CyFun 2025 pe înțelesul tuturor: ce este, ce cere și ce au de făcut firmele din România în 2027

CyFun 2025 este o listă de 218 cerințe de securitate cibernetică, așezate pe trei niveluri, în care fiecare cerință primește o notă de la 1 la 5. A scris-o Centrul pentru Securitate Cibernetică din Belgia, iar pentru o firmă din România contează dintr-un motiv foarte practic: Directoratul Național de Securitate Cibernetică (DNSC) a pus aceeași structură în regulile publicate în Monitorul Oficial la 27 august 2026. Regulile acestea au nevoie de oameni care știu să le verifice și să reacționeze la un atac, iar pentru ei Centrul de Formare APSAP organizează cursurile de securitate cibernetică autorizate DNSC.

Ce este CyFun 2025 și cine l-a scris?

CyFun 2025 este a doua ediție a CyberFundamentals Framework, un set de măsuri de securitate cibernetică publicat de Centrul pentru Securitate Cibernetică din Belgia. Numele vine de la CyberFundamentals, adică bazele securității cibernetice, iar CyFun® este marcă înregistrată a centrului belgian. Scopul declarat este unul modest și util: o cale pas cu pas prin care o organizație își protejează datele și scade riscul celor mai răspândite atacuri.

Ediția nouă a apărut în a doua jumătate a anului 2025, după ce peste 80 de experți și organizații au citit primul proiect. Broșurile pe niveluri și fișierele de lucru se descarcă de pe pagina oficială a ediției 2025.

Cadrul nu a pornit de la zero. Se sprijină pe patru repere folosite în toată lumea: cadrul de securitate cibernetică al Institutului Național de Standarde și Tehnologie din Statele Unite, ajuns la versiunea 2.0, standardele ISO/IEC 27001 și 27002 pentru securitatea informației (ISO este Organizația Internațională de Standardizare, iar IEC este Comisia Electrotehnică Internațională), seria IEC 62443 pentru instalații industriale și lista de controale a organizației americane Center for Internet Security.

De ce contează CyFun 2025 pentru o firmă din România?

Contează pentru că regulile românești au aceeași alcătuire. Directiva europeană (UE) 2022/2555, cunoscută ca NIS 2 (numele vine din engleză și înseamnă securitatea rețelelor și a sistemelor informatice), a fost preluată în România prin Ordonanța de urgență a Guvernului nr. 155/2024, aprobată prin Legea nr. 124/2025. Ordonanța spune ce obligații au firmele. Lista concretă de măsuri a venit prin Ordinul directorului DNSC nr. 1 din 6 august 2026, publicat în Monitorul Oficial nr. 712 din 27 august 2026.

Puse una lângă alta, anexa ordinului și fișierul oficial CyFun 2025 pentru nivelul cel mai înalt arată la fel: șase funcții, 218 controale, 29 de măsuri-cheie, coduri construite după aceeași regulă. Ghidul de implementare din ordin dă chiar CyFun drept exemplu de autoevaluare, de verificare sau de certificare pe care o firmă le poate cere furnizorilor săi. Pe site-ul cadrului scrie că România, Malta și Irlanda l-au adoptat formal.

În opinia mea, este o veste bună. Cine înțelege CyFun 2025 înțelege și ce îi cere DNSC, fără să învețe două limbaje. Un singur lucru nu trebuie încurcat: raportul de autoevaluare se face cu instrumentele DNSC, nu cu fișierele belgiene.

Care sunt cele trei niveluri din CyFun 2025 și câte cerințe are fiecare?

CyFun 2025 are trei niveluri, Basic, Important și Essential, pe care ordinul românesc le numește de Bază, Important și Esențial. Fiecare nivel le cuprinde pe cele dinainte și adaugă cerințe noi. Cifrele de mai jos sunt aceleași în fișierele oficiale ale cadrului și în anexa ordinului DNSC.

Pentru firmele foarte mici sau fără cunoștințe tehnice, cadrul belgian mai are o treaptă de pornire, numită Small, cu un chestionar și îndrumări simple.

