CyFun pe înțelesul tuturor: funcții, niveluri, scoruri

Bun venit la „NIS2 pe înțelesul tuturor”, seria de videoclipuri Certudo despre securitatea cibernetică și noile obligații legale din România. Acesta este episodul 5: CyFun pe înțelesul tuturor. Funcții, niveluri, scoruri. Informațiile prezentate reflectă cadrul legal din octombrie 2026. În episodul anterior am vorbit despre răspunderea conducerii și despre rolul responsabilului NIS. Am văzut că organele de conducere aprobă măsurile de securitate cibernetică și răspund pentru ele. Astăzi intrăm în conținutul acestor măsuri: cadrul CyFun, după care se evaluează în România orice entitate esențială sau importantă.

În acest episod vom vedea trei lucruri. Primul: ce este CyFun, de unde vine și cum este organizat, pe cele 6 funcții ale sale. Al doilea: cele trei niveluri de asigurare, Bază, Important și Esențial, și cum aflați care dintre ele vi se aplică. Al treilea: cum se măsoară maturitatea, de la scorul unui singur control până la scorul total al organizației, și ce praguri trebuie atinse. La final veți ști să citiți un rezultat CyFun și să înțelegeți ce vă cere, concret, nivelul dumneavoastră.

CyFun vine de la CyberFundamentals. Este un cadru de securitate cibernetică creat de Centrul pentru Securitate Cibernetică al Belgiei. Versiunea 2025 se sprijină pe cadrul american de securitate cibernetică NIST, în versiunea 2.0. Preia de acolo aceleași șase funcții și aceleași categorii, dar merge mai departe. Acolo unde standardele clasice spun ce rezultat trebuie obținut, CyFun formulează cerințe concrete, verificabile, cu ghid de implementare pentru fiecare. Este gândit să poată fi aplicat de organizații de orice dimensiune, fără ca fiecare să își construiască propria interpretare. De aceea l-a ales DNSC. Prin Ordinul DNSC nr. 1/2026, publicat în Monitorul Oficial pe 27 august 2026, măsurile CyFun au devenit obligatorii, într-o adaptare națională. Pe scurt: NIS2 spune ce trebuie făcut. CyFun spune cum se face și cum se verifică.

Măsurile sunt organizate în șase funcții. Cel mai simplu este să le gândim ca pe șase întrebări pe care și le pune orice organizație. Guvernare: cine decide și cum supraveghem? Aici intră strategia, rolurile, apetitul la risc, politicile și securitatea lanțului de aprovizionare. Identificare: ce avem și ce riscuri ni se aplică? Inventarul activelor și evaluarea riscurilor. Protecție: cum ne apărăm? Controlul accesului, protecția datelor, instruirea și securitatea platformelor. Detecție: cum observăm un atac? Prin monitorizare continuă și analiza evenimentelor. Răspuns: ce facem când se întâmplă? Gestionarea, raportarea și limitarea incidentelor. Recuperare: cum revenim la normal? Restaurarea serviciilor și lecțiile învățate. Funcția Guvernare este noutatea versiunii 2025. Mesajul ei este clar: securitatea începe cu deciziile conducerii, nu cu tehnologia.

Fiecare funcție se împarte în categorii, fiecare categorie în subcategorii, iar fiecare subcategorie conține unul sau mai multe controale. Controlul este cerința concretă pe care o implementați și pe care o evaluați. Fiecare control are un cod unic. De exemplu, codul PR.AA-03.2 se citește așa: funcția Protecție, categoria managementul identității, autentificarea și controlul accesului. Apoi subcategoria trei și controlul doi. Este cerința ca accesul de la distanță în rețeaua organizației să se facă obligatoriu cu autentificare multifactor. În total, cadrul are 22 de categorii și 218 controale. Nu toate vi se aplică. Câte trebuie să implementați depinde de nivelul de asigurare.

Controalele se aplică pe trei niveluri de asigurare, în ordinea crescătoare a rigorii. Nivelul Bază se aplică tuturor entităților. Oferă o protecție fiabilă împotriva riscurilor cunoscute și a atacurilor comune, cu tehnologii și procese în general deja disponibile. Nivelul Important consolidează nivelul Bază, ca să limiteze impactul atacurilor date de actori cu resurse și competențe limitate. Nivelul Esențial adaugă cele mai înalte cerințe, pentru a rezista atacurilor sofisticate, date de actori cu resurse și expertiză semnificative. Nivelurile sunt cumulative. Important conține tot ce cere Bază, iar Esențial conține tot ce cere Important. Concret, nivelul Bază are 34 de controale, nivelul Important 133, iar nivelul Esențial toate cele 218.

Cum aflați ce nivel vi se aplică? Nivelul nu se alege și nici nu se declară. El rezultă din evaluarea nivelului de risc al entității, pe scurt ENIRE, pe care o depuneți la DNSC după înregistrare. Instrumentul pornește de la sectoarele în care furnizați servicii și de la valorile de impact și probabilitate stabilite de DNSC pentru fiecare sector. Rezultatul este un scor de risc, iar scorul vă încadrează într-un nivel de asigurare: Bază, Important sau Esențial. Atenție la o confuzie frecventă. Faptul că sunteți entitate esențială sau importantă ține de sector și de mărime și stabilește regimul de supraveghere. Nivelul CyFun ține de risc și stabilește ce controale implementați și ce praguri de maturitate trebuie atinse. De multe ori cele două coincid, dar nu automat. Odată stabilit nivelul, știți și instrumentul de autoevaluare. Lucrați în platforma NIS2 a DNSC sau, dacă platforma nu este disponibilă, cu fișierul de evaluare al nivelului dumneavoastră, de pe site-ul DNSC.

