Norme din 14 septembrie 2026

Indiferent de modelul de aplicabilitate, entitatea răspunde pentru demonstrarea implementării eficace a controalelor aplicabile în propriul său domeniu (principiu general).

Aplicarea controalelor, corespunzător funcției

Secțiunile următoare descriu modul în care controalele se aplică, în mod obișnuit, entităților care fac parte dintr-un grup de întreprinderi.

GUVERNARE (GV)

Categorii aplicabile:

–GV.OC - Context organizațional;

–GV.RM - Strategia de management al riscului;

–GV.RR - Roluri, responsabilități și atribuții de autoritate;

–GV.PO - Politici;

–GV.OV - Supraveghere;

–GV.SC - Managementul riscului în lanțul de aprovizionare pentru securitate cibernetică (C-SCRM).

Controalele din funcția Guvernare sunt, în mod obișnuit, definite și coordonate la nivel de grup. Entitatea demonstrează conformitatea prin adoptarea formală a guvernanței, a politicilor și a cadrelor de management al riscului ale grupului, prin stabilirea rolurilor și a liniilor de raportare locale, aliniate la structura grupului și prin aplicarea, în propriul său domeniu de aplicare, a cerințelor de supraveghere și a cerințelor privind lanțul de aprovizionare definite la nivel de grup.

Entitatea nu este obligată să redefinească aranjamentele de guvernanță, dar rămâne răspunzătoare pentru aplicarea eficace a acestora.

IDENTIFICARE (ID)

Categorii aplicabile:

–ID.AM - Managementul activelor;

–ID.RA - Evaluarea riscurilor;

–ID.IM - Îmbunătățire.

Controalele din funcția Identificare sunt implementate în principal la nivel local de către entitate, utilizând metodele și instrumentele definite la nivel de grup.

Entitatea demonstrează conformitatea prin menținerea unor inventare exacte ale activelor, serviciilor, datelor și furnizorilor, prin efectuarea evaluărilor de risc utilizând metodologia grupului și prin asigurarea faptului că modificările situației sale sunt reflectate în inventare, în evaluările de risc și în activitățile de îmbunătățire.

PROTECȚIE (PR)

Categorii aplicabile:

–PR.AA - Managementul identității, autentificarea și controlul accesului;

–PR.AT - Conștientizare și instruire;

–PR.DS - Securitatea datelor;

–PR.PS - Securitatea platformei;

–PR.IR - Reziliența infrastructurii tehnologice.

Controalele din funcția Protecție sunt, în general, partajate. Politicile, standardele și tehnologiile de securitate definite la nivel de grup sunt implementate la nivel local de către entitate.

Entitatea demonstrează conformitatea prin asigurarea acoperirii eficace a sistemelor și serviciilor sale, prin asigurarea participării personalului la instruirea obligatorie și prin gestionarea excepțiilor documentate, atunci când este necesar.

DETECȚIE (DE)

Categorii aplicabile:

–DE.CM - Monitorizare continuă;

–DE.AE - Analiza evenimentelor adverse.

Controalele din funcția Detecție sunt, în mod obișnuit, operate centralizat, la nivel de grup.

Entitatea demonstrează conformitatea prin asigurarea faptului că sistemele și serviciile sale se află în domeniul de aplicare al capabilităților de monitorizare ale grupului, prin definirea responsabilităților locale de tratare a alertelor și de escaladare și prin acțiunile întreprinse pe baza rezultatelor detecției relevante pentru mediul său.

RĂSPUNS (RS)

Categorii aplicabile:

–RS.MA - Managementul incidentelor;

–RS.AN - Analiza incidentelor;

–RS.CO - Raportarea și comunicarea răspunsului la incidente;

–RS.MI - Atenuarea incidentelor.

Controalele din funcția Răspuns sunt coordonate la nivel de grup și executate în comun.

Entitatea demonstrează conformitatea prin participarea la procesele de răspuns la incidente ale grupului, prin executarea acțiunilor locale definite de răspuns și de limitare a incidentelor și prin furnizarea de informații specifice entității pentru analiza incidentelor și pentru îmbunătățire.

RECUPERARE (RC)

Categorii aplicabile:

–RC.RP - Executarea planului de recuperare în caz de incident;

–RC.CO - Comunicarea privind recuperarea incidentului.

Controalele din funcția Recuperare sunt, în general, partajate.

Entitatea demonstrează conformitatea prin alinierea aranjamentelor sale de recuperare la cadrele de continuitate a activității și de recuperare în caz de dezastru ale grupului, prin îndeplinirea obiectivelor de recuperare definite pentru serviciile sale critice și prin participarea la testare și la comunicările legate de recuperare.

Evaluarea maturității controalelor, atunci când entitatea face parte dintr-un grup de entitățiRegula generală

Nivelul de maturitate reflectă gradul în care un control este documentat, implementat, măsurat și îmbunătățit pentru entitate, indiferent dacă acesta este definit la nivelul grupului sau la nivelul entității.

O entitate poate atinge orice nivel de maturitate utilizând controale definite la nivel de grup, cu condiția ca documentația să fie aplicabilă în mod formal, iar dovezile de implementare și metricile să existe la nivelul entității.

Corespondența dintre aplicabilitatea controlului și dimensiunile maturității

* A se vedea modelul de aplicabilitate.

Modul de evaluare a maturității, pe fiecare stadiu

Mai jos este prezentat un model de interpretare practică a fiecărui stadiu de maturitate aplicabilă uniform controalelor preluate, partajate și implementate:

–Stadiul 1 - Inițial

() Documentație:

[ ] nu există documentație aplicabilă a grupului sau a entității.

sau

[ ] documentația există, dar nu este aprobată oficial sau nu este aplicabilă entității.

() Implementare:

[ ] nu există un proces standard la nivel de grup care acoperă entitatea;

[ ] acțiunile entității sunt ad-hoc sau absente.

–Stadiul 2 - Repetabil

() Documentație:

[ ] există documentație a grupului sau a entității, aprobată oficial;

[ ] documentația se aplică entității;

[ ] documentația nu a fost revizuită în ultimii 2 ani.

() Implementare:

[ ] există un proces la nivel de grup;

[ ] entitatea îl urmează în mod informal sau inconsecvent.

–Stadiul 3 - Definit

() Documentație:

[ ] documentația grupului:

–este aprobată oficial;

–este aplicabilă entității;

–excepțiile sunt documentate și aprobate.

[ ] abaterile specifice entității sunt documentate;

[ ] excepții < 5%.

() Implementare:

[ ] procesul standard al grupului este implementat;

[ ] există dovezi pentru majoritatea activităților entității;

[ ] excepții < 10%.

–Stadiul 4 - Gestionat

() Documentație:

[ ] documentația grupului:

–este aprobată oficial;

–este aplicabilă;

–este revizuită periodic.

[ ] excepțiile entității sunt documentate, aprobate și urmărite;

[ ] excepții < 3%.

() Implementare:

[ ] controalele sunt implementate în mod consecvent la nivelul întregii entități;

[ ] există dovezi pentru toate activitățile;

[ ] metricile sunt colectate și raportate;

[ ] sunt definite valori-țintă pentru metrici;

[ ] excepții < 5%.