Röviden

  • Annak a cégnek, amely egy vállalkozáscsoport tagja, már nem kell magának megírnia az összes kiberbiztonsági szabályzatát. A csoport dokumentációjával is igazolhatja a megfelelést, azzal a feltétellel, hogy formálisan átveszi, a határozat pedig háromfelé osztja a követelményeket: a csoporttól átvettekre, a helyben megvalósítottakra és a megosztottakra.
  • A bizonyítékok és a mérések a cégéi maradnak, bárhol írták is meg a szabályzatot. Az aktus kifejezetten kimondja, hogy az érettségi szintet a szervezetre mérik, hogy a megvalósítás bizonyítékainak és a mutatóknak nála kell meglenniük, és hogy a hatékony alkalmazásért viselt felelősség nem száll át a csoportra.
  • 2026. szeptember 21-től alkalmazandó, átmeneti időszak és új követelmények nélkül. A 218 kontroll, az érettségi fokozatok és a célpontszámok ugyanazok maradnak, mint a 2026. augusztus 27-i rendeletben; csak az változik, ki szolgáltatja a dokumentumot és ki a bizonyítékot.
Jogi aktus: a Nemzeti Kiberbiztonsági Igazgatóság igazgatójának 3/2026. sz. határozata a vállalkozáscsoport tagját képező szervezetekre vonatkozó kiberbiztonsági követelmények alkalmazhatósági szabályainak jóváhagyásáról
Megjelent: Romániai Hivatalos Közlöny (Monitorul Oficial) 798. szám, 2026. szeptember 21., 7-10. oldal
Hatálybalépés: 2026. szeptember 21., a közzététel napja, mert a határozat nem ír elő későbbi időpontot

A vállalkozáscsoport tagját képező cégek 2026. szeptember 21-től saját módot kaptak arra, hogy igazolják a kiberbiztonsági követelmények betartását. A Nemzeti Kiberbiztonsági Igazgatóság igazgatójának 3/2026. sz. határozata, amely a romániai Hivatalos Közlöny 2026. szeptember 21-i, 798. számában jelent meg, pontosan azokat a szabályokat hagyja jóvá, amelyekre a 2026. szeptember 18-i rendelet utalt anélkül, hogy megmondta volna, mikor jelennek meg. Három nap telt el a két aktus között, noha mindkettőt 2026. szeptember 14-én írták alá.

A határozatnak négy cikke és egy háromoldalas melléklete van. Egyetlen biztonsági követelményt sem tesz hozzá, és egyetlen küszöböt sem változtat meg. A 3. cikk világosan kimondja, hogy a szabályok nem módosítják és nem egészítik ki annak a rendeletnek a kontrolljait, érettségi fokozatait, célpontszámait és számítási szabályait, amellyel a 218 követelmény zárt listává vált, hanem azt állapítják meg, hogyan kell ezeket alkalmazni akkor, amikor az irányítás, a stratégia és a kockázatkezelés csoportszinten van meghatározva, és onnan ereszkedik le a leányvállalathoz.

Az érintett kör szélesebb, mint amilyennek látszik. E szabályok alá tartozik minden alapvető vagy fontos szervezet, amely egy csoport tagja, beleértve olyan kis cégeket is, amelyek nem gondolnak magukra csoporttagként: egy külföldi gyártó romániai leányvállalata, egy helyi holding szolgáltató társasága, egy regionális lánc tulajdonában lévő forgalmazó. Mindezekre eddig az a hallgatólagos szabály vonatkozott, hogy minden szervezet maga állítja elő a saját dokumentációját.

A határozat lényege egy háromféle kontrolltípusra épülő modell. Átvett az, amelynek irányítása, döntéshozatala, kezelése és garantálása csoportszinten történik, és a szervezet közvetlenül ezekre támaszkodik. Megvalósított az, amelyet csoportszabványok irányítanak, de a szervezet saját struktúrái hajtanak végre, felügyelnek és garantálnak. Megosztott az, amelyben a felelősségek megoszlanak a szervezet és a csoport között. Típustól függetlenül a szöveg egy általános elvet ismétel: a szervezet felel azért, hogy a saját területén igazolja a hatékony megvalósítást.

