CyFun și fișierul Excel de autoevaluare: de unde vin cele 218 controale din Ordinul nr. 1/2026
„CyFun excel” este o căutare foarte concretă: oamenii vor fișierul. Merită însă clarificat de la început ce descarci, de unde, și mai ales ce raport are fișierul belgian cu obligația din România. Pentru că nu sunt același lucru, deși seamănă izbitor.
Ce este CyFun
CyberFundamentals Framework, prescurtat CyFun, este un cadru dezvoltat de Centre for Cybersecurity Belgium, care este și proprietarul principal al schemei. Cerințele și ghidajul sunt construite pe baza NIST Cybersecurity Framework, ISO/IEC 27001 și 27002, IEC 62443 și CIS Critical Security Controls. Versiunea CyFun 2025 a fost aliniată explicit la NIST CSF 2.0 și la legislația europeană, adăugând măsuri de guvernanță, lanț de aprovizionare și tehnologie operațională.
Are trei niveluri de asigurare, Basic, Important și Essential, plus un chestionar separat pentru nivelul „small”, destinat microorganizațiilor. Formularea corectă nu este „CyFun are patru niveluri”, ci trei niveluri de asigurare și un chestionar suplimentar.
Fișierul Excel, ce este și ce conține
Instrumentele de autoevaluare se descarcă de pe site-ul oficial al schemei, cyfun.eu. Sunt trei fișiere separate, câte unul pe nivel, fiecare cu un filtru care afișează doar cerințele nivelului ales, astfel încât să nu fie nevoie de transferul scorurilor între fișiere.
Logica de evaluare este cea care contează cel mai mult:
- fiecare control se notează pe două dimensiuni, maturitatea documentației și maturitatea implementării;
- scala este de la 1 la 5;
- scorurile se agregă ca medii, de la subcategorie la categorie și apoi la scorul total;
- un tab de sinteză afișează nivelul total, imaginea pe categorii, lista măsurilor cheie și o diagramă radar;
- conformitatea se stabilește prin comparare cu pragurile din schema de evaluare a conformității, marcate vizual.
Pe aceeași pagină se găsesc și broșurile cadrului, sinteza măsurilor cheie și, util pentru cine lucrează cu mai multe cadre, un fișier de mapare CyFun 2025 către NIS2 și către alte standarde.
De ce vă sună cunoscut, dacă ați citit Ordinul nr. 1/2026
Catalogul național de măsuri aprobat prin Ordinul directorului DNSC nr. 1/2026 are aceeași arhitectură:
| Element | CyFun 2025 | Ordinul DNSC nr. 1/2026 |
|---|---|---|
| Funcții | Govern, Identify, Protect, Detect, Respond, Recover | Guvernare, Identificare, Protecție, Detecție, Răspuns, Recuperare |
| Ierarhie | Funcție, Categorie, Subcategorie, Control | identică |
| Codificare | de tipul GV.OC-01.1 | identică |
| Scor | documentație și implementare, 1 la 5 | documentație și implementare, 1 la 5 |
| Niveluri | Basic, Important, Essential | Bază, Important, Esențial |
Cifrele din catalogul românesc, numărate din tabelul de aplicabilitate al ordinului: 218 controale în total, dintre care 34 la nivelul Bază, 133 la nivelul Important și toate 218 la nivelul Esențial, cu 29 de măsuri cheie și 15 controale marcate ca aspect de management. Nivelurile sunt incluzive: Important conține tot ce are Bază, Esențial conține tot.
Filiația nu este o coincidență. România a adoptat formal cadrul CyFun și figurează, pe site-ul oficial al schemei, în grupul proprietarilor acesteia, alături de Belgia, Irlanda, Malta și Cipru. Ghidurile de implementare din ordin citează explicit CyFun printre cadrele de referință.
Atenție: fișierul belgian nu înlocuiește instrumentul DNSC
Aceasta este partea pe care căutarea „cyfun excel” o ratează. Obligația din România, prevăzută de art. 12 alin. (4) din OUG nr. 155/2024, este de a transmite anual către DNSC o autoevaluare a nivelului de maturitate, asumată de management. Mecanismele puse la dispoziție de DNSC sunt Platforma NIS2@RO și instrumentele proprii, denumite oficial EVAL_MMS_B pentru nivelul Bază, EVAL_MMS_I pentru Important și EVAL_MMS_E pentru Esențial, care se descarcă de pe site-ul DNSC atunci când platforma nu este disponibilă.
O autoevaluare făcută în fișierul belgian nu este o autoevaluare transmisă către DNSC. Pragurile diferă și ele: metodologia românească cere minimum 2,5 pe fiecare măsură cheie și 2,5 în total la nivelul Bază, minimum 3 și 3 la Important, iar la Esențial minimum 3 pe fiecare măsură cheie, 3 pe fiecare categorie și un scor general de minimum 3,5.
