Ești un expert juridic specializat în legislația românească. Analizează următorul document legal și generează întrebări relevante pe care utilizatorii le-ar putea avea despre conținutul acestuia.
🎯 OBIECTIV CRITIC: Acoperă CÂT MAI MULTE capitole/articole posibil din document. Ai la dispoziție 100,000 tokeni pentru răspuns - FOLOSEȘTE-I EFICIENT pentru a acoperi TOATE capitolele!
⚡ STRATEGIE DE MAXIMIZARE:
- Începe IMEDIAT cu generarea întrebărilor, fără introduceri
- Parcurge documentul SISTEMATIC de la început la sfârșit
- NU te opri până nu ai acoperit TOATE capitolele sau ai atins limita de 500 capitole
- Dacă documentul are peste 500 capitole, prioritizează cele mai importante
- CONTINUĂ să generezi întrebări chiar dacă crezi că răspunsul devine lung
INSTRUCȚIUNI:
1. CATEGORIZARE DOCUMENT: Mai întâi analizează documentul și clasifică-l într-una din categoriile predefinite. Aceasta este o parte OBLIGATORIE a răspunsului.
2. Generează întrebări specifice și relevante în limba română
3. Fiecare întrebare trebuie să se refere la o secțiune specifică din document
4. Evită întrebări generale precum "Despre ce este această lege?" - folosește titlul specific al documentului
5. FOARTE IMPORTANT: Întrebările trebuie formulate din perspectiva unui utilizator care caută prin ÎNTREAGA bază de date legală, NU doar în acest document. Formulează întrebări generale care ar putea găsi răspuns în multiple documente.
6. NU INCLUDE numele secțiunii/articolului în textul întrebării (ex: NU "Ce spune Art. 23?" sau "conform Secțiunii 4.2")
7. NU FOLOSI expresii care se referă specific la acest document (ex: NU "în acest cadru legal", "în această lege", "menționat aici")
8. ÎNTOTDEAUNA include contextul specific despre CE ANUME tratează documentul în întrebare (ex: "sancțiuni pentru încălcarea regulilor de mediu" în loc de doar "sancțiuni")
9. IMPORTANT: Elementele sunt numerotate cu atribute: <p n1>, <h2 n2>, <div n3> etc. Folosește aceste numere pentru referințe
10. EXTREM DE IMPORTANT: NU SELECTA NICIODATĂ UN SINGUR ELEMENT (s=e)! Pentru documente cu articole, include ÎNTREGUL ARTICOL în selecția ta (de la titlul articolului până la începutul următorului articol). NU selecta doar un paragraf din articol! Selectează subpărți doar dacă articolul este foarte lung și tratează subiecte multiple distincte.
11. EXTREM DE IMPORTANT: Asigură-te că RĂSPUNSUL COMPLET la întrebare se găsește în INTERIORUL elementelor selectate (între elementul de început "s" și elementul de sfârșit "e"). NU selecta doar zona unde se află răspunsul - include TOATE elementele care conțin informația necesară pentru a răspunde la întrebare! Întotdeauna selectează un INTERVAL de elemente (s < e).
12. FOARTE IMPORTANT: Pentru câmpul "a", folosește ÎNTOTDEAUNA secțiunea/articolul specific din conținutul documentului unde se găsește informația (ex: "Art. 1", "Capitolul I", "2.1. Etape în elaborare", "GENERALITĂȚI"), NU titlul documentului!
GHID DE CATEGORIZARE:
- daily_relevant_law: Legi fundamentale care stabilesc reguli generale pentru cetățeni (coduri, legi cadru)
- daily_relevant_regulation: Norme de aplicare, regulamente, hotărâri care detaliază cum se aplică legile
- daily_relevant_procedure: Ghiduri procedurale, instrucțiuni de completare, pași de urmat
- decision_salary: Decizii specifice despre salarii, indemnizații, sporuri
- decision_approval: Aprobări punctuale ale unor măsuri, proiecte, investiții
- decision_modification: Modificări ale unor acte normative existente
- decision_other: Alte tipuri de decizii administrative punctuale
EXEMPLE DE ÎNTREBĂRI BUNE:
- "Care sunt condițiile pentru obținerea permisului de conducere auto?"
- "Ce sancțiuni se aplică pentru nerespectarea regulilor de protecție a mediului?"
- "Cum se calculează termenul de prescripție pentru infracțiunile de corupție?"
- "Ce documente sunt necesare pentru autorizarea activităților industriale cu impact asupra mediului?"
- "Care sunt obligațiile angajatorilor privind securitatea muncii în construcții?"
- "Ce legi sunt relevante pentru protecția mediului?"
- "Care sunt cerințele pentru înființarea unei societăți comerciale?"
EXEMPLE DE ÎNTREBĂRI DE EVITAT:
- "Despre ce este acest document?" (prea general)
- "Ce spune legea?" (nespecific)
- "Este important acest articol?" (subiectiv)
- "Ce prevede Art. 15 despre sancțiuni?" (include referința la articol)
- "Care sunt obligațiile conform Secțiunii 4.2?" (include referința la secțiune)
- "Ce subiecte sunt abordate în secțiunea GENERALITĂȚI?" (prea general, nu specifică despre ce ghid/lege)
- "Care sunt sancțiunile?" (lipsește contextul - sancțiuni pentru ce?)
- "Ce documente sunt necesare?" (lipsește contextul - documente pentru ce procedură?)
- "Ce lege privind protecția mediului este citată în acest cadru legal?" (referință specifică la document)
- "Care sunt prevederile acestei legi privind taxele?" (folosește "acestei legi")
- "Ce modificări aduce această ordonanță?" (folosește "această ordonanță")
FORMAT RĂSPUNS - TABEL MARKDOWN:
🚫 IMPORTANT: NU folosi format JSON! NU returna un obiect JSON cu "questions" array!
✅ Folosește DOAR formatul de tabel markdown descris mai jos!
ÎNTÂI, pe primele două linii ale răspunsului tău, scrie:
DOCUMENT_CATEGORY: [una dintre categoriile de mai sus]
CATEGORY_REASON: [explicație scurtă despre de ce ai ales această categorie]
APOI, generează un tabel markdown cu următoarea structură:
Pentru fiecare capitol/secțiune, adaugă mai întâi un rând de capitol cu colspan=3:
| **CAPITOL/SECȚIUNE** | | |
Apoi adaugă rândurile cu întrebări pentru acel capitol:
| start | end | întrebare |
|-------|-----|-----------|
| număr | număr | textul întrebării complete |
EXEMPLU DE OUTPUT:
DOCUMENT_CATEGORY: daily_relevant_regulation
CATEGORY_REASON: Regulament tehnic care detaliază aplicarea unor norme generale
| **Art. 1 - Scopul și aplicarea regulamentului** | | |
| start | end | întrebare |
|-------|-----|-----------|
| 1 | 5 | Care sunt obiectivele principale ale regulamentului tehnic pentru protecția mediului? |
| 1 | 5 | În ce situații se aplică regulamentul tehnic de protecție a mediului? |
| 3 | 5 | Ce categorii de activități sunt exceptate de la aplicarea regulamentului de protecție a mediului? |
| **Art. 2 - Definiții** | | |
| start | end | întrebare |
|-------|-----|-----------|
| 6 | 15 | Cum este definită poluarea industrială în legislația de mediu? |
| 8 | 10 | Ce înseamnă "emisii fugitive" în contextul protecției mediului? |
| 12 | 14 | Care este diferența între deșeuri periculoase și deșeuri nepericuloase conform legislației? |
| **Art. 23 - Sancțiuni** | | |
| start | end | întrebare |
|-------|-----|-----------|
| 42 | 45 | Care sunt sancțiunile pentru încălcarea normelor de protecție a mediului? |
| 44 | 45 | În ce condiții se aplică sancțiuni majorate pentru poluare industrială? |
| 45 | 45 | Cum se sancționează recidiva în cazul încălcării normelor de mediu? |
LA FINAL, adaugă o linie separată:
ALL_CHAPTERS_COVERED: [true/false]
REGULI IMPORTANTE:
- PENTRU TOATE SECȚIUNILE: Generează STRICT 2-4 întrebări per capitol/articol (NICIODATĂ mai mult de 4!)
- Preferă 3 întrebări pentru un echilibru optim
- Poți returna MAXIM 500 de capitole/articole într-un singur răspuns (limită hard)
- Dacă documentul are mai mult de 500 de capitole/articole, setează "ALL_CHAPTERS_COVERED: false"
- NU repeta capitole pentru care deja există întrebări (vezi lista de mai jos dacă există)
- PENTRU DOCUMENTE CU ARTICOLE: Folosește articolele ca și capitole, cu formatul "Art. X - Descriere în 5 cuvinte"
- SELECȚIE ARTICOLE: Pentru fiecare întrebare, selectează ÎNTREGUL ARTICOL (toate elementele de la începutul articolului până la următorul articol)
- EXCEPȚIE: Selectează doar o parte din articol DOAR dacă articolul este foarte lung și conține subiecte multiple distincte
- VERIFICĂ ÎNTOTDEAUNA: Răspunsul complet la fiecare întrebare trebuie să se găsească în elementele selectate (între start și end)
- PERSPECTIVA UTILIZATORULUI: Toate întrebările trebuie formulate ca și cum utilizatorul caută prin întreaga bază de date legală, nu doar în acest document
- IMPORTANT: Generează cel puțin 2 întrebări per capitol/articol, dar NICIODATĂ mai mult de 4
💪 TEHNICI DE MAXIMIZARE A ACOPERIRII:
1. **Eficiență maximă**: Pentru fiecare capitol, generează EXACT 3 întrebări (nu 2, nu 4) pentru a maximiza numărul de capitole acoperite
2. **Fără pauze**: NU te opri după câteva capitole - CONTINUĂ până acoperi TOT documentul
3. **Parcurgere completă**: Procesează FIECARE capitol/articol în ordine, fără să sari peste niciunul
4. **Utilizare token completă**: Ai 100,000 tokeni - folosește-i TOȚI dacă este necesar pentru a acoperi toate capitolele
5. **Mindset de completitudine**: Imaginează-ți că vei fi evaluat pe baza PROCENTULUI de capitole acoperite (ținta: 100%)
EXEMPLE DE SELECȚIE:
- Pentru un articol complet: Dacă "Art. 5" începe la elementul n15 și "Art. 6" începe la elementul n35, selectează start=15, end=34 pentru a include tot Art. 5
- Pentru un paragraf specific (doar dacă articolul este foarte lung): Dacă răspunsul specific se află între n20-n25 dintr-un articol foarte lung, poți selecta doar start=20, end=25
EXEMPLU CONCRET - NU selecta un singur element:
Dacă ai structura:
<h3 n42>Art. 23 - Sancțiuni pentru poluare</h3>
<p n43>(1) Nerespectarea normelor de protecție a mediului se sancționează cu amendă de la 5.000 la 10.000 lei.</p>
<p n44>(2) În cazuri grave, amenda poate fi majorată până la 50.000 lei.</p>
<p n45>(3) Recidiva se sancționează cu dublul amenzii prevăzute.</p>
<h3 n46>Art. 24 - Procedura de aplicare</h3>
Pentru întrebarea "Care sunt sancțiunile pentru încălcarea normelor de protecție a mediului?":
❌ GREȘIT: start=43, end=43 (doar un element)
✅ CORECT: start=42, end=45 (tot articolul, inclusiv titlul și toate alineatele)
INFORMAȚII DOCUMENT:
Titlu: NORMA 4 28/02/2018 - Portal Legislativ
Tip document: NORMA
CONȚINUTUL DOCUMENTULUI (cu elemente numerotate):
<div n1> <p n2>NORMĂ nr. 4 din 28 februarie 2018</p>
<p n3>privind gestionarea riscurilor operaționale generate de sistemele informatice utilizate de entitățile autorizate/avizate/înregistrate, reglementate și/sau supravegheate de către Autoritatea de Supraveghere Financiară</p>
<h4 n4>EMITENT</h4>
<p n5>AUTORITATEA DE SUPRAVEGHERE FINANCIARĂ</p>
Publicat în MONITORUL OFICIAL nr. 233 din 16 martie 2018<p n6>În temeiul prevederilor <a href="/p/168994">art. 3 alin. (1) lit. b)</a>, <a href="/p/168994">art. 5,</a> <a href="/p/168994">art. 6 alin. (2)</a> și ale <a href="/p/168994">art. 14 din Ordonanța de urgență a Guvernului nr. 93/2012</a> privind înființarea, organizarea și funcționarea Autorității de Supraveghere Financiară, aprobată cu modificări și completări prin <a href="/p/147241">Legea nr. 113/2013</a>, cu modificările și completările ulterioare,</p>
<p n7>în urma deliberărilor Consiliului Autorității de Supraveghere Financiară din cadrul ședinței din data de 28 februarie 2018, </p>
<p n8>Autoritatea de Supraveghere Financiară emite prezenta normă.</p>
<h3 n9>Capitolul I</h3>
Dispoziții generale
<h4 n10>Articolul 1</h4>
(1) Prezenta normă stabilește cerințele la nivelul entităților autorizate/avizate/înregistrate, reglementate și/sau supravegheate de către Autoritatea de Supraveghere Financiară, denumită în continuare A.S.F., pentru identificarea, prevenirea și reducerea impactului potențial negativ al riscurilor operaționale generate de utilizarea tehnologiei informației și comunicațiilor la nivel de oameni, procese, sisteme și mediu extern, inclusiv pentru fapte ce țin de criminalitatea informatică. (2) Prezenta normă reglementează activitățile și operațiunile pentru evaluarea, supravegherea și controlul riscurilor operaționale generate de utilizarea sistemelor informatice, precum și gestionarea riscurilor privind securitatea sistemelor informatice importante în vederea asigurării securității informatice a entităților prevăzute la alin. (1).
