Capitolul III — Condiții și cerințe pentru auditorii de securitate cibernetică

(1) Constituie incompatibilități următoarele activități desfășurate de către un auditor de securitate cibernetică:

(2) Auditul de securitate se realizează numai de auditori de securitate cibernetică, atestați de CERT-RO, în calitate de autoritate competentă la nivel național, potrivit standardelor și specificațiilor europene și internaționale aplicabile în domeniu, în baza unor tematici de audit stabilite în conformitate cu normele tehnice în vigoare privind cerințele minime de asigurare a securității rețelelor și sistemelor informatice aplicabile operatorilor de servicii esențiale, respectiv furnizorilor de servicii digitale și după încheierea unui contract de audit.

(3) Auditul de securitate realizat în conformitate cu prevederile alin. (2) este un audit de securitate care se poate realiza și la solicitarea autorității competente la nivel național și reprezintă un audit de securitate în condițiile Legii NIS.

(4) Pentru desfășurarea auditului de securitate, auditorii de securitate cibernetică se pot organiza și pot funcționa și în echipe de audit de securitate.

(5) În cazul efectuării auditului de securitate la un operator de servicii esențiale sau furnizor de servicii digitale de către un auditor care nu deține atestat sau care are atestatul suspendat/revocat, auditul este considerat ca fiind efectuat în afara condițiilor Legii NIS, iar raportul de audit de securitate nu este acceptat de către autoritatea competentă la nivel național.

(1) Pe timpul auditului de securitate, un auditor de securitate cibernetică poate desfășura una sau mai multe activități de audit menționate la art. 5 alin. (1).

(2) În desfășurarea unei activități de audit de securitate, auditorul de securitate cibernetică trebuie:

(1) Auditorii de securitate cibernetică sunt obligați să respecte Codul etic al auditorului de securitate cibernetică prezentat în anexa nr. 13.

(2) După obținerea atestatului de auditor de securitate cibernetică, auditorul de securitate cibernetică va lua act de codul etic și va semna, olograf sau digital, declarația/ angajamentul privind respectarea Codului etic al auditorului de securitate cibernetică prevăzut(ă) la art. 10 din anexa nr. 13 și o/îl va înainta la CERT-RO, autoritatea competentă la nivel național, în maximum 10 zile de la emiterea atestatului, folosind unul dintre modurile de transmitere prezentate la art. 7 alin. (4).

(3) Nesemnarea și/sau netransmiterea declarației/ angajamentului duce, după caz, la suspendarea atestatului după a 11-a zi de la emiterea atestatului, dar nu mai mult de 30 de zile sau la revocarea după cea de a 31-a zi de la emiterea atestatului.

(1) Pentru realizarea auditului de securitate, auditorul de securitate cibernetică poate să se asocieze cu alți auditori de securitate cibernetică pentru a asigura pe deplin și sub toate aspectele activitățile de audit pentru care se încheie contractul cu operatorul economic. În acest sens, pentru fiecare contract trebuie să se asigure că auditorii de securitate desemnați au calitățile și abilitățile necesare. Fiecare auditor trebuie să dețină un atestat valabil eliberat de autoritatea competentă la nivel național pentru activitățile de audit pe care le efectuează.

(2) În vederea îmbunătățirii abilităților și îndeplinirii în bune condiții a activităților de audit, auditorul de securitate cibernetică trebuie să participe, periodic, la activități de pregătire și dezvoltare a capacităților profesionale prin seminare, prezentări și exerciții tehnice, cursuri de pregătire etc.

(3) Auditorul de securitate cibernetică este responsabil pentru metodele, instrumentele (software sau hardware) și tehnicile utilizate pe timpul auditului de securitate, precum și pentru utilizarea corectă a acestora (precauții pentru utilizare, controlul configurației etc.) în efectuarea activităților de audit. În acest sens trebuie:

(1) Auditorul de securitate cibernetică trebuie să protejeze informațiile referitoare la auditul de securitate și, în special, dovezile, constatările și rapoartele.

(2) Auditorul de securitate cibernetică trebuie să ia toate măsurile tehnice și organizatorice în vederea protejării tuturor informațiilor referitoare la activitatea de audit la nivel de procesare restricționată.

(3) Auditorul de securitate cibernetică trebuie să implementeze un sistem de management al securității informației (SMSI) în vederea protejării tuturor informațiilor privitoare la auditurile de securitate efectuate, indiferent de forma în care sunt prezentate (de exemplu: verbal, pe hârtie sau în orice altă formă), inclusiv, dar fără a se limita la date, informații personale, proprietatea intelectuală, parole, informații cu privire la operatorii economici auditați, personalul, rețelele și sistemele informatice ale acestuia, precum și informațiile care nu sunt încă publice cu privire la activitățile de audit desfășurate etc.

(1) Auditorul de securitate cibernetică trebuie să cunoască legislația română în vigoare, aplicabilă auditului de securitate cibernetică.

(2) Auditorul de securitate cibernetică trebuie să aibă abilități de scriere, raportare și sinteză și să știe să se exprime oral întrun mod clar și ușor de înțeles, în limba română.

(3) Auditorul de securitate cibernetică trebuie să își îmbunătățească în mod regulat abilitățile, inclusiv prin monitorizarea activă a standardelor profesionale, metodologiilor, tehnicilor și instrumentelor utilizate în timpul activităților de audit desfășurate.

(1) Auditorul de securitate cibernetică trebuie să stăpânească cele mai bune practici și metodologii de audit în conformitate cu lista standardelor și specificațiilor europene și internaționale.

(2) Auditorul de securitate cibernetică trebuie să presteze activitatea de audit în conformitate cu cerințele stabilite în prezentul regulament.

(3) Auditorul de securitate cibernetică trebuie să aibă abilitățile/competențele cerute de tipurile de activități de audit și de funcțiile îndeplinite pe timpul unui audit de securitate, astfel cum sunt definite în anexa nr. 6.

(1) Auditorul de securitate cibernetică trebuie să dețină expertiză în domeniul auditului de securitate cibernetică, ce va fi certificată prin deținerea unei certificări profesionale conform listei din anexa nr. 5 sau, alternativ, prin absolvirea unui/unei examen/evaluări al/a expertizei privind securitatea cibernetică.

(2) Pentru desfășurarea activităților de audit de securitate, auditorul de securitate cibernetică trebuie să aibă experiență în domeniu, respectiv să îndeplinească cel puțin una dintre cerințele de mai jos:

(3) Examinarea/Evaluarea solicitantului de atestat de auditor de securitate cibernetică se realizează la sediul CERT-RO sau în centre de formare și furnizare de servicii de formare pentru auditorii de securitate cibernetică de către o comisie de evaluare desemnată de către CERT-RO, în calitate de autoritate competentă la nivel național.

(4) Modul de organizare și desfășurarea examinării/evaluării expertizei în domeniul auditului de securitate cibernetică se va aproba prin Normele referitoare la autorizarea formatorilor și furnizorilor de servicii de formare pentru auditorii de securitate cibernetică și membrilor echipelor CSIRT.

(1) Auditorul de securitate cibernetică ce va efectua un audit de securitate trebuie să aibă semnat un contract:

(2) Auditorul de securitate cibernetică care efectuează individual un audit de securitate nu se supune regulilor de la alin. (1).