În România, nivelul nu se alege după preferință. Rezultă din scorul de risc al firmei, calculat după metodologia DNSC: între 0 și 99 de puncte se aplică nivelul de Bază, între 100 și 199 nivelul Important, iar de la 200 de puncte în sus nivelul Esențial. De aici vine și o capcană de vocabular: nivelul Important din tabel este altceva decât „entitatea importantă” din ordonanță. Categoria o dă legea, nivelul îl dă scorul.

Ce sunt cele șase funcții, pe înțelesul tuturor?

Cele șase funcții sunt capitolele mari în care sunt grupate cerințele, de la ce hotărăște conducerea până la repunerea firmei pe picioare după un incident. Sub ele stau 22 de categorii și 90 de subcategorii.

Mai mult de o treime din cerințe stau la Protecție, ceea ce spune destul despre unde se câștigă sau se pierde partida. Guvernarea vine din versiunea 2.0 a cadrului american, la care ediția 2025 s-a aliniat, și are un mesaj limpede: securitatea cibernetică este treaba conducerii, iar colegul care se ocupă de calculatoare nu o poate duce singur.

Ce sunt măsurile-cheie?

Măsurile-cheie sunt cerințele care se verifică primele: 29 din cele 218. Ordinul DNSC spune că au fost alese pe baza tipurilor obișnuite de atacuri cibernetice, că sunt obligatorii și că se tratează cu prioritate. O măsură-cheie nu poate fi declarată neaplicabilă, la niciun nivel.

Câteva dintre cele 13 măsuri-cheie de la nivelul de Bază:

• copiile de siguranță ale datelor importante se fac și se țin pe alt sistem decât cel pe care stau datele originale;
• la accesul de la distanță în rețeaua firmei este obligatorie autentificarea cu mai mulți factori, adică parola plus încă o dovadă, de pildă un cod primit pe telefon;
• actualizările de securitate se instalează;
• programele antivirus sunt instalate și aduse la zi;
• toate rețelele firmei au un paravan de protecție (firewall), configurat și întreținut;
• jurnalele sistemelor se păstrează și se urmăresc;
• nimeni nu lucrează zi de zi cu drepturi de administrator.

Nimic exotic. Sunt lucruri pe care orice administrator de rețea le știe și pe care multe firme le tot amână.

Cum se dă nota și de ce o procedură frumoasă nu ajunge?

Fiecare cerință primește două note de la 1 la 5: una pentru ce aveți scris, adică documentația, și una pentru ce faceți în realitate, adică implementarea. În metodologia DNSC, nota 1 înseamnă că nu există o regulă aprobată de conducere sau un mod de lucru standard. Nota 3 înseamnă regulă aprobată oficial și proces formal, aplicat, cu dovezi pentru cele mai multe activități. Nota 5 se dă atunci când procesul este măsurat și îmbunătățit continuu.

Notele se adună apoi în medii: pe subcategorii, pe categorii și pe total. Calculul are o urmare pe care multe firme o descoperă târziu. Dacă la documentație aveți 3 și la implementare 1, media este 2, sub orice prag din tabelul de mai sus. Hârtia suportă orice; nota de la implementare, nu.

Când pragurile nu sunt atinse, metodologia cere un plan de măsuri pentru toate deficiențele, cu acțiuni și termene asumate. Cerințele care chiar nu vi se aplică pot fi scoase din calcul, cu justificare scrisă, în limite strânse: cel mult una la nivelul de Bază, trei la nivelul Important și cinci la nivelul Esențial.

Ce s-a schimbat față de ediția 2023 și până când mai e bună cea veche?

CyFun 2025 a fost rescris ca să țină pasul cu versiunea 2.0 a cadrului american și cu Directiva NIS 2. Autorii enumeră câteva schimbări: mai multă atenție pentru furnizori și pentru tehnologia operațională, adică echipamentele care conduc instalații și linii de producție, cerințe reformulate ca să fie mai clare și mai ușor de verificat, un scop scris pentru fiecare cerință, îndrumări mai bogate și măsuri de guvernanță pentru supravegherea exercitată de conducere. Fiecare nivel are acum fișierul lui de autoevaluare.

Inteligența artificială nu are un capitol al ei. Autorii au ales să o trateze prin cerințele existente și prin ghiduri suplimentare, ca să nu dubleze controalele.

