Referință individuală · versiune 6 iulie 2026
Articolul 57
ORDONANȚĂ DE URGENȚĂ nr. 155 din 30 decembrie 2024 - privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil
Articolul 57
(1)
Auditul de securitate cibernetică poate fi:
a)
periodic, care se desfășoară cu regularitate, conform ordinului de la art. 11 alin. (5) sau, după caz, alin. (6);
b)
ad-hoc, în baza deciziei directorului DNSC conform alin. (2).
(2)
Auditul de securitate cibernetică ad-hoc are caracter excepțional și reprezintă acea activitate de auditare efectuată de un auditor atestat conform dispozițiilor prezentei ordonanțe de urgență, cu privire la o entitate esențială sau o entitate importantă, la solicitarea motivată a DNSC, ca urmare a:
a)
unui incident semnificativ;
b)
unei schimbări cu impact semnificativ la nivelul rețelelor și sistemelor informatice, dar nu mai târziu de 180 de zile de la apariția acesteia;
c)
indiciilor temeinice cu privire la încălcarea dispozițiilor prezentei ordonanțe de urgență de către o entitate esențială.
(3)
Atunci când se dispune un audit ad-hoc, DNSC comunică entității atât motivele, cât și obiectivele auditului.
(4)
Entitatea auditată are dreptul de a selecta auditorul.
(5)
Schimbarea cu impact semnificativ la nivelul rețelelor și sistemelor informatice prevăzută la alin. (2) lit. b) este generată prin:
a)
introducerea unei noi rețele sau unui nou sistem informatic implicat în furnizarea serviciului;
b)
introducerea unei noi tehnologii pentru furnizarea serviciului;
c)
schimbarea modului de operare a serviciului;
d)
schimbarea calității entității, din entitate importantă în entitate esențială.
(6)
Indiciile temeinice prevăzute la alin. (2) lit. c) pot rezulta ca urmare a desfășurării măsurii de control efectuate de către personal din cadrul DNSC, a informațiilor primite de la autoritățile prevăzute la art. 10 din Legea nr. 58/2023, CNCPIC, autoritățile competente sectorial prevăzute la art. 37, precum și de la alte entități conform art. 25 din Legea nr. 58/2023 sau ca urmare a analizelor privind incidentele raportate prin platforma de raportare a incidentelor.
(7)
Cu ocazia desfășurării auditului de securitate cibernetică periodic se realizează o evaluare sistematică a tuturor politicilor, procedurilor și măsurilor de protecție implementate la nivelul unor rețele și sisteme informatice, în vederea identificării disfuncționalităților și vulnerabilităților și recomandării măsurilor de remediere a acestora.
(8)
În cel mult 15 zile lucrătoare de la data primirii raportului de audit, entitățile sunt obligate să întocmească și să transmită către DNSC și, după caz, autorității competente sectorial, în baza recomandărilor emise de către auditor, planul de măsuri pentru remedierea tuturor deficiențelor constatate și termenele asumate pentru implementarea acestora.
(9)
Entitățile sunt obligate să implementeze planul de măsuri prevăzut la alin. (8) în termenul asumat.
(10)
Entitatea în cauză notifică DNSC și, după caz, autoritatea competentă sectorial cu privire la implementarea tuturor măsurilor prevăzute la alin. (8) și pune la dispoziție acte doveditoare în acest sens, în cel mult cinci zile de la împlinirea termenului asumat.
(11)
Termenele prevăzute la alin. (9) trebuie să fie justificate prin prisma circumstanțierii măsurii prin care se remediază deficiența.