En resumen
- Las empresas y las instituciones que caen bajo la ley de ciberseguridad pueden dejar fuera de la autoevaluación los requisitos que no guardan relación con su actividad, pero muy pocos: uno en el nivel Básico, tres en el nivel Importante y cinco en el nivel Esencial. Cada renuncia se justifica por escrito, con el motivo por el que el requisito no encaja.
- Los requisitos más duros no se pueden sacar nunca. Las 29 medidas clave siguen siendo obligatorias en cualquier nivel, y en el nivel Esencial también lo siguen siendo los 15 requisitos que afectan al modo en que se dirige la organización. El nivel Básico tiene 34 requisitos, de los que 13 son medidas clave, así que la elección se hace entre los otros 21 y puede recaer en uno solo.
- Las empresas que forman parte de un grupo reciben reglas aparte, que todavía no existen. La orden dice que implantarán sus requisitos conforme a unas reglas de aplicabilidad aprobadas por decisión del director del Directorado, sin decir cuándo aparece esa decisión ni qué se hace hasta entonces.
Publicado: Boletín Oficial de Rumanía (Monitorul Oficial), Parte I, n.º 792 de 18 de septiembre de 2026, página 10
Entrada en vigor: 18 de septiembre de 2026, fecha de la publicación, porque la orden no prevé una fecha posterior
El Directorado Nacional de Ciberseguridad ha abierto una válvula en la lista de requisitos que impuso a las empresas en agosto. La Orden del director n.º 2/2026, publicada en el Boletín Oficial de Rumanía n.º 792 de 18 de septiembre de 2026, completa el acto con el que los 218 requisitos de ciberseguridad se convirtieron en una lista cerrada para las entidades esenciales e importantes y le añade dos cosas: un límite hasta el que una organización puede declarar que un requisito no se le aplica y una regla nueva para las organizaciones que forman parte de un grupo.
La orden tiene dos artículos, cabe en una página y no contiene ningún requisito nuevo de seguridad. Todo su contenido son dos intervenciones en la orden de agosto. La primera añade un apartado al artículo III de la orden. La segunda añade un artículo entero, el art. 4, en el anexo n.º 2, es decir en la metodología con la que cada organización mide por sí misma cuánto le falta para cumplir. La orden la firmó el 14 de septiembre de 2026 el director Dan-Petre Cîmpean.
La parte que cambia algo para miles de empresas es el artículo nuevo de la metodología. Hasta ahora, la autoevaluación se hacía dando a cada requisito aplicable dos puntuaciones enteras, de 1 a 5, una para la documentación y otra para la implantación. Desde ahora, un requisito puede salir del cómputo, marcando la opción de no aplicabilidad en ambas puntuaciones, dentro de límites fijos: un control como máximo en el nivel Básico, tres como máximo en el nivel Importante y cinco como máximo en el nivel Esencial.
Los límites suenan generosos hasta el primer recuento. La tabla de aplicabilidad del anexo n.º 1, publicada en la edición n.º 712 bis de 27 de agosto de 2026, muestra 34 requisitos en el nivel Básico, 133 en el nivel Importante y los 218 en el nivel Esencial. De ellos, 29 están marcados como medidas clave y 15 como aspectos de gestión, y uno está marcado de las dos maneras. La orden de ahora prohíbe sacar las medidas clave en cualquier nivel, y en el nivel Esencial prohíbe además sacar los aspectos de gestión. Quedan así 21 requisitos elegibles en el nivel Básico, 111 en el nivel Importante y 175 en el nivel Esencial, de los que se puede renunciar a uno, a tres y a cinco respectivamente.
El requisito retirado no desaparece del cálculo, sino que entra con un valor fijado por la orden: 2,5 en el nivel Básico y 3 en los niveles Importante y Esencial. La renuncia se justifica por escrito y se anota en la declaración de aplicabilidad, el documento que la organización ya elaboraba para los requisitos venidos de normas especiales o sectoriales. Y si una organización pasa del límite o toca un requisito prohibido, la orden dice que las exclusiones no se tienen en cuenta y que la autoevaluación no se considera conforme hasta que se subsane.
La denominación larga de la orden puede llevar a error, porque menciona también la metodología de evaluación del nivel de riesgo de las entidades. Ahí no cambia nada: esa frase forma parte del título propio de la orden de agosto y no describe lo que hace la orden de ahora.