<h4 n11>Articolul 2</h4>
<p n12>Prezenta normă se aplică următoarelor categorii de entități autorizate/avizate/înregistrate, reglementate și/sau supravegheate de către A.S.F., denumite în continuare entități: a) operatori de piață/operatori de sistem; ... b) societăți de administrare a investițiilor (S.A.I.), administratori de fonduri de investiții alternative (A.F.I.A.), respectiv: </p><p n13>1. societăți care dețin active nete în portofoliu/administrate în valoare totală, cumulată pentru toate fondurile administrate, de peste 250 milioane euro, echivalent lei; </p>
<p n14>2. societăți care dețin active nete în portofoliu/administrate în valoare totală, cumulată pentru toate fondurile administrate, de până la 250 milioane euro, echivalent lei; </p>
... c) depozitari centrali, case de compensare/contrapărți centrale; ... d) intermediari - societăți de servicii de investiții financiare (S.S.I.F.) sucursale ale intermediarilor din state terțe și instituții de credit din România autorizate de Banca Națională a României în conformitate cu legislația bancară și înscrise în Registrul instrumentelor și investițiilor financiare al A.S.F. în calitate de intermediar, respectiv: <p n15>1. intermediari care au calitatea de operatori independenți;</p>
<p n16>2. S.S.I.F. semnificative din punctul de vedere al mărimii, organizării interne și naturii, extinderii și complexității activității, conform reglementărilor specifice;</p>
<p n17>3. intermediari care prestează servicii conexe de păstrare în siguranță și administrare a instrumentelor financiare în contul clienților, inclusiv custodia și servicii în legătură cu aceasta, cum ar fi administrarea fondurilor sau garanțiilor; </p>
<p n18>4. intermediari care folosesc facilități de tranzacționare prin internet (ADP/AS) - platforme de preluare și transmitere a ordinelor clienților; </p>
<p n19>5. intermediari care au calitatea de market makeri și/sau furnizori de lichiditate; </p>
<p n20>6. intermediari care tranzacționează pe cont propriu și nu se încadrează în categoriile de la pct. 1-5; </p>
<p n21>7. intermediari care nu tranzacționează pe cont propriu și nu se încadrează în categoriile de la pct. 1-5; </p>
... e) traderi; ... f) Fondul de compensare a investitorilor, Fondul de garantare a asiguraților și Fondul de garantare a drepturilor din sistemul de pensii private; ... g) societăți de asigurare și reasigurare; ... h) brokeri de asigurare; ... i) Biroul asigurătorilor de autovehicule din România; ... j) entități care desfășoară activitatea de depozitare a activelor organismelor de plasament colectiv și a fondurilor de pensii private; ... k) administratorii fondurilor de pensii private. ...
<h4 n22>Articolul 3</h4>
(1) Entitățile prevăzute la art. 2 au obligația de a identifica toate sistemele informatice importante utilizate pe ambele componente, respectiv infrastructura hardware și software, care sunt esențiale în activitatea desfășurată de către acestea.(2) Sistemele informatice importante prevăzute la alin. (1) cuprind, în funcție de tipul entității, cel puțin următoarele, fără a se limita la acestea:a) sisteme informatice necesare pentru derularea în bune condiții a activității autorizate/avizate de A.S.F.:<p n23>1. sisteme de tranzacționare/sisteme alternative de tranzacționare;</p>
<p n24>2. sisteme de compensare, decontare, depozitare și custodie;</p>
<p n25>3. platforme/aplicații de tranzacționare sau distribuție prin internet sau telefon;</p>
<p n26>4. sisteme de gestiune asigurați;</p>
<p n27>5. sisteme de gestiune și subscriere contracte de asigurare;</p>
<p n28>6. sisteme de înregistrare și gestiune a dosarelor de daună;</p>
<p n29>7. platforme de emitere a contractelor de asigurare; </p>
<p n30>8. sisteme de calcul al comisioanelor;</p>
<p n31>9. sisteme de gestiune a contractelor de reasigurare;</p>
<p n32>10. sisteme de gestiune a participanților la fondurile de pensii private;</p>
<p n33>11. sisteme de administrare a portofoliilor de instrumente financiare ale fondurilor de pensii private;</p>
<p n34>12. sisteme de call-center;</p>
<p n35>13. aplicații online utilizate în scopul de distribuție și informare a clienților, precum accesarea conturilor online;</p>
<p n36>14. sisteme informatice de back-office, altele decât cele care se încadrează la pct. 1-13;</p>
... b) sisteme interne pentru asigurarea raportărilor către A.S.F. și alte instituții/entități ale pieței financiare; ... c) sisteme informatice folosite în activitatea financiar-contabilă a entității, cum ar fi programele de contabilitate; ... d) sisteme electronice de vot și alte sisteme informatice cu implicații semnificative asupra sistemului de guvernanță al entității, precum sisteme de tip teleconferință/videoconferință utilizate pentru desfășurarea la distanță a ședințelor consiliului de administrație/consiliului de supraveghere; ... e) sisteme informatice cu impact asupra planului pentru continuitatea afacerii și redresării activității în caz de dezastre; ... f) aplicații centrale de business, altele decât cele care se încadrează la lit. a)-e); ... g) infrastructura informatică utilizată pentru sistemele informatice importante găzduite în locațiile de centre de date. ... (3) Entitățile au obligația să întocmească și să actualizeze permanent un registru cu sistemele informatice importante identificate în conformitate cu prevederile alin. (1) și (2).(4) Registrul întocmit în conformitate cu prevederile alin. (3) este supus verificării de către auditorul IT.
<h4 n37>Articolul 4</h4>
<p n38>Entitățile extind scopul auditului IT și la alte sisteme în situațiile prevăzute la art. 29 alin. (1). </p>
<h4 n39>Articolul 5</h4>
(1) Prevederile prezentei norme se aplică de către entități în funcție de categoria de risc stabilită de către A.S.F. conform prevederilor art. 10 și 11, precum și în funcție de rezultatul evaluării interne a riscurilor, pe baza celor mai bune practici în domeniu. (2) Categoria de risc corespunzătoare fiecărui tip de entitate este stabilită de către A.S.F. în funcție de natura, dimensiunea și complexitatea activității acesteia, precum și de riscurile pe care le poate induce și care au impact asupra activității.
<h4 n40>Articolul 6</h4>
(1) Entitățile au obligația să evalueze anual și să monitorizeze continuu riscurile operaționale generate de utilizarea sistemelor informatice importante, să prioritizeze resursele, să implementeze măsuri de securitate informatică și să monitorizeze eficacitatea acestora prin aplicarea managementului de risc. (2) Modalitatea de implementare a măsurilor de securitate informatică prevăzute la alin. (1) este stabilită de fiecare entitate, în funcție de profilul de risc, de riscurile identificate, de incidentele apărute, în conformitate cu cerințele legale aplicabile.
<h4 n41>Articolul 7</h4>
<p n42>Entitățile participă la colectarea, analizarea, monitorizarea și raportarea evenimentelor de securitate informatică, în cadrul sistemului care va fi dezvoltat de către A.S.F.</p>
<h4 n43>Articolul 8</h4>
<p n44>Termenii și expresiile utilizate în prezenta normă au înțelesul prevăzut în
</p><h2 n45>anexa nr. 1</h2>
.
<h3 n46>Capitolul II</h3>
Încadrarea entităților în categorii de risc
<h4 n47>Articolul 9</h4>
<p n48>În scopul prezentei norme, fiecare entitate prevăzută la art. 2 se încadrează în una dintre următoarele categorii de risc: a) risc major; ... b) risc important; ... c) risc mediu; ... d) risc scăzut. ... </p>
<h4 n49>Articolul 10</h4>
<p n50>Încadrarea entităților prevăzute la art. 2 lit. a)-j) în categoriile de risc menționate la art. 9 este următoarea:a) în categoria de risc major se încadrează entitățile prevăzute la art. 2 lit. a), lit. c), lit. d) pct. 1 și lit. i); ... b) în categoria de risc important se încadrează entitățile prevăzute la art. 2. lit. d) pct. 2, 4 și 5, lit. g) și j); ... c) în categoria de risc mediu se încadrează entitățile prevăzute la art. 2 lit. b) pct. 1, lit. d) pct. 3 și pct. 6 și lit. f); ... d) în categoria de risc scăzut se încadrează entitățile prevăzute la art. 2 lit. b) pct. 2, lit. d) pct. 7, lit. e) și h). ... </p>
<h4 n51>Articolul 11</h4>
<p n52>Încadrarea entităților prevăzute la art. 2 lit. k) se realizează individual în categoriile de risc prevăzute la art. 9, conform prevederilor <a href="/p/157279">art. 44 alin. (4) lit. e)</a> și ale <a href="/p/157279">art. 51 din Norma Autorității de Supraveghere Financiară nr. 3/2014</a> privind controlul intern, auditul intern și administrarea riscurilor în sistemul de pensii private. </p>
<h4 n53>Articolul 12</h4>
<p n54>Încadrarea, respectiv reîncadrarea entităților menționate la art. 2 lit. b) se realizează în luna ianuarie a fiecărui an calendaristic, în baza valorii totale a activelor nete în portofoliu/administrate din ultima zi lucrătoare a anului anterior.</p>
<h4 n55>Articolul 13</h4>
<p n56>Încadrarea, respectiv reîncadrarea entităților menționate la art. 2 lit. d) se realizează în luna ianuarie a fiecărui an calendaristic, în baza activității autorizate de către A.S.F și a deținerii calității de market maker/furnizor de lichiditate în ultima zi lucrătoare a anului anterior.</p>
<h4 n57>Articolul 14</h4>
<p n58>Entitatea care prestează mai multe tipuri de activități autorizate de către A.S.F. și se încadrează în mai multe categorii de risc dintre cele prevăzute la art. 9 respectă obligațiile pentru categoria de risc cea mai ridicată instituită de prezenta normă. </p>
<h3 n59>Capitolul III</h3>
Dispoziții privind activitățile obligatorii desfășurate de către entități
<h4 n60>Articolul 15</h4>
(1) Entitățile au obligația să desfășoare cel puțin activitățile obligatorii corespunzătoare fiecărei categorii de risc prevăzute la art. 9, conform tabelului din
<h2 n61>anexa nr. 2</h2>
. (2) Entitățile au obligația ca, anual, să efectueze o scanare de vulnerabilități.(3) Testele de penetrare regăsite în tabelul din anexa nr. 2 la lit. B) pct. 8 lit. c) au drept obiectiv testarea securității aplicațiilor incluse în scopul auditului, testarea securității sistemelor de operare utilizate în cadrul entității și testarea securității infrastructurii rețelei, precum și testarea vulnerabilităților identificate în urma scanării de securitate.(4) Entitățile au obligația să se asigure că în perioada supusă auditului IT sunt efectuate teste de penetrare externe, teste de penetrare interne și teste de inginerie socială, fără a se limita la acestea.(5) A.S.F. publică pe site-ul propriu un ghid de îndrumare care cuprinde detalii și parametri privind modalitatea de implementare a activităților obligatorii prevăzute la alin. (1). Ghidul are un caracter orientativ și poate fi actualizat de către A.S.F. în funcție de bunele practici în domeniu.
<h4 n62>Articolul 16</h4>
(1) Raportat la activitatea desfășurată, entitățile au obligația să se asigure că sistemele informatice importante utilizate îndeplinesc cel puțin următoarele cerințe: a) asigură integritatea, confidențialitatea, autenticitatea, disponibilitatea datelor în concordanță cu categoria de risc a sistemului informatic important definită intern de către entitate, precum și prelucrarea acestora în conformitate cu reglementările A.S.F., luând în considerare posibilitatea actualizării acestora în funcție de modificările intervenite în legislația incidentă; ... b) asigură respectarea conținutului de informații prevăzut în formularele de raportare, așa cum sunt prevăzute în legislația specifică, precum și alte raportări solicitate prin reglementările A.S.F.; ... c) asigură stocarea și păstrarea datelor înregistrate și jurnalizate de către sistemele de tranzacționare, de emitere contracte de asigurări/avizare dosare de daune și sisteme back-office pentru o perioadă de timp în conformitate cu legislația aplicabilă în vigoare. Sistemul de păstrare a datelor trebuie să permită ca aceste date să poată fi transmise sau puse la dispoziția A.S.F. la cerere; ... d) asigură elemente de identificare a datelor supuse prelucrării sau verificării, respectiv identificarea exactă a timpului la care au fost efectuate înregistrările și identificarea utilizatorilor sistemului în acel moment; ... e) asigură confidențialitatea și protecția informațiilor și a programelor prin parole, coduri de identificare pentru accesul la informații, precum și realizarea de copii de siguranță pentru programele și informațiile deținute; ... f) asigură mecanisme de securitate și control al sistemelor informatice importante, pentru păstrarea în siguranță a datelor și informațiilor stocate, a fișierelor și bazelor de date, inclusiv în situația unor incidente; ... g) asigură reconstituirea rapoartelor și informațiilor supuse verificării; ... h) asigură posibilitatea de restaurare a datelor arhivate pe suport digital extern, precum, dar fără a se limita la, informații, date introduse, situații financiare. ... (2) Entitățile au obligația să se asigure că sunt îndeplinite următoarele cerințe:a) nu există posibilitatea autentificării multiple a mai multor persoane pe același cont de aplicație; ... b) nedivulgarea credențialelor, a parolelor sau a oricărui alt sistem de autentificare de către utilizatorii acestora; ... c) utilizarea de credențiale personalizate doar pentru personalul autorizat/înregistrat; ... d) jurnalizarea, monitorizarea și arhivarea în conformitate cu reglementările specifice în materie pentru a asigura controlul asupra accesului utilizatorilor, a locului de unde are loc accesul și a datelor accesate, inclusiv a celor cu caracter personal; ... e) utilizarea sistemelor de autentificare care folosesc cel puțin doi factori; ... f) să se asigure că utilizatorii autorizați nu furnizează elementele de autentificare către terțe persoane. ...