La ce e totuși bun fișierul CyFun
- Pentru pregătire. Dacă vrei să înțelegi logica de scor înainte de a intra în platformă, fișierul belgian o explică pe îndelete, cu ghidaj pe fiecare control.
- Pentru mapare. Fișierul de corespondență CyFun către NIS2 și către ISO 27001 ajută dacă ai deja un sistem de management și vrei să vezi ce acoperă și ce nu.
- Pentru grupuri internaționale. O filială din Belgia și una din România pot vorbi aceeași limbă tehnică, chiar dacă raportează către autorități diferite.
- Pentru antrenament intern. Este un instrument bun pentru a face echipa să exerseze diferența dintre „avem o politică” și „politica este aplicată și revizuită”.
Un detaliu de calendar, dacă lucrezi cu parteneri belgieni: versiunile CyFun 2023 și 2025 coexistă până la 18 aprilie 2027, iar atestările emise pe versiunea 2023 rămân valabile cel târziu până la 18 aprilie 2028.
Greșeala cea mai costisitoare la scor
Ambele modele cer două note, nu una. Organizațiile care au documentație bună și implementare slabă își notează adesea documentația și presupun că acoperă și implementarea. Rezultatul apare direct în media pe categorie și, la nivelul Esențial, poate bloca pragul de 3 pe categorie chiar dacă scorul general pare acceptabil.
Regula practică: nota de implementare se dă pe dovezi, nu pe intenție. Dacă nu poți arăta o înregistrare, o probă, un jurnal sau un raport, nota nu trece de 2.
Unde te putem ajuta
O autoevaluare corectă începe cu nivelul de asigurare corect. Dacă nu știi încă unde te încadrezi, platforma CysNis parcurge criteriile pas cu pas. Dacă ai nivelul și vrei ca scorurile să reziste la o verificare, o analiză de conformare NIS2 cu plan de remediere se face pe dovezi, control cu control. ProDefence este auditor NIS acreditat de DNSC.
Documentația care ridică nota de documentație, politici, proceduri, registre și decizii, se găsește în pachetele de documentație NIS2.
Surse
- CyberFundamentals Framework 2025, instrumentele de autoevaluare și materialele, Centre for Cybersecurity Belgium.
- Despre CyFun și întrebări frecvente, inclusiv statutul cadrului în alte state.
- Ordinul directorului DNSC nr. 1/2026, cu Măsurile și Metodologia de autoevaluare, Monitorul Oficial nr. 712 din 27 august 2026.
- OUG nr. 155/2024, art. 12 alin. (4).
Materialul are caracter informativ și nu constituie consultanță juridică. Cifrele privind numărul de controale sunt numărate din tabelul de aplicabilitate al Ordinului nr. 1/2026. Instrumentele și adresele se pot modifica.
Întrebări frecvente
De unde descarc fișierul Excel CyFun?
De pe site-ul oficial al schemei, cyfun.eu, de la pagina CyberFundamentals Framework 2025. Sunt trei instrumente separate, câte unul pentru fiecare nivel de asigurare: Basic, Important și Essential. Tot acolo se găsesc broșurile cadrului și fișierele de mapare către NIS2 și către alte standarde.
Câte niveluri are CyFun?
Trei niveluri de asigurare: Basic, Important și Essential. În plus există un chestionar separat pentru nivelul „small”, destinat microorganizațiilor. Formularea „patru niveluri” este imprecisă.
Pot folosi fișierul CyFun pentru autoevaluarea cerută de DNSC?
Nu ca înlocuitor. Obligația din art. 12 alin. (4) din OUG nr. 155/2024 se îndeplinește prin Platforma NIS2@RO sau, când aceasta nu este disponibilă, prin instrumentele DNSC denumite EVAL_MMS_B, EVAL_MMS_I și EVAL_MMS_E. Fișierul belgian este util pentru pregătire, mapare și antrenament intern.
Câte controale are catalogul din Ordinul DNSC nr. 1/2026?
218 controale în total, cu 34 aplicabile la nivelul Bază, 133 la nivelul Important și toate 218 la nivelul Esențial. Sunt marcate 29 de măsuri cheie. Nivelurile sunt incluzive, fiecare îl conține integral pe cel inferior.
Cum se calculează scorul de maturitate?
Fiecare control primește două note, de la 1 la 5: una pentru maturitatea documentației și una pentru maturitatea implementării. Mediile urcă de la subcategorie la categorie și apoi la scorul total. Pragurile din metodologia românească sunt 2,5 la nivelul Bază, 3 la Important, iar la Esențial minimum 3 pe fiecare măsură cheie și pe fiecare categorie, cu scor general de minimum 3,5.
Folosește România cadrul CyFun?
Da, l-a adoptat formal și figurează în grupul proprietarilor schemei, alături de Belgia, Irlanda, Malta și Cipru. Catalogul aprobat prin Ordinul nr. 1/2026 are aceeași arhitectură, aceleași șase funcții și aceeași codificare a controalelor, iar ghidurile de implementare citează CyFun printre cadrele de referință.
Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.
