AUTORITATEA DE SUPRAVEGHERE FINANCIAR

NORM
privind gestionarea riscurilor operaionale generate de sistemele informatice utilizate de
entitile reglementate, autorizate/avizate i/sau supravegheate de Autoritatea de
Supraveghere Financiar
n temeiul prevederilor art. 3 alin. (1) lit. b), art.5, art. 6 alin. (2) i ale art. 14 din
Ordonana de urgen a Guvernului nr. 93/2012 privind nfiinarea, organizarea i funcionarea
Autoritii de Supraveghere Financiar, aprobat cu modificri i completri prin Legea nr.113/2013,
cu modificrile i completrile ulterioare;
n urma deliberrilor Consiliului Autoritii de Supraveghere Financiar din cadrul edinei
din data de 18 martie 2015,
Autoritatea de Supraveghere Financiar emite urmtoarea norm:

CAPITOLUL I
Dispoziii generale
Art. 1. (1) Prezenta norm stabilete cerinele la nivelul entitilor autorizate/avizate,
reglementate i/sau supravegheate de ctre Autoritatea de Supraveghere Financiar, denumit
n continuare A.S.F., pentru identificarea, prevenirea i reducerea impactului potenial negativ
al riscurilor operaionale generate de utilizarea tehnologiei informaiei i comunicaiilor la
nivel de oameni, procese, sisteme i mediu extern, inclusiv de fapte ce in de criminalitatea
informatic.
(2) Prezenta norm stabilete activiti i operaiuni pentru evaluarea, supravegherea i
controlul riscurilor operaionale generate de utilizarea sistemelor informatice i ale securitii
informatice.
Art. 2. - Prezenta norm se aplic urmtoarelor categorii de entiti autorizate/avizate,
reglementate i/sau supravegheate de A.S.F, denumite n continuare entiti:
a) operatori de pia/operatori de sistem;
b) societi de administrare a investiiilor (SAI), organisme de plasament colectiv
(OPC i AOPC) care se autoadministreaz, dup cum urmeaz:
1. Societi cu active nete n portofoliu/administrate n valoare total,
cumulat pentru toate fondurile administrate, de peste 250 milioane
euro, echivalent lei;
2. Societi cu active nete n portofoliu/administrate n valoare total,
cumulat pentru toate fondurile administrate, de pn la 250 milioane
euro, echivalent lei;
c) depozitari centrali, case de compensare/contrapri centrale;
1/22

d) intermediari - societi de servicii de investiii financiare (S.S.I.F.) ncadrate la art. 6

alin. (1) din Legea nr. 297/2004 privind piaa de capital, cu modificrile i
completrile ulterioare, sucursale ale intermediarilor din state nemembre i instituii
de credit din Romnia autorizate de Banca Naional a Romniei n conformitate cu
legislaia bancar i nscrise n Registrul public al A.S.F. n calitate de intermediar,
i anume:
1. intermediari care au calitatea de operator independent;
2. intermediari care presteaz servicii conexe, prevzute la art.5 alin. (11) lit. a)
din Legea nr.297/2004, cu modificrile i completrile ulterioare;
3. intermediari care folosesc faciliti de tranzacionare prin Internet
(ADP/AS) platforme de preluare i transmitere a ordinelor clienilor;
4. intermediari care au calitatea de market makeri i/sau furnizori de
lichiditate;
5. intermediari care tranzacioneaz pe cont propriu i nu se ncadreaz n
categoriile de la pct. 1-4;
6. intermediari care nu tranzacioneaz pe cont propriu i nu se ncadreaz n
categoriile de la pct. 1-4;
e) traderi;
f) Fondul de compensare a investitorilor;
g) societi de asigurare/reasigurare;
h) brokeri de asigurare/reasigurare;
i) entiti care desfoar activitatea de depozitare a activelor organismelor de
plasament colectiv i a fondurilor de pensii private;
j) societi de administrare a fondurilor de pensii private.
Art. 3. - Termenii i expresiile utilizate n prezenta norm au nelesul prevzut n
anexa nr. 1.
Art. 4. (1) Prevederile prezentei norme se aplic de ctre entiti n funcie de
categoria de risc stabilit de A.S.F conform art. 6 alin.(1) i, respectiv, n funcie de rezultatul
evalurii interne a riscurilor, pe baza celor mai bune practici n domeniu.
(2) Categoria de risc corespunztoare fiecrui tip de entitate este stabilit de ctre
A.S.F. n funcie de natura, dimensiunea i complexitatea activitii acesteia, precum i de
riscurile pe care le poate induce, respectiv de impactul asupra activitii, n conformitate cu
prevederile art. 6 alin.(1).
(3) Entitile vor participa la colectarea, analizarea, monitorizarea i raportarea
evenimentelor de securitate informatic, n cadrul sistemului dezvoltat de A.S.F..
Art. 5. (1) Entitile evalueaz anual i monitorizeaz continuu riscurile operaionale
generate de utilizarea sistemelor informatice, prioritizeaz resursele, implementeaz msuri de
securitate informatic i monitorizeaz eficacitatea acestora prin aplicarea managementului de
risc.

2/22

(2) Modalitatea de implementare a msurilor de securitate informatic este stabilit de

fiecare entitate, n funcie de profilul de risc, de riscurile identificate, de incidentele aprute,
n conformitate cu cerinele legale aplicabile.
CAPITOLUL II
ncadrarea entitilor n categorii de risc
Art. 6. (1) n scopul prezentei norme, entitile prevzute la art. 2 se includ n patru
categorii de risc: risc major, risc important, risc mediu, risc sczut, dup cum
urmeaz:
a) entitile prevzute la art. 2 lit. a), c) i lit. d) pct. 1 reprezint entiti ncadrate n
categoria de risc major;
b) entitile prevzute la art. 2. lit. d) pct. 2, 3 i 4, lit. g) i i) reprezint entiti
ncadrate n categoria de risc important;
c) entitile prevzute la art. 2 lit. b) pct. 1, lit. d) pct. 5 i lit. f) reprezint entiti
ncadrate n categoria de risc mediu;
d) entitile prevzute la art. 2 lit. b) pct. 2, lit. d) pct. 6, lit.e) i h) reprezint entiti
ncadrate n categoria de risc sczut.
(2) Entitatea care presteaz mai multe tipuri de activiti autorizate de ctre A.S.F.,
ncadrndu-se astfel n mai multe categorii de risc dintre cele menionate la alin (1), va
respecta obligaiile instituite pentru fiecare activitate autorizat n parte.
(3) Societile de administrare a fondurilor de pensii private vor fi ncadrate individual
n categorii de risc, conform prevederilor art. 44 alin. (4) lit. e) i ale art. 51 din Norma
Consiliului
Autoritii
de
Supraveghere
Financiar
nr. 3/2014 privind controlul intern, auditul intern i administrarea riscurilor n sistemul de
pensii private.
(4) ncadrarea, respectiv rencadrarea entitilor menionate la art.2 lit.b) se realizeaz
la nceputul fiecrui an, n baza valorii totale a activelor n portofoliu/administrate din ultima
zi lucrtoare a anului anterior.
(5) ncadrarea, respectiv rencadrarea entitilor menionate la art.2 lit.d) se realizeaz
la nceputul fiecrui an, n baza activitii autorizate de A.S.F i a deinerii calitii de market
maker/furnizor de lichiditate n ultima zi lucrtoare a anului anterior.
CAPITOLUL III
Activitile desfurate de entiti
Art. 7. (1) Entitile desfoar cel puin activitile obligatorii corespunztoare
fiecrei categorii de risc prevzute la art. 6 alin (1), conform tabelului din anexa nr. 2.
(2) n termen 90 de zile de la publicarea prezentei norme n Monitorul Oficial al
Romniei, Partea I, A.S.F. va elabora i publica pe site-ul propriu ghidul de ndrumare care
cuprinde detalii i parametrii referitori la modalitatea de implementare a activitilor
obligatorii menionate la alin. (1). Acest ghid are un caracter orientativ i poate fi actualizat de
A.S.F. n funcie de bunele practici n materie.
3/22

