Audit sau răspuns la incidente? Ce curs de securitate cibernetică alegeți în 2027

Audit sau răspuns la incidente? Alegeți după momentul în care vreți să fiți în organizație: auditorul vine înainte sau după incident, verifică din exterior și scrie un raport; membrul echipei CSIRT este înăuntru, în primele ore, și trebuie să decidă ce izolează, ce păstrează ca dovadă și ce notifică la Directoratul Național de Securitate Cibernetică în 24 de ore. Sunt două pregătiri diferite, cu două certificate de specializare distincte, autorizate separat de DNSC, iar cursul potrivit nu depinde de cât de „tehnic” sunteți, ci de ce vi se va cere să faceți când ceva merge prost. Pentru grupele din 2027 criteriul rămâne același; se schimbă doar numărul celor care trebuie să și-l pună.

Documentare: 27 octombrie 2026.

Întrebarea îmi ajunge săptămânal, aproape mereu sub forma „care e mai bun?”, și mă aștept să o aud și mai des în 2027, când obligațiile din OUG nr. 155/2024 nu mai sunt o noutate pentru nimeni. Nu există un răspuns la întrebarea asta, pentru că nu compară două versiuni ale aceluiași lucru. Compară două meserii. Mai jos pun același incident fictiv pe masa amândurora, ca să vedeți cine ce face și ce documente rămân în urma fiecăruia.

Ce face auditorul de securitate cibernetică și ce face membrul echipei CSIRT?

Auditorul evaluează sistematic politicile, procedurile și măsurile tehnice ale unei organizații, identifică vulnerabilități și neconformități și formulează recomandări într-un raport de audit; potrivit art. 57 din OUG nr. 155/2024, auditul se desfășoară sub coordonarea DNSC, iar art. 58 spune că numai auditorii atestați pot audita, cu un atestat valabil trei ani, acordat, prelungit, suspendat sau retras de Directorat. Membrul echipei CSIRT detectează, triază, analizează, izolează și remediază incidentele, investighează cauza, recuperează sistemele și asigură raportarea obligatorie către DNSC în termenele legale.

Diferența de poziție este esențială. Auditorul nu are voie să fie parte din sistemul pe care îl verifică: independența lui este chiar valoarea raportului. Membrul CSIRT este, prin definiție, parte din sistem; valoarea lui stă în viteza cu care înțelege ce se întâmplă pe infrastructura pe care o cunoaște. Un om bun în ambele roluri există, dar nu în același timp și nu pentru aceeași organizație.

Cadrul CSIRT din România, cu denumirile oficiale și corespondentele din Uniunea Europeană și din Statele Unite, l-a documentat colega mea Mirela Brașoveanu în analiza despre ce este CSIRT în România, în UE și în SUA; nu reiau aici terminologia. Dacă vocabularul domeniului vă este străin, începeți cu dicționarul nostru de termeni de securitate cibernetică.

Cum arată același incident văzut de auditor și de echipa CSIRT?

Luați un exemplu fictiv: o firmă de logistică din Cluj, entitate importantă în sensul OUG nr. 155/2024, descoperă marți la 7:40 că serverele de depozit sunt criptate și că pe ecrane apare o cerere de răscumpărare. Firma, cifrele și orele sunt inventate; termenele din tabel sunt cele din art. 15 alin. (7) din OUG nr. 155/2024: avertizare timpurie în cel mult 24 de ore, notificare în cel mult 72 de ore, raport final în cel mult o lună, iar pentru impactul transfrontalier alin. (3) cere semnalarea în cel mult 6 ore.

Ce se întâmplă oră cu oră, de la descoperire la raportul final?

Ce rămâne în urma fiecăruia?

Echipa CSIRT lasă în urmă un jurnal de incident, trei notificări transmise la termen și un playbook corectat. Auditorul lasă un raport care spune dacă toate acestea existau înainte de incident sau au fost improvizate în ziua atacului. Observați că auditorul nu intervine în niciun rând din coloana a doua; dacă ar face-o, și-ar pierde independența. Iar echipa CSIRT nu scrie raportul de audit, pentru că nu se poate evalua singură.