A melléklet ezután végigveszi a katalógus hat funkcióját, és mindegyiknél megmondja, hol szokott a kontroll állni. Az Irányítás a maga hat kategóriájával és az Észlelés a kettővel rendszerint csoportszinten van meghatározva, illetve működtetve. Az Azonosítás a három kategóriájával főként helyben valósul meg, a csoport módszereivel és eszközeivel. A Védelem az öt kategóriájával, a Reagálás a néggyel és a Helyreállítás a kettővel megosztott. Összeadva a katalógus 22 kategóriája így oszlik meg: 8 állhat rendes esetben a csoport vállán, 11 megoszlik, 3 pedig gyakorlatilag teljes egészében a romániai cég feladata marad.

Az érettség értékelésének szabályát egyetlen mondat fogalmazza meg, amely a gyakorlatban sokat változtat: az érettségi szint azt tükrözi, milyen mértékben dokumentált, megvalósított, mért és javított egy kontroll a szervezetre nézve, függetlenül attól, hogy csoportszinten vagy nála van meghatározva. Egy szervezet bármelyik szintet elérheti csoportkontrollok használatával, két feltétellel: a dokumentációnak formálisan alkalmazhatónak kell lennie rá, a megvalósítás bizonyítékainak és a mutatóknak pedig nála kell meglenniük.

Egy háromsoros táblázat fordítja ezt értékelési szempontokra. Átvett kontrollnál a dokumentáció érettségét a szervezetre formálisan alkalmazandó csoportdokumentáción mérik, a megvalósítás érettségét pedig a szervezet területén való hatékony és következetes használaton. Megvalósított kontrollnál a dokumentáció a szervezeté, a megvalósítás is az övé. Megosztott kontrollnál pedig a dokumentáció a csoporté, a szervezet kiegészítéseivel együtt, a megvalósítás pedig közös működtetést és a szervezet általi végrehajtást jelent.

A melléklet többi része az öt érettségi fokozatot bontja ki, a Kezdetitől az Optimalizálásig, a csoport szemüvegén át olvasott változatban, ugyanazokkal a kivételküszöbökkel, mint az augusztusi rendeletben: a 3. fokozatnál 5% alatt a dokumentációnál és 10% alatt a megvalósításnál, a 4.-nél 3% és 5% alatt, az 5.-nél 0,5% és 1% alatt. Két rövid, külön szedett megjegyzés az, amely a leányvállalat számára a legtöbbet számít: a 4. fokozat helyi szintű mérést kíván, még ha az eszközök a csoportéi is, az 5. fokozat pedig csak akkor érhető el, ha a szervezet tevékenyen hozzájárul, és nem csupán passzívan átveszi a csoport kontrolljait.

A melléklet egy hibás értékelési példával zárul, amelyet éppen azért tettek oda, mert ez a tipikus hiba: a szervezetnek nincs saját szabályzata, ezért az 1. fokozatra értékeli magát. A helyes értékelés az aktus szerint más: a szervezet formálisan átvesz egy csoportszabályzatot, tehát a dokumentáció érettsége a jóváhagyástól, az alkalmazhatóságtól, a felülvizsgálattól és a kivételek kezelésétől függ.

Milyen hatásokkal jár

A közvetlen hatás az, hogy az a leányvállalat, amely már eddig is a csoport szabályzatait használta, nem kockáztatja többé, hogy a 218 kontroll mindegyikénél 1-est kapjon a dokumentációra. Az osztályzat a csoport dokumentumára jár, ha azt hivatalosan jóváhagyták, és a szervezetre alkalmazandónak nyilvánították. A különbség nagy: az önértékelés kontrollonként két egész osztályzatot kíván 1-től 5-ig, vagyis Alapvető szinten 436 osztályzatot, mindegyiket írásban megindokolva.

A második, kevésbé kényelmes hatás az, hogy a formális átvétel dokumentálandó kötelezettséggé válik. Nem elég, hogy a csoport szabályzata létezik és jó; léteznie kell annak a belső aktusnak is, amellyel a romániai szervezet átveszi, írásos nyommal. Egy gyakorlatban használt, de soha formálisan át nem vett csoportdokumentum pontosan úgy esik az 1. fokozatra, mint a hiánya.

