Ghid de conformitate · Bănci și plăți

Cerințele BNM pentru TIC:
ce testați, ce raportați

Regulamentul TIC al Băncii Naționale se aplică integral din iunie 2026. Teste de penetrare, audit, incidente, raportarea anuală — punct cu punct, cu trimitere la text.

Actualizat 7 min de citit 6 surse citate
Cuprins
  1. Cui se aplică și de când
  2. Testele de penetrare și scanările (pct. 30, 33)
  3. Auditul sistemelor critice (pct. 24–25)
  4. Raportarea incidentelor (pct. 81)
  5. Calendarul dumneavoastră de obligații
  6. Furnizorii și externalizarea
  7. BNM, PCI DSS și DORA: unde se suprapun
  8. Cum construim testul pentru BNM
  9. Întrebări frecvente
  10. Surse

În 30 de secunde

  • Regulamentul aprobat prin HCE nr. 29 din 12.02.2025 e în vigoare din 20 martie 2025; ultimele termene de conformare, de 15 luni, au expirat în iunie 2026 12.
  • Se aplică băncilor, societăților de plată, emitenților de monedă electronică și furnizorilor de servicii poștale care prestează servicii de plată 1.
  • Testele de penetrare pe sistemele critice: cel puțin o dată la 3 ani, pe producție, cu testeri certificați internațional 1.
  • Un incident la funcții critice se notifică până la sfârșitul zilei lucrătoare; raportul final, semnat de conducere, în 20 de zile 1.
  • Până la 31 ianuarie, BNM primește rezultatele pentestelor și ale scanărilor, plus rapoartele PCI DSS și SWIFT, unde există 1.
În vigoare
20.03.2025 1
Pentest
≤ 3 ani 1
Incident
aceeași zi 1
Raport anual
31 ianuarie 1

Cui se aplică și de când

Regulamentul privind cerințele minime pentru gestionarea riscurilor TIC, securității informației și continuității activității a fost aprobat prin Hotărârea Comitetului executiv al BNM nr. 29 din 12 februarie 2025, publicat în Monitorul Oficial nr. 62-65 din 20.02.2025 și e în vigoare din 20 martie 2025 13. Se aplică prestatorilor de servicii de plată de la art. 5 alin. (1) lit. a)–d) din Legea nr. 114/2012: băncile, societățile de plată, emitenții de monedă electronică și furnizorii de servicii poștale 1.

  1. 3 luni
    Iunie 2025

    Notificarea incidentelor (pct. 81).

  2. 9 luni
    Decembrie 2025

    Guvernanța, securitatea, testele de penetrare, operațiunile, incidentele, evaluarea riscurilor și raportarea anuală (pct. 4–56, 62, 65–67, 76–80, 82).

  3. 12 luni
    Martie 2026

    Primele cerințe de continuitate a activității (pct. 57, 58.1–58.11).

  4. 15 luni
    Iunie 2026

    Testarea și revizuirea planului de continuitate și restul cerințelor (pct. 58.12–61, 63–64, 68–75).

Testele de penetrare și scanările (pct. 30, 33)

Regulamentul cere un cadru de evaluare și testare care să valideze că măsurile de control chiar funcționează (pct. 33). Concret 1:

PunctulCe cere
30.1Scanări periodice de vulnerabilități pe aplicații, sisteme, echipamente de rețea și stații critice; măsuri la timp sau controale compensatorii 1
33.1Scanări și teste de penetrare pe măsura riscului și a importanței sistemelor 1
33.2Pe sistemele și serviciile critice: continuu, cel puțin o dată la 3 ani, sau mai des la cererea BNM 1
33.3După scenarii prestabilite, validate de instituție, pe sistemele de producție, în timp real 1
33.4De experți cu certificări internaționale, de ex. OSCP, CEH, GPEN, CPENT, LPT 1
33.5La schimbări majore de infrastructură sau procese, după incidente majore și la lansarea sistemelor noi accesibile din internet 1

Auditul sistemelor critice (pct. 24–25)

Separat de teste, toate sistemele și serviciile TIC critice trec printr-un audit intern sau extern cel puțin o dată la 3 ani. Lista minimă, dacă le aveți: sistemul automatizat de plăți interne (SAPI), instrumentele de plată cu acces la distanță, SWIFT, sistemele de bază (core banking), bazele de date, Active Directory, gestiunea identităților și a accesului privilegiat, firewall-ul, VPN-ul, gestiunea electronică a documentelor și mesageria 1. Recomandările se remediază la timp, proporțional cu riscul (pct. 25) 1.

Un test de penetrare pe Active Directory, VPN, firewall și internet banking produce dovezi tehnice pe care auditul le poate folosi direct — mai ales pentru accesul privilegiat, unde configurația pe hârtie și realitatea diferă cel mai des.

Raportarea incidentelor (pct. 81)

Incidentele se notifică prin PCSI sau, dacă acesta nu e disponibil, la [email protected] 1:

  1. Ziua 0
    Notificare inițială — funcții critice

    Fără întârziere, până la sfârșitul zilei lucrătoare; dacă incidentul a avut loc cu mai puțin de 2 ore înainte de închidere, în 4 ore de la începutul zilei lucrătoare următoare (pct. 81.1).

  2. Ziua 1
    Notificare inițială — servicii de plată

    Pentru incidentele la funcții semnificative sau la continuitatea serviciilor de plată: cel târziu în ziua lucrătoare următoare (pct. 81.2).