În opinia mea, tabelul de mai sus este cel mai bun test de orientare: citiți coloana care vă face să vă gândiți „asta aș ști să fac” și cea care vă face să vă gândiți „asta aș vrea să știu să fac”. Dacă sunt aceeași coloană, ați ales.

Ce cunoștințe trebuie să aveți înainte de fiecare curs?

Ambele programe autorizate DNSC de la Centrul de Formare APSAP cer diplomă de licență, în orice domeniu, și niciunul nu cere să fiți programator. De aici, cerințele se despart. Pentru audit este suficientă o înțelegere generală a felului în care funcționează o organizație și a rolului sistemelor informatice; cursul vă dă metoda, nu experiența tehnică, pe care o structurează dacă o aveți. Pentru răspuns la incidente ajută noțiuni de bază despre rețele, securitate informatică și fluxurile de detecție și remediere, pentru că în primele ore ale unui incident nu aveți timp să învățați ce este un segment de rețea.

Un responsabil de conformitate, un consultant, un manager de risc sau un auditor din alt domeniu se simt acasă la audit. Un administrator de rețea, un inginer de securitate sau un om din echipa IT care primește primul telefonul la 7:40 se simte acasă la CSIRT. Nu este o regulă, este o observație din grupele pe care le-am văzut.

Ce exerciții și documente de lucru verificați în programă?

Verificați trei lucruri în programa oricărui curs de securitate cibernetică, indiferent de furnizor: ce document produceți la final, pe ce standarde de referință lucrați și cum arată examenul. Tabelul de mai jos pune cele două programe APSAP față în față, cu datele de pe paginile de curs.

Ce întrebați furnizorul înainte să plătiți?

Întrebați cine corectează proiectul de audit sau studiul de caz și ce feedback primiți pe el. Un curs de audit în care nimeni nu vă citește raportul este un curs de teorie a auditului. Un curs CSIRT fără măcar o simulare completă, de la alertă la notificare, vă lasă să descoperiți la primul incident real că procedura de pe hârtie are o oră de aprobare pe care nimeni nu o dă noaptea. La cursul Membri CSIRT, formularele celor 54 de participanți din primele trei serii conțin 13 propuneri pentru mai multe simulări; am publicat cererea lor, cu cifrele, în analiza formularelor de evaluare ale cursului Membri CSIRT. Mi se pare cea mai utilă critică primită pe programul acela.

Ce spun cifrele DNSC despre cele două roluri?

Raportul anual al DNSC pentru 2025 arată că Directoratul a emis 644 de decizii de înregistrare pentru entități esențiale și 34 pentru entități importante, din 2.410 formulare de notificare, cu ținta de a depăși 3.000 de entități în 2026. În aceeași perioadă supraveghea 213 auditori de securitate cibernetică și 9 furnizori de formare. Puneți cele două cifre una lângă alta: 678 de entități înregistrate, cu obligațiile de conformare din OUG nr. 155/2024, și 213 oameni atestați care au dreptul să le auditeze. Raportul mai consemnează 256 de incidente majore de tip ransomware și numește lipsa personalului pentru răspuns la incidente printre cele mai relevante riscuri.

Deci piața cere amândouă rolurile, din motive diferite: auditorii lipsesc pentru că atestarea este o procedură separată și puțini au trecut prin ea; oamenii de răspuns la incidente lipsesc pentru că fiecare entitate are nevoie de cineva care știe ce face în primele ore. Legea nu impune o echipă internă: art. 30 alin. (1) din OUG nr. 155/2024 lasă entităților esențiale și importante alegerea între a constitui echipe CSIRT proprii sau sectoriale și a achiziționa servicii de specialitate de la furnizori autorizați de DNSC. Recomandarea mea rămâne să aveți oameni pregătiți în firmă și când serviciul este contractat în exterior, pentru că furnizorul intervine pe sisteme pe care cineva din interior trebuie să i le explice. Cifrele despre piața muncii în securitate cibernetică, cu deficitul estimat de 2.200-2.500 de specialiști, sunt în analiza raportului DNSC despre piața muncii.