A harmadik hatás a technikai részt érinti. Az észlelési kontrolloknál, amelyeket a határozat központilag működtetettként ír le, a szervezetnek három saját dolgot kell igazolnia: hogy a rendszerei és szolgáltatásai ténylegesen benne vannak a csoport megfigyelésének lefedettségében, hogy vannak helyi felelősségek a riasztások kezelésére és eszkalálására, és hogy a saját környezetére nézve releváns észlelések eredményei nyomán intézkedtek. Egy szolgáltatási szerződés a csoport műveleti központjával önmagában egyiket sem fedi le.

A negyedik hatás a pontszámot érinti. Alapvető szinthez az augusztusi rendelet legalább 3,5-ös általános pontszámot és kategóriánként legalább 3-ast kíván. Mivel az általános pontszám a 22 kategória átlaga, az a szervezet, amely a többségüknél a 3-as minimumon áll, csak úgy ér el 3,5-öt, ha legalább 6 kategóriát felvisz a maximumra, vagyis 5-re. A csoport támogatása a dokumentációnál segít, de a hat élen járó kategória helyi mutatókat kíván, a helyi mutatókat pedig nem lehet kiszervezni.

Az ötödik hatás a felelősségé. Az aktus háromszor, háromféle megfogalmazásban ismétli meg, hogy a szervezet marad a felelős. Ennek gyakorlati következménye, hogy a kiberbiztonsági szabályozásban előírt bírság a romániai szervezetet sújtja, nem a csoportra, még a csoporttól teljes egészében átvett kontroll esetén is.

Mi változott a korábbi helyzethez képest

2026. szeptember 18-ig az augusztusi rendelet semmit nem mondott a csoportokról. Minden alapvető vagy fontos szervezet a saját biztosítási szintjének kontrolljait valósította meg, annak a rendeletnek a IV. cikke szerint, az önértékelés pedig a saját dokumentumokon történt. Egy saját szabályzat nélküli leányvállalat, amely a csoport kézikönyvei szerint dolgozott, a szövegben semmilyen alapot nem talált arra, hogy a dokumentációját 1-estől eltérően osztályozza.

2026. szeptember 18-án a rendelet III. cikke kiegészült egy (3) bekezdéssel, amely a csoportba tartozó szervezeteket az igazgató határozatával jóváhagyott alkalmazhatósági szabályokhoz utalja. A bekezdés a közzététel napjától működött, a határozat viszont még nem létezett. Három nappal később a határozat megjelent.

Érdemben négy dolog új: hivatalos szókészlet a kontrolltípusokra, egy szabály, amely az érettséget a szervezethez köti, és nem ahhoz a helyhez, ahol a dokumentumot megírták, egy megfelelési táblázat a kontroll típusa és az osztályzat két dimenziója között, valamint az öt fokozat csoportszemléletű értelmezése. Ami nem új: egyetlen követelmény, egyetlen küszöb, egyetlen határidő sem.

Ami nem változott, és ugyanennyit számított volna, az az éves kötelezettség. Az érettségi szint önértékelését minden évben el kell végezni és meg kell küldeni az Igazgatóságnak, a 155/2024. sz. sürgősségi kormányrendelet 12. cikkének (4) bekezdése szerint, az alapvető szervezetek pedig az elvégzésétől számított 30 napon belül helyreállítási tervet is küldenek. A határozat sem a gyakoriságot, sem a határidőt, sem a terv tartalmát nem érinti.

Előnyök és hátrányok

Mi a jó benne

  • Valódi és igen elterjedt problémát old meg: romániai leányvállalatok százai dolgoznak más országban írt szabályzatok szerint, az augusztusi módszertan pedig nem ismerte el ezeket.
  • A szabályt eredményben fogalmazza meg, nem formában: az érettséget a szervezetre mérik, függetlenül attól, hol szövegezték a dokumentumot.
  • Közös szókészletet ad, átvett, megvalósított és megosztott, amely hiányzott, és amelyet az auditorok és az Igazgatóság egyformán használhatnak.
  • Semmit nem lazít. A 3. cikk kifejezetten kizárja, hogy a szabályokat kiskapunak használják, a 4. és az 5. fokozatról szóló két megjegyzés pedig elvágja a kényelmes értelmezést.
  • Kifejezetten kijavítja a legköltségesebb önértékelési hibát, a helyben nem létező dokumentáció 1-esre osztályozását.
  • A mellékletben megismételt kivételküszöbök mind az öten egybeesnek az augusztusi rendeletbeliekkel, tehát a szabályok nem vezetnek be egy párhuzamosan keringő második számsort.