Art. 8. (1) Raportat la activitatea desfurat entitile se asigur c sistemele

informatice utilizate ndeplinesc cel puin urmtoarele cerine:
a) asigur integritatea, confidenialitatea, autenticitatea, disponibilitatea datelor n
concordan cu categoria de risc a sistemului informatic definit intern de ctre
entitate, precum i prelucrarea acestora n conformitate cu reglementrile A.S.F.,
lund n considerare posibilitatea actualizrii acestora, n funcie de modificrile
intervenite n legislaia incident;
b) asigur respectarea coninutului de informaii prevzut n formularele de raportare
corespunztoare entitilor, aa cum sunt prevzute n legislaia specific, precum i
alte raportri solicitate prin reglementrile A.S.F.;
c) asigur reconstituirea rapoartelor i informaiilor supuse verificrii;
d) asigur stocarea i pstrarea datelor nregistrate i jurnalizate de ctre sistemele de
tranzacionare i back-office pentru o perioad de timp n conformitate cu legislaia
aplicabil n vigoare. Sistemul de pstrare a datelor trebuie s asigure posibilitatea
ca aceste date s poat fi transmise sau puse la dispoziia A.S.F. la cerere;
e) asigur posibilitatea de restaurare a datelor arhivate pe suport digital extern, precum,
dar fr a se limita la, informaii, date introduse, situaii financiare sau alte
documente;
f) asigur elemente de identificare a datelor supuse prelucrrii sau verificrii.
Sistemele informatice asigur identificarea exact a timpului la care au fost
efectuate nregistrrile i identificarea utilizatorilor sistemului la acel moment;
g) asigur confidenialitatea i protecia informaiilor i a programelor prin parole,
coduri de identificare pentru accesul la informaii, precum i realizarea de copii de
siguran pentru programele i informaiile deinute;
h) asigur mecanisme de securitate i control al sistemelor informatice, pentru
pstrarea n siguran a datelor i informaiilor stocate, a fiierelor i bazelor de date,
inclusiv n situaia unor evenimente de risc.
(2) Sistemele informatice care ofer intermediarilor i clienilor lor accesul la
platforme electronice de tranzacionare, precum i cele care evideniaz operaiuni de
compensare, decontare i registru pentru instrumente financiare i operaiuni cu aceste
instrumente, asigur cel puin, fr a se limita la:
a) securitatea i integritatea datelor procesate prin folosirea unei modaliti de
securizare, att asupra datelor trimise ctre platformele electronice de
tranzacionare i ctre cele de compensare, decontare i registru, ct i asupra
datelor recepionate de la aceste sisteme;
b) mecanisme care s garanteze nerepudierea datelor transmise i recepionate;
c) jurnalizarea n timp real a informaiei despre ordinele transmise spre executare, a
strii acestor ordine, respectiv a modificrilor care se aduc acestor ordine n
decursul existenei lor de ctre clienii i intermediarii care utilizeaz aceste sisteme
informatice;
d) mecanisme de nerepudiere a integritii nregistrrii operaiunilor de sistem
informatic.

4/22

CAPITOLUL IV
Auditarea i testarea sistemului informatic
Seciunea 1
Auditul informatic
Art. 9. - (1) Entitile ncadrate la categoria de risc major au obligaia de a audita
extern sistemul informatic utilizat, cu periodicitate anual.
(2) Entitile ncadrate la categoria de risc important au obligaia de a audita, extern
sau cu resurse interne certificate, sistemul informatic utilizat, o dat la 2 ani.
(3) Entitile ncadrate la categoria de risc mediu au obligaia de a audita, extern sau cu
resurse interne certificate, sistemul informatic utilizat, o dat la 3 ani.
(4) Entitile ncadrate la categoria de risc sczut au obligaia de a audita, extern sau cu
resurse interne certificate, sistemul informatic utilizat, o dat la 4 ani.
(5) A.S.F. este ndreptit s instituie n sarcina entitii obligaia auditrii externe a
sistemului informatic pentru activitile solicitate de ctre A.S.F dac:
a) n urma constatrilor rezult c o entitate nu a desfurat toate activitile minime
obligatorii categoriei de risc n care aceasta se ncadreaz, conform prevederilor
art.7 sau activitile desfurate au un caracter formal;
b) A.S.F apreciaz c se impune efectuarea unor investigaii suplimentare ale
sistemelor informatice.
(6) Instituirea de ctre A.S.F. a obligaiei de auditare a sistemului IT conform alin.(5),
este nsoit de termenul pn la care entitatea este obligat s transmit la A.S.F.
raportul de audit, iar acest termen nu poate s depeasc 90 de zile lucrtoare.
(7) Auditul extern se efectueaz n baza unui contract ncheiat ntre entitatea care a
solicitat auditarea i unul dintre auditorii IT avizai de A.S.F conform prevederilor art.10
alin. (2). Entitile nu pot contracta auditul IT cu acelai auditor IT pentru mai mult de 3
auditri obligatorii consecutive dintre cele prevzute la alin. (1) (4).
(8) Contractul de audit IT prevzut la alin. (7) cuprinde n mod obligatoriu clauze cu
privire la la faptul c auditorul IT are obligaia de a respecta cerinele necesare efecturii
auditului sistemului informatic, n conformitate cu prevederile prezentei norme i cu bunele
practici n domeniu.
(9) Contractul menionat la alin. (7) trebuie s conin o clauz expres prin care
auditorul se oblig s notifice n cel mai scurt timp posibil i n scris A.S.F. cu privire la orice
fapt sau act n legtur cu sistemul informatic i de comunicaii utilizat de entitate i care:
a) este de natur s afecteze continuitatea activitii entitii auditate;
b) poate conduce la o opinie de audit cu rezerve, la imposibilitatea exprimrii unei
opinii profesionale sau la o opinie negativ.
(10) Contractul prevzut la alin. (7) trebuie s conin o clauz expres prin care, la
solicitarea scris a A.S.F., auditorul se oblig s prezinte A.S.F.:
a) orice raport sau document ce a fost adus la cunotina entitii auditate;
b) o declaraie care s indice motivele de ncetare a contractului de audit, indiferent de
natura acestora;
5/22