În Belgia, cele două ediții merg în paralel până la 18 aprilie 2027, iar până atunci organizațiile aleg pe care o folosesc. Declarațiile de verificare și certificatele emise pe ediția 2023 rămân valabile cel mult până la 18 aprilie 2028. Pentru România, întrebarea nu se pune: ordinul DNSC a pornit direct de la structura ediției 2025.

Ce are de făcut, concret, o firmă din România în 2027?

Pașii sunt scriși în Ordonanța de urgență a Guvernului nr. 155/2024 și se aplică entităților esențiale și importante, adică organizațiilor din sectoarele enumerate în anexele ordonanței care îndeplinesc criteriile de acolo.

1. Notificați DNSC în vederea înregistrării, în cel mult 30 de zile de la data la care ordonanța vi se aplică.
2. Trimiteți evaluarea nivelului de risc, în 60 de zile de la comunicarea deciziei DNSC. Din ea rezultă nivelul: de Bază, Important sau Esențial.
3. Faceți autoevaluarea maturității, în 60 de zile de la trimiterea evaluării de risc. Se repetă în fiecare an și este asumată de conducerea firmei.
4. Dacă sunteți entitate esențială, trimiteți un plan de remediere în 30 de zile de la autoevaluare.
5. Vă supuneți unui audit de securitate cibernetică, în condițiile și cu periodicitatea stabilite de DNSC în funcție de nivelul de risc.

Instrumentele de autoevaluare pentru cele trei niveluri se descarcă de pe dnsc.ro. Raportul se semnează de reprezentantul legal și se trimite la DNSC. Pentru firmele care fac parte dintr-un grup există reguli separate, aprobate prin decizie a directorului DNSC în septembrie 2026.

Cine tratează lista ca pe o formalitate își asumă un risc mare: pentru entitățile esențiale, ordonanța prevede amenzi care pot ajunge la 10 milioane de euro sau la 2% din cifra de afaceri. Autoevaluarea se repetă anual, așa că firmele care au depus-o pe prima în toamna lui 2026 ajung în 2027 la a doua, iar diferența dintre ce au declarat și ce au reparat se va vedea.

Dacă am eticheta CyFun, sunt în regulă cu NIS 2?

Nu automat. Belgia este deocamdată singura țară care a trecut CyFun în lege ca dovadă: acolo, o organizație verificată sau certificată este considerată în regulă cu obligațiile ei de securitate cibernetică până la proba contrarie. Verificarea se face pentru nivelurile Basic și Important, iar certificarea pentru nivelul Essential, de către organisme de evaluare autorizate. Aceeași prezumție se poate obține în Belgia și cu un certificat ISO/IEC 27001, dacă centrul belgian acceptă aria pe care o acoperă certificatul.

În România, drumul trece prin DNSC: autoevaluare anuală, plan de măsuri, audit. În opinia mea, o etichetă obținută în Belgia rămâne un argument bun în fața clienților și a partenerilor, mai ales că ordinul DNSC însuși dă CyFun drept exemplu de dovadă pe care o puteți cere unui furnizor. Obligațiile din ordonanță rămân însă aceleași.

Cine verifică cerințele și cine răspunde la un atac?

Cerințele din ordin nu se îndeplinesc singure. Auditul îl fac auditori de securitate cibernetică, iar la un incident intervine o echipă de răspuns la incidente de securitate cibernetică, numită în meserie CSIRT, de la Computer Security Incident Response Team. Potrivit ordonanței, DNSC eliberează atestatele auditorilor, autorizează echipele de răspuns la incidente și autorizează furnizorii de formare în domeniu.

Centrul de Formare APSAP are două programe autorizate de DNSC: cursul Auditor de securitate cibernetică și cursul Membri CSIRT. Amândouă se țin online, cu sesiuni live și cu materiale pe platforma de e-learning, și se încheie cu certificat de specializare emis în baza autorizării și a procedurilor DNSC. Atestatul de auditor îl eliberează DNSC, pe procedura lui.

Seriile deschise și condițiile de înscriere sunt pe pagina cu cursurile autorizate DNSC de la Centrul de Formare APSAP.

Cine este Centrul de Formare APSAP?