  3. ≤ 3 zile
    Raport intermediar

    Circumstanțe, sisteme afectate, impactul estimat și măsurile luate până atunci (pct. 81.3).

  4. ≤ 20 zile
    Raport final

    Semnat de un membru al organului de conducere: cauzele principale, impactul efectiv și măsurile ca incidentul să nu se repete (pct. 81.4).

Calendarul dumneavoastră de obligații

Răspundeți la trei-patru întrebări și vedeți, într-un singur loc, ce trimiteți la BNM și ce trebuie testat, cu punctul din regulament 145.

Calendarul obligațiilor TIC față de BNM

Orientativ, după textul regulamentului; nu înlocuiește lectura lui și nici dialogul cu BNM.

Ce tip de prestator sunteți?
Sunteți evaluați anual după PCI DSS?
Sunteți conectați la SWIFT?

Furnizorii și externalizarea

Instituția rămâne pe deplin responsabilă pentru eficacitatea măsurilor de securitate ale funcțiilor externalizate (pct. 78), iar contractele cu furnizorii TIC conțin clauze de confidențialitate, integritate și disponibilitate și obligația de a coopera cu autoritățile de supraveghere (pct. 32) 1.

Pentru prestatorii nebancari, regulamentul de externalizare (HCE nr. 28/2025) adaugă: auditorul extern al procesării externalizate a cardurilor are calificarea QSA, dacă furnizorul nu are deja un audit QSA anual (pct. 65.4), iar contractul prevede, după caz, posibilitatea testelor de penetrare pe serviciile TIC externalizate (pct. 77.3.2) 4.

BNM, PCI DSS și DORA: unde se suprapun

AspectulBNM (HCE 29/2025)PCI DSS v4.0.1DORA (UE)
PentestSisteme critice, ≤ 3 ani 1Mediul de card, 12 luni 5Funcții critice, anual; TLPT la 3 ani pentru cei identificați 6
TesteriiCertificări internaționale 1Calificați, independenți 5Independenți; cerințe stricte la TLPT 6
ProducțieDa, după scenarii validate 1Perimetrul CDE 5TLPT pe producție 6

DORA nu se aplică direct în Republica Moldova, dar e reperul european pentru băncile cu acționari din UE. Un singur program de testare, planificat pe frecvența cea mai strictă, acoperă toate trei.

Cum construim testul pentru BNM

  1. Inventarul critic

    Pornim de la sistemele critice și de la lista pct. 24: internet banking, SAPI, SWIFT, core banking, Active Directory, VPN.

  2. Scenarii validate

    Scenariile se scriu și se aprobă de instituție înainte de test, cum cere pct. 33.3.

  3. Test pe producție

    Cu ferestre agreate, contacte de urgență și oprire imediată la orice efect neașteptat.

  4. Raport pentru BNM

    Constatări cu gravitate, dovezi și remediere, plus certificările testerilor, gata de atașat la raportarea din ianuarie (pct. 82.1).

  5. Re-test

    Confirmă închiderea constatărilor înainte de raportare.

Întrebări frecvente

Cât de des cere BNM un test de penetrare?
Pe sistemele și serviciile TIC critice, pe bază continuă și cel puțin o dată la 3 ani, sau mai des la cererea BNM; în plus, la schimbări majore, după incidente majore și la lansarea sistemelor noi accesibile din internet (pct. 33.2, 33.5) 1.
Ce certificări trebuie să aibă testerii?
Certificări recunoscute internațional; regulamentul dă ca exemple CEPT, CPT, CEH, OSCP, OPST, CPENT, GPEN, LPT, PTC (pct. 33.4) 1.
Testul se face pe producție?
Da. Pct. 33.3 cere ca testele să fie făcute după scenarii prestabilite, validate de instituție, pe sistemele de producție care susțin activitatea 1.
În cât timp se raportează un incident la BNM?
La funcțiile critice, până la sfârșitul zilei lucrătoare (sau în 4 ore de la începutul zilei următoare, dacă incidentul a fost în ultimele 2 ore); la serviciile de plată, până în ziua lucrătoare următoare. Raportul intermediar în 3 zile, cel final în 20 de zile (pct. 81) 1.
Ce trimitem la BNM la sfârșitul anului?
În cel mult o lună de la încheierea anului: rezultatele testelor de penetrare, ultimele scanări de vulnerabilități (situația din decembrie), rapoartele SWIFT CSCF și PCI DSS unde există, rezultatele testelor de continuitate și raportul privind riscurile TIC semnificative (pct. 82) 1.
Se aplică regulamentul și societăților de plată?
Da: se aplică tuturor prestatorilor de servicii de plată de la art. 5 alin. (1) lit. a)–d) din Legea 114/2012 — bănci, societăți de plată, emitenți de monedă electronică și furnizori de servicii poștale 1.

Surse

Fiecare afirmație despre lege sau standard trimite la sursa ei oficială. Consultate la data indicată.

  1. BNM — Regulamentul privind cerințele minime pentru gestionarea riscurilor TIC, securității informației și continuității activității (HCE nr. 29/2025), PDFbnm.md · consultat 23 octombrie 2026
  2. BNM — pagina regulamentului, cu termenele de conformarebnm.md · consultat 23 octombrie 2026
  3. Registrul de stat al actelor juridice — HCE nr. 29/2025legis.md · consultat 23 octombrie 2026
  4. BNM — Regulamentul cu privire la externalizarea funcțiilor de către prestatorii de servicii de plată nