CyFun BAZĂ vs. IMPORTANT vs. ESENȚIAL — cum alegi nivelul potrivit
Scris de Adrian P. — expert cu 31+ audituri NIS la activ
36 / 134 / 218 cerințe. Cele trei niveluri CyFun nu le alegi tu după preferință — le determină evaluarea de risc ENIRE. Iată ce înseamnă fiecare în efort, dovezi și praguri de trecut.
Nivelul nu se alege — se calculează
O confuzie frecventă: firmele cred că își aleg nivelul CyFun. În realitate, nivelul rezultă din evaluarea de risc ENIRE. Scorul general al entității te plasează pe unul dintre cele trei paliere: 0–99 puncte → nivel de BAZĂ; 100–199 → nivel IMPORTANT; 200 și peste → nivel ESENȚIAL. Dacă activezi în mai multe sectoare, se aplică nivelul cel mai înalt.
CyberFundamentals (CyFun) este cadrul tehnic adoptat de DNSC. El structurează cerințele pe 6 funcții pilon: Guvernare (GV), Identificare (ID), Protecție (PR), Detectare (DE), Răspuns (RS) și Recuperare (RC).
36, 134, 218 — cerințe cumulative
Numărul de cerințe crește cu nivelul și este cumulativ: nivelul de BAZĂ are 36 de cerințe (igienă cibernetică), IMPORTANT are 134, iar ESENȚIAL 218. Esențial le include pe cele Importante, care le includ pe cele de Bază.
La fiecare nivel există MĂSURI-CHEIE obligatorii, care nu pot fi exceptate. Nu poți „sări” peste ele cu o justificare — trebuie implementate indiferent de restul scorului.
Cum se măsoară maturitatea
Pentru fiecare cerință, evaluezi maturitatea pe o scală de la 1 la 5 — separat pentru documentație și pentru implementare: 1 Inițial, 2 Repetabil, 3 Definit, 4 Gestionat, 5 Optimizare. Sistemul agregă scorurile de la subcategorie spre categorie și spre totalul entității.
Pragurile-țintă diferă pe niveluri: la BAZĂ ai nevoie de un scor de cel puțin 2,5; la IMPORTANT, cel puțin 3; la ESENȚIAL, cel puțin 3 pe fiecare categorie ȘI cel puțin 3,5 pe total. Sub prag = deficiență de remediat.
Ce înseamnă în efort real
La nivel de BAZĂ, discuția e despre igienă cibernetică — controale de bază, câteva politici, o organizare minimă. La IMPORTANT, volumul crește de aproape patru ori și apar procese formalizate, inventare, monitorizare. La ESENȚIAL, vorbim despre un sistem de securitate operat continuu, cu monitorizare 24/7, backup imutabil și dovezi pentru fiecare cerință.
Diferența de nivel nu e doar cantitativă. Un salt de la Important la Esențial înseamnă și un salt în răspundere: entitățile esențiale au obligații suplimentare (planul de remediere) și un plafon de sancțiuni mai mare.
De unde știi pe ce nivel ești
Pentru că nivelul depinde de scorul ENIRE, orice discuție serioasă despre efort și buget începe cu o estimare a încadrării și a nivelului de risc. Reține că e o estimare: doar DNSC confirmă oficial nivelul prin avizarea evaluării.
Cel mai simplu mod de a-ți face o imagine este să pornești de la o verificare rapidă a încadrării și a nivelului de risc, apoi să vezi ce cerințe îți revin — de acolo, calculul efortului devine concret.
Nu ești sigur dacă NIS 2 ți se aplică?
Verifică-ți încadrarea și primești un cost orientativ în câteva minute — fără obligații.