c) orice alte informaii sau documente solicitate n legtur cu activitatea de audit IT la

care s-a angajat conform contractului.
(11) Respectarea prevederilor alin. (9) i (10) nu contravine dispoziiilor Codului
privind conduita etic i profesional n domeniul auditului financiar, nu constituie o nclcare
a niciunei restricii privind divulgarea de informaii i nu va atrage niciun fel de rspundere
asupra persoanei n cauz. Clauza de confidenialitate nu este opozabil A.S.F..
Art. 10. (1) Auditorul IT extern, care intenioneaz s presteze servicii pentru
entitile crora le sunt incidente prevederile prezentei norme, are obligaia obinerii avizului
A.S.F..
(2) n vederea obinerea avizului A.S.F., auditorul IT extern depune la A.S.F. o cerere
mpreun cu documentaia care trebuie s cuprind urmtoarele, dup caz:
a) datele de identificare ale auditorului:
(i) numele complet/denumirea i adresa/sediul (adresa complet - strad,
numr, bloc, scar, etaj, apartament, ora, jude/sector, cod potal);
(ii) datele nregistrrii fiscale;
(iii) adresa unde i desfoar activitatea;
(iv) telefon/fax, e-mail, adresa paginii de internet;
(v) dovada experienei i a specializrii pe domeniul de audit al
sistemelor informatice;
b) numele i prenumele auditorului persoan fizic certificat i a reprezentantului
societii, care vor semna raportul de audit, mpreun cu urmtoarele documente:
(i) copia actului de identitate a auditorului;
(ii) curriculum vitae al auditorului, datat i semnat, cu prezentarea
experienei profesionale;
(iii) copia certificatului de auditor IT, semnat pentru conformitate cu
originalul;
(iv) certificatul de cazier judiciar i certificatul de cazier fiscal, n
original, aflate n termenul de valabilitate;
c) copia contractului/poliei de asigurare de rspundere civil profesional a
auditorului IT, pentru suma asigurat de minimum 100.000 euro;
d) copia documentului de plat a tarifului de nscriere n Registrul public al A.S.F.
(3) Avizarea i nscrierea auditorului IT n Registrul public al A.S.F. sau refuzul
avizrii, motivat, se realizeaz n termen de maximum 30 de zile calendaristice de la primirea
dosarului complet al solicitantului. Refuzul motivat se transmite auditorului IT. Orice
modificare a documentaiei prevzute la alin. (2) trebuie transmis A.S.F. n termen de
maximum 30 de zile calendaristice de la data modificrii.
(4) A.S.F. retrage avizul auditorului IT extern n oricare dintre urmtoarele cazuri:
a) la cerere;
b) n cazul lichidrii sau la declanarea insolvenei;
c) n cazul nerespectrii, n mod repetat, a prevederilor alin.(3), teza aIII-a;
d) n cazul nerespectrii prevederilor art. 9 alin. (9) i (10), precum i n cazul
nerespectrii obligaiilor stabilite n sarcina sa de prezenta norm;
e) din alte cauze prevzute de legislaia n vigoare.
6/22

(5) Pentru toate situaiile menionate la alin (4) lit. c)-e), A.S.F. va transmite
auditorului IT extern o notificare prealabil prin care se aduc la cunotin faptele pentru care
se va proceda la retragerea avizului A.S.F.
(6) Entitile adopt toate msurile necesare pentru evitarea conflictelor de interese ce
pot interveni n desfurarea activitii de audit IT.
(7) Activitatea de audit trebuie s fie independent fa de activitatea auditat, pentru a
nu fi compromis obiectivitatea activitii de audit. Auditorii trebuie s fie independeni i
obiectivi n toate aspectele legate de misiunea de audit.
(8) Entitile, inclusiv cele care efectueaz auditul IT cu resurse interne certificate,
sunt obligate s furnizeze auditorului informaii complete, corespunztoare, relevante i n
timp util, pentru a permite efectuarea n bune condiii a activitii de audit IT.
(9) La finalizarea auditului IT, auditorii IT au obligaia de a ntocmi un raport de audit
care s cuprind cel puin urmtoarele elemente:
a) titlul raportului, identificarea i descrierea entitii auditate, respectiv beneficiarul
raportului;
b) destinatarii raportului i orice restricii privind coninutul i circulaia raportului;
c) domeniul auditat, obiectivele activitii, perioada auditat;
d) natura, cronologia i gradul de acoperire al procedurilor de audit efectuate;
e) orice calificare de opinie sau limitare a ariei acoperite de audit;
f) datele de identificare ale membrilor echipei de audit, care cuprind cel puin numele
i prenumele, telefon, fax, e-mail i adresa unde i desfoar activitatea;
g) semntura coordonatorului certificat al echipei de audit i semntura
reprezentantului legal al auditorului persoan juridic;
h) locul auditrii;
i) data raportului;
j) descrierea ariei auditului, incluznd:
(i) descrierea sistemelor auditate;
(ii) msurile organizatorice: politicile aplicabile i procedurile
implementate;
(iii) identificarea aplicaiilor utilizate i a persoanelor implicate;
(iv) componentele sistemelor informatice utilizate;
(v) un sumar coninnd analiza riscurilor aferente activitii, a
posibilelor deficiene ale sistemului informatic auditat i a msurilor
de reducere a riscurilor asociate, n baza controalelor generale sau
specifice implementate conform prezentei norme;
(vi) referire cu privire la corectitudinea raportrilor efectuate n
conformitate cu art. 14 alin. (4) aferente perioadei dintre dou
activiti de auditare IT;
(vii) descrierea modului prin care s-a efectuat atacul etic/testul de
penetrare, n cazul entitilor care sunt obligate s efectueze teste de
penetrare conform tabelului din anexa nr. 2.
k) concluziile detaliate ale echipei de audit privind ndeplinirea cerinelor prevzute la
art. 5, 8, 11, 12 i 13, pentru fiecare cerin, cu meniunea: DA/NU, precum i
motivaia, n cazul nerespectrii acesteia;
7/22

l) afirmaia de conformitate, reflectat prin opinia pozitiv cu privire la conformarea