<h4 n63>Articolul 17</h4>
(1) Entitățile au obligația să testeze anual planul de răspuns la incidente de securitate informatică.(2) Planul de răspuns la incidente de securitate informatică trebuie să prevadă simularea unui incident de securitate informatică și să acopere toate sistemele informatice și rețelele utilizate de către entitate.
<h4 n64>Articolul 18</h4>
(1) Entitățile au obligația ca, în termen de maximum 45 de zile de la finalizarea testării prevăzute la art. 17, să întocmească un raport de testare care va cuprinde următoarele informații, fără a se limita la acestea:a) modalitatea de aplicare a fiecărei etape din planul de răspuns la incidente de securitate informatică; ... b) modalitatea de gestionare a comunicării interne și externe pe toată durata testării; ... c) cauzele și impactul real/potențial al incidentului de securitate informatică asupra datelor entității; ... d) propuneri pentru îmbunătățirea măsurilor de securitate la incidente informatice; ... e) propuneri pentru îmbunătățirea planului de răspuns la incidente de securitate informatică. ... (2) Raportul de testare prevăzut la alin. (1) este păstrat la sediul entității care are obligația să îl prezinte auditorului IT și A.S.F. la solicitarea acesteia.
<h4 n65>Articolul 19</h4>
<p n66>Sistemele informatice importante care oferă intermediarilor și clienților acestora accesul la platforme electronice de tranzacționare, precum și sistemele informatice importante care evidențiază operațiuni de compensare, decontare și registru pentru instrumente financiare și operațiuni cu aceste instrumente, asigură, fără a se limita la acestea: a) securitatea și integritatea datelor procesate prin folosirea unei modalități de securizare atât asupra datelor trimise către platformele electronice de tranzacționare și către cele de compensare, decontare și registru, cât și asupra datelor recepționate de la aceste platforme; ... b) mecanisme care să garanteze nerepudierea datelor transmise și recepționate; ... c) jurnalizarea în timp real a informației despre ordinele transmise spre executare, a stării acestor ordine, respectiv a modificărilor care se aduc acestor ordine în decursul existenței lor de către clienții și intermediarii care utilizează aceste sisteme informatice importante; ... d) mecanisme de nerepudiere a integrității înregistrării operațiunilor de sistem informatic important. ... </p>
<h4 n67>Articolul 20</h4>
<p n68>Sistemele informatice care oferă S.A.I./A.F.I.A. și investitorilor acestora accesul la platforme electronice de distribuire a titlurilor de participare asigură, fără a se limita la acestea: a) securitatea și integritatea datelor procesate prin folosirea unei modalități de securizare asupra datelor trimise către platformele electronice de distribuire a titlurilor de participare; ... b) mecanisme care să garanteze nerepudierea datelor transmise și recepționate; ... c) jurnalizarea în timp real a informației despre instrucțiunile investitorilor transmise către S.A.I./A.F.I.A.; ... d) mecanisme de nerepudiere a integrității înregistrării operațiunilor de sistem informatic. ... </p>
<h3 n69>Capitolul IV</h3>
Auditarea și testarea sistemelor informatice importante Secţiunea 1 Dispoziții privind auditul IT
<h4 n70>Articolul 21</h4>
(1) Entitățile au obligația de a audita sistemele informatice importante, după cum urmează:a) entitățile încadrate în categoria de risc major au obligația de a audita IT extern sistemele informatice importante utilizate, cu periodicitate anuală, astfel încât perioada supusă auditului să fie un an calendaristic, începând cu prima lună ianuarie după data sfârșitului perioadei supuse auditului IT anterior; ... b) entitățile încadrate în categoria de risc important au obligația de a audita IT extern sau cu resurse interne certificate sistemele informatice importante utilizate, o dată la 2 ani, astfel încât perioada supusă auditului să fie 2 ani calendaristici consecutivi, începând cu prima lună ianuarie după data sfârșitului perioadei supuse auditului IT anterior; ... c) entitățile încadrate în categoria de risc mediu au obligația de a audita IT extern sau cu resurse interne certificate sistemele informatice importante utilizate, o dată la 3 ani, astfel încât perioada supusă auditului să fie 3 ani calendaristici consecutivi, începând cu prima lună ianuarie după data sfârșitului perioadei supuse auditului IT anterior; ... d) entitățile încadrate în categoria de risc scăzut au obligația de a audita IT extern sau cu resurse interne certificate sistemele informatice importante utilizate, o dată la 4 ani, astfel încât perioada supusă auditului să fie 4 ani calendaristici consecutivi, începând cu prima lună ianuarie după data sfârșitului perioadei supuse auditului IT anterior. ... (2) Perioada supusă auditului IT reprezintă perioada cuprinsă între două audituri succesive.
<h4 n71>Articolul 22</h4>
<p n72>Entitățile care efectuează auditul IT cu resurse interne certificate au obligația să utilizeze personal certificat în domeniul auditării IT, angajat în cadrul entității sau în cadrul unei companii din cadrul aceluiași grup financiar, cu respectarea prevederilor prezentei norme și a metodologiilor certificate internațional.</p>
<h4 n73>Articolul 23</h4>
(1) Auditul IT extern se efectuează în baza unui contract de audit IT încheiat între entitatea care a solicitat auditarea și un auditor IT extern înscris în Lista auditorilor IT externi menținută de A.S.F. în conformitate cu prevederile art. 38.(2) Entitatea nu poate contracta auditul IT cu același auditor IT extern pentru mai mult de 3 audituri consecutive efectuate în conformitate cu prevederile art. 21.
<h4 n74>Articolul 24</h4>
<p n75>Entitatea are obligația de a se asigura că în contractul de audit IT sunt cuprinse în mod obligatoriu clauze cu privire la faptul că auditorul IT extern trebuie să respecte cerințele impuse pentru efectuarea auditului sistemelor informatice importante, în conformitate cu prevederile prezentei norme și cu bunele practici în domeniu.</p>
<h4 n76>Articolul 25</h4>
<p n77>Auditorul IT extern notifică în scris A.S.F. în cel mai scurt timp posibil, dar nu mai târziu de 10 zile de la constatare, orice fapt sau act în legătură cu sistemele informatice importante utilizate de către aceasta și care:a) este de natură să afecteze continuitatea activității entității auditate; ... b) poate conduce la o opinie de audit cu rezerve, la imposibilitatea exprimării unei opinii de audit sau la o opinie de audit negativă. ... </p>
<h4 n78>Articolul 26</h4>
<p n79>La solicitarea scrisă a A.S.F., auditorul IT extern comunică A.S.F., în termen de maximum 10 zile de la solicitare, următoarele:a) orice raport sau document care a fost adus la cunoștința entității auditate; ... b) o declarație care să indice motivele de încetare a contractului de audit IT, indiferent de natura acestora; ... c) orice alte informații sau documente solicitate în legătură cu activitatea de audit IT extern. ... </p>
<h4 n80>Articolul 27</h4>
<p n81>Auditorul IT care efectuează activitatea de audit IT la entitățile prevăzute la art. 2 are obligația de a întocmi și de a prezenta conducerii entității o situație a deficiențelor și vulnerabilităților identificate.</p>
<h4 n82>Articolul 28</h4>
<p n83>La finalizarea auditului IT, auditorii IT au obligația de a întocmi un raport de audit IT însoțit de anexe, care să cuprindă cel puțin elementele prevăzute în macheta de raportare prezentată în
</p><h2 n84>anexa nr. 3</h2>
, dar fără a se limita la acestea.
<h4 n85>Articolul 29</h4>
(1) A.S.F. poate să instituie în sarcina entității obligația de a audita IT orice sisteme informatice dacă:a) în urma constatărilor rezultă că entitatea nu a desfășurat toate activitățile minime obligatorii categoriei de risc în care aceasta a fost încadrată, conform prevederilor art. 10 sau 11, sau activitățile desfășurate au un caracter formal; ... b) apreciază că se impune efectuarea unor investigații suplimentare la nivelul sistemelor informatice. ... (2) Instituirea de către A.S.F. a obligației de a audita IT alte sisteme informatice conform alin. (1) cuprinde și termenul până la care entitatea este obligată să transmită la A.S.F. raportul de audit, iar acest termen nu poate să depășească 90 de zile de la data instituirii obligației de a audita alte sisteme informatice de către A.S.F.
<h4 n86>Articolul 30</h4>
<p n87>Entitățile, inclusiv cele care efectuează auditul IT cu resurse interne certificate, sunt obligate să adopte toate măsurile necesare pentru evitarea conflictelor de interese care pot interveni în desfășurarea activității de audit IT.</p>
<h4 n88>Articolul 31</h4>
<p n89>Entitățile, inclusiv cele care efectuează auditul IT cu resurse interne certificate, sunt obligate să se asigure că activitatea de audit IT este independentă față de activitatea auditată, pentru a nu fi compromisă obiectivitatea acesteia, iar auditorii IT sunt independenți și obiectivi în toate aspectele legate de activitatea de audit IT.</p>
<h4 n90>Articolul 32</h4>
<p n91>În aplicarea prevederilor art. 31, entitățile care efectuează auditul IT cu resurse interne certificate sunt obligate:a) să se asigure că auditorul IT notifică în scris A.S.F. în cel mai scurt timp posibil, dar nu mai târziu de 10 zile de la constatare, orice fapt sau act în legătură cu sistemele informatice importante utilizate de către aceasta și care este de natură să afecteze continuitatea activității entității auditate sau poate conduce la o opinie de audit cu rezerve, la imposibilitatea exprimării unei opinii de audit sau la o opinie de audit negativă; ... b) să prezinte, la solicitarea A.S.F., în termen de maximum 10 zile, orice raport sau document care a fost adus la cunoștința entității auditate sau orice alte informații ori documente solicitate în legătură cu activitatea de audit IT. ... </p>
<h4 n92>Articolul 33</h4>
<p n93>Entitățile, inclusiv cele care efectuează auditul IT cu resurse interne certificate, sunt obligate să furnizeze auditorului IT informații complete, corespunzătoare, relevante și în timp util, pentru a permite desfășurarea în bune condiții a activității de audit IT.</p>
<h4 n94>Articolul 34</h4>
<p n95>Respectarea prevederilor art. 25 și 26 nu contravine conduitei etice și profesionale, nu constituie o încălcare a secretului profesional impus prin clauze contractuale sau prin prevederi legale și nu atrage niciun fel de răspundere asupra persoanei fizice și/sau juridice în cauză.</p>
Secţiunea a 2-a Testarea sistemelor informatice importante
<h4 n96>Articolul 35</h4>
(1) Entitatea are obligația de a ține evidența următoarelor modificări majore ale sistemelor informatice importante:a) schimbarea integrală a sistemelor/programelor informatice importante; ... b) externalizarea unor servicii IT; ... c) schimbarea proceselor de arhivare electronică, de restaurare sau sincronizare a bazelor de date. ... (2) În situația dezafectării unui sistem informatic important, entitatea are obligația să solicite efectuarea unui audit IT cu resurse interne certificate sau externe care vizează sistemele ce urmează a fi dezafectate.
<h4 n97>Articolul 36</h4>
(1) Entitatea are obligația să testeze sistemele informatice importante înainte de prima utilizare și la orice modificare în cadrul ciclului de viață al acestora, indiferent dacă sunt realizate cu resurse interne sau de către furnizori externi.(2) Rezultatul testărilor prevăzute la alin. (1) se consemnează într-un raport de testare IT care cuprinde, fără a se limita la acestea, următoarele elemente:a) echipa de testare; ... b) scopul testării; ... c) perioada testării; ... d) descrierea programului informatic testat; ... e) identificarea aplicațiilor utilizate și a persoanelor implicate; ... f) analiza riscurilor implicate de achiziția sau modificarea programului informatic, a posibilelor vulnerabilități și a măsurilor de reducere a riscurilor asociate, prin controale de sistem sau de program informatic; ... g) descrierea modului în care s-au efectuat testele, scenariile de test, eventualele norme sau standarde aplicate și rezultatul testării; ... h) concluzia echipei de testare; ... i) semnătura membrilor echipei de testare. ...
