Auditul de securitate cibernetică

Azi

OUG 155/2024 · 3 articole

Articolul 57

(1) Auditul de securitate cibernetică poate fi:

a) periodic, care se desfășoară cu regularitate, conform ordinului de la art. 11 alin. (5) sau, după caz, alin. (6) ;

b) ad-hoc, în baza deciziei directorului DNSC conform alin. (2) .

(2) Auditul de securitate cibernetică ad-hoc are caracter excepțional și reprezintă acea activitate de auditare efectuată de un auditor atestat conform dispozițiilor prezentei ordonanțe de urgență, cu privire la o entitate esențială sau o entitate importantă, la solicitarea motivată a DNSC, ca urmare a:

a) unui incident semnificativ;

b) unei schimbări cu impact semnificativ la nivelul rețelelor și sistemelor informatice, dar nu mai târziu de 180 de zile de la apariția acesteia;

c) indiciilor temeinice cu privire la încălcarea dispozițiilor prezentei ordonanțe de urgență de către o entitate esențială.

(3) Atunci când se dispune un audit ad-hoc, DNSC comunică entității atât motivele, cât și obiectivele auditului.

(4) Entitatea auditată are dreptul de a selecta auditorul.

(5) Schimbarea cu impact semnificativ la nivelul rețelelor și sistemelor informatice prevăzută la alin. (2) lit. b) este generată prin:

a) introducerea unei noi rețele sau unui nou sistem informatic implicat în furnizarea serviciului;

b) introducerea unei noi tehnologii pentru furnizarea serviciului;

c) schimbarea modului de operare a serviciului;

d) schimbarea calității entității, din entitate importantă în entitate esențială.

(6) Indiciile temeinice prevăzute la alin. (2) lit. c) pot rezulta ca urmare a desfășurării măsurii de control efectuate de către personal din cadrul DNSC, a informațiilor primite de la autoritățile prevăzute la art. 10 din Legea nr. 58/2023 , CNCPIC, autoritățile competente sectorial prevăzute la art. 37 , precum și de la alte entități conform art. 25 din Legea nr. 58/2023 sau ca urmare a analizelor privind incidentele raportate prin platforma de raportare a incidentelor.

(7) Cu ocazia desfășurării auditului de securitate cibernetică periodic se realizează o evaluare sistematică a tuturor politicilor, procedurilor și măsurilor de protecție implementate la nivelul unor rețele și sisteme informatice, în vederea identificării disfuncționalităților și vulnerabilităților și recomandării măsurilor de remediere a acestora.

(8) În cel mult 15 zile lucrătoare de la data primirii raportului de audit, entitățile sunt obligate să întocmească și să transmită către DNSC și, după caz, autorității competente sectorial, în baza recomandărilor emise de către auditor, planul de măsuri pentru remedierea tuturor deficiențelor constatate și termenele asumate pentru implementarea acestora.

(9) Entitățile sunt obligate să implementeze planul de măsuri prevăzut la alin. (8) în termenul asumat.

(10) Entitatea în cauză notifică DNSC și, după caz, autoritatea competentă sectorial cu privire la implementarea tuturor măsurilor prevăzute la alin. (8) și pune la dispoziție acte doveditoare în acest sens, în cel mult cinci zile de la împlinirea termenului asumat.

(11) Termenele prevăzute la alin. (9) trebuie să fie justificate prin prisma circumstanțierii măsurii prin care se remediază deficiența.

Articolul 58

(1) Auditul de securitate cibernetică se realizează de către auditorii de securitate cibernetică ce dețin atestat valabil eliberat de către DNSC, cu excepția auditului de securitate cibernetică realizat la nivelul instituțiilor cu responsabilități în domeniul apărării, ordinii publice și securității naționale, precum și pentru serviciile puse la dispoziție de către acestea.