Centrul de Formare APSAP este furnizor de formare profesională pentru companii, organizații și profesioniști care vor să devină mai buni în ceea ce fac. Echipa de management lucrează în formare din 2006, iar Fundația Centrul de Formare APSAP funcționează din 2014. Oferta are 26 de cursuri și se sprijină pe 27 de autorizări, acreditări și recunoașteri, între care două autorizări DNSC pentru programele de securitate cibernetică. Peste 250.000 de participanți au trecut prin cursurile noastre, predate de un corp de peste 75 de formatori. Povestea întreagă este pe pagina despre Centrul de Formare APSAP, iar argumentele care se pot verifica, în cele 12 lucruri pe care le puteți controla singuri.

Dacă vă încurcă termenii „autorizat” și „acreditat”, i-am lămurit în ghidul despre cursuri acreditate sau autorizate. Celelalte analize pe care le semnez sunt pe pagina mea de autor, iar pentru întrebări despre cursurile de securitate cibernetică ne găsiți la datele de contact ale centrului.

Întrebări frecvente despre CyFun 2025

Este CyFun 2025 obligatoriu în România?

Nu sub acest nume. Obligatorii sunt măsurile de gestionare a riscurilor din Ordinul directorului DNSC nr. 1/2026, pentru entitățile esențiale și importante. Ordinul are aceeași structură ca ediția 2025 a cadrului belgian: șase funcții, 218 controale, 29 de măsuri-cheie și trei niveluri. De aceea, dacă citiți broșurile CyFun 2025, înțelegeți mai ușor ce vi se cere, dar obligația dumneavoastră vine din ordinul românesc și din Ordonanța de urgență a Guvernului nr. 155/2024.

Pot trimite la DNSC fișierul de autoevaluare descărcat de pe site-ul CyFun?

Nu. Directoratul Național de Securitate Cibernetică pune la dispoziție propriile instrumente de autoevaluare, câte unul pentru fiecare nivel, iar raportul dumneavoastră se generează cu instrumentul nivelului care vi se aplică. Raportul se semnează de reprezentantul legal și se trimite la DNSC împreună cu fișierul din care a fost generat. Fișierele belgiene rămân utile pentru pregătire și pentru a înțelege cum se acordă notele, dar nu țin locul instrumentelor românești.

Cum aflu ce nivel mi se aplică?

Nivelul rezultă din scorul de risc al organizației dumneavoastră, calculat după metodologia aprobată de DNSC și validat de această instituție. Un scor între 0 și 99 de puncte duce la nivelul de Bază, unul între 100 și 199 la nivelul Important, iar de la 200 de puncte în sus se aplică nivelul Esențial. Nivelul nu se confundă cu încadrarea juridică: o entitate importantă în sensul ordonanței poate ajunge, după scor, la oricare dintre cele trei niveluri.

Ce notă trebuie să obțin la autoevaluare?

La nivelul de Bază aveți nevoie de cel puțin 2,5 pe total și la fiecare măsură-cheie. La nivelul Important pragul urcă la 3, tot pe total și la fiecare măsură-cheie. La nivelul Esențial se cer cel puțin 3,5 pe total și cel puțin 3 la fiecare categorie și la fiecare măsură-cheie. Notele se dau de la 1 la 5, separat pentru documentație și pentru implementare, iar dacă pragurile nu sunt atinse întocmiți un plan de măsuri cu termene asumate.

Până când mai poate fi folosită ediția CyFun 2023?

În Belgia, organizațiile pot alege între ediția 2023 și ediția 2025 până la 18 aprilie 2027. Declarațiile de verificare și certificatele emise pe ediția 2023 rămân valabile cel mult până la 18 aprilie 2028, după care contează numai ediția nouă. Dacă lucrați doar în România, tranziția nu vă privește direct, pentru că ordinul DNSC din august 2026 a fost construit de la început pe structura ediției 2025.

Cine poate face auditul de securitate cibernetică cerut de lege?

Auditul îl fac auditori de securitate cibernetică atestați de Directoratul Național de Securitate Cibernetică, instituția care eliberează, reînnoiește și revocă aceste atestate. Un curs autorizat de DNSC, cum este cel de Auditor de securitate cibernetică organizat de Centrul de Formare APSAP, se încheie cu certificat de specializare. Atestatul este un pas separat, pe care îl parcurgeți la DNSC, după regulile acestei instituții.