parial/total referitoare la obiectivele auditului, indicnd punctele care trebuie
mbuntite, reflectate prin opinia cu rezerve/calificat, sau de nendeplinire a
obiectivelor testate/auditate, reflectat prin opinia negativ;
m) o anex la raportul de audit IT, nsuit de entitatea auditat prin semnarea acesteia
de ctre un reprezentant legal al entitii, coninnd:
(i) constatrile i concluziile;
(ii) neconformitile, lipsa controalelor sau controale ineficiente;
(iii) importana neconformitii sau deficienei de control;
(iv) probabilitatea ca aceste constatri s aib un impact semnificativ i
riscuri asociate;
(v) recomandrile pentru aciuni corective i rspunsul conducerii
entitii auditate pentru fiecare constatare din raport, inclusiv
termenul de aplicare;
(vi) rezultatul obinut la atacul etic/testul de penetrare, n cazul
entitilor care sunt obligate s efectueze teste de penetrare conform
tabelului din anexa nr. 2.
n) declaraia pe proprie rspundere a auditorului IT cu privire la faptul c auditul a fost
efectuat n conformitate cu prezenta norm i cu standardele de audit n vigoare la
momentul realizrii auditului, cu menionarea acestora;
o) declaraia pe propria rspundere a auditorului IT extern, cu privire la faptul c
acesta nu se afl n relaii cu entitatea auditat sau cu angajaii entitii care ar putea
s i afecteze independena sau obiectivitatea activitii de audit.
Seciunea a 2-a
Cerine referitoare la furnizorii externi i furnizorii de servicii IT externalizate pentru
sistemele informatice importante
Art. 11. - (1) Entitile se asigur c, pentru sistemele informatice importante,
furnizorii de servicii IT externalizate, inclusiv prin externalizrile n lan, cu excepia
furnizorilor de servicii de comunicaii, a celor de hardware i de licene software, raportat
strict pentru activitatea externalizat:
a) respect aceleai cerine de auditare ca i cele solicitate entitii prin prezenta norm;
b) prezint, la solicitarea A.S.F., modalitatea prin care sunt ndeplinite cerinele
adresate entitii prin prezenta norm;
c) permit A.S.F. i auditorului IT s verifice i/sau s auditeze sistemele sale
informatice conform prezentei norme.
(2) Orice externalizare se realizeaz cu respectarea prevederilor legale aplicabile
incidente sectorului de activitate.
(3) n situaiile n care nu exist alte prevederi legale aplicabile sectorului respectiv de
activitate, pentru externalizarea unor servicii IT i n toate cazurile n care sunt utilizate
serviciile unor furnizori externi, definii la pct.28 din anexa nr. 1, entitatea are obligaia de a
notifica A.S.F., furnizorul extern sau furnizorul de servicii IT externalizate n termen de 10
8/22

zile lucrtoare de la momentul ncheierii contractului cu acesta, exclusiv pentru sistemele

informatice importante.
(4) Notificarea prevzut la alin. (3) trebuie s includ urmtoarele informaii i
documente anexate, dup caz:
a) descrierea serviciilor furnizate /externalizate;
b) datele de identificare ale furnizorului:
(i) sediul societii, respectiv adresa complet - strad, numr, bloc,
scar, etaj, apartament, ora, jude/sector, cod potal, dup caz;
(ii) datele nregistrrii fiscale;
(iii) telefon/fax, e-mail, pagina de internet;
c) certificri n funcie de tipul serviciului sau activitii desfurate:
(i) SR ISO/IEC 27001 sau certificri pentru standarde echivalente;
(ii) pentru furnizarea i dezvoltarea de programe informatice software certificri aferente;
(iii) pentru furnizarea de servicii externalizate - certificri aferente,
(iv) pentru furnizarea de servicii de gzduire sau externalizare prin
intermediul centrelor de date condiii tehnice conform TIA-942
nivel 2 sau echivalent;
(v) pentru furnizarea de servicii de arhivare electronic prin centre de
date autorizare conform prevederilor legale;
(vi) pentru furnizarea de servicii externalizate de tip cloudcomputing
public se prezint certificate specifice activitilor externalizate.
(5) n cazul modificrii unor informaii sau documente, copia sau originalul
documentelor modificate se va depune la A.S.F., n termen de maximum 30 de zile
calendaristice de la data modificrii.
Seciunea a 3-a
Cerine cu privire la testarea sistemelor/programelor informatice importante
Art. 12. - (1) Entitile au obligaia de a identifica toate sistemele/programele
informatice utilizate i de a le evidenia ntr-un registru care trebuie s cuprind:
a) sistemele/programele informatice importante;
b) modificrile sistemelor/ programelor informatice importante;
c) detalii referitoare la modificrile majore ale sistemelor/programelor informatice
importante.
(2) n aplicarea prevederilor alin. (1) lit. c), modificrile majore se refer la:
a) schimbarea integral a sistemelor/programelor informatice importante;
b) externalizarea unor servicii IT;
c) schimbarea proceselor de arhivare electronic, de restaurare sau sincronizare a
bazelor de date.
Art. 13. -(1) Entitile au obligaia s testeze sistemele/programele informatice
importante nainte de prima utilizare i la orice modificare n cadrul ciclului de via al
acestora, indiferent dac sunt realizate cu resurse interne sau de ctre furnizori externi.
9/22

(2) Rezultatul testrilor prevzute la alin. (1) se consemneaz ntr-un raport de testare
IT care cuprinde cel puin urmtoarele elemente:
a) scopul testrii;
b) perioada testrii;
c) descrierea programului testat;
d) identificarea aplicaiilor utilizate i a persoanelor implicate;
e) analiza riscurilor implicate de achiziia sau modificarea programului informatic
important, a posibilelor vulnerabiliti i a msurilor de reducere a riscurilor
asociate prin controale de sistem sau de program informatic;
f) descrierea modului prin care s-au efectuat testele, scenariile de test, eventualele
norme sau standarde aplicate i rezultatul testrii;
g) concluzia echipei de testare;
h) semntura membrilor echipei de testare.
(3) Rapoartele de testare IT se pstreaz la entitate, cel puin pn la urmtoarea
auditare IT, i sunt puse la dispoziia auditorului IT i A.S.F la cerere.
CAPITOLUL V
Cerine de raportare
Art. 14. (1) Entitile au obligaia raportrii evalurii prevzute la art. 5 alin. (1) i
a auditrii prevzute la art. 9, astfel:
a) rezultatul evalurii interne a riscurilor operaionale este transmis A.S.F. anual pn
la 31 martie a anului curent, pentru anul anterior;
b) raportul de audit IT este transmis A.S.F. pn la 30 iunie a anului curent, pentru
perioada supus auditrii, corespunztoare fiecrei categorii de risc prevzute la art.
6 alin. (1).
(2) Entitile depun raportul de audit IT mpreun cu planul de aciune din care s
rezulte modalitatea de remediere a vulnerabilitilor identificate pe parcursul derulrii
activitii de audit IT, dac este cazul.
(3) Rapoartele privind evaluarea intern a riscurilor operaionale prevzute la alin.(1)
lit.a) i rapoartele de audit IT prevzute la alin. (1) lit.b) se depun la A.S.F. pe suport hrtie
sau n format electronic cu semntur electronic extins.
(4) Entitile transmit pn la data de 31 martie a anului curent, pentru anul anterior o
raportare electronic anual cu indicatorii menionai n anexa nr. 3, n msura n care aceti
indicatori sunt aplicabili i sunt afereni sistemelor informatice importante.
(5) Pentru situaiile n care datele referitoare la anumii indicatori nu sunt disponibile
n cazul unei anumite entiti din cauza tipului acesteia, naturii, dimensiunii sau complexitii
activitilor desfurate de aceasta, n celula corespunztoare din raport se va insera acronimul
N/A (neaplicabil).

10/22

CAPITOLUL VI
Contravenii
Art. 15. - Nerespectarea prevederilor prezentei norme de ctre entitile prevzute la
art. 2 constituie contravenie conform prevederilor art. 39 alin. (2) lit. a) din Legea nr.
32/2000 privind activitatea de asigurare i supravegherea asigurrilor, cu modificrile i
completrile ulterioare, respectiv ale art. 272 alin. (1) lit. a) pct. 6, lit b) pct. 5, lit. c) pct. 4, lit.
d) pct. 4, lit. e) pct. 6, lit. f) pct.3, lit. h) pct. 8, lit. j) pct. 17 i lit. k) pct. 3 din Legea nr.
297/2004, cu modificrile i completrile ulterioare, n funcie de tipul entitii.
CAPITOLUL VII
Dispoziii tranzitorii i finale
Art. 16. (1) Cerinele prevzute de prezenta norm sunt puse n aplicare de ctre
entiti, ncepnd cu data de 1 ianuarie 2016, cu excepia prevederilor art.11 referitoare la
furnizorii externi i furnizorii de servicii IT externalizate care se aplic ncepnd cu data de 30
septembrie 2016, iar entitile vor transmite notificrile menionate la art.11 alin.(3) pn la
31 decembrie 2016.
(2) Pn la data de 30 iunie 2016, toate entitile vor transmite A.S.F rezultatul primei
evaluri interne a riscurilor operaionale prevzut la art.14 alin. (1) lit. a), precum i prima
raportare electronic prevzut la art. 14 alin. (4).
(3) ncepnd cu data de 1 ianuarie 2017, toate entitile trebuie s efectueze raportrile
la termenele prevzute la art. 14.
(4) Pentru toate entitile, prima auditare IT se va realiza cel mai trziu pn la data de
31 decembrie 2016.
Art. 17. (1) La data de 30 iunie 2015 se abrog Instruciunea nr. 2/2011 privind
auditarea sistemelor informatice utilizate de entitile autorizate, reglementate i
supravegheate de Comisia Naional a Valorilor Mobiliare, aprobat prin Ordinul Comisiei
Naionale a Valorilor Mobiliare nr. 10/2011, publicat n Monitorul Oficial al Romniei,
Partea I, nr. 118 din 16 februarie 2011, cu modificrile ulterioare.
(2) La data intrrii n vigoare a prezentei norme se abrog:
a) Dispunerea de Msuri a Comisiei Naionale a Valorilor Mobiliare nr.19/20101;
b) art.25 din Normele privind principiile de organizare a unui sistem de control
intern i management al riscurilor, precum i organizarea i desfurarea activitii
de audit intern la asigurtori/reasiguratori, aprobate prin Ordinul Comisiei de
Supraveghere a Asigurrilor nr. 18/2009, publicat n Monitorul Oficial al Romniei,
Partea I, nr. 621 din 16 septembrie 2009, cu modificrile i completrile ulterioare;
c) orice dispoziie contrar prevederilor prezentei norme.
Art. 18. Anexele nr. 1 - 3 fac parte integrant din prezenta norm.
1

Dispunerea de msuri a Comisiei Naionale a Valorilor Mobiliare nr. 19/2010 nu a fost publicat n
Monitorul Oficial al Romniei, Partea I.

11/22

Art. 19. - Prezenta norm se public n Monitorul Oficial al Romniei, Partea I,

precum i n Buletinul A.S.F. i intr n vigoare la data publicrii acesteia.
Preedintele Autoritii de Supraveghere Financiar
Miu NEGRIOIU

Bucureti, 23 martie 2015

Nr. 6

12/22

Anexa nr. 1
DEFINIII I ABREVIERI

1. acord de furnizare a serviciului la parametrii agreai (SLA) - un acord ntre un furnizor

de servicii IT i un client, care descrie unul sau mai multe servicii IT, documenteaz
nivelurile de serviciu int agreate i specific obligaiile furnizorului de servicii IT i ale
clientului;
2. activiti de control informatic - politici, proceduri i practici aplicate pentru atingerea
obiectivelor entitii i pentru ndeplinirea strategiilor de eliminare a riscurilor, concepute
pentru atingerea fiecrui obiectiv de control pentru eliminarea riscului identificat;
3. arhivare electronic - stocarea documentelor n format digital;
4. ameninri - capaciti, strategii, intenii sau planuri ce pericliteaz infrastructurile,
materializate prin atitudini, gesturi, acte sau fapte cu impact asupra securitii activitii
entitilor i a integritii sectorului n care activeaz;
5. analiz de risc - analiza scenariilor de ameninri semnificative, pentru a evalua
probabilitatea materializarii acestora i impactul potenial pe care un astfel de eveniment
l-ar avea asupra entitatii si operatiunilor acesteia;
6. angajai/persoane cheie persoane cu funcii de conducere/persoane relevante/persoane
semnificative care au atribuii i rspunderi cu privire la planificarea, conducerea i
controlarea activitilor entitii;
7. atac etic/test de penetrare - test al sistemelor informatice realizat printr-o simulare a unui
atac real asupra reelelor, sistemelor i programelor informatice utilizate de entitatea
testat sau auditat, dup caz;
8. audit informatic (audit IT) - activitatea de colectare i evaluare a unor probe pentru a
determina dac sistemul informatic respect parametrii de performane i de lucru
conform cerinelor de proiectare, asigur funcionalitile necesare cerinelor de afaceri i
respectarea legislaiei n domeniu, este securizat, menine integritatea datelor prelucrate i
stocate, permite atingerea obiectivelor strategice ale entitii i utilizarea eficient a
resurselor informaionale;
9. auditor (auditor IT) - persoana fizic autorizat care deine certificat de auditor IT sau
persoan juridic cu personal certificat, care deruleaz o activitate de auditare a
sistemelor informatice, conform reglementrilor i a bunelor practici n domeniu;
10. audit IT cu resurse interne audit care se realizeaz de personal certificat n domeniul
auditrii IT, angajat n cadrul entitii sau n cadrul unei companii din cadrul aceluiai
grup financiar, prin aplicarea prevederilor prezentei norme i a metodologiilor certificate
internaional;
11. baz de date structur de organizare a informaiei ntr-unul sau mai multe domenii de
aplicare, cu scopul de a o face accesibil n permanen ctre utilizatori prin ansamblul de
programe informatice;
12. bune practici activiti sau procese certificate care au fost folosite cu succes n mai
multe organizaii i au cptat o larg recunoatere, precum, SR ISO/IEC 27002, ISO
20.002, cadrul de lucru i metodologiile ISACA COBIT, RiskIT, dar fr a se limita la
acestea;
13/22

13. centru de date - spaiu securizat, dotat cu tehnic de calcul i echipamente de comunicaii
prin intermediul crora se primesc, se stocheaz i se transmit date n form electronic,
care se implementeaz respectnd standardele specifice, utiliznd conceptul de nivel sau
un echivalent al acestuia, precum, dar fr a se limita la, standardele SR EN 50600
(European Standard - Data Centers Facilities and Infrastructures) sau TIA-942
(Telecommunications Industry Association);
14. centru de date de nivel 2 centru de date care indeplinete cerinele TIA-942 tier 2 sau
echivalent i a crui infrastructura prezint caracteristicile de disponibilitate de 99.741%,
circuit dedicat pentru rcire i alimentare cu energie electric, include componente
redundante, include podea nlat, surse nentreruptibile de putere, generator i se
ncadreaz ntr-un numr de maximum 22 ore de nefuncionare pe an.
15. centrul principal de date centru de date care asigur serviciile IT i proceseaz n mod
curent, datele, tranzaciile i operaiunile entitii;
16. CERT/ Echip sau centru de rspuns la incidente de urgen aferente securitii
informatice structur organizaional specializat n vederea colectrii, analizrii,
identificrii, prevenirii i reaciei la incidente cibernetice cu impact semnificativ;
17. ciclu de via - totalitatea stadiilor din viaa unui serviciu IT, a unui element de
configuraie, a unui incident, a unei probleme sau a unei schimbri, fr a se limita la
acestea;
18. cloud computing public infrastructur informatic, cu resurse de calcul configurabile,
care permite furnizarea la cerere de servicii IT i este asigurat prin centre de date publice,
altele dect infrastructura informatic proprie entitii, prin intermediul unui furnizor
extern, ca un ansamblu distribuit de servicii de calcul, programe informatice, acces la
informaii i stocare de date;
19. COBIT / Obiective de Control pentru Tehnologia Informaiilor i Tehnologii Conexe
furnizeaz ndrumare i bun practic pentru managementul controalelor proceselor IT,
fiind publicat de ctre ISACA n colaborare cu IT Governance Institute (ITGI);
20. comunicaii/telecomunicaii sisteme de transmisie, precum i orice alte resurse care
permit transportul semnalelor prin fir, radio, fibr optic sau orice alte mijloace
electromagnetice, precum i tehnologiile utilizate n cadrul proceselor de comunicare,
care presupun existena unui mediu informatic constituit din echipamente hardware,
software specializat, precum i dispozitive electronice de transmisie/recepie date;
21. controale informatice - totalitatea politicilor, procedurilor, practicilor i a structurilor
organizaionale informatice proiectate s ofere o asigurare rezonabil asupra faptului c
obiectivele afacerii vor fi atinse i evenimentele nedorite vor fi prevenite sau detectate i
corectate;
22. date (informatice) - orice reprezentare a unor fapte, informaii sau concepte ntr-o form
care poate fi prelucrat printr-un sistem informatic, incluzndu-se i orice program
informatic care poate determina realizarea unei funcii similare de ctre un sistem
informatic;
23. disponibilitate- capabilitatea unui serviciu IT sau unui element de configuraie IT de a
efectua funciile agreate atunci cnd este necesar acest lucru;

14/22

24. dubla validare/validare dubl - validarea unei aciuni de ctre doi utilizatori sau
existena unei validri informatice duble ce implic un program care verific o anumit
aciune prin metode diferite;
25. externalizare servicii IT - utilizarea de ctre o entitate a unui furnizor extern de servicii
IT, n vederea desfurrii de ctre acesta, pe baz contractual i n mod continuu sau
pentru o perioad, a operaiunilor aferente suportului tehnic sau al procesrii, necesare
desfurrii activitii efectuate n mod obinuit de ctre entitatea n cauz;
26. externalizare n lan - externalizare n cadrul creia furnizorul extern subcontracteaz cu
ali furnizori externi elemente componente ale serviciilor prestate entitii;
27. factori de risc - situaii, mprejurri, elemente, condiii sau conjuncturi interne i externe,
uneori dublate i de aciune, ce determin ori favorizeaz materializarea unei ameninri
la adresa infrastructurilor importante, n funcie de o vulnerabilitate determinat,
genernd efecte de insecuritate;
28. furnizor extern persoan juridic sau fizic autorizat furnizoare de bunuri (precum
hardware, licene software, componente etc) i soluii informatice, care deine expertiz
n domenii specializate, cu respectarea cadrului legal aplicabil;
29. furnizor de servicii IT externalizate persoan juridic sau persoan fizic autorizat cu
obiect de activitate i expertiz n domeniul serviciilor informatice, furnizoare de servicii
informatice n condiiile respectrii cadrului legal aplicabil i a autorizrii primite;
30. hardware - ansamblul elementelor fizice i tehnice cu ajutorul crora datele se pot
culege, verifica, prelucra, transmite, afia i stoca, inclusiv suporturile de memorare a
datelor, precum i echipamentele de calculator auxiliare;
31. incident de securitate eveniment nregistrat i declarat la nivelul entitii privind
securitatea informaiei sau a sistemelor informatice cu o probabilitate semnificativ de
compromitere a operaiunilor i de ameninare a securitii IT a crei consecin a
determinat sau este de natur s determine compromiterea informaiilor sau a sistemelor
informatice;
32. indicatori cheie de performan (KPI) - parametri analitici reprezentativi selectai pentru
monitorizarea unor activiti i procese cheie pentru entiti, oferind o privire de
ansamblu asupra performanei;
33. indicatori cheie de risc (KRI) parametrii care msoar efectiv riscurile aferente
procedurilor i activitilor entitii, furniznd n timp semnalri corespunztoare ale
consecinelor cu efect negativ, care pot genera poteniale pierderi directe sau indirecte;
34. indisponibilitate (ca durat n timp) - intervalul de timp din cadrul perioadei agreat ca
disponibilitate a serviciului, n care un serviciu IT sau o component critic/important a
serviciului nu este disponibil;
35. informaie rezultatul prelucrrii datelor printr-un sistem informatic care sunt baza
pentru asigurarea cunoaterii prin intermediul unor elemente noi n raport cu cunotinele
anterioare i constituie o resurs care trebuie protejat;
36. infrastructura informatic elemente ale bazei tehnico-materiale, pe componente sau ca
sistem care susin culegerea, stocarea i managementul datelor, precum i integrarea,
cutarea i vizualizarea datelor i alte calcule i servicii de procesare a informaiei
utiliznd tehnologii informatice, deinute sau contractate extern de ctre entitate i
necesare bunei funcionri a acesteia;
15/22

37. infrastructur esenial/critic - un sistem informatic sau o component a acestuia care

este esenial pentru meninerea funciilor infrastructurii financiare, a cror perturbare
afecteaz semnificativ buna funcionare a acesteia, cu un impact semnificativ ca urmare a
incapacitii de a menine respectivele funcii;
38. infrastructur important sistem informatic propriu sau externalizat, care asigur
funcionarea activitilor i serviciilor principale ale entitii;
39. integritate pstrarea datelor electronice, digitalizate, nealterate pe timpul comunicaiei
dintre corespondeni sau pe perioada de stocare a datelor;
40. internet reea internaional de calculatoare, format prin interconectarea reelelor
globale (Wide Area Network WAN) independente (particulare, comerciale, academice
sau guvernamentale),destinat facilitrii schimbului de date i informaii ntre utilizatori;
41. ISACA - Asociaia de Audit i Control al Sistemelor Informatice/ Information Systems
Audit and Control Association;
42. SR ISO/IEC 27001 - standard care stabilete cerinele pentru un sistem de management al
securitii informaiei.
43. SR ISO/IEC 27002 - cod de practic internaional pentru managementul securitii
informaiei, avnd specificaia SR ISO/IEC 27001;
44. ISO/IEC 20000 - standard care stabilete cerinele pentru un sistem de management al
serviciilor IT, bazat pe setul de publicaii de bune practici al Bibliotecii pentru
Infrastructura IT / IT Insfrastructure Library - ITIL;
45. managementul schimbrii - procesul responsabil cu controlul ciclului de via al tuturor
schimbrilor pentru a permite implementarea schimbrilor benefice cu minimum de
ntrerupere a serviciilor IT;
46. nerepudiere atribut care s previn posibilitatea unei entiti de a nega o aciune
ntreprins n context informaional;
47. obiectiv de control (informatic) scop i mijloc care se reflect n punctele de control din
care se extrag indicatori cheie de risc;
48. persoane - investitori, brokeri de asigurare, ageni de asigurare, furnizori externi de
servicii, ali teri sau colaboratori ai entitii, angajai proprii - pe perioad nedeterminat,
respectiv determinat; participani la fondurile de pensii private.Entitile vor raporta
defalcat pe fiecare tip de persoane n funcie de specificul activitii proprii;
49. plan de cooperare n domeniul securitii reelelor i a informaiei - plan care stabilete
rolurile organizaionale, obligaiile i rspunderile n cadrul cooperrii, precum i
procedurile de meninere sau de restabilire a funcionrii reelelor i sistemelor
informatice n cazul n care acestea sunt afectate de un risc sau de un incident cibernetic
cu impact semnificativ;
50. portofolii, tranzacii i active - conturile proprii ale investitorilor pe piaa de capital sau
ale clienilor societilor de asigurri; portofolii de investitori, asigurai, operaiuni cu
activele investitorilor, activele proprii ale intermediarului i/sau ale persoanelor relevante;
51. program informatic(aplicaie) - ansamblu de instruciuni care poate fi executate de un
sistem informatic n vederea obinerii unui rezultat determinat;
52. resurse informaionale - totalitatea informaiilor i a documentelor, conform cerinelor
stabilite de legislaia n domeniu;
16/22

53. reea ansamblu de echipamente legate ntre ele prin canale de transmisie, precum, dar
fr a se limita la, o reea de calculatoare;
54. risc de securitate - orice circumstan sau eveniment care are un efect negativ potenial
asupra securitii sistemelor informatice;
55. risc sistemic - riscul de afectare a unei zone importante a sistemului financiar sau a unei
piee financiare, cu potenial de consecine negative serioase pentru piaa intern i
economia real, instabilitate a sistemului financiar, posibil catastrofic, cauzat sau
accentuat de evenimente idiosincratice sau de condiii ale entitilor;
56. riscuri semnificative - riscuri cu impact nsemnat asupra situaiei financiare, patrimoniale
i/sau reputaionale a entitilor;
57. raport de audit IT - instrumentul prin care se comunic scopul auditrii, obiectivele
urmrite, normele/standardele aplicate, perioada acoperit, natura, ntinderea, procedurile,
constatrile i concluziile auditului, precum i orice rezerv pe care auditorul IT o are
asupra sistemului informatic auditat;
58. raport de testare IT - instrumentul prin care se comunic scopul testrii, obiectivele
urmrite, normele/standardele aplicate, perioada acoperit, natura, ntinderea, procedurile,
constatrile i concluziile testrii, precum i orice rezerv pe care echipa de testare o are
asupra sistemului informatic testat;
59. risc aferent tehnologiei informaiei (IT) - subcomponent a riscului operaional care se
refer la riscul actual sau viitor de afectare negativ pe de o parte a profiturilor i
capitalului entitilor sau a investitorilor, participanilor sau asigurailor, pe de alt parte,
determinat de inadecvarea strategiei i politicilor IT, a tehnologiei informaiei i a
procesrii acesteia, din punct de vedere a capacitii de gestionare, integritate,
controlabilitate i continuitate, sau de utilizare necorespunztoare a tehnologiei
informaiei;
60. securitate (cibernetic) - capacitatea unei reele sau a unui sistem informatic, rezultat n
urma aplicrii unui ansamblu de msuri proactive i reactive, de a rezista, la un nivel de
ncredere dat, unei aciuni accidentale sau ruvoitoare care compromite disponibilitatea,
autenticitatea, integritatea sau confidenialitatea datelor stocate sau transmise, ori a
serviciilor conexe oferite de reeaua sau de sistemul informatic respectiv, sau accesibile
prin intermediul acestora;
61. semntur electronic (digital) atribut indispensabil al documentului electronic,
obinut n urma transformrii criptografice a acestuia, cu utilizarea cheii private, conform
prevederilor Legii nr. 455/2001 privind semntura electronic, republicat;
62. serviciu IT combinaie de persoane, procese i tehnologii furnizate n interiorul entitii
sau de ctre un furnizor de servicii IT, care se bazeaz pe folosirea tehnologiei
informaiei i care asigur suportul tehnic necesar desfurrii activitii entitii, i care ar
trebui s fie definit ntr-un acord al nivelului agreat de serviciu (SLA);
63. sistem informatic - ansamblu de elemente intercorelate funcional n scopul automatizrii
obinerii informaiilor necesare activitilor operaionale i manageriale ntr-o entitate,
prin intermediul serviciilor IT, al echipamentelor hardware i produselor software,
proceduri manuale, baze de date i modele matematice pentru analiz, planificare, control
i luarea deciziilor, utiliznd componente de introducere i prelucrare date, componente
de procesare precum servere, calculatoare, sisteme software de operare de baz, programe
17/22