Cum alegeți între audit și răspuns la incidente, după ce faceți la serviciu?

Alegeți auditul dacă vi se cere să verificați alte organizații sau alte departamente, să scrieți rapoarte pe care le citește conducerea sau o autoritate, ori dacă lucrați în consultanță, conformitate sau risc. Alegeți răspunsul la incidente dacă administrați efectiv sisteme, dacă sunteți persoana sunată când cade ceva, sau dacă organizația dumneavoastră este entitate esențială ori importantă și a ales să își constituie echipa proprie, în loc să contracteze un furnizor autorizat. Companiile înscriu de regulă doi-trei oameni la CSIRT, ca procedura să nu depindă de o singură persoană, și un singur om la audit, cel care nu administrează nimic.

Există și a treia situație, pe care o întâlnesc des: firma produce software sau echipamente cu elemente digitale și descoperă că, pe lângă NIS2, are obligații proprii din Cyber Resilience Act, cu cerințele esențiale și marcajul CE de la 11 decembrie 2027. Acolo, în opinia mea, auditul este pregătirea de pornit, pentru că întrebarea nu este „cum răspund”, ci „sunt în sfera regulamentului și ce dovezi îmi trebuie”. Am explicat etapa din 2027 în analiza despre Cyber Resilience Act până în decembrie 2027.

Cum pregătește Centrul de Formare APSAP cele două roluri?

Pentru verificare, programul Auditor Securitate Cibernetică, autorizat DNSC, cu Cătălin Opran și Sorin Mureșan; pentru intervenție, programul Membri CSIRT, autorizat DNSC, cu Crina Negoescu și Cătălin Opran. Ambele se încheie cu examen în fața unei comisii din partea DNSC și cu certificat de specializare, iar înscrierea pentru grupele din 2027 se face din paginile de curs. Cele 12 lucruri pe care le puteți verifica înainte de înscriere, de la autorizație la ce cuprinde tariful, sunt în ghidurile de alegere pentru cursul Auditor Securitate Cibernetică și pentru cursul Membri CSIRT. Ce au scris cei 367 de participanți din primele zece serii de auditori, cu media 4,76 și 222 de note maxime la toate criteriile, este în analiza formularelor cursului de Auditor Securitate Cibernetică.

Centrul de Formare APSAP este furnizor de formare autorizat de DNSC, într-un domeniu în care Directoratul supraveghea, la finalul lui 2025, doar 9 asemenea furnizori; restul activității noastre, din 2006 încoace, este formarea autorizată a adulților pentru companii, profesioniști și persoane fizice. Platforma proprie de e-learning adună peste 500 de ore de conținut video, iar nota 5/5 din peste 15.500 de recenzii Google o puteți citi direct. Ce diferențiază un program autorizat de unul care se declară doar „acreditat” am explicat în ghidul despre cursuri acreditate sau autorizate, iar argumentele comune tuturor programelor sunt în pagina de ce Centrul de Formare APSAP. Cine suntem aflați din pagina despre APSAP, întrebările despre înscriere ajung prin pagina de contact, iar celelalte analize pe care le semnez sunt pe pagina mea de autor.

Întrebări frecvente despre alegerea între audit și răspuns la incidente

Trebuie să fiu programator pentru vreunul dintre cele două cursuri?

Nu. Ambele programe cer diplomă de licență, în orice domeniu, și niciunul nu cere să scrieți cod. Pentru audit aveți nevoie de o înțelegere generală a felului în care funcționează o organizație și a rolului sistemelor informatice, pentru că metoda de audit se învață la curs. Pentru răspuns la incidente vă ajută noțiuni de bază despre rețele, securitate informatică și fluxurile de detecție și remediere, pentru că în primele ore ale unui incident lucrați direct pe sisteme. Dacă termenii domeniului vă sunt străini, parcurgeți mai întâi dicționarul de termeni de securitate cibernetică publicat pe apsap.ro.

