Filialele și companiile locale care fac parte dintr-un grup corporativ și intră sub incidența cadrului NIS 2 pot prelua sau împărți măsurile de securitate cibernetică cu structura centrală a grupului, conform normelor oficiale publicate de Directoratul Național de Securitate Cibernetică. Răspunderea legală directă pentru conformare și raportare rămâne însă exclusiv în sarcina entității locale din România.
De reținut, pe scurt:
- Trei tipuri de controale: Măsurile de securitate cibernetică pot fi clasificate oficial ca preluate integral de la grup, implementate local sau partajate între filială și compania-mamă.
- Răspundere strict locală: Indiferent de modelul tehnic adoptat la nivel de grup, entitatea locală răspunde direct și integral în fața autorităților române pentru eficacitatea măsurilor aplicate în propriul perimetru.
- Evitarea unei erori frecvente la autoevaluare: O filială care nu deține o politică internă redactată separat nu primește automat scorul minim, ci poate demonstra maturitatea dacă a adoptat în mod formal documentația aprobată la nivel de grup.
- Reguli clare pentru cele 5 stadii de maturitate: De la stadiul 1 (ad-hoc) până la stadiul 5 (optimizare), nivelul atins depinde de dovezi concrete, monitorizare locală și rate stricte de excepții (sub 5% sau sub 3%).
- Intrare în vigoare: Regulile se aplică de la publicarea în Monitorul Oficial, fiind obligatorii la autoevaluarea maturității măsurilor de gestionare a riscurilor.
Ce se schimbă concret
Pentru companiile românești care operează ca sucursale, subsidiare sau entități afiliate în cadrul unor grupuri multinaționale ori naționale, aplicarea cerințelor de securitate cibernetică impuse prin OUG nr. 155/2024 și reglementările subsecvente genera adesea dileme practice: poate filiala locală să bifeze cerințele legale folosind politicile, echipa de securitate (SOC) sau instrumentele IT ale grupului mamă?
Normele DNSC clarifică oficial mecanismul prin care o entitate esențială sau importantă demonstrează conformitatea atunci când guvernanța, strategia și managementul riscului sunt stabilite la nivel de grup și transpuse în cascadă la nivel local.
Măsurile de securitate aplicate la nivelul entității sunt împărțite în trei categorii operaționale clare:
- Controale preluate: Măsuri a căror guvernanță, luare a deciziilor, gestionare și garantare se exercită la nivel de grup, iar entitatea locală se bazează direct pe ele ori le adoptă formal (de exemplu, politicile generale de securitate sau monitorizarea continuă a amenințărilor).
- Controale implementate: Măsuri guvernate prin standarde definite de grup, dar executate, supravegheate și garantate nemijlocit prin propriile structuri locale ale entității (cum ar fi inventarierea exactă a activelor fizice, a sistemelor locale și a furnizorilor direcți).
- Controale partajate: Responsabilități împărțite efectiv între entitate și grupul din care face parte (precum gestionarea identității și accesului, instruirea periodică a angajaților locali sau planurile de recuperare în caz de dezastru).
DNSC subliniază expres eliminarea unei erori frecvente de audit: dacă o filială nu are o procedură proprie scrisă local, nu înseamnă automat că se află la nivelul minim de maturitate. Dacă entitatea adoptă formal politica grupului, documentația este recunoscută oficial, iar maturitatea este calculată în funcție de aprobare, aplicabilitate reală, revizuire periodică (în ultimii 2 ani) și gestionarea excepțiilor.
Cine este vizat și ce obligații apar
Reglementarea îi vizează direct pe administratorii, responsabilii cu securitatea sistemelor informatice (CISO) și ofițerii de conformitate din cadrul companiilor calificate drept entități esențiale sau entități importante care fac parte dintr-un grup de întreprinderi.
Pentru a valida utilizarea resurselor grupului, entitatea din România are următoarele obligații concrete:
- Adoptarea formală a politicilor: Existența unor decizii interne de preluare și aplicare oficială a standardelor de grup în perimetrul local.
- Inventariere și trasabilitate: Păstrarea dovezilor verificabile de execuție la nivel local, inclusiv inventarul sistemelor, listele de acces, jurnalele de audit și acordurile cu furnizorii direct contractați.
- Stabilirea liniilor clare de raportare: Definirea canalelor locale de tratare și escaladare a alertelor cibernetice corelate cu centrul de monitorizare (SOC) al grupului.
- Supravegherea pragurilor de excepții: Pentru atingerea stadiilor superioare de maturitate (Gestionat sau Optimizare), excepțiile documentate de la politicile aplicabile nu trebuie să depășească 3-5%, iar metricele de securitate trebuie colectate și raportate periodic la nivel local, chiar dacă instrumentele de monitorizare aparțin grupului.