Los efectos que produce
El primer efecto es un reconocimiento que faltaba: no todos los requisitos del catálogo encajan en cualquier organización. Una empresa que no tiene sistemas industriales de control, un hospital que no desarrolla software propio o una compañía de transporte sin tienda en línea estaban obligados, hasta el 17 de septiembre de 2026, a puntuar un requisito que en su caso no tenía objeto, y las puntuaciones bajas tiraban de la media hacia abajo. Desde el 18 de septiembre, ese requisito puede salir del cómputo.
El segundo efecto es que la válvula es demasiado estrecha para convertirse en una estrategia. Un control de 34, tres de 133 y cinco de 218 suponen entre el 2,3% y el 2,9% de los requisitos aplicables, en los tres niveles. Los límites son, dicho de otro modo, proporcionales entre sí, algo que ocurre pocas veces en un acto de aplicación. Ninguna organización puede reescribir sus obligaciones mediante renuncias.
En otra materia el tope funciona al revés, es decir, a favor de la empresa pequeña: los cuestionarios de sostenibilidad se detienen en 23 puntos de datos, y para los proveedores con hasta 10 asalariados en 9.
El tercer efecto alcanza justamente al nivel más severo y va al revés de lo que parece. Los umbrales de conformidad de la metodología son una puntuación total de al menos 2,5 en el nivel Básico, de al menos 3 en el nivel Importante y, en el nivel Esencial, de al menos 3 en cada categoría y de al menos 3,5 en general. El valor con el que entra un requisito sacado del cómputo es 2,5 en el Básico y 3 en los otros dos. En los dos primeros niveles, el valor coincide con el umbral, así que la renuncia es neutra. Solo en el Esencial el valor de 3 queda medio punto por debajo del umbral general de 3,5, y entonces cada requisito retirado tira de la media hacia abajo.
El cuarto efecto es documental. La justificación escrita y la declaración de aplicabilidad se convierten en el lugar donde se ve por qué una organización consideró que un requisito no le afectaba. Eso cuenta, porque la autoevaluación no se queda en el ordenador de la empresa: el art. 12 apdo. (4) de la Ordenanza de urgencia del Gobierno n.º 155/2024, aprobada con modificaciones y añadidos por la Ley n.º 124/2025, exige que se haga anualmente y se remita al Directorado, y el apdo. (5) del mismo artículo da a las entidades esenciales 30 días para enviar también el plan de subsanación. Una renuncia mal argumentada acaba, por tanto, sobre la mesa de la autoridad.
El quinto efecto todavía no se produce. La regla para las organizaciones de grupos remite a una decisión del director del Directorado que no había aparecido en el Boletín Oficial de Rumanía hasta el 18 de septiembre de 2026, y la orden no le pone plazo. Hasta su publicación, una empresa con accionariado en un grupo tiene que leer todo el art. IV de la orden de agosto, el que vincula la obligación al nivel de garantía propio.
La decisión apareció tres días más tarde, el 21 de septiembre de 2026, y dice que una filial puede demostrar su ciberseguridad con las políticas del grupo, siempre que las pruebas sean suyas.
Qué ha cambiado respecto de la situación anterior
Hasta el 17 de septiembre de 2026, la metodología de autoevaluación no conocía excepciones. El artículo 2 apdo. (2) del anexo n.º 2 decía, sin ninguna reserva, que es obligatorio rellenar las dos puntuaciones de cada control, y el apdo. (1) del mismo artículo solo admitía valores enteros de 1 a 5. Un requisito que no tenía sentido en una organización concreta había que puntuarlo de todos modos, y la puntuación baja entraba en las medias por subcategoría, por categoría y por entidad. Desde ahora hay una salida, con límite, con lista de requisitos intocables y con valor de sustitución.
El segundo cambio afecta a quién debe qué. La orden de agosto vinculaba la obligación a una sola magnitud, el nivel de garantía de la entidad, y el tamaño de la entidad se determina, según el art. 8 de la Ordenanza de urgencia del Gobierno n.º 155/2024, por remisión a la Ley n.º 346/2004 relativa al estímulo de la creación y el desarrollo de las pequeñas y medianas empresas. Ni la ordenanza ni la ley de 2004 emplean la noción de grupo de empresas: la ley habla de empresas vinculadas y de empresas asociadas. La orden de ahora introduce, por primera vez en este marco, la idea de que la pertenencia a un grupo cambia el modo de implantación, pero deja el contenido del cambio para un acto futuro.
El tercer cambio es uno que no se ha producido, aunque el título lo sugiere. La Metodología de evaluación del nivel de riesgo de las entidades, aprobada por la Orden del director del Directorado n.º 2/2025 y publicada en el Boletín Oficial de Rumanía n.º 776 de 20 de agosto de 2025, queda tal como se dejó en agosto, con la exención de evaluación para los bancos y las infraestructuras de mercado sujetos al reglamento europeo sobre la resiliencia operativa digital. El acto publicado el 18 de septiembre no toca ningún artículo de ella.
También ha cambiado el ritmo de trabajo del emisor. La orden de agosto se firmó el 6 de agosto de 2026 y se publicó el 27 de agosto, es decir a los 21 días. Esta se firmó el 14 de septiembre y se publicó el 18 de septiembre, a los 4 días, y a los 22 días de la entrada en vigor del acto que completa.
Un incidente informático no se detiene en el informe de conformidad. Para las entidades de crédito se convierte en dinero apartado: el capital exigido por riesgo operativo es el 12 % del indicador de actividad mientras este se mantiene por debajo de los mil millones de euros, el 15 % para la parte situada entre uno y treinta mil millones y el 18 % por encima, y desde el 23 de septiembre de 2026 las pérdidas que alimentan ese cálculo se clasifican conforme a una parrilla europea única.
Ventajas y desventajas
Lo que mejora
- Reconoce una realidad: un catálogo de 218 requisitos escritos para todos los sectores contiene también cosas que en una organización concreta no tienen objeto.
- Los límites son proporcionales, entre el 2,3% y el 2,9% de los requisitos aplicables en cada nivel, así que el mecanismo no puede usarse para vaciar la obligación.
- Los requisitos más duros quedan fuera de discusión: las 29 medidas clave, en cualquier nivel, más los 15 aspectos de gestión en el nivel Esencial.
- La renuncia no es una casilla anónima: exige motivo escrito y se anota en la declaración de aplicabilidad, así que deja un rastro verificable.
- El valor con el que entra en el cálculo un requisito retirado está escrito en el acto, y no queda a la lógica de la herramienta de cálculo.
- La orden dice qué ocurre si se pasa del límite, en lugar de dejar la consecuencia sin escribir.
Lo que sigue siendo un problema
- La opción de no aplicabilidad no existe en la metodología. El artículo 2 apdo. (1) solo admite puntuaciones enteras de 1 a 5, y el apdo. (2) exige rellenar las dos puntuaciones de cada requisito, y ninguno de los dos ha sido modificado.
- El valor de sustitución de 3 queda, en el nivel Esencial, por debajo del umbral general de 3,5, así que la renuncia, pensada como alivio, aprieta la puntuación.
- La noción de grupo de empresas no está definida ni en la orden, ni en la ordenanza que la sostiene, ni en la ley a la que la ordenanza remite para el tamaño de las entidades.
- Las reglas de aplicabilidad para los grupos no tienen plazo de adopción ni regla transitoria, aunque la orden habla en presente.
- En ningún sitio se dice si una renuncia vale hasta que se impugne o si se repite en cada autoevaluación anual, con la justificación rehecha.
- Los 9 requisitos de gestión del nivel Importante pueden salir de la autoevaluación, aunque el anexo n.º 1 exige que su estado se revise en cada auditoría de evaluación del nivel de garantía.
Consejos prácticos
- Comprueben primero en qué nivel de garantía están. De él dependen tanto los requisitos que deben cumplir como los que pueden sacar de la autoevaluación: uno, tres o cinco.
- Cuenten lo que les queda para elegir, no el catálogo entero. Son elegibles 21 requisitos en el nivel Básico, 111 en el nivel Importante y 175 en el nivel Esencial, una vez retiradas las medidas clave y, en el Esencial, los aspectos de gestión.
- Si están en el nivel Esencial, hagan la cuenta antes de marcar la casilla. El requisito retirado entra con 3 y el umbral general es 3,5, así que cada renuncia exige puntos adicionales en otra parte.
- Escriban la justificación el día en que toman la decisión, no cuando llegue la inspección. La orden exige indicar los motivos por los que el requisito no es aplicable, y reconstruirlos al cabo de un año cuesta más que anotarlos ahora.
- No pasen del límite ni con un requisito. La consecuencia es una autoevaluación no conforme hasta que se subsane, no un ajuste de puntuación, así que el trabajo se rehace.
- Si la empresa forma parte de un grupo, no esperen la decisión sobre las reglas de aplicabilidad. Hasta su publicación, la obligación sigue siendo la del art. IV de la orden de agosto, es decir el nivel de garantía propio.
- Anoten las renuncias en la declaración de aplicabilidad, junto a los requisitos venidos de normas sectoriales. Es el único documento en el que las dos direcciones, lo que se añade y lo que se retira, se ven juntas.
Preguntas frecuentes
¿Desde cuándo se aplica?
¿Cuántos requisitos puedo sacar de la autoevaluación?
¿Qué requisitos no se pueden sacar en ningún caso?
¿Cómo se marca un requisito como no aplicable?
¿Con qué valor entra en el cálculo un requisito retirado?
¿Qué ocurre si me paso del límite?
Mi empresa forma parte de un grupo. ¿Qué cambia para mí?
¿Ha cambiado algo en la metodología de evaluación del nivel de riesgo?
¿La autoevaluación se envía a alguien?
Errores e incoherencias en el texto publicado
- Art. I pt. 1, apartado (3) nuevo del artículo III. La entidad que forma parte de un grupo de empresas implanta los requisitos «în conformitate cu regulile de aplicabilitate aprobate prin decizie a directorului DNSC» (conforme a las reglas de aplicabilidad aprobadas por decisión del director del DNSC). La norma está escrita en presente, así que trabaja desde el 18 de septiembre de 2026, pero remite a una decisión que, al ser normativa, debería publicarse en el Boletín Oficial de Rumanía, Parte I, según el art. 7 apdo. (4) de la Ordenanza de urgencia del Gobierno n.º 104/2021, y que no había aparecido allí en esa fecha. No existe plazo de adopción de la decisión ni regla alguna para el intervalo que corre hasta su aparición. Además, la noción de grupo de empresas no está definida ni en la Ordenanza de urgencia del Gobierno n.º 155/2024, ni en la Ley n.º 346/2004, a la que la ordenanza remite por su art. 8 para clasificar las entidades según el tamaño y donde las nociones empleadas son las de empresas vinculadas y empresas asociadas. Una empresa cuyo accionista mayoritario es una persona jurídica puede concluir o que sigue debiendo los controles de su nivel de garantía, según el art. IV de la Orden n.º 1/2026, o que su obligación la determinan reglas que aún no se han escrito.
- Art. I pt. 2, art. 4 apdo. (1) nuevo del anexo n.º 2. La exclusión se hace seleccionando la opción «N/A» en los dos parámetros previstos por el art. 2 apdo. (1), pero el art. 2 apdo. (1) no conoce esa opción: atribuye a cada uno de los dos parámetros un valor en número entero de 1 a 5. Más grave, el art. 2 apdo. (2) del mismo anexo dice que es obligatorio rellenar las dos variables de puntuación de cada control, sin ninguna reserva, y la orden de ahora no lo modifica. Un lector de buena fe puede concluir o que el art. 4, texto nuevo y especial, se aparta del art. 2 apdo. (2), o que la obligación de rellenar ha quedado entera y que una autoevaluación con puntuaciones sin rellenar está incompleta. De ese resultado depende que la autoevaluación anual exigida por el art. 12 apdo. (4) de la Ordenanza de urgencia del Gobierno n.º 155/2024 sea conforme o no.
Análisis de la redacción
La orden resuelve un problema real. Un catálogo de 218 requisitos escrito para todos los sectores de los anexos de la ordenanza contiene, inevitablemente, requisitos sin objeto en una organización concreta, y la metodología de agosto obligaba a puntuarlos de todos modos, con efecto directo en la media. Los límites elegidos, uno, tres y cinco requisitos, están además bien calibrados: sobre los 34, 133 y 218 requisitos aplicables en los tres niveles dan el 2,9%, el 2,3% y el 2,3%, es decir una proporción casi constante. Alguien hizo la cuenta antes de escribir el texto, lo que no es la regla en los actos de aplicación.
