Oh no! No description found. But not to worry. Read from Tasks below how to advance this topic.
OUG 155/2024 is a Romanian law implementing the NIS2 Directive, designed to bolster cybersecurity across essential and important entities by establishing a framework for network and information system security.
Ordonanța de Urgență a Guvernului nr. 155/2024 (OUG 155/2024) is a Romanian law that transposes the NIS2 Directive into national legislation. It establishes a legal and institutional framework for the cybersecurity of networks and information systems in the national civil cyberspace.
OUG 155/2024 aims to enhance Romania's resilience against cyber threats by implementing the NIS2 Directive, ensuring improved protection of critical infrastructure sectors. The ordinance applies to both public and private entities considered essential or important for national infrastructure, and it enforces measures for risk management, incident reporting, and security audits. It also mandates professional training for management bodies and outlines penalties for non-compliance.
Below you'll find all of the requirements of this framework. In Cyberday, we map all requirement to global tasks, making multi-compliance management easy. Do it once, and see the progress across all frameworks!
(1) CSIRT-urile proprii, sectoriale sau furnizorii de serviciile specifice CSIRT care deservesc
entitățile esențiale sau entitățile importante au următoarele obligații:
a) să fie autorizate de către DNSC; 21
b) să asigure compatibilitatea și interoperabilitatea sistemelor, procedurilor și metodelor utilizate cu cele ale CSIRT național;
c) să furnizeze cel puțin pachetul minim de servicii de tip CSIRT necesar asigurării la nivel național a unei protecții unitare a entităților esențiale și a entităților importante, în condițiile alin. (2);
d) să utilizeze în cadrul echipelor un număr corespunzător de persoane calificate;
e) să se interconecteze la serviciul de alertă, monitorizare și cooperare al DNSC și să asigure un răspuns prompt la alertele și solicitările transmise de CSIRT național;
f) să dispună de personal adecvat pentru a asigura disponibilitatea permanentă a serviciilor lor;
g) să aloce anual bugetul necesar în vederea menținerii unui nivel ridicat al capabilităților atât din punct de vedere al resurselor umane, cât și tehnice.
(2) Normele tehnice privind compatibilitatea și interoperabilitatea prevăzute la alin. (1) lit. b), pachetul minim de servicii de tip CSIRT prevăzut la alin. (1) lit. c) și criteriile de stabilire a numărului de persoane calificate prevăzute la alin. (1) lit. d) se aprobă prin ordin al Directorului DNSC.
(3) DNSC elaborează tematicile pentru specializarea personalului din cadrul CSIRT-urilor în vederea autorizării conform art. 30 alin. (2), prin decizie a Directorului DNSC.












(1) CSIRT-urile trebuie să îndeplinească următoarele cerințe:
a) să asigure o disponibilitate ridicată a canalelor de comunicare proprii, evitând punctele unice de defecțiune, dispunând de mai multe mijloace pentru a fi conectate și pentru a contacta alte entități în orice moment;
b) să specifice canalele de comunicare prevăzute la lit. a) și să le aducă la cunoștință bazei de utilizatori și parteneri de cooperare;
c) să mențină sediile și sistemele informatice de suport în amplasamente securizate;
d) să dispună de un sistem adecvat de gestionare și rutare a cererilor;
e) să asigure confidențialitatea și credibilitatea operațiunilor lor;
f) să dispună de personal adecvat pentru a asigura disponibilitatea permanentă a serviciilor lor;
g) să fie echipate cu sisteme redundante și spațiu de lucru de rezervă pentru a asigura continuitatea serviciilor lor, chiar și după un incident;
h) să protejeze datele confidențiale și sensibile ale beneficiarilor serviciilor lor de accesul neautorizat, sustragerea, alterarea sau distrugerea lor, prin măsuri tehnice și procedurale suficiente, adecvate și proporționale.
(2) CSIRT-urile pot acorda prioritate unor cereri de sprijin în temeiul unei abordări bazate pe riscuri.
(3) CSIRT-urile stabilesc relații de cooperare cu părțile interesate relevante în vederea îndeplinirii atribuțiilor acestora.
(4) Pentru a facilita cooperarea prevăzută la alin. (3), CSIRT-urile promovează adoptarea și utilizarea unor practici, sisteme de clasificare și taxonomii comune sau standardizate în legătură cu:
a) procedurile de gestionare a incidentelor;
b) gestionarea crizelor;
c) divulgarea coordonată a vulnerabilităților, în temeiul art. 36.
(5) Pachetul minim de servicii de tip CSIRT trebuie să acopere cel puțin funcțiile și controalele sau elementele aferente funcțiilor, de prioritate medie și înaltă, așa cum sunt definite de standardele și cadrele sau platformele recunoscute la nivel internațional în domeniul răspunsului la incidente și al managementului riscului de securitate cibernetică, ce vor fi precizate și actualizate periodic prin ordin al Directorului DNSC.












(1) CSIRT-urile au următoarele responsabilități:
a) monitorizarea și analiza amenințărilor cibernetice, a vulnerabilităților și a incidentelor la nivel național și, la cerere, acordarea de asistență entităților esențiale și entităților importante implicate cu privire la monitorizarea rețelei lor și a sistemelor lor informatice în conformitate cu necesitățile acestora;
b) asigurarea unor mecanisme de avertizare timpurii, alerte, anunțuri și diseminare de informații către entitățile esențiale și entitățile importante, precum și către autoritățile competente și alte părți interesate relevante cu privire la amenințări cibernetice, vulnerabilități și incidente în timp aproape real;
c) răspunsul la incidente și acordarea de asistență entităților esențiale și entităților importante implicate, după caz;
d) colectarea și analiza datelor și furnizarea de analize dinamice de risc și de incident și conștientizarea situației în materie de securitate cibernetică;
e) furnizarea, la cererea unei entități esențiale sau a unei entități importante, a unei scanări de securitate a rețelelor și sistemelor informatice ale entității implicate pentru a detecta vulnerabilitățile cu un impact potențial semnificativ;
f) participarea la implementarea unor instrumente securizate de schimb de informații, în conformitate cu art. 20.
(2) Scanările prevăzute la alin. (1) lit. e) sunt neintruzive și se efectuează pentru a detecta rețelele și sistemele informatice vulnerabile sau configurate în mod nesigur și nu aduc niciun efect negativ funcționalității serviciilor entităților în cauză.












Explore our comprehensive resources and improve your security with the themes of this framework.
Discover specific ways our platform streamlines your ISO 27001 compliance process, from automated controls to audit preparation.
Explore use caseTake our comprehensive assessment to identify gaps in your current implementation and get personalized recommendations.
Start assessmentDive deeper with our articles, case studies, and expert insights on framework implementation.
Read articleGet a concise overview of all requirements, controls, and implementation steps in our quick guide.
Get the guideSee how the overlap and differences with any other framework to optimize your compliance strategy.
Compare frameworkParticipate in expert-led sessions covering implementation strategies, common pitfalls, and best practices for compliance.
Register for webinarParticipate in expert-led sessions covering implementation strategies, common pitfalls, and best practices for compliance.
Register for webinarUnderstand the basics of cyber security frameworks with our comprehensive guide.
Read the articleWhen building an ISMS, it's important to understand the different levels of information hierarchy. Here's how Cyberday is structured.
Sets the overall compliance standard or regulation your organization needs to follow.
Break down the framework into specific obligations that must be met.
Concrete actions and activities your team carries out to satisfy each requirement.
Documented rules and practices that are created and maintained as a result of completing tasks.