Mi marad probléma

  • Az a fogalom, amely az alkalmazást kiváltja, a vállalkozáscsoport, sem a határozatban, sem az azt felhatalmazó rendeletben, sem az egész keretet megalapozó sürgősségi kormányrendeletben nincs meghatározva.
  • A szöveg útmutatóként van megírva, nem normaként. Az olyan fordulatok, mint „rendszerint” és „általában”, a szokásos gyakorlatot írják le, de nem mondják meg, mi történik, ha egy szervezet eltér tőle.
  • Egyetlen határidő sincs. Sem a csoportdokumentáció formális átvételére, sem a 4. fokozat által kívánt helyi mutatók kialakítására.
  • Az értékelésről szóló fejezet címe „szervezetcsoportról” beszél, míg az aktus többi része „vállalkozáscsoportról”, a szervezet pedig a sürgősségi kormányrendeletben meghatározott fogalom.
  • A kivételküszöbök az alaprendeletbeli viszonyítási alap nélkül szerepelnek, ahol azokat „az esetekből” számítják, és ez teret hagy annak, hogy a százalékot kontrollokra számolják.
  • Semmi nem fedi le azt a helyzetet, amikor a csoport megtagadja vagy késlelteti a közreműködést. Az a leányvállalat, amely nem kapja meg az anyavállalattól a jóváhagyott dokumentumot, alacsony osztályzattal marad, az aktusban leírt bármilyen eszköz nélkül.

Hasznos tanácsok

  1. Először azt ellenőrizze, alapvető vagy fontos szervezet-e, és melyik biztosítási szinten. A szabályok nem változtatják meg a besorolást, de továbbra is ettől függ, hány kontrollal tartozik: 34 az Alap szinten, 133 a Fontoson és mind a 218 az Alapvetőn.
  2. Vegye leltárba azokat a csoportdokumentumokat, amelyekre támaszkodik, és mindegyiknél ellenőrizze, van-e a romániai cég szintjén átvételi aktusa. Egyedül ez választja el az 1. fokozatot a magasabbaktól.
  3. Minden kontrollt soroljon be átvettként, megvalósítottként vagy megosztottként, mielőtt osztályozna. A mellékletben szereplő megfelelési táblázat megmondja, mit kell egyes esetekben osztályozni, egy téves besorolás pedig mindkét osztályzatot megváltoztatja.
  4. Ne keverje össze a lefedettséget a bizonyítékkal. Ha a megfigyelést a csoport végzi, olyan jelentéseket kérjen, amelyek az Ön rendszereire vonatkoznak, ne a szolgáltatás általános visszaigazolását.
  5. Írásba foglalva rögzítse a riasztások kezelésének és eszkalálásának helyi felelősségeit, akkor is, ha a megfigyelés a csoportnál van. A határozat kifejezetten megköveteli őket, és nem lehet kölcsönvenni őket.
  6. Ha az Alapvető szintet célozza, kezdje a mutatóknál. A 4. fokozat helyi mérést kíván akkor is, ha az eszköz a csoporté, helyi mutatók nélkül pedig az átvett kontrolloknál sem jut túl a 3. fokozaton.
  7. Dokumentálja a romániai cégre jellemző eltéréseket és kivételeket. A 3., a 4. és az 5. fokozat dokumentáltan, jóváhagyottan és nyomon követve kéri őket, nem csupán a gyakorlatban megtűrve.
  8. Időben egyezzen meg a csoporttal arról, hogy hozzáfér a dokumentáció rendszeres felülvizsgálatának bizonyítékaihoz. Nélkülük a 4. fokozat nem érhető el, a felülvizsgálati ütemterv pedig nem az Öné.