<h4 n98>Articolul 37</h4>
<p n99>Entitatea are obligația să păstreze rapoartele de testare IT pentru o perioadă de cel puțin 5 ani după momentul dezafectării sistemului informatic important și să le pună la dispoziția A.S.F. sau auditorului IT, la cerere.</p>
<h3 n100>Capitolul V</h3>
Înscrierea auditorul IT extern
<h4 n101>Articolul 38</h4>
<p n102>Auditorul IT extern care intenționează să presteze servicii de audit IT pentru entitățile cărora le sunt incidente prevederile prezentei norme are obligația înscrierii în Lista auditorilor IT externi menținută de A.S.F.</p>
<h4 n103>Articolul 39</h4>
<p n104>În vederea înscrierii în lista prevăzută la art. 38, auditorul IT extern depune la A.S.F. o cerere, în care menționează sectorul/sectoarele în care activează entitățile pentru care intenționează să presteze servicii de audit IT, însoțită de documentația care trebuie să cuprindă următoarele, după caz:a) datele de identificare ale auditorului IT extern:</p><p n105>1. numele complet/denumirea și adresa/sediul - adresa completă;</p>
<p n106>2. adresa unde își desfășoară activitatea;</p>
<p n107>3. telefon/fax, e-mail, adresa paginii de internet;</p>
... b) pentru auditorul IT persoană fizică certificată și reprezentantul societății de audit IT extern, care vor semna raportul de audit, se depun următoarele documente, după caz:<p n108>1. actul de identitate al auditorului IT, în copie;</p>
<p n109>2. curriculum vitae al auditorului IT, datat și semnat, cu prezentarea experienței profesionale în auditarea IT externă a sistemelor informatice;</p>
<p n110>3. certificatul de auditor IT, în copie, semnată pentru conformitate cu originalul, din care reiese experiența în domeniul de audit IT extern al sistemelor informatice;</p>
<p n111>4. dovada experienței și a specializării pe domeniul de audit IT extern al sistemelor informatice;</p>
<p n112>5. certificat constatator emis de Oficiul Național al Registrului Comerțului, cu starea la zi a persoanei juridice, în original;</p>
<p n113>6. certificatul de cazier judiciar și certificatul de cazier fiscal, în original, aflate în termenul de valabilitate;</p>
<p n114>7. contractul de asigurare de răspundere civilă profesională a auditorului IT extern, pentru suma asigurată de minimum 100.000 euro, valabil la data depunerii documentației, în copie;</p>
<p n115>8. documentul de plată a tarifului de înscriere în Registrul public al A.S.F., în copie.</p>
...
<h4 n116>Articolul 40</h4>
<p n117>Înscrierea auditorului IT extern în Lista auditorilor IT externi sau transmiterea refuzului motivat al înscrierii se efectuează de A.S.F. în termen de maximum 30 de zile de la primirea dosarului complet al solicitantului.</p>
<h4 n118>Articolul 41</h4>
<p n119>Orice modificare a documentației prevăzute la art. 39 lit. b) pct. 1, 3, 5, 6 și 7 trebuie transmisă A.S.F. în termen de maximum 30 de zile de la data efectuării modificării.</p>
<h4 n120>Articolul 42</h4>
<p n121>A.S.F. radiază din lista prevăzută la art. 38 auditorii IT externi în oricare dintre următoarele situații:a) la cererea acestora; ... b) în cazul lichidării sau la declanșarea insolvenței; ... c) în cazul încălcării prevederilor art. 25, 26, 28 și 41; ... d) în cazul nerespectării prevederilor prezentei norme. ... </p>
<h4 n122>Articolul 43</h4>
<p n123>Pentru toate situațiile menționate la art. 42 lit. c) și d), A.S.F. transmite auditorului IT extern o notificare prealabilă prin care i se aduc la cunoștință faptele pentru care A.S.F. va proceda la inițierea demersurilor pentru radierea din Lista auditorilor IT externi.</p>
<h3 n124>Capitolul VI</h3>
Dispoziții privind furnizorii externi și furnizorii de servicii IT externalizate pentru sistemele informatice importante
<h4 n125>Articolul 44</h4>
<p n126>Orice externalizare de servicii se realizează cu respectarea legislației aplicabile entității. </p>
<h4 n127>Articolul 45</h4>
<p n128>În situațiile în care entității nu îi sunt aplicabile alte prevederi legale referitoare la externalizarea unor servicii IT și în toate cazurile în care sunt utilizate serviciile unor furnizori externi, pentru toate sistemele informatice importante, entitatea are obligația de a notifica la A.S.F. furnizorul extern sau furnizorul de servicii IT externalizate, în termen de maximum 14 zile de la data încheierii contractului cu acesta. </p>
<h4 n129>Articolul 46</h4>
(1) Notificarea prevăzută la art. 45 trebuie să conțină următoarele informații și documente, după caz: a) descrierea serviciilor furnizate/externalizate; ... b) datele de identificare a furnizorului: <p n130>1. sediul societății - adresa completă; </p>
<p n131>2. telefon/fax, e-mail, pagina de internet; </p>
... c) certificat constatator emis de Oficiul Național al Registrului Comerțului, cu starea la zi a persoanei juridice, sau echivalentul acestuia pentru furnizorii externi înregistrați în alte state, în original sau copii conforme cu originalul; ... d) documente în funcție de tipul serviciului sau activității desfășurate, astfel: <p n132>1. SR ISO/IEC 27001 sau certificări pentru standarde echivalente - pentru toți furnizorii; </p>
<p n133>2. certificări pentru furnizarea și dezvoltarea de programe informatice software; </p>
<p n134>3. certificări pentru furnizarea de servicii externalizate; </p>
<p n135>4. act doveditor privind respectarea condițiilor tehnice conform TIA-942 nivel 2 sau echivalent pentru furnizarea de servicii de găzduire sau externalizare prin intermediul centrelor de date; </p>
<p n136>5. autorizare pentru furnizarea de servicii de arhivare electronică prin centre de date; </p>
<p n137>6. certificate specifice activităților externalizate pentru furnizarea de servicii externalizate de tip cloudcomputing public. </p>
... (2) Certificările prevăzute la alin. (1) lit. d) pct. 1, 2, 3 și 6 trebuie să fie emise de entități/organisme abilitate/recunoscute pe plan intern și/sau internațional.
<h4 n138>Articolul 47</h4>
<p n139>Entitatea are obligația ca, în cazul modificării unor informații și/sau documente prevăzute la art. 46, care pot conduce la afectarea desfășurării serviciilor externalizate conform contractului, să notifice A.S.F. și să depună originalul sau copia documentelor modificate în termen de maximum 90 de zile de la data efectuării modificării. </p>
<h4 n140>Articolul 48</h4>
<p n141>Pentru sistemele informatice importante, entitatea are obligația să se asigure că furnizorii de servicii IT externalizate, inclusiv în cazul externalizărilor în lanț, cu excepția furnizorilor de servicii de comunicații, de hardware sau de licențe software, raportat strict la activitatea externalizată: a) permit respectarea de către entitate a prevederilor prezentei norme, astfel încât prin externalizarea anumitor activități să nu se încalce legislația aplicabilă; ... b) prezintă, la solicitarea A.S.F., modalitatea prin care sunt îndeplinite de către entitate prevederile prezentei norme; ... c) permit A.S.F. și auditorului IT să verifice și/sau să auditeze sistemele sale informatice în contextul aplicării prevederilor prezentei norme sau pun la dispoziția auditorului IT un raport de audit IT întocmit în conformitate cu standardele ISAE 3402 sau echivalent pentru sistemele informatice puse la dispoziția entității. ... </p>
<h3 n142>Capitolul VII</h3>
Dispoziții privind raportarea
<h4 n143>Articolul 49</h4>
<p n144>Entitatea are obligația să întocmească în conformitate cu prevederile prezentei norme și ale altor reglementări incidente și să transmită A.S.F. următoarele rapoarte: a) raportul anual privind evaluarea internă a riscurilor operaționale efectuată în conformitate cu prevederile art. 6 alin. (1), până la data de 31 martie a anului curent; ... b) raportul de audit IT întocmit pentru perioada supusă auditului pentru auditul IT efectuat în conformitate cu art. 21, până la data de 30 iunie a anului curent, după ultimul an din perioada supusă auditului, însoțit de copia certificatului de auditor IT semnată pentru conformitate cu originalul valabil la momentul întocmirii raportului de audit; ... c) raportarea electronică anuală cu indicatorii menționați în
</p><h2 n145>anexa nr. 4</h2>
, în cazul în care acești indicatori sunt aplicabili și sunt aferenți sistemelor informatice importante, până la data de 31 martie a anului curent, pentru anul anterior. ...
<h4 n146>Articolul 50</h4>
<p n147>În cazul în care au fost identificate deficiențe/ vulnerabilități în conformitate cu prevederile art. 27, raportul de audit IT prevăzut la art. 49 lit. b) se transmite A.S.F. însoțit de planul de acțiune din care să rezulte modalitatea de remediere a deficiențelor/vulnerabilităților identificate de auditorul IT.</p>
<h4 n148>Articolul 51</h4>
<p n149>Rapoartele prevăzute la art. 49 se transmit A.S.F., în conformitate cu sistemul de raportare comunicat acestora de fiecare structură organizatorică din cadrul A.S.F. cu atribuții de supraveghere, pe suport hârtie sau în format electronic cu semnătură electronică extinsă, după caz.</p>
<h3 n150>Capitolul VIII</h3>
Dispoziții tranzitorii și finale
<h4 n151>Articolul 52</h4>
<p n152>Nerespectarea prevederilor prezentei norme de către entitățile prevăzute la art. 2 constituie contravenție conform prevederilor <a href="/p/189740">Legii nr. 32/2000</a> privind activitatea și supravegherea intermediarilor în asigurări și reasigurări, cu modificările și completările ulterioare, ale <a href="/p/181799">Legii nr. 237/2015</a> privind autorizarea și supravegherea activității de asigurare și reasigurare, cu modificările ulterioare, ale <a href="/p/187323">Legii nr. 297/2004</a> privind piața de capital, cu modificările și completările ulterioare, ale <a href="/p/196549">Legii nr. 411/2004</a> privind fondurile de pensii administrate privat, republicată, cu modificările și completările ulterioare, ale <a href="/p/196550">Legii nr. 204/2006</a> privind pensiile facultative, cu modificările și completările ulterioare, în funcție de tipul entității, ale <a href="/p/132540">Legii nr. 187/2011</a> privind înființarea, organizarea și funcționarea Fondului de garantare a drepturilor din sistemul de pensii private, ale <a href="/p/178621">Legii nr. 213/2015</a> privind Fondul de garantare a asiguraților și ale <a href="/p/190029">Legii nr. 132/2017</a> privind asigurarea obligatorie de răspundere civilă auto pentru prejudicii produse terților prin accidente de vehicule și tramvaie.</p>
<h4 n153>Articolul 53</h4>
(1) Începând cu anul 2018, entitățile au obligația să respecte termenele de raportare prevăzute la art. 49. (2) Biroul asigurătorilor de autovehicule din România efectuează primele raportări pentru anul 2018 începând cu anul 2019, în termenele prevăzute la art. 49.
<h4 n154>Articolul 54</h4>
(1) Prevederile prezentei norme se aplică entităților care nu au în derulare auditul IT la data publicării prezentei norme în Monitorul Oficial al României, Partea I.(2) Auditul IT în curs de desfășurare la data intrării în vigoare a prezentei norme va continua în conformitate cu reglementările în vigoare la data începerii auditului IT.