(2) În acest sens, DNSC:

a) menține evidența auditorilor de securitate cibernetică;

b) elaborează regulamentul privind atestarea și verificarea auditorilor de securitate cibernetică și stabilește condițiile de valabilitate pentru atestatele acordate acestora prin ordin al directorului DNSC;

c) acordă, prelungește, suspendă sau retrage atestatul auditorilor de securitate cibernetică, conform regulamentului prevăzut la lit. b) ;

d) verifică, în urma sesizărilor sau din oficiu, îndeplinirea de către auditorii atestați a obligațiilor legale ce le revin;

e) elaborează tematicile pentru specializarea auditorilor în vederea atestării prevăzute la lit. c) , prin decizie a directorului DNSC.

(3) Nu pot realiza audit de securitate cibernetică:

a) auditorii atestați care asigură în mod curent servicii de securitate cibernetică ori servicii de tip CSIRT entităților esențiale sau entităților importante în cauză ori sunt angajați ai acestora;

b) auditorul care are un contract de prestări servicii pentru rețeaua sau sistemul supus auditului aflat în desfășurare la momentul la care se efectuează auditul sau într-un termen mai mic de un an;

c) auditorul care a mai efectuat 3 audituri consecutive la aceeași entitate esențială sau entitate importantă.

(4) Activitatea de audit se efectuează potrivit standardelor și specificațiilor europene și internaționale aplicabile în domeniu.

(5) Tematicile de audit vor ține seama de normele tehnice în vigoare privind securitatea rețelelor și sistemelor informatice ale entităților esențiale și entităților importante, elaborate în temeiul prezentei ordonanțe de urgență.

(6) Atestatele au o valabilitate de 3 ani.

(7) Lista standardelor și specificațiilor europene și internaționale prevăzute la dispozițiile alin. (4) se elaborează și se aprobă prin decizie a directorului DNSC, care se actualizează ori de câte ori este necesar.

(8) În desfășurarea unei activități de audit de securitate, auditorul de securitate cibernetică trebuie:

a) să dea dovadă de integritate profesională, acționând cu onestitate și corectitudine în toate angajamentele profesionale, oferind evaluări adevărate și precise;

b) să respecte codurile etice emise de către DNSC și Corpul Auditorilor de Sisteme Informatice din România, să dea dovadă și să mențină transparența în comunicări;

c) să nu fie în conflict de interese care ar putea afecta independența sa fie că sunt de natură financiară, personală sau profesională pentru a putea lua decizii în mod independent și fără vreo influență din partea entității auditate sau a altor părți interesate;

d) să protejeze confidențialitatea informațiilor obținute în timpul procesului de audit, sens în care trebuie să se asigure că accesul la informații sensibile este restricționat doar la personalul autorizat și că aceste informații sunt stocate în siguranță, în acord cu reglementările relevante care guvernează practicile de audit, inclusiv cele specifice securității cibernetice.

Articolul 59

(1) În vederea atribuirii și retragerii atestatului de auditor de securitate cibernetică, precum și pentru organizarea și coordonarea activității de audit de securitate cibernetică se înființează Corpul Auditorilor de Sisteme Informatice din România prin hotărâre de Guvern elaborată de către DNSC, în termen de doi ani de la intrarea în vigoare a prezentei ordonanțe de urgență.

(2) Corpul Auditorilor de Sisteme Informatice din România se organizează și va funcționa ca organizație profesională de utilitate publică fără scop lucrativ, cu personalitate juridică, în coordonarea DNSC.

(3) Corpul Auditorilor de Sisteme Informatice din România are ca obiect principal de activitate reglementarea standardelor, cât și a Codului de etică pentru practica profesională a auditului de securitate cibernetică și monitorizarea continuă a activităților de audit de sisteme informatice în România.

(4) Structura organizatorică a Corpului Auditorilor de Sisteme Informatice din România se aprobă prin ordin al directorului DNSC.

(5) DNSC coordonează activitatea de elaborare a regulamentelor de organizare și funcționare și de ordine interioară.

(6) Corpul Auditorilor de Sisteme Informatice din România poate avea în structură subunități cu sau fără personalitate juridică, departamente, secții și poate dobândi calitatea de asociat sau de acționar fondator în cadrul altor societăți comerciale ori structuri organizatorice necesare realizării obiectului său de activitate.