Gyakori kérdések

Mikortól alkalmazandó?
2026. szeptember 21-től, a romániai Hivatalos Közlönyben való közzététel napjától. Az aktus nem ír elő későbbi időpontot, az Igazgatóság szabályozásai pedig a közzététellel válnak kötelezővé, a 104/2021. sz. sürgősségi kormányrendelet 5. cikke b) pontjának 6. alpontja szerint. Ugyanez következik a 24/2000. sz. törvény 12. cikkének (3) bekezdéséből is.
Van átmeneti időszak?
Nincs. A határozatnak négy cikke van, és az utolsó csak annyit mond, hogy a romániai Hivatalos Közlönyben közzéteszik. Nincs megfelelési határidő, és nincs szabály a folyamatban lévő önértékelésekre sem.
Mit jelent a „vállalkozáscsoport” a határozat értelmében?
A határozat nem határozza meg a fogalmat, és nem utal olyan szövegre sem, amely meghatározná. Nem határozza meg sem az őt felhatalmazó rendelet, sem a 155/2024. sz. sürgősségi kormányrendelet. A román jogban meghatározott legközelebbi fogalmak a kapcsolt vállalkozások és a partnervállalkozások, a 346/2004. sz. törvény 44. és 43. cikkében, arra a törvényre pedig a sürgősségi kormányrendelet amúgy is utal a szervezetek méret szerinti besorolásánál.
Lemondhat-e a cégem a saját biztonsági szabályzatairól?
Használhatja a csoport szabályzatait, de formálisan át kell vennie őket, és igazolnia kell, hogy a tevékenységére alkalmazandók. Azoknál a kontrolloknál, amelyeket a határozat megvalósítottnak nevez, a dokumentáció a szervezeté marad, mert ő hajtja végre és ő felügyeli a kontrollt saját struktúráin keresztül.
Mi marad kötelező minden cég szintjén?
A megvalósítás bizonyítékai, a mutatók és a felelősség. Az aktus szerint a szervezet felel azért, hogy a saját területén igazolja a hatékony megvalósítást, nem köteles újradefiniálni az irányítási megoldásokat, de felelős marad a hatékony alkalmazásukért, a 4. fokozat pedig helyi szintű mérést kíván.
Változik azoknak a követelményeknek a száma, amelyeket teljesítenem kell?
Nem. Marad a 218 kontroll, a hat funkció, a 22 kategória, a három biztosítási szint és ugyanazok a célpontszámok. A határozat csak azt állapítja meg, ki szolgáltatja a dokumentumot és ki a bizonyítékot.
Ki felel, ha a csoport nem végzi el a maga dolgát?
A romániai szervezet. A 155/2024. sz. sürgősségi kormányrendelet 60. cikkében szereplő szabálysértéseket és bírságokat az alapvető vagy fontos szervezetre alkalmazzák, nem az anyavállalatra. Az aktus semmilyen kötelezettséget nem teremt a csoport terhére, és semmilyen mechanizmust, amellyel a szervezet követelhetne tőle valamit.
Mekkorák a bírságok?
A technikai, működési és szervezési intézkedések meghozatalára vonatkozó kötelezettség megszegéséért a kormányrendelet 60. cikkének (2) bekezdése az alapvető szervezetekre 10 000 lejtől legfeljebb 10 000 000 euró lejben kifejezett egyenértékéig vagy a nettó árbevétel legfeljebb 2%-áig terjedő bírságot ír elő, a kettő közül a nagyobb értéket véve. A fontos szervezetekre 5 000 lejtől legfeljebb 7 000 000 euróig vagy a nettó árbevétel legfeljebb 1,4%-áig.
Másként történik most az önértékelés?
Ugyanazzal a módszertannal történik, kontrollonként két egész osztályzattal 1-től 5-ig. Az változik, mit néznek, amikor a dokumentációra adják az osztályzatot: a csoport dokumentumát, a szervezet dokumentumát vagy mindkettőt, a kontroll típusa szerint.
Mit tegyek, ha nem vagyok biztos abban, hogy a cégem egy csoport tagja?
Kezelje a kontrollokat sajátjaként, mert az érdemi kötelezettség, az augusztusi rendelet IV. cikkében szereplő, egyik változatban sem szűnik meg. A szabályok semmit nem vesznek el abból, amivel tartozik; csak azt magyarázzák meg, hogyan igazolható, amivel tartozik, amikor a munka egy részét csoportszinten végzik.