<h4 n155>Articolul 55</h4>
<p n156>Anexele nr. 1-4 fac parte integrantă din prezenta normă. </p>
<h4 n157>Articolul 56</h4>
<p n158>Prezenta normă se publică în Monitorul Oficial al României, Partea I, și intră în vigoare în termen de 30 de zile de la data publicării. </p>
<h4 n159>Articolul 57</h4>
<p n160>La data intrării în vigoare a prezentei norme se abrogă <a href="/p/184760">Norma Autorității de Supraveghere Financiară nr. 6/2015</a> privind gestionarea riscurilor operaționale generate de sistemele informatice utilizate de entitățile reglementate, autorizate/avizate și/sau supravegheate de Autoritatea de Supraveghere Financiară, publicată în Monitorul Oficial al României, Partea I, nr. 227 din 3 aprilie 2015, cu modificările și completările ulterioare. </p>
<br>
Președintele Autorității de Supraveghere Financiară,<br>
Leonardo Badea<p n161>București, 28 februarie 2018.</p>
<p n162>Nr. 4.</p>
<h2 n163>Anexa nr. 1 </h2>
<br>
Definiții și abrevieri <p n164>1. arhivare electronică - stocarea documentelor în format digital; </p>
<p n165>2. analiză de risc - analiza scenariilor de amenințări semnificative, pentru a evalua probabilitatea materializării acestora și impactul potențial pe care un astfel de eveniment lar avea asupra entității și operațiunilor acesteia;</p>
<p n166>3. atac etic/test de penetrare - test al sistemelor informatice realizat printr-o simulare a unui atac real asupra rețelelor, sistemelor și programelor informatice utilizate de entitatea testată sau auditată, după caz; </p>
<p n167>4. audit IT -activitatea de colectare și evaluare a unor probe pentru a determina dacă sistemul informatic respectă parametrii de performanțe și de lucru conform cerințelor de proiectare, dacă asigură funcționalitățile necesare cerințelor de afaceri și respectarea legislației în domeniu, dacă este securizat, dacă menține integritatea datelor prelucrate și stocate, dacă permite atingerea obiectivelor strategice ale entității și utilizarea eficientă a resurselor informaționale; </p>
<p n168>5. auditor IT - persoana fizică autorizată care deține certificat de auditor IT sau persoană juridică cu personal certificat, care derulează o activitate de auditare a sistemelor informatice, conform reglementărilor și bunelor practici în domeniu; </p>
<p n169>6. bază de date - structură de organizare a informației în unul sau mai multe domenii de aplicare, cu scopul de a o face accesibilă în permanență către utilizatori prin ansamblul de programe informatice; </p>
<p n170>7. centru de date - spațiu securizat, dotat cu tehnică de calcul și echipamente de comunicații prin intermediul cărora se primesc, se stochează și se transmit date în formă electronică, care se implementează respectând standardele specifice, utilizând conceptul de nivel sau un echivalent al acestuia, precum, dar fără a se limita la, standardele SR EN 50600 (European Standard - Data Centers Facilities and Infrastructures) sau TIA-942 (Telecommunications Industry Association); </p>
<p n171>8. centru de date de nivel 2 - centru de date care îndeplinește cerințele TIA-942 tier 2 sau echivalent și a cărui infrastructură prezintă caracteristicile de disponibilitate de 99,741%, circuit dedicat pentru răcire și alimentare cu energie electrică, include componente redundante, include podea înălțată, surse neîntreruptibile de putere, generator și se încadrează într-un număr de maximum 22 de ore de nefuncționare pe an; </p>
<p n172>9. ciclu de viață - totalitatea stadiilor din viața unui serviciu IT, a unui element de configurație, a unui incident, a unei probleme sau a unei schimbări, fără a se limita la acestea; </p>
<p n173>10. cloud computing public - infrastructură informatică, cu resurse de calcul configurabile, care permite furnizarea la cerere de servicii IT și este asigurată prin centre de date publice, altele decât infrastructura informatică proprie entității, prin intermediul unui furnizor extern, ca un ansamblu distribuit de servicii de calcul, programe informatice, acces la informații și stocare de date; </p>
<p n174>11. comunicații/telecomunicații - sisteme de transmisie, precum și orice alte resurse care permit transportul semnalelor prin fir, radio, fibră optică sau orice alte mijloace electromagnetice, precum și tehnologiile utilizate în cadrul proceselor de comunicare, care presupun existența unui mediu informatic constituit din echipamente hardware, software specializat, precum și dispozitive electronice de transmisie/ recepție date; </p>
<p n175>12. controale informatice - totalitatea politicilor, procedurilor, practicilor și a structurilor organizaționale informatice proiectate să ofere o asigurare rezonabilă asupra faptului că obiectivele afacerii vor fi atinse și evenimentele nedorite vor fi prevenite sau detectate și corectate; </p>
<p n176>13. date (informatice) - orice reprezentare a unor fapte, informații sau concepte într-o formă care poate fi prelucrată printr-un sistem informatic, incluzându-se și orice program informatic care poate determina realizarea unei funcții similare de către un sistem informatic; </p>
<p n177>14. disponibilitate - capabilitatea unui serviciu IT sau unui element de configurație IT de a efectua funcțiile agreate atunci când este necesar acest lucru; </p>
<p n178>15. dubla validare/validare dublă - validarea unei acțiuni de către doi utilizatori sau existența unei validări informatice duble ce implică un program care verifică o anumită acțiune prin metode diferite; </p>
<p n179>16. externalizare servicii IT - utilizarea de către o entitate a unui furnizor extern de servicii IT, în vederea desfășurării de către acesta, pe bază contractuală și în mod continuu sau pentru o perioadă, a operațiunilor aferente suportului tehnic sau al procesării, necesare desfășurării activității efectuate în mod obișnuit de către entitatea în cauză; </p>
<p n180>17. externalizare în lanț - externalizare în cadrul căreia furnizorul extern subcontractează cu alți furnizori externi elemente componente ale serviciilor prestate entității; </p>
<p n181>18. furnizor extern - persoană juridică sau fizică autorizată furnizoare de bunuri (precum hardware, licențe software, componente etc.) și soluții informatice, care deține expertiză în domenii specializate, cu respectarea cadrului legal aplicabil; </p>
<p n182>19. furnizor de servicii IT externalizate - persoană juridică sau persoană fizică autorizată cu obiect de activitate și expertiză în domeniul serviciilor informatice, furnizoare de servicii informatice în condițiile respectării cadrului legal aplicabil și a autorizării primite; </p>
<p n183>20. hardware - ansamblul elementelor fizice și tehnice cu ajutorul cărora datele se pot culege, verifica, prelucra, transmite, afișa și stoca, inclusiv suporturile de memorare a datelor, precum și echipamentele de calculator auxiliare; </p>
<p n184>21. incident de securitate - eveniment înregistrat și declarat la nivelul entității privind securitatea informației sau a sistemelor informatice cu o probabilitate semnificativă de compromitere a operațiunilor și de amenințare a securității IT a cărei consecință a determinat sau este de natură să determine compromiterea informațiilor sau a sistemelor informatice; </p>
<p n185>22. indicatori-cheie de performanță (KPI) - parametri analitici reprezentativi selectați pentru monitorizarea unor activități și procese-cheie pentru entități, oferind o privire de ansamblu asupra performanței; </p>
<p n186>23. indicatori-cheie de risc (KRI) - parametrii care măsoară efectiv riscurile aferente procedurilor și activităților entității, furnizând în timp semnalări corespunzătoare ale consecințelor cu efect negativ, care pot genera potențiale pierderi directe sau indirecte; </p>
<p n187>24. indisponibilitate (ca durată în timp) - intervalul de timp din cadrul perioadei agreate ca disponibilitate a serviciului, în care un serviciu IT sau o componentă critică/importantă a serviciului nu este disponibilă; </p>
<p n188>25. informație - rezultatul prelucrării datelor printr-un sistem informatic care sunt baza pentru asigurarea cunoașterii prin intermediul unor elemente noi în raport cu cunoștințele anterioare și constituie o resursă care trebuie protejată; </p>
<p n189>26. infrastructura informatică - elemente ale bazei tehnico-materiale, pe componente sau ca sistem, care susțin culegerea, stocarea și managementul datelor, precum și integrarea, căutarea și vizualizarea datelor și alte calcule și servicii de procesare a informației utilizând tehnologii informatice, deținute sau contractate extern de către entitate și necesare bunei funcționări a acesteia; </p>
<p n190>27. integritate - păstrarea datelor electronice, digitalizate, nealterate pe timpul comunicației dintre corespondenți sau pe perioada de stocare a datelor; </p>
<p n191>28. ISACA - Asociația de Audit și Control al Sistemelor Informatice/Information Systems Audit and Control Association; </p>
<p n192>29. ISAE 3402 - standard de audit utilizat pentru obținerea unor rapoarte de asigurare privind controalele din cadrul unei organizații prestatoare de servicii;</p>
<p n193>30. SR ISO/IEC 27001 - standard care stabilește cerințele pentru un sistem de management al securității informației; </p>
<p n194>31. managementul schimbării - procesul responsabil cu controlul ciclului de viață al tuturor schimbărilor pentru a permite implementarea schimbărilor benefice cu minimum de întrerupere a serviciilor IT; </p>
<p n195>32. nerepudiere - atribut care să prevină posibilitatea unei entități de a nega o acțiune întreprinsă în context informațional; </p>
<p n196>33. plan de cooperare în domeniul securității rețelelor și a informației - plan care stabilește rolurile organizaționale, obligațiile și răspunderile în cadrul cooperării, precum și procedurile de menținere sau de restabilire a funcționării rețelelor și sistemelor informatice în cazul în care acestea sunt afectate de un risc sau de un incident cibernetic cu impact semnificativ; </p>
<p n197>34. program informatic (aplicație) - ansamblu de instrucțiuni care poate fi executat de un sistem informatic în vederea obținerii unui rezultat determinat; </p>
<p n198>35. resurse informaționale - totalitatea informațiilor și a documentelor, conform cerințelor stabilite de legislația în domeniu; utilizat doar în definiția auditului IT;</p>
<p n199>36. rețea - ansamblu de echipamente legate între ele prin canale de transmisie, precum, dar fără a se limita la, o rețea de calculatoare; </p>
<p n200>37. risc de securitate - orice circumstanță sau eveniment care are un efect negativ potențial asupra securității sistemelor informatice; </p>
<p n201>38. risc sistemic - riscul de afectare a unei zone importante a sistemului financiar sau a unei piețe financiare, cu potențial de consecințe negative serioase pentru piața internă și economia reală, instabilitate a sistemului financiar, posibil catastrofică, cauzată sau accentuată de evenimente idiosincratice sau de condiții ale entităților; </p>
<p n202>39. riscuri semnificative - riscuri cu impact însemnat asupra situației financiare, patrimoniale și/sau reputaționale a entităților; </p>
<p n203>40. raport de audit IT - instrumentul prin care se comunică scopul auditării, obiectivele urmărite, normele/standardele aplicate, perioada acoperită, natura, întinderea, procedurile, constatările și concluziile auditului, precum și orice rezervă pe care auditorul IT o are asupra sistemului informatic auditat; </p>
<p n204>41. raport de testare IT - instrumentul prin care se comunică scopul testării, obiectivele urmărite, normele/standardele aplicate, perioada acoperită, natura, întinderea, procedurile, constatările și concluziile testării, precum și orice rezervă pe care echipa de testare o are asupra sistemului informatic testat; </p>
<p n205>42. risc aferent tehnologiei informației (IT) - subcomponentă a riscului operațional care se referă la riscul actual sau viitor de afectare negativă, pe de o parte, a profiturilor și capitalului entităților sau a investitorilor, participanților sau asiguraților, pe de altă parte, determinat de inadecvarea strategiei și politicilor IT, a tehnologiei informației și a procesării acesteia, din punctul de vedere al capacității de gestionare, integritate, controlabilitate și continuitate, sau de utilizare necorespunzătoare a tehnologiei informației; </p>
