CyFun, prescurtarea de la CyberFundamentals, este un cadru de securitate cibernetică dezvoltat inițial de Centrul pentru Securitate Cibernetică din Belgia și adoptat de DNSC ca metodologie tehnică pentru NIS2 în România. Împărțirea rolurilor este simplă: NIS2 spune ce trebuie obținut, iar CyFun spune cum, prin controale concrete de securitate pe care le poți implementa și verifica.
De ce a fost nevoie de un astfel de cadru
Fără o metodologie comună, fiecare entitate ar interpreta diferit ce înseamnă securitate cibernetică suficientă, iar auditorii nu ar avea o referință unitară. CyFun rezolvă asta: oferă o listă structurată de cerințe, o scală obiectivă de maturitate și o direcție clară. Așa, autoevaluarea ta și verificarea auditorului sunt raportate la un cadru standard de referință.
Cum este construit
Controalele sunt organizate pe șase funcții (Guvernare, Identificare, Protecție, Detectare, Răspuns, Recuperare), grupate pe categorii și subcategorii. Fiecare control are o cerință clară, exemple de dovezi și pași orientativi. Unele controale sunt marcate ca esențiale (cheie), pentru că au impact major asupra riscului.
Niveluri și maturitate
CyFun are trei niveluri de asigurare (Bază, Important, Esențial), cumulative: nivelul superior include cerințele celui inferior. Separat, îți evaluezi maturitatea pe o scală de la 1 la 5, atât pentru documentație, cât și pentru implementare. Referința de conformitate este atingerea nivelului de maturitate 3: procese definite, aplicate consecvent și dovedite, nu doar scrise în documente de „conformitate".
Aliniat la standardele pe care poate le ai deja
CyFun este cartografiat față de standarde recunoscute internațional: ISO/IEC 27001, IEC 62443 (pentru medii industriale/OT), NIST Cybersecurity Framework și CIS Controls. Dacă ai lucrat deja pe vreunul dintre ele, o mare parte din efort se reutilizează, nu începi de la zero.
Ce câștigi practic
În locul întrebării dacă ești în regulă cu NIS2, primești un scor de maturitate pe fiecare zonă și o listă concretă cu ce ai de îmbunătățit, prioritizată pe risc. Este genul de răspuns cu care chiar poți lucra și pe care îl poți arăta conducerii și auditorului.