Acum, partea cea mai importantă: cum se măsoară. CyFun nu întreabă doar dacă aveți un control. Întreabă cât de matur este. Metodologia DNSC definește cinci stadii, de la unu la cinci. Stadiul unu, Inițial: nu există documentație aprobată de conducere și nu există un proces standard. Stadiul doi, Repetabil: există documentație aprobată, dar nerevizuită în ultimii doi ani, iar procesul se face informal, de la caz la caz. Stadiul trei, Definit: documentație aprobată, cu excepții documentate sub 5%, și un proces formal, cu dovezi pentru majoritatea activităților. Stadiul patru, Gestionat: dovezi pentru toate activitățile, indicatori măsurați și raportați și o țintă minimă stabilită. Stadiul cinci, Optimizare: aceeași rigoare, iar ținta pentru indicatori se îmbunătățește continuu. Observați logica: de la un stadiu la altul scade procentul de excepții acceptate. Asta face evaluarea măsurabilă, nu o chestiune de impresie.

Fiecare control primește nu unul, ci două scoruri. Maturitatea documentației arată cât de bine acoperă regulile și procedurile scrise cerința controlului. Maturitatea implementării arată cât de bine corespund practicile reale controlului și documentației. Un exemplu. O organizație are o politică de autentificare aprobată și revizuită recent, care cere conturi individuale. În practică însă, un angajat din șapte folosește încă parole comune. Documentația poate primi trei. Implementarea rămâne la doi, pentru că excepțiile depășesc pragul de 10%. De aceea, în practică, sunt necesare trei lucruri. Documentația. Fluxurile operaționale, cu o matrice care arată cine execută, cine aprobă, cine este consultat și cine este informat. Și un registru de controale, cu dovezi. La audit nu contează ce ați scris. Contează ce puteți demonstra că funcționează.

Cum se ajunge de la scorurile controalelor la un rezultat pentru întreaga organizație? Fiecare scor se justifică în scris, cu informații și argumente. Apoi calculul este automat și se face prin medii aritmetice. Pentru fiecare subcategorie se face media controalelor ei, separat pentru documentație și pentru implementare. Pentru fiecare categorie se face media subcategoriilor. Scorul categoriei este media dintre documentație și implementare. Iar scorul total al entității este media scorurilor tuturor categoriilor. Rezultatul arată și ecartul, adică distanța față de scorurile țintă. Vedeți imediat unde sunteți puternici și unde trebuie să lucrați.

Care sunt scorurile țintă? Le stabilește metodologia aprobată prin Ordinul DNSC nr. 1/2026. La nivelul Bază, fiecare măsură-cheie trebuie să aibă cel puțin 2,5, iar scorul total al entității tot cel puțin 2,5. La nivelul Important, fiecare măsură-cheie și scorul total trebuie să ajungă la cel puțin 3. La nivelul Esențial, fiecare măsură-cheie trebuie să aibă cel puțin 3, fiecare categorie cel puțin 3, iar scorul total cel puțin 3,5. Observați: o medie bună nu este suficientă. O singură măsură-cheie sub prag înseamnă neconformitate, chiar dacă scorul total arată bine. Dacă nu atingeți pragurile, metodologia vă obligă să întocmiți un plan de remediere, cu acțiunile și termenele asumate pentru fiecare deficiență.

Am tot vorbit despre măsuri-cheie. Ce sunt ele? Sunt controale alese pe baza celor mai frecvente tipuri de atacuri cibernetice. Sunt obligatorii și se tratează cu prioritate. Spre deosebire de alte controale, nu pot fi excluse din autoevaluare ca neaplicabile, indiferent de nivel. În total sunt 29, dintre care 13 se aplică încă de la nivelul Bază. Le recunoașteți imediat, pentru că sunt chiar lecțiile cazului ANCPI din primul episod. Actualizările de securitate instalate. Gestionarea identităților și autentificarea multifactor pentru accesul de la distanță. Drepturi de acces minime și nicio folosire a contului de administrator pentru sarcinile zilnice. Copiile de rezervă, păstrate pe un alt sistem decât datele originale. Firewall, segmentarea rețelei, protecția anti-malware și jurnale păstrate și analizate. Dacă aveți resurse limitate, începeți cu ele.

Să recapitulăm. Prima idee: CyFun este cadrul oficial după care se evaluează măsurile NIS2 în România. Are șase funcții, iar Guvernarea pune conducerea în centru. A doua: nivelul Bază, Important sau Esențial nu se alege. Rezultă din evaluarea de risc, iar nivelurile sunt cumulative. A treia: fiecare control primește două scoruri, pentru documentație și pentru implementare. Pragurile sunt 2,5, 3 și 3,5, iar fiecare măsură-cheie trebuie să atingă propriul prag.

Primul pas este să vedeți unde vă situați astăzi. Puteți face gratuit autoevaluarea CyFun în platforma Certudo, la adresa app.certudo.com. Lucrați pe controalele nivelului dumneavoastră, cu scor pentru documentație și pentru implementare, iar platforma vă ajută apoi cu planul de implementare. În episodul următor vorbim despre autoevaluarea CyFun în practică: șapte greșeli care costă la audit. De la scorurile prea optimiste la excluderile nejustificate. Vă mulțumim că ne-ați urmărit.