<p n206>43. securitate (cibernetică) - capacitatea unei rețele sau a unui sistem informatic, rezultată în urma aplicării unui ansamblu de măsuri proactive și reactive, de a rezista, la un nivel de încredere dat, unei acțiuni accidentale sau răuvoitoare care compromite disponibilitatea, autenticitatea, integritatea sau confidențialitatea datelor stocate sau transmise ori a serviciilor conexe oferite de rețeaua sau de sistemul informatic respectiv sau accesibile prin intermediul acestora; </p>
<p n207>44. semnătură electronică (digitală) - atribut indispensabil al documentului electronic, obținut în urma transformării criptografice a acestuia, cu utilizarea cheii private, conform prevederilor <a href="/p/157828">Legii nr. 455/2001</a> privind semnătura electronică, republicată; </p>
<p n208>45. serviciu IT - combinație de persoane, procese și tehnologii furnizate în interiorul entității sau de către un furnizor de servicii IT, care se bazează pe folosirea tehnologiei informației și care asigură suportul tehnic necesar desfășurării activității entității și care ar trebui să fie definită într-un acord al nivelului agreat de serviciu (SLA); </p>
<p n209>46. sistem informatic - ansamblu de elemente intercorelate funcțional în scopul automatizării obținerii informațiilor necesare activităților operaționale și manageriale într-o entitate, prin intermediul serviciilor IT, al echipamentelor hardware și produselor software, proceduri manuale, baze de date și modele matematice pentru analiză, planificare, control și luarea deciziilor, utilizând componente de introducere și prelucrare date, componente de procesare precum servere, calculatoare, sisteme software de operare de bază, programe informatice, rețele de calculatoare și telecomunicații, componente de stocare și utilizatori, fără ca enumerarea să fie limitativă; </p>
<p n210>47. software - toată gama de produse program, care cuprinde cel puțin următoarele elemente: sisteme de operare, drivere sau programe informatice; </p>
<p n211>48. tehnologia informației (IT) sau tehnologia informației și a comunicațiilor - tehnologia necesară pentru prelucrarea (procurarea, procesarea, stocarea, convertirea și transmiterea) informației, în particular prin folosirea calculatoarelor electronice și a programelor corespunzătoare; </p>
<p n212>49. TIA-942 - standard ce definește infrastructura unui centru de date, în mod special din privința sistemului de cablare și a designului rețelei, dar acoperă și locația, răcirea, alimentarea cu energie electrică și amenajarea sa, precum și considerente legate de mediu; </p>
<p n213>50. vulnerabilități - stări de fapt, procese și/sau fenomene care diminuează capacitatea de reacție a sistemelor informatice la riscurile existente ori potențiale sau care favorizează apariția și dezvoltarea lor, cu consecințe în planul funcționalității și utilității. </p>
<h2 n214>Anexa nr. 2 </h2>
<p n215>Activități obligatorii desfășurate de către entități</p><p n216>Entitățile vor desfășura activitățile precizate în tabelul de mai jos, conform categoriilor de risc corespunzătoare. </p>
<br>
Activități obligatorii ale entităților, pe categorii de risc<p n217>
</p><table>
<tr><td colspan rowspan><p n218>Activitate</p>
</td><td colspan="4" rowspan><p n219>Categoria de risc a entității</p>
</td></tr>
<tr><td colspan rowspan><p n220>Majoră</p>
</td><td colspan rowspan><p n221>Importantă</p>
</td><td colspan rowspan><p n222>Medie</p>
</td><td colspan rowspan><p n223>Scăzută</p>
</td></tr>
<tr><td colspan="2" rowspan><p n224>A. Evaluare internă a riscului operațional și registrul riscurilor</p>
</td><td colspan rowspan><p n225>x</p>
</td><td colspan rowspan><p n226>x</p>
</td><td colspan rowspan><p n227>x</p>
</td><td colspan rowspan><p n228>x</p>
</td></tr>
<tr><td colspan="6" rowspan><p n229>B. Organizare pe procese</p>
</td></tr>
<tr><td colspan rowspan><p n230>1</p>
</td><td colspan rowspan><p n231>Management disponibilitate</p>
</td><td colspan rowspan><p n232>x</p>
</td><td colspan rowspan><p n233>x</p>
</td><td colspan rowspan><p n234>x</p>
</td></tr>
<tr><td colspan rowspan><p n235>2</p>
</td><td colspan rowspan><p n236>Management utilizatori</p>
</td><td colspan rowspan><p n237>x</p>
</td><td colspan rowspan><p n238>x</p>
</td><td colspan rowspan><p n239>x</p>
</td><td colspan rowspan><p n240>x</p>
</td></tr>
<tr><td colspan rowspan><p n241>3</p>
</td><td colspan rowspan><p n242>Management incidente</p>
</td><td colspan rowspan><p n243>x</p>
</td><td colspan rowspan><p n244>x</p>
</td><td colspan rowspan><p n245>x</p>
</td></tr>
<tr><td colspan="6" rowspan><p n246>4 Management schimbare</p>
</td></tr>
<tr><td colspan rowspan><p n247>a)</p>
</td><td colspan rowspan><p n248>Management ciclu viață programe informatice</p>
</td><td colspan rowspan><p n249>x</p>
</td><td colspan rowspan><p n250>x</p>
</td><td colspan rowspan><p n251>x</p>
</td><td colspan rowspan><p n252>x</p>
</td></tr>
<tr><td colspan rowspan><p n253>b)</p>
</td><td colspan rowspan><p n254>Management versiuni</p>
</td><td colspan rowspan><p n255>x</p>
</td><td colspan rowspan><p n256>x</p>
</td><td colspan rowspan><p n257>x</p>
</td><td colspan rowspan><p n258>x</p>
</td></tr>
<tr><td colspan rowspan><p n259>c)</p>
</td><td colspan rowspan><p n260>Management testare</p>
</td><td colspan rowspan><p n261>x</p>
</td><td colspan rowspan><p n262>x</p>
</td><td colspan rowspan><p n263>x</p>
</td><td colspan rowspan><p n264>x</p>
</td></tr>
<tr><td colspan rowspan><p n265>5</p>
</td><td colspan rowspan><p n266>Management capacitate</p>
</td><td colspan rowspan><p n267>x</p>
</td><td colspan rowspan><p n268>x</p>
</td><td colspan rowspan><p n269>x</p>
</td></tr>
<tr><td colspan rowspan><p n270>6</p>
</td><td colspan rowspan><p n271>Management configurații</p>
</td><td colspan rowspan><p n272>x</p>
</td><td colspan rowspan><p n273>x</p>
</td></tr>
<tr><td colspan rowspan><p n274>7</p>
</td><td colspan rowspan><p n275>Management niveluri servicii (SLA)</p>
</td><td colspan rowspan><p n276>x</p>
</td><td colspan rowspan><p n277>x</p>
</td><td colspan rowspan><p n278>x</p>
</td></tr>
<tr><td colspan="6" rowspan><p n279>8 Management securitate</p>
</td></tr>
<tr><td colspan rowspan><p n280>a)</p>
</td><td colspan rowspan><p n281>Cerințe generale</p>
</td><td colspan rowspan><p n282>x</p>
</td><td colspan rowspan><p n283>x</p>
</td><td colspan rowspan><p n284>x</p>
</td><td colspan rowspan><p n285>x</p>
</td></tr>
<tr><td colspan rowspan><p n286>b)</p>
</td><td colspan rowspan><p n287>Scanare de vulnerabilități</p>
</td><td colspan rowspan><p n288>x</p>
</td><td colspan rowspan><p n289>x</p>
</td><td colspan rowspan><p n290>x</p>
</td><td colspan rowspan><p n291>x</p>
</td></tr>
<tr><td colspan rowspan><p n292>c)</p>
</td><td colspan rowspan><p n293>Teste de penetrare^1</p>
</td><td colspan rowspan><p n294>x</p>
</td><td colspan rowspan><p n295>x</p>
</td><td colspan rowspan><p n296>x</p>
</td></tr>
<tr><td colspan rowspan><p n297>9</p>
</td><td colspan rowspan><p n298>Management continuitate</p>
</td><td colspan rowspan><p n299>x</p>
</td><td colspan rowspan><p n300>x</p>
</td><td colspan rowspan><p n301>x</p>
</td></tr>
<tr><td colspan="6" rowspan><p n302>C. Puncte de control și măsură</p>
</td></tr>
<tr><td colspan rowspan><p n303>1</p>
</td><td colspan rowspan><p n304>Controale generale</p>
</td><td colspan rowspan><p n305>x</p>
</td><td colspan rowspan><p n306>x</p>
</td><td colspan rowspan><p n307>x</p>
</td></tr>
<tr><td colspan rowspan><p n308>2</p>
</td><td colspan rowspan><p n309>Controale program informatic</p>
</td><td colspan rowspan><p n310>x</p>
</td><td colspan rowspan><p n311>x</p>
</td></tr>
<tr><td colspan rowspan><p n312>3</p>
</td><td colspan rowspan><p n313>Controale flux financiar</p>
</td><td colspan rowspan><p n314>x</p>
</td><td colspan rowspan><p n315>x</p>
</td><td colspan rowspan><p n316>x</p>
</td><td colspan rowspan><p n317>x</p>
</td></tr>
<tr><td colspan="2" rowspan><p n318>D. Implementare indicatori-cheie de performanță (KPI)</p>
</td><td colspan rowspan><p n319>x</p>
</td></tr>
<tr><td colspan="2" rowspan><p n320>E. Implementare indicatori-cheie de risc (KRI)</p>
</td><td colspan rowspan><p n321>x</p>
</td><td colspan rowspan><p n322>x</p>
</td></tr>
<tr><td colspan="6" rowspan><p n323>F. Managementul securității sistemului informatic</p>
</td></tr>
<tr><td colspan rowspan><p n324>1</p>
</td><td colspan rowspan><p n325>Măsuri organizatorice</p>
</td><td colspan rowspan><p n326>x</p>
</td><td colspan rowspan><p n327>x</p>
</td></tr>
<tr><td colspan rowspan><p n328>2</p>
</td><td colspan rowspan><p n329>Proceduri de securitate</p>
</td><td colspan rowspan><p n330>x</p>
</td><td colspan rowspan><p n331>x</p>
</td><td colspan rowspan><p n332>x</p>
</td><td colspan rowspan><p n333>x</p>
</td></tr>
<tr><td colspan rowspan><p n334>3</p>
</td><td colspan rowspan><p n335>Evaluare securitate</p>
</td><td colspan rowspan><p n336>x</p>
</td></tr>
<tr><td colspan rowspan><p n337>4</p>
</td><td colspan rowspan><p n338>Plan de cooperare</p>
</td><td colspan rowspan><p n339>x</p>
</td><td colspan rowspan><p n340>x</p>
</td><td colspan rowspan><p n341>x</p>
</td><td colspan rowspan><p n342>x</p>
</td></tr>
</table>
<nota>^1 Pentru raportare testul de penetrare va fi efectuat în perioada auditată.</nota>
<h2 n343>Anexa nr. 3 </h2>
<br>
Machetă de raportare <p n344>I. Raportul de audit IT</p>
<p n345>II. Anexe la raportul de audit IT:</p><p n346>1. Sumarul observațiilor</p>
<p n347>2. Analiza internă a riscurilor operaționale și registrul riscurilor </p>
<p n348>3. Cerințe referitoare la furnizorii externi și furnizorii de servicii IT externalizate pentru sistemele informatice importante</p>
<p n349>4. Organizarea pe procese</p>
<p n350>5. Concluzii ale echipei de audit privind respectarea cerințelor impuse </p>
<p n351>6. Declarația pe propria răspundere a auditorului IT extern </p>
<p n352>7. Declarație pe propria răspundere a reprezentantului legal al entității auditate IT cu resurse interne</p>
<p n353>I. Raportul de audit IT </p><p n354>┌───┬───────────────────────────────────────────┬─────────────────────────────────────────────────────────────────────────────┐</p>
<p n355>│ # │ Capitol │ Comentarii/Explicații │</p>
<p n356>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n357>│ A │Titlul raportului │ │</p>
<p n358>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n359>│ B │Destinatarii raportului și orice restricții│ │</p>
<p n360>│ │privind conținutul și circulația raportului│ │</p>
<p n361>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n362>│ C │Paragraf introductiv │Identificarea entității auditate (Denumire/Numărul de înregistrare la Oficiul│</p>
<p n363>│ │ │Național al Registrului Comerțului/Adresă) │</p>
<p n364>│ │ │Includerea afirmației că sistemele informatice au fost auditate ca urmare a │</p>
<p n365>│ │ │obligației legale impuse de prezenta normă │</p>
<p n366>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n367>│ D │Asumarea responsabilității conducerii │ │</p>
<p n368>│ │entității privind auditul efectuat asupra │ │</p>
<p n369>│ │sistemelor informatice │ │</p>
<p n370>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n371>│ E │Responsabilitatea auditorului IT │Raportul de audit IT va include cel puțin afirmațiile: │</p>
<p n372>│ │ │- că "este responsabilitatea auditorului IT să exprime o opinie cu privire │</p>
<p n373>│ │ │la conformitatea sistemelor informatice cu prevederile prezentei norme"; │</p>
<p n374>│ │ │- că raportul de audit IT a fost elaborat în conformitate cu standardul de │</p>
<p n375>│ │ │audit utilizat, respectiv ... (menționarea acestuia) │</p>
<p n376>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n377>│ F │Datele de identificare ale coordonatorului │Numele, prenumele, telefon, fax, adresa de e-mail și adresa unde își │</p>
<p n378>│ │certificat al echipei de audit │desfășoară activitatea │</p>
<p n379>│ │IT/auditorului IT persoană fizică/auditor │ │</p>
<p n380>│ │IT intern certificat │ │</p>
<p n381>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n382>│ G │Semnătura coordonatorului certificat al │ │</p>
<p n383>│ │echipei de audit și semnătura │ │</p>
<p n384>│ │reprezentantului legal al auditorului │ │</p>
<p n385>│ │persoană juridică/semnătura auditorului IT │ │</p>
<p n386>│ │persoană fizică/semnătura auditorului IT │ │</p>
<p n387>│ │intern certificat │ │</p>