Hibák és ellentmondások a közzétett szövegben

  • A határozat címe, az 1. és a 2. cikk, valamint a melléklet, teljes terjedelmében. Az aktus az „egy vállalkozáscsoport tagját képező szervezetek” fordulattal határozza meg a hatályát, de nem definiálja, és nem utal olyan szövegre sem, amely definiálná. Nem definiálja a Nemzeti Kiberbiztonsági Igazgatóság igazgatójának 1/2026. sz. rendelete III. cikkének (3) bekezdése sem, amely a bevezetőben megjelölt jogalap, és egyáltalán nem fordul elő a 155/2024. sz. sürgősségi kormányrendeletben sem, ahol sem a definíciókat tartalmazó 3. cikk, sem a szöveg többi része nem használja a fordulatot. A román jognak vannak közeli és definiált fogalmai, a kapcsolt vállalkozások és a partnervállalkozások, a 346/2004. sz. törvény 44. és 43. cikkében, a kormányrendelet pedig a 8. cikkben utal arra a törvényre, a szervezetek méret szerinti besorolásánál; a határozat nem teszi meg ezt az utalást. A következmény az, hogy egy közös tulajdonosi körrel rendelkező szervezet a szövegből nem tudja megállapítani, alkalmazandók-e rá a szabályok, noha ettől függ, hogyan osztályozza a dokumentáció érettségét minden alkalmazandó kontrollnál, a kormányrendelet 11. cikke (1) bekezdésében szereplő kötelezettség megszegése pedig a 60. cikk (1) bekezdésének a) pontja szerint szabálysértés, amelyet legfeljebb 10 000 000 euró vagy a nettó árbevétel 2%-a bírsággal sújtanak.

A szerkesztőség elemzése

A határozat igazi problémát old meg, és jó irányban oldja meg. Az augusztusi módszertan olyan szervezetre készült, amely maga szövegezi a szabályait, a romániai alapvető és fontos szervezetek gazdasági valósága viszont jórészt más: leányvállalatok, fióktelepek és csoporttagok, amelyek felülről kapják a szabályzatot, és lent hajtják végre. A csoportdokumentáció elismerésének megtagadása mechanikusan 1. fokozatú önértékelések tömegét termelte volna, amelyek semmit nem mondanának azoknak a hálózatoknak a tényleges biztonságáról. Az, hogy az aktus a felelősséget így is a szervezetnél hagyja, háromszor és háromféle megfogalmazásban, azt mutatja, hogy a szerzők az ellenkező kockázatot is látták, azt, hogy a csoport kifogássá válik.

A kivitelezés minősége azonban egyenetlen, és ez a számoknál látszik a legjobban. A melléklet funkcióról funkcióra leírja, hol szokott a kontroll állni, de soha nem mondja meg, mennyit jelent ez. Összeadva azokat a kategóriákat, amelyeket maga sorol fel, 6-ot az Irányításnál, 3-at az Azonosításnál, 5-öt a Védelemnél, 2-t az Észlelésnél, 4-et a Reagálásnál és 2-t a Helyreállításnál, kijön a katalógus 22 kategóriája, amelyből 8 állhat a csoporton, 11 megosztott, 3 pedig helyben marad. Más szóval a katalógus felén a felelősség közös, valamivel több mint egyharmadán pedig a csoport átveheti. Ez az az információ, amelyet egy megfelelésért felelős munkatárs az első percben keres, és amelyet az aktus a kiszámolásával együtt az olvasóra hagy.

A második ki nem számolt szám súlyosabb. Alapvető szinten az augusztusi rendelet legalább 3,5-ös általános pontszámot kíván, amely a 22 kategória pontszámainak átlagaként áll elő, és kategóriánként legalább 3-ast. Ha egy szervezet a kategóriák többségén a megengedett minimumon áll, az átlag csak úgy éri el a 3,5-öt, ha a 22-ből legalább 6-ot a maximumra, vagyis 5-re visznek. A csoport támogatása ott nem segít: az 5-ös osztályzat a mellékletben kinyomtatott megjegyzés szerint éppen azt kívánja, hogy a szervezet tevékenyen hozzájáruljon, és saját mutatókkal igazolja a folyamatos javulást. Az a szabály, amely a megfelelés könnyítésének látszik, egyáltalán nem érinti annak legdrágább részét.