Lo que no se calculó es el valor de sustitución. Las tres cifras del art. 4 apdo. (3), 2,5 en el Básico y 3 en el Importante y el Esencial, son exactamente los umbrales que el art. 2 apdo. (11) fija para cada medida clave: 2,5, 3 y 3. Solo que las medidas clave son precisamente los requisitos que no pueden salir de la autoevaluación. El valor se tomó, por tanto, de la columna que no se aplica. Si se hubiera tomado de la columna adecuada, la de la puntuación total de la entidad, las cifras habrían sido 2,5, 3 y 3,5. En los dos primeros niveles las dos columnas coinciden y la desviación no se ve. En el nivel Esencial se separan medio punto, y la consecuencia es que el alivio se convierte en penalización.
Cuánto penaliza no se puede leer en el acto, porque la puntuación total es una media de medias, no una media de los 218 requisitos: se hace por subcategoría, luego por categoría, luego por entidad. Los códigos de los controles muestran, en el nivel Esencial, 22 categorías y 90 subcategorías. El peso de un requisito en la puntuación final no es entonces 1/218, es decir el 0,46%, sino que depende de cuántos requisitos tenga la subcategoría a la que pertenece, y un requisito solo en su subcategoría, dentro de una categoría con dos subcategorías, pesa 1/44, es decir el 2,27%. Cinco renuncias elegidas entre las más duras cubren el 11,4% de la puntuación total, y esa porción queda fijada en 3. Una organización que habría obtenido exactamente 3,5 en todo lo demás sale con 3,44 y no alcanza el umbral, sin haber bajado la nota de nada. Usar la válvula la deja fuera de la conformidad.
El segundo desequilibrio es de calendario, y es antiguo en esta serie de actos. A la organización se le pide justificación escrita de cada renuncia, autoevaluación anual remitida a la autoridad y, en las entidades esenciales, plan de subsanación en 30 días. A la administración, para las reglas de aplicabilidad en grupo de las que depende lo que realmente debe una parte de esas mismas organizaciones, la orden no le da ningún plazo. Es más, la orden de agosto entró en vigor con la publicación, sin periodo de transición, y su primer complemento llegó 22 días más tarde, firmado y publicado en 4 días. La prisa de ahora contrasta con el silencio del otro lado.
Qué debería cambiar
- Subir el valor de sustitución a 3,5 en el nivel Esencial. Haría la renuncia neutra, como ya lo es en los otros dos niveles, y suprimiría la situación en la que una organización no alcanza el umbral precisamente por haber usado una facilidad legal.
- Escribir la opción de no aplicabilidad en el art. 2 del anexo n.º 2. Una frase en el apdo. (1), que la añada junto a los valores de 1 a 5, y una excepción en el apdo. (2) cerrarían la contradicción con la obligación de rellenar cada control.
- Un plazo para la decisión sobre los grupos y una regla para el intervalo hasta ella. O 90 días con la aplicación del art. IV hasta entonces, o el aplazamiento del apartado hasta la publicación de la decisión. Hoy el texto exige respetar reglas inexistentes.
- Definir el grupo por remisión a nociones que ya existen. Los artículos 43 y 44 de la Ley n.º 346/2004 definen las empresas asociadas y las empresas vinculadas, y el marco de la ciberseguridad remite de todos modos a esa ley. Una remisión ahorraría un término nuevo y sin definir.
- Un plazo para subsanar las exclusiones que pasan del límite. Hoy la autoevaluación es no conforme hasta que se subsane, sin decir hasta cuándo, lo que deja una obligación anual suspendida por tiempo indefinido.
- Precisar si la renuncia se repite en cada autoevaluación. Un requisito no aplicable en 2026 puede volverse aplicable en 2027, si la organización cambia de actividad, y el acto no dice si la justificación se rehace cada año.
Texto original del acto normativo
El texto que figura a continuación se reproduce en rumano, la forma oficial de publicación.
El texto íntegro, tal como se publicó en el Boletín Oficial de Rumanía
Boletín Oficial de Rumanía n.º 792 de 18 de septiembre de 2026, página 10 16 páginas PDF, 151 KB el acto comienza en la página 10
Abrir el PDF oficialDescargar el PDF
El visor no se muestra en pantallas pequeñas. Usa los botones de arriba para abrir o descargar el archivo.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. Para situaciones concretas, consulta a un abogado o asesor fiscal autorizado.