Cursul și atestarea DNSC sunt același lucru?

Nu. Cursul se încheie cu un certificat de specializare, după examen cu comisie DNSC, care confirmă absolvirea programului de formare. Atestatul de auditor de securitate cibernetică este un document separat, acordat de DNSC după o procedură proprie, valabil trei ani, și numai auditorii atestați pot efectua auditurile reglementate de art. 58 din OUG nr. 155/2024. Cursul este etapa de pregătire; atestarea vine după, la autoritate. Pentru membrii CSIRT nu există o atestare individuală echivalentă: certificatul de specializare atestă pregătirea dumneavoastră, iar obligațiile de răspuns și raportare revin entității.

Pot combina pregătirea de audit cu răspunsul la incidente?

Da, și mulți o fac, dar în ordine și cu un motiv. Un specialist care a lucrat ani în echipa IT și trece spre verificare începe cu CSIRT, pentru că îi structurează ce știe deja, apoi continuă cu auditul. Un consultant sau un responsabil de conformitate începe cu auditul și adaugă CSIRT dacă ajunge să coordoneze echipa internă. Ce nu puteți face este să auditați organizația în care sunteți membru al echipei de răspuns: independența auditorului se pierde în momentul în care ați intervenit pe sistemele verificate.

Ce fac dacă organizația mea nu este entitate esențială sau importantă?

Alegeți după sarcina reală, nu după încadrarea în OUG nr. 155/2024. O firmă din afara listei NIS2 are tot un incident de tratat când serverele ei sunt criptate și tot are nevoie de cineva care știe ce izolează și ce păstrează ca dovadă; termenele legale de notificare nu i se aplică, dar clienții și asigurătorul vor pune aceleași întrebări. Dacă firma vinde produse cu elemente digitale, verificați separat dacă intră în sfera Cyber Resilience Act, pentru că acolo obligațiile nu depind de statutul NIS2, iar pregătirea de audit vă ajută să răspundeți la întrebarea „suntem sau nu în sferă”.

Care dintre cele două cursuri este mai greu?

Sunt grele în locuri diferite. Auditul se încheie cu un proiect de audit pe care îl prezentați comisiei; partea dificilă este să scrieți constatări pe care le puteți susține cu dovezi, nu opinii. Răspunsul la incidente se încheie cu un studiu de caz pe un incident simulat; partea dificilă este să luați decizii corecte în ordinea corectă, sub presiunea termenelor de 24 și 72 de ore. În formularele de evaluare, participanții la audit vorbesc despre volumul de lucru pe raport, iar cei de la CSIRT cer mai multe simulări. Niciunul nu spune că a fost ușor, și nici nu ar trebui.

Surse oficiale și documente consultate

1. OUG nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, Monitorul Oficial nr. 1332 din 31 decembrie 2024, art. 15 alin. (3) și (7), art. 24, art. 30, art. 57 și art. 58; aprobată cu modificări prin Legea nr. 124/2025, Monitorul Oficial nr. 638 din 7 iulie 2025
2. Directoratul Național de Securitate Cibernetică: Raportul anual 2025 (2.410 formulare de notificare, 644 de decizii pentru entități esențiale și 34 pentru entități importante, 213 auditori și 9 furnizori de formare supravegheați, 256 de incidente majore ransomware)
3. Paginile cursurilor Auditor Securitate Cibernetică și Membri CSIRT de pe apsap.ro, cu autorizațiile DNSC seria EFS nr. 7010 din 16.09.2024 și seria EFE nr. 9005 din 13.05.2026, consultate la 27 octombrie 2026

Bogdan-Costin Fârșirotu, Președinte, Centrul de Formare APSAP.