Referință individuală · versiune 6 iulie 2026
Articolul 58
ORDONANȚĂ DE URGENȚĂ nr. 155 din 30 decembrie 2024 - privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil
Articolul 58
(1)
Auditul de securitate cibernetică se realizează de către auditorii de securitate cibernetică ce dețin atestat valabil eliberat de către DNSC, cu excepția auditului de securitate cibernetică realizat la nivelul instituțiilor cu responsabilități în domeniul apărării, ordinii publice și securității naționale, precum și pentru serviciile puse la dispoziție de către acestea.
(2)
În acest sens, DNSC:
a)
menține evidența auditorilor de securitate cibernetică;
b)
elaborează regulamentul privind atestarea și verificarea auditorilor de securitate cibernetică și stabilește condițiile de valabilitate pentru atestatele acordate acestora prin ordin al directorului DNSC;
c)
acordă, prelungește, suspendă sau retrage atestatul auditorilor de securitate cibernetică, conform regulamentului prevăzut la lit. b);
d)
verifică, în urma sesizărilor sau din oficiu, îndeplinirea de către auditorii atestați a obligațiilor legale ce le revin;
e)
elaborează tematicile pentru specializarea auditorilor în vederea atestării prevăzute la lit. c), prin decizie a directorului DNSC.
(3)
Nu pot realiza audit de securitate cibernetică:
a)
auditorii atestați care asigură în mod curent servicii de securitate cibernetică ori servicii de tip CSIRT entităților esențiale sau entităților importante în cauză ori sunt angajați ai acestora;
b)
auditorul care are un contract de prestări servicii pentru rețeaua sau sistemul supus auditului aflat în desfășurare la momentul la care se efectuează auditul sau într-un termen mai mic de un an;
c)
auditorul care a mai efectuat 3 audituri consecutive la aceeași entitate esențială sau entitate importantă.
(4)
Activitatea de audit se efectuează potrivit standardelor și specificațiilor europene și internaționale aplicabile în domeniu.
(5)
Tematicile de audit vor ține seama de normele tehnice în vigoare privind securitatea rețelelor și sistemelor informatice ale entităților esențiale și entităților importante, elaborate în temeiul prezentei ordonanțe de urgență.
(6)
Atestatele au o valabilitate de 3 ani.
(7)
Lista standardelor și specificațiilor europene și internaționale prevăzute la dispozițiile alin. (4) se elaborează și se aprobă prin decizie a directorului DNSC, care se actualizează ori de câte ori este necesar.
(8)
În desfășurarea unei activități de audit de securitate, auditorul de securitate cibernetică trebuie:
a)
să dea dovadă de integritate profesională, acționând cu onestitate și corectitudine în toate angajamentele profesionale, oferind evaluări adevărate și precise;
b)
să respecte codurile etice emise de către DNSC și Corpul Auditorilor de Sisteme Informatice din România, să dea dovadă și să mențină transparența în comunicări;
c)
să nu fie în conflict de interese care ar putea afecta independența sa fie că sunt de natură financiară, personală sau profesională pentru a putea lua decizii în mod independent și fără vreo influență din partea entității auditate sau a altor părți interesate;
d)
să protejeze confidențialitatea informațiilor obținute în timpul procesului de audit, sens în care trebuie să se asigure că accesul la informații sensibile este restricționat doar la personalul autorizat și că aceste informații sunt stocate în siguranță, în acord cu reglementările relevante care guvernează practicile de audit, inclusiv cele specifice securității cibernetice.