Important și Esențial.
(4) Excluderea fiecărui Control se justifică în scris, cu indicarea motivelor pentru care Controlul nu este aplicabil entității, și se evidențiază în declarația de aplicabilitate prevăzută la dispozițiile art. III alin. (2) din ordin.
(5) Excluderile care depășesc limitele prevăzute de dispozițiile alin. (1) sau care privesc Controalele prevăzute de dispozițiile alin. (2) nu sunt luate în considerare, iar autoevaluarea nu este considerată conformă cerințelor legale incidente până la remedierea acestora.