informatice, reele de calculatoare i telecomunicaii, componente de stocare i utilizatori,

fr ca enumerarea s fie limitativ;
64. sistem informatic/program informatic important (aplicaii core business)
sistem/program informatic esenial pentru derularea n bune condiii a activitii
autorizate/avizate de Autoritatea de Supraveghere Financiar i pentru asigurarea
raportrilor ctre A.S.F. sau folosite n activitatea financiar-contabil a entitii;
65. software - toat gama de produse program, care cuprinde cel puin urmtoarele elemente:
sisteme de operare, drivere sau programe informatice;
66. soluie informatic un produs de tip sistem informatic, o combinaie de produse, sau o
combinaie de produse i servicii informatice care sunt furnizate de un productor sau
furnizor de servicii informatice sau de comunicaii;
67. tehnologia informaiei (IT) sau tehnologia informaiei i a comunicaiilor - tehnologia
necesar pentru prelucrarea (procurarea, procesarea, stocarea, convertirea i transmiterea)
informaiei, n particular prin folosirea calculatoarelor electronice i a programelor
corespunztoare;
68. TIA-942- standard ce definete infrastructura unui centru de date, n mod special din
privina sistemului de cablare i al design-ului reelei, dar acoper i locaia, rcirea,
alimentarea cu energie electric i amenajarea sa, precum i considerente legate de
mediu;
69. vulnerabiliti - stri de fapt, procese i/sau fenomene care diminueaz capacitatea de
reacie a sistemelor informatice la riscurile existente ori poteniale sau care favorizeaz
apariia i dezvoltarea lor, cu consecine n planul funcionalitii i utilitii.

18/22

Anexa nr. 2
Activiti desfurate de ctre entiti
Entitile vor desfura activitile precizate n tabelul de mai jos, conform categoriilor de risc
corespunztoare.
Activiti obligatorii ale entitilor, pe categorii de risc.
Activitate

Categoria de risc a entitii

Major Important Medie Sczut

A) Evaluare intern a riscului

operaional i registrul
riscurilor
B) Organizare pe procese
1
Management
disponibilitate

Management utilizatori

Management incidente

x
x
x
x

x
x
x
x

x
x
x

x
x

x
x
x

x
x
x

x
x

x
x

4 Management schimbare
a) Management ciclu via
programe informatice
b) Management versiuni
c) Management testare
5
Management capacitate
6
Management
configuraii
7
Management niveluri
servicii (SLA)
8 Management securitate
a) Cerine generale
b) Teste de penetrare
9
Management
continuitate
C) Puncte de control i msur
a) Controale generale
b) Controale program
informatic
c) Controale flux
financiar

x
19/22

Activitate

Categoria de risc a entitii

Major Important Medie Sczut

x
D)Implementare
indicatori
cheie de performan (KPI)
x
x
E)Implementare
indicatori
cheie de risc (KRI)
F) Managementul securitii sistemului informatic
x
x
a) Msuri organizatorice
x
x
b) Proceduri de securitate
c) Evaluare securitate

d) Plan de cooperare

20/22

Anexa nr. 3
Indicatori de raportare electronic anual

Pentru raportarea indicatorilor din tabelul de mai jos, entitile vor raporta:
a) Conform prevederilor art. 14 alin (4) din Norma Autoritii de Supraveghere
Financiar nr. 6/2015 privind gestionarea riscurilor operaionale generate de sistemele
informatice utilizate de entitile reglementate, autorizate/avizate i/sau supravegheate
de Autoritatea de Supraveghere Financiar;
b) 0 zero dac nu sunt valori ale indicatorului respectiv pentru perioada raportat
sau, dup caz, la sfritul perioadei de raportare;
c) valoarea indicatorului - dac sunt nregistrate valori diferite de zero ale indicatorului
respectiv pentru perioada raportat sau, dup caz, la sfritul perioadei de raportare.
Indicatori de raportat:
Obiectiv n
Indicator
perioada de
raportare
Indicatori referitori la accesarea online a serviciilor oferite de entitate
Numr de clieni (total utilizatori) care acceseaz serviciile online
oferite de entitate
Indicatori referitori la persoanele care pot s efectueze modificri ale
sistemelor/programelor informatice importante
Numr de persoane (total utilizatori) care au acces direct la bazele
de date ale entitii (referitor la portofolii, tranzacii si active) cu
drepturi de modificare asupra acestora, rol de administrator sau
privilegii echivalente
Numr de persoane (total utilizatori) care au drepturi de modificare
asupra programelor informatice importante ale entitii (programe
informatice interne/externe/on-line accesate via Internet)
Indicatori referitori la principiul dublei validri prin operaiuni in sistemele
informatice importante
Numr de operaiuni INIIATE care presupun dubla validare
Numr de operaiuni CONFIRMATE care presupun dubla validare
Numr de operaiuni ANULATE care presupun dubla validare
Indicatori referitori la accesul la sistemele informatice importante
Numr de persoane (total utilizatori) care au acces la sistemele
informatice importante care conin
informaii referitoare la
portofolii, tranzacii i active
Numr administratori de sistem (total utilizatori) care au acces la
21/22

credenialele conturilor de acces ale clienilor

Indicatori referitori la incidente interne de securitate informatic, declarate
Numr total incidente interne de securitate informatic
Numr total incidente informatice externe
Numr nclcri politic i proceduri securitate
Numr pierderi date generate de aciuni neaprobate
Numr incidente declarate aferente pierderii de date (date
electronice)
Numr de incidente declarate care au dus la distrugere accidental
sau intenionat de documente / nregistrri / fiiere
Numr de incidente declarate de nclcare grav a regulilor / fraude /
neltorii
Numr incidente declarate de distrugere in centrul de date
Numr mediu de zile de la identificarea unui incident de securitate
pan la rezolvarea acestuia
Niveluri servicii agreate interne i pentru clieni
Numr
ore de
indisponibilitate neprogramat a sistemelor
informatice importante la care au acces clienii (precum, dar
nelimitat la aplicaii de tranzacionare online, aplicaii online pentru
subscrierea de polite de asigurare)
Numr de ore de indisponibilitate neprogramat a serviciilor IT
externalizate care afecteaz serviciile oferite ctre clienii entitilor
Management schimbri
Numrul programelor informatice importante
Numrul de modificri aduse programelor informatice importante
Numr erori n exploatare generate de deficiene n proiectarea
sistemelor informatice importante
Numr erori n exploatare neidentificate n testarea sistemelor
informatice importante
Indicatori managementul continuitii
Numr de teste efectuate conform planului de continuitate a afacerii
Numr de teste efectuate conform planului de recuperare n caz de
dezastru
Audituri i testri
Numr de audituri interne anuale

22/22