A harmadik dolog csak akkor látszik, ha az aktusokat egymás mellé tesszük: az időzítés. A 2026. szeptember 18-i rendelet jelen időben megírt bekezdést vezetett be, amely a csoportba tartozó szervezeteket arra kötelezte, hogy a követelményeket határozattal jóváhagyott szabályok szerint valósítsák meg, a határozat pedig három nappal később jelent meg. Abban a három napban a norma nem létező szövegre utalt. Nem elszigetelt mulasztás: mindkét aktust 2026. szeptember 14-én írták alá, tehát a közzététel sorrendje választás volt, nem kényszer. A katalógus 2026. augusztus 27-i hatálybalépésétől pedig e szabályokig 25 nap telt el, amely alatt a csoportba tartozó szervezetek olyan módszertanon dolgoztak, amely nem ismerte el a helyzetüket. A címzettre rótt határidőkkel való összevetés elmondja a többit: a cégtől éves önértékelést kérnek, írásos indokolást minden osztályzathoz és, ha alapvető, 30 napon belül helyreállítási tervet, miközben a közigazgatás saját kiegészítéseire semmilyen határidőt nem szabott magának.

Mit kellene megváltoztatni

  • A csoport meghatározása egy létező szövegre való utalással. Egyetlen mondat, amely a 346/2004. sz. törvény 43. és 44. cikkére utal, lezárná az aktus legnagyobb bizonytalanságát, és cégek ezreit kímélné meg egy olyan kérdéstől, amelyre egyelőre nincs hol választ találniuk.
  • A melléklet számozása cikkekre és bekezdésekre. A szabályok útmutatóként, címekkel és felsorolásokkal vannak megírva, egyetlen idézhető egység nélkül. Egy ellenőrző hatóság nem hivatkozhat „a 4. fokozat második felsorolásjelére”, egy olyan normatív aktust pedig, amelyet nem lehet idézni, egységesen alkalmazni sem lehet.
  • A „rendszerint” felváltása egy szabállyal és egy kivétellel. A melléklet azt mondja, hogy az Észlelést általában központilag működtetik. Azt kellene mondania, mi történik, amikor nem: a szervezet egyedül marad azon a kontrollon, és megvalósítottként osztályozza, nem átvettként.
  • Határidő a csoportdokumentáció formális átvételére. Az aktus a formális átvételt teszi az 1-esnél magasabb bármely osztályzat feltételévé, anélkül hogy megmondaná, meddig. Egy határidő, akár a közzétételtől számított 90 nap is, hallgatólagos elvárásból ellenőrizhető kötelezettséggé alakítaná.
  • A fordulat egységesítése. Az értékelésről szóló fejezet címe „szervezetcsoportot” mond, az aktus többi része „vállalkozáscsoportot”, a szervezet pedig a kormányrendeletben meghatározott fogalom. Egyetlen, mindenütt használt kifejezés megszüntet egy fölösleges kétértelműséget.
  • Az éves önértékelésnél tátongó szankciós hézag lezárása. Nem ehhez a határozathoz tartozik, de közvetlenül érinti: a 155/2024. sz. sürgősségi kormányrendelet 60. cikkének (2) bekezdése betűkre osztja a bírságokat, az e) pont pedig, vagyis az éves önértékelés elvégzésének és megküldésének elmulasztása, az alapvető szervezeteknél szerepel, és a fontos szervezetekre előírt kategóriák egyikénél sem jelenik meg. Az a fontos szervezet, amely egyáltalán nem végzi el azt az önértékelést, amelyet a jelen határozat magyaráz, a kormányrendelet jelenlegi formájában nem sújtható bírsággal.

A jogi aktus eredeti szövege

Az alábbi szöveg románul szerepel, a hivatalos közzétett formában.

A teljes szöveg a romániai Hivatalos Közlönyben megjelent formában

Romániai Hivatalos Közlöny 798. szám, 2026. szeptember 21., 7-10. oldal 16 oldal PDF, 102 KB a jogi aktus a(z) 7. oldalon kezdődik

A hivatalos PDF megnyitásaPDF letöltése

Kis képernyőn a megjelenítő nem látszik. A fenti gombokkal nyithatod meg vagy töltheted le a fájlt.

Ez a cikk tájékoztató jellegű, és nem minősül jogi tanácsadásnak. Konkrét helyzetekben forduljon ügyvédhez vagy engedéllyel rendelkező adótanácsadóhoz.