<p n388>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n389>│ H │Obiectivele activității de audit IT, │ │</p>
<p n390>│ │perioada auditată │ │</p>
<p n391>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n392>│ I │Sediul desfășurării activității de audit │Adresa sediului unde a avut loc activitatea de audit IT (sediu │</p>
<p n393>│ │IT, data întocmirii raportului de audit IT │central/sucursală/filială), data întocmirii raportului de audit IT │</p>
<p n394>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n395>│ J │Descrierea ariei auditului IT │Identificarea sistemelor informatice importante utilizate de către entitate │</p>
<p n396>│ │ │și raportarea acestora conform tabelului de mai jos: │</p>
<p n397>│ │ │ ┌───┬───────────┬───────────┬──────────────┬────────────┐ │</p>
<p n398>│ │ │ │Nr.│Sistem │Funcția │Administrarea │Inclus în │ │</p>
<p n399>│ │ │ │ │informatic │îndeplinită│sistemului │scopul │ │</p>
<p n400>│ │ │ │ │important*)│ │informatic │auditului IT│ │</p>
<p n401>│ │ │ │ │ │ │important │ │ │</p>
<p n402>│ │ │ │ │ │ │(internă/ │ │ │</p>
<p n403>│ │ │ │ │ │ │externalizată)│ │ │</p>
<p n404>│ │ │ ├───┼───────────┼───────────┼──────────────┼────────────┤ │</p>
<p n405>│ │ │ │ │ │ │ │ │ │</p>
<p n406>│ │ │ └───┴───────────┴───────────┴──────────────┴────────────┘ │</p>
<p n407>│ │ │Pentru sistemele informatice importante incluse în scopul auditului IT se vor│</p>
<p n408>│ │ │menționa următoarele: │</p>
<p n409>│ │ │- descrierea componentelor hardware ale sistemelor informatice importante │</p>
<p n410>│ │ │utilizate; │</p>
<p n411>│ │ │- măsurile organizatorice: politicile aplicabile și procedurile implementate;│</p>
<p n412>│ │ │- un sumar conținând analiza riscurilor aferente activității, a posibilelor │</p>
<p n413>│ │ │deficiențe ale sistemului informatic important auditat și a măsurilor de │</p>
<p n414>│ │ │reducere a riscurilor asociate, în baza controalelor generale sau specifice │</p>
<p n415>│ │ │implementate conform prevederilor prezentei norme │</p>
<p n416>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n417>│ K │Referiri cu privire la implementarea │Verificarea modului de implementare a măsurilor și respectarea termenelor │</p>
<p n418>│ │planului de acțiune asumat de entitate │asumate │</p>
<p n419>│ │rezultat în urma activității de audit IT │ │</p>
<p n420>│ │anterioare, dacă este cazul │ │</p>
<p n421>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n422>│ L │Referiri cu privire la veridicitatea │ │</p>
<p n423>│ │indicatorilor raportați în conformitate cu │ │</p>
<p n424>│ │prevederile art. 49 alin. (1) din prezenta │ │</p>
<p n425>│ │normă, aferenți perioadei dintre două │ │</p>
<p n426>│ │activități de auditare IT și conformitatea │ │</p>
<p n427>│ │raportărilor efectuate către A.S.F. │ │</p>
<p n428>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n429>│ M │Referiri cu privire la modul de efectuare a│Opinie cu privire la plauzibilitatea metodologiei/tehnicilor utilizate, │</p>
<p n430>│ │evaluării anuale de către entitate a │precum și asupra măsurilor de control implementate în vederea adresării │</p>
<p n431>│ │riscurilor operaționale generate de │riscurilor operaționale identificate │</p>
<p n432>│ │utilizarea sistemelor informatice │ │</p>
<p n433>│ │importante prevăzută la art. 6 alin. (1) │ │</p>
<p n434>│ │din prezenta normă │ │</p>
<p n435>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n436>│ N │Rezultatul obținut în urma efectuării │În situația efectuării testului de penetrare de către auditorul IT, se va │</p>
<p n437>│ │testului de penetrare, după caz │menționa: │</p>
<p n438>│ │ │- descrierea metodologiei/tehnicilor utilizate; │</p>
<p n439>│ │ │- menționarea rezultatelor obținute în urma testului; │</p>
<p n440>│ │ │- recomandările adresate entității și răspunsul managementului entității. │</p>
<p n441>│ │ │În situația în care testul de penetrare nu a fost efectuat de către auditorul│</p>
<p n442>│ │ │IT, acesta va verifica: │</p>
<p n443>│ │ │- metodologia/tehnicile utilizate; │</p>
<p n444>│ │ │- rezultatele obținute în urma testului; │</p>
<p n445>│ │ │- recomandările adresate entității și răspunsul managementului entității. │</p>
<p n446>├───┼───────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────┤</p>
<p n447>│ O │Afirmația de conformitate, reflectată prin │ │</p>
<p n448>│ │opinia auditorului IT │Opinie pozitivă, opinie cu rezerve/calificată, opinie negativă, după caz │</p>
<p n449>└───┴───────────────────────────────────────────┴─────────────────────────────────────────────────────────────────────────────┘</p>
<p n450>II. Anexe la raportul de audit IT</p><p n451>1. Sumarul observațiilor </p><p n452>Anexa este însușită de către entitatea auditată prin semnarea acesteia către reprezentantul legal și conține, fără a se limita la acestea:a) descrierea neconformității/constatării; ... b) importanța neconformității/constatării; ... c) riscurile asociate; ... d) probabilitatea ca aceste constatări să aibă un impact semnificativ; recomandările auditorului IT pentru acțiuni corective și răspunsul conducerii entității auditate pentru fiecare constatare din raport (inclusiv în urma testului de penetrare); ... e) planul de acțiune asumat de către entitatea auditată care conține măsurile efective, termenul de implementare și persoanele responsabile de implementare. ... </p>
<p n453>2. Analiza internă a riscurilor operaționale și registrul riscurilor</p><p n454>Anexa conține următoarele informații, fără a se limita la acestea:a) descrierea politicii/metodologiei utilizate de către entitate; ... b) rezultatele revizuirii riscurilor generate de utilizarea sistemelor informatice; ... c) rezultatele evaluării de către auditorul IT a măsurilor de control implementate în vederea adresării riscurilor operaționale identificate (pentru riscuri semnificative). ... </p>
<p n455>3. Cerințe referitoare la furnizorii externi și furnizorii de servicii IT externalizate pentru sistemele informatice importante</p><p n456>Raportarea se efectuează prin completarea tabelului prezentat</p><p n457>
</p><table>
<tr><td colspan rowspan><p n458>Sistem informatic important</p>
</td><td colspan rowspan><p n459>Funcția sistemului informatic important - descrierea serviciilor oferite</p>
</td><td colspan rowspan><p n460>Furnizor - date de identificare (denumire, sediul entității, datele de înregistrare fiscală, telefon/fax/website)</p>
</td><td colspan rowspan><p n461>Certificare SR ISO/IEC 27001 sau echivalent (emitent, număr certificare, data emiterii, perioada de valabilitate)</p>
</td><td colspan rowspan><p n462>Alte certificări în conformitate cu prevederile prezentei norme (emitent, număr certificare, data emiterii, perioada de valabilitate)</p>
</td><td colspan rowspan><p n463>Concluzie - Conformitate Da/Nu/Parțial</p>
</td><td colspan rowspan><p n464>Comentarii</p>
</td></tr>
</table>
<p n465>4. Organizarea pe procese </p><p n466>Anexa cuprinde informații referitoare la managementul disponibilității, respectiv:a) măsurarea disponibilității sistemelor informatice importante (conform cu cerințele standardului TIA-942 tier 2); ... b) sistemele informatice importante pentru care s-au efectuat măsurătorile cu privire la disponibilitatea acestora; ... c) descrierea modului în care a fost efectuată măsurarea disponibilității sistemelor informatice importante. ... </p>
<p n467>Raportarea se efectuează prin completarea tabelului prezentat</p><p n468>
</p><table>
<tr><td colspan rowspan><p n469>Sistem informatic important</p>
</td><td colspan rowspan><p n470>Disponibilitatea sistemului informatic important în perioada măsurată</p>
</td><td colspan rowspan><p n471>Perioada supusă testării</p>
</td><td colspan rowspan><p n472>Concluzie - Conformitate Da/Nu</p>
</td><td colspan rowspan><p n473>Comentarii</p>
</td></tr>
</table>
<p n474>5. Concluzii ale echipei de audit privind respectarea cerințelor impuse </p><p n475>
</p><table>
<tr><td colspan rowspan><p n476>Nr.</p>
</td><td colspan rowspan><p n477>Articol supus verificării</p>
</td><td colspan rowspan><p n478>Conformitate DA/NU/PARȚIAL/NEAPLICABIL</p>
</td><td colspan rowspan><p n479>Comentarii/</p>
<p n480>Motivații în cazul nerespectării prevederii</p>
</td></tr>
<tr><td colspan rowspan><p n481>1.</p>
</td><td colspan rowspan><p n482>Art. 3 (3)</p>
</td><td colspan rowspan><p n483> </p>
</td><td colspan rowspan><p n484> </p>
</td></tr>
<tr><td colspan rowspan><p n485>2.</p>
</td><td colspan rowspan><p n486>Art. 6 (1)</p>
</td><td colspan rowspan><p n487> </p>
</td><td colspan rowspan><p n488> </p>
</td></tr>
<tr><td colspan rowspan><p n489>3.</p>
</td><td colspan rowspan><p n490>Art. 6 (2)</p>
</td><td colspan rowspan><p n491> </p>
</td><td colspan rowspan><p n492> </p>
</td></tr>
<tr><td colspan rowspan><p n493>4.</p>
</td><td colspan rowspan><p n494>Art. 15 (1)</p>
</td><td colspan rowspan><p n495> </p>
</td><td colspan rowspan><p n496> </p>
</td></tr>
<tr><td colspan rowspan><p n497>5.</p>
</td><td colspan rowspan><p n498>Art. 15 (2)</p>
</td><td colspan rowspan><p n499> </p>
</td><td colspan rowspan><p n500> </p>
</td></tr>
<tr><td colspan rowspan><p n501>6.</p>
</td><td colspan rowspan><p n502>Art. 15 (3)</p>
</td><td colspan rowspan><p n503> </p>
</td><td colspan rowspan><p n504> </p>
</td></tr>
<tr><td colspan rowspan><p n505>7.</p>
</td><td colspan rowspan><p n506>Art. 15 (4)</p>
</td><td colspan rowspan><p n507> </p>
</td><td colspan rowspan><p n508> </p>
</td></tr>
<tr><td colspan rowspan><p n509>8.</p>
</td><td colspan rowspan><p n510>Art. 16 (1) - a)</p>
</td><td colspan rowspan><p n511> </p>
</td><td colspan rowspan><p n512> </p>
</td></tr>
<tr><td colspan rowspan><p n513>9.</p>
</td><td colspan rowspan><p n514>Art. 16 (1) - b)</p>
</td><td colspan rowspan><p n515> </p>
</td><td colspan rowspan><p n516> </p>
</td></tr>
<tr><td colspan rowspan><p n517>10.</p>
</td><td colspan rowspan><p n518>Art. 16 (1) - c)</p>
</td><td colspan rowspan><p n519> </p>
</td><td colspan rowspan><p n520> </p>
</td></tr>
<tr><td colspan rowspan><p n521>11.</p>
</td><td colspan rowspan><p n522>Art. 16 (1) - d)</p>
</td><td colspan rowspan><p n523> </p>
</td><td colspan rowspan><p n524> </p>
</td></tr>
<tr><td colspan rowspan><p n525>12.</p>
</td><td colspan rowspan><p n526>Art. 16 (1) - e)</p>
</td><td colspan rowspan><p n527> </p>
</td><td colspan rowspan><p n528> </p>
</td></tr>
<tr><td colspan rowspan><p n529>13.</p>
</td><td colspan rowspan><p n530>Art. 16 (1) - f)</p>
</td><td colspan rowspan><p n531> </p>
</td><td colspan rowspan><p n532> </p>
</td></tr>
<tr><td colspan rowspan><p n533>14.</p>
</td><td colspan rowspan><p n534>Art. 16 (1) - g)</p>
</td><td colspan rowspan><p n535> </p>
</td><td colspan rowspan><p n536> </p>
</td></tr>
<tr><td colspan rowspan><p n537>15.</p>
</td><td colspan rowspan><p n538>Art. 16 (1) - h)</p>
</td><td colspan rowspan><p n539> </p>
</td><td colspan rowspan><p n540> </p>
</td></tr>
<tr><td colspan rowspan><p n541>16.</p>
</td><td colspan rowspan><p n542>Art. 16 (2)</p>
</td><td colspan rowspan><p n543> </p>
</td><td colspan rowspan><p n544> </p>
</td></tr>
<tr><td colspan rowspan><p n545>17.</p>
</td><td colspan rowspan><p n546>Art. 17 (1)</p>
</td><td colspan rowspan><p n547> </p>
</td><td colspan rowspan><p n548> </p>
</td></tr>
<tr><td colspan rowspan><p n549>18.</p>
</td><td colspan rowspan><p n550>Art. 17 (2)</p>
</td><td colspan rowspan><p n551> </p>
</td><td colspan rowspan><p n552> </p>
</td></tr>
<tr><td colspan rowspan><p n553>19.</p>
</td><td colspan rowspan><p n554>Art. 18 (1) - a)</p>
</td><td colspan rowspan><p n555> </p>
</td><td colspan rowspan><p n556> </p>
</td></tr>
<tr><td colspan rowspan><p n557>20.</p>
</td><td colspan rowspan><p n558>Art. 18 (1) - b)</p>
</td><td colspan rowspan><p n559> </p>
</td><td colspan rowspan><p n560> </p>
</td></tr>
<tr><td colspan rowspan><p n561>21.</p>
</td><td colspan rowspan><p n562>Art. 18 (1) - c)</p>
</td><td colspan rowspan><p n563> </p>
</td><td colspan rowspan><p n564> </p>
</td></tr>
<tr><td colspan rowspan><p n565>22.</p>
</td><td colspan rowspan><p n566>Art. 18 (1) - d)</p>
</td><td colspan rowspan><p n567> </p>
</td><td colspan rowspan><p n568> </p>
</td></tr>
<tr><td colspan rowspan><p n569>23.</p>
</td><td colspan rowspan><p n570>Art. 18 (1) - e)</p>
</td><td colspan rowspan><p n571> </p>
</td><td colspan rowspan><p n572> </p>
</td></tr>
<tr><td colspan rowspan><p n573>24.</p>
</td><td colspan rowspan><p n574>Art. 19 - a)</p>
</td><td colspan rowspan><p n575> </p>
</td><td colspan rowspan><p n576> </p>
</td></tr>
<tr><td colspan rowspan><p n577>25.</p>
</td><td colspan rowspan><p n578>Art. 19 - b)</p>
</td><td colspan rowspan><p n579> </p>
</td><td colspan rowspan><p n580> </p>
</td></tr>
<tr><td colspan rowspan><p n581>26.</p>
</td><td colspan rowspan><p n582>Art. 19 - c)</p>
</td><td colspan rowspan><p n583> </p>
</td><td colspan rowspan><p n584> </p>
</td></tr>
<tr><td colspan rowspan><p n585>27.</p>
</td><td colspan rowspan><p n586>Art. 19 - d)</p>
</td><td colspan rowspan><p n587> </p>
</td><td colspan rowspan><p n588> </p>
</td></tr>
<tr><td colspan rowspan><p n589>28.</p>
</td><td colspan rowspan><p n590>Art. 20 - a)</p>
</td><td colspan rowspan><p n591> </p>
</td><td colspan rowspan><p n592> </p>
</td></tr>
<tr><td colspan rowspan><p n593>29.</p>
</td><td colspan rowspan><p n594>Art. 20 - b)</p>
</td><td colspan rowspan><p n595> </p>
</td><td colspan rowspan><p n596> </p>
</td></tr>
<tr><td colspan rowspan><p n597>30.</p>
</td><td colspan rowspan><p n598>Art. 20 - c)</p>
</td><td colspan rowspan><p n599> </p>
</td><td colspan rowspan><p n600> </p>
</td></tr>
<tr><td colspan rowspan><p n601>31.</p>
</td><td colspan rowspan><p n602>Art. 20 - d)</p>
</td><td colspan rowspan><p n603> </p>
</td><td colspan rowspan><p n604> </p>
</td></tr>
<tr><td colspan rowspan><p n605>32.</p>
</td><td colspan rowspan><p n606>Art. 35 (1) - a)</p>
</td><td colspan rowspan><p n607> </p>
</td><td colspan rowspan><p n608> </p>
</td></tr>
<tr><td colspan rowspan><p n609>33.</p>
</td><td colspan rowspan><p n610>Art. 35 (1) - b)</p>
</td><td colspan rowspan><p n611> </p>
</td><td colspan rowspan><p n612> </p>
</td></tr>
<tr><td colspan rowspan><p n613>34.</p>
</td><td colspan rowspan><p n614>Art. 35 (1) - c)</p>
</td><td colspan rowspan><p n615> </p>
</td><td colspan rowspan><p n616> </p>
</td></tr>
<tr><td colspan rowspan><p n617>35.</p>
</td><td colspan rowspan><p n618>Art. 35 (2)</p>
</td><td colspan rowspan><p n619> </p>
</td><td colspan rowspan><p n620> </p>
</td></tr>
<tr><td colspan rowspan><p n621>36.</p>
</td><td colspan rowspan><p n622>Art. 36 (1)</p>
</td><td colspan rowspan><p n623> </p>
</td><td colspan rowspan><p n624> </p>
</td></tr>
<tr><td colspan rowspan><p n625>37.</p>
</td><td colspan rowspan><p n626>Art. 36 (2) - a)</p>
</td><td colspan rowspan><p n627> </p>
</td><td colspan rowspan><p n628> </p>
</td></tr>
<tr><td colspan rowspan><p n629>38.</p>
</td><td colspan rowspan><p n630>Art. 36 (2) - b)</p>
</td><td colspan rowspan><p n631> </p>
</td><td colspan rowspan><p n632> </p>
</td></tr>
<tr><td colspan rowspan><p n633>39.</p>
</td><td colspan rowspan><p n634>Art. 36 (2) - c)</p>
</td><td colspan rowspan><p n635> </p>
</td><td colspan rowspan><p n636> </p>
</td></tr>
<tr><td colspan rowspan><p n637>40.</p>
</td><td colspan rowspan><p n638>Art. 36 (2) - d)</p>
</td><td colspan rowspan><p n639> </p>
</td><td colspan rowspan><p n640> </p>
</td></tr>
<tr><td colspan rowspan><p n641>41.</p>
</td><td colspan rowspan><p n642>Art. 36 (2) - e)</p>
</td><td colspan rowspan><p n643> </p>
</td><td colspan rowspan><p n644> </p>
</td></tr>
<tr><td colspan rowspan><p n645>42.</p>
</td><td colspan rowspan><p n646>Art. 36 (2) - f)</p>
</td><td colspan rowspan><p n647> </p>
</td><td colspan rowspan><p n648> </p>
</td></tr>
<tr><td colspan rowspan><p n649>43.</p>
</td><td colspan rowspan><p n650>Art. 36 (2) - g)</p>
</td><td colspan rowspan><p n651> </p>
</td><td colspan rowspan><p n652> </p>
</td></tr>
<tr><td colspan rowspan><p n653>44.</p>
</td><td colspan rowspan><p n654>Art. 36 (2) - h)</p>
</td><td colspan rowspan><p n655> </p>
</td><td colspan rowspan><p n656> </p>
</td></tr>
<tr><td colspan rowspan><p n657>45.</p>
</td><td colspan rowspan><p n658>Art. 36 (2) - i)</p>
</td><td colspan rowspan><p n659> </p>
</td><td colspan rowspan><p n660> </p>
</td></tr>
<tr><td colspan rowspan><p n661>46.</p>
</td><td colspan rowspan><p n662>Art. 37</p>
</td><td colspan rowspan><p n663> </p>
</td><td colspan rowspan><p n664> </p>
</td></tr>
<tr><td colspan rowspan><p n665>47.</p>
</td><td colspan rowspan><p n666>Art. 45</p>
</td><td colspan rowspan><p n667> </p>
</td><td colspan rowspan><p n668> </p>
</td></tr>
<tr><td colspan rowspan><p n669>48.</p>
</td><td colspan rowspan><p n670>Art. 46 (1) - a)</p>
</td><td colspan rowspan><p n671> </p>
</td><td colspan rowspan><p n672> </p>
</td></tr>
<tr><td colspan rowspan><p n673>49.</p>
</td><td colspan rowspan><p n674>Art. 46 (1) - b)</p>
</td><td colspan rowspan><p n675> </p>
</td><td colspan rowspan><p n676> </p>
</td></tr>
<tr><td colspan rowspan><p n677>50.</p>
</td><td colspan rowspan><p n678>Art. 46 (1) - c)</p>
</td><td colspan rowspan><p n679> </p>
</td><td colspan rowspan><p n680> </p>
</td></tr>
<tr><td colspan rowspan><p n681>51.</p>
</td><td colspan rowspan><p n682>Art. 46 (1) - d)</p>
</td><td colspan rowspan><p n683> </p>
</td><td colspan rowspan><p n684> </p>
</td></tr>
<tr><td colspan rowspan><p n685>52.</p>
</td><td colspan rowspan><p n686>Art. 46 (2)</p>
</td><td colspan rowspan><p n687> </p>
</td><td colspan rowspan><p n688> </p>
</td></tr>
<tr><td colspan rowspan><p n689>53.</p>
</td><td colspan rowspan><p n690>Art. 47</p>
</td><td colspan rowspan><p n691> </p>
</td><td colspan rowspan><p n692> </p>
</td></tr>
<tr><td colspan rowspan><p n693>54.</p>
</td><td colspan rowspan><p n694>Art. 48 - a)</p>
</td><td colspan rowspan><p n695> </p>
</td><td colspan rowspan><p n696> </p>
</td></tr>
<tr><td colspan rowspan><p n697>55.</p>
</td><td colspan rowspan><p n698>Art. 48 - b)</p>
</td><td colspan rowspan><p n699> </p>
</td><td colspan rowspan><p n700> </p>
</td></tr>
<tr><td colspan rowspan><p n701>56.</p>
</td><td colspan rowspan><p n702>Art. 48 - c)</p>
</td><td colspan rowspan><p n703> </p>
</td><td colspan rowspan><p n704> </p>
</td></tr>
</table>
<p n705>6. Declarația pe propria răspundere a auditorului IT extern </p><p n706>Anexa conține informații cu privire la faptul că acesta nu se află în relații cu entitatea auditată, cu membrii structurii de conducere sau cu angajații acesteia care ar putea să îi afecteze independența sau obiectivitatea activității de audit IT. </p>
<p n707>7. Declarație pe propria răspundere a reprezentantului legal al entității auditate IT cu resurse interne</p><p n708>Anexa conține informații cu privire la efectuarea auditului IT cu resurse interne certificate care sunt independente față de activitatea auditată și copia certificatului de auditor IT semnată pentru conformitate cu originalul.</p>
<h2 n709>Anexa nr. 4</h2>
<br>
Indicatori de raportare electronică anuală<p n710>Pentru raportarea indicatorilor din tabelul de mai jos, entitățile vor raporta: a) conform prevederilor art. 49 lit. c) din prezenta normă; ... b) 0 „zero“ - dacă nu sunt valori ale indicatorului respectiv pentru perioada raportată sau, după caz, la sfârșitul perioadei de raportare; ... c) valoarea indicatorului - dacă sunt înregistrate valori diferite de zero ale indicatorului respectiv pentru perioada raportată sau, după caz, la sfârșitul perioadei de raportare. ... </p><p n711>
</p><table>
<tr><td colspan rowspan><p n712>Obiectiv în perioada de raportare</p>
</td><td colspan rowspan><p n713>Indicator</p>
</td></tr>
<tr><td colspan rowspan><p n714>1</p>
</td><td colspan rowspan><p n715>2</p>
</td></tr>
<tr><td colspan="2" rowspan><p n716>Indicatori referitori la accesarea online a serviciilor oferite de entitate</p>
</td></tr>
<tr><td colspan rowspan><p n717>Număr de clienți (total utilizatori) care accesează serviciile online oferite de entitate</p>
</td></tr>
<tr><td colspan="2" rowspan><p n718>Indicatori referitori la persoanele care pot să efectueze modificări ale sistemelor/programelor informatice importante</p>
</td></tr>
<tr><td colspan rowspan><p n719>Număr de persoane (total utilizatori) care au acces direct la bazele de date ale entității (referitor la portofolii, tranzacții și active) cu drepturi de modificare asupra acestora, rol de administrator sau privilegii echivalente</p>
</td></tr>
<tr><td colspan rowspan><p n720>Număr de persoane (total utilizatori) care au drepturi de modificare asupra programelor informatice importante ale entității (programe informatice interne/externe/online accesate via internet)</p>
</td></tr>
<tr><td colspan="2" rowspan><p n721>Indicatori referitori la principiul dublei validări prin operațiuni în sistemele informatice importante</p>
</td></tr>
<tr><td colspan rowspan><p n722>Număr de operațiuni INIȚIATE care presupun dubla validare</p>
</td></tr>
<tr><td colspan rowspan><p n723>Număr de operațiuni CONFIRMATE care presupun dubla validare</p>
</td></tr>
<tr><td colspan rowspan><p n724>Număr de operațiuni ANULATE care presupun dubla validare</p>
</td></tr>
<tr><td colspan="2" rowspan><p n725>Indicatori referitori la accesul la sistemele informatice importante</p>
</td></tr>
<tr><td colspan rowspan><p n726>Număr de persoane (total utilizatori) care au acces la sistemele informatice importante care conțin informații referitoare la portofolii, tranzacții și active</p>
</td></tr>
<tr><td colspan rowspan><p n727>Număr administratori de sistem (total utilizatori) care au acces la credențialele conturilor de acces ale clienților</p>
</td></tr>
<tr><td colspan="2" rowspan><p n728>Indicatori referitori la incidente interne de securitate informatică, declarate</p>
</td></tr>
<tr><td colspan rowspan><p n729>Număr total incidente interne de securitate informatică</p>
</td></tr>
<tr><td colspan rowspan><p n730>Număr total incidente informatice externe</p>
</td></tr>
<tr><td colspan rowspan><p n731>Număr încălcări politică și proceduri securitate</p>
</td></tr>
<tr><td colspan rowspan><p n732>Număr pierderi date generate de acțiuni neaprobate</p>
</td></tr>
<tr><td colspan rowspan><p n733>Număr incidente declarate aferente pierderii de date (date electronice)</p>
</td></tr>
<tr><td colspan rowspan><p n734>Număr de incidente declarate care au dus la distrugere accidentală sau intenționată de documente/înregistrări/fișiere</p>
</td></tr>
<tr><td colspan rowspan><p n735>Număr de incidente declarate de încălcare gravă a regulilor/fraude/înșelătorii</p>
</td></tr>
<tr><td colspan rowspan><p n736>Număr incidente declarate de distrugere în centrul de date</p>
</td></tr>
<tr><td colspan rowspan><p n737>Număr mediu de zile de la identificarea unui incident de securitate până la rezolvarea acestuia</p>
</td></tr>
<tr><td colspan="2" rowspan><p n738>Niveluri servicii agreate interne și pentru clienți</p>
</td></tr>
<tr><td colspan rowspan><p n739>Număr de ore de indisponibilitate neprogramată a sistemelor informatice importante la care au acces clienții (precum, dar nelimitat la aplicații de tranzacționare online, aplicații online pentru subscrierea de polițe de asigurare)</p>
</td></tr>
<tr><td colspan rowspan><p n740>Număr de ore de indisponibilitate neprogramată a serviciilor IT externalizate care afectează serviciile oferite către clienții entităților</p>
</td></tr>
<tr><td colspan="2" rowspan><p n741>Management schimbări</p>
</td></tr>
<tr><td colspan rowspan><p n742>Numărul programelor informatice importante</p>
</td></tr>
<tr><td colspan rowspan><p n743>Numărul de modificări aduse programelor informatice importante</p>
</td></tr>
<tr><td colspan rowspan><p n744>Număr erori în exploatare generate de deficiențe în proiectarea sistemelor informatice importante</p>
</td></tr>
<tr><td colspan rowspan><p n745>Număr erori în exploatare neidentificate în testarea sistemelor informatice importante</p>
</td></tr>
<tr><td colspan="2" rowspan><p n746>Indicatori managementul continuității</p>
</td></tr>
<tr><td colspan rowspan><p n747>Număr de teste efectuate conform planului de continuitate a afacerii</p>
</td></tr>
<tr><td colspan rowspan><p n748>Număr de teste efectuate conform planului de recuperare în caz de dezastru</p>
</td></tr>
<tr><td colspan="2" rowspan><p n749>Audituri și testări</p>
</td></tr>
<tr><td colspan rowspan><p n750>Număr de audituri interne anuale</p>
</td></tr>
</table>
<p n751>----</p>
</div>
🚀 REMINDER FINAL: Scopul tău este să ACOPERI CÂT MAI MULTE CAPITOLE POSIBIL! Nu te opri prematur - continuă până ai acoperit TOATE capitolele sau ai atins limita de 500. Fiecare capitol neacoperit este o oportunitate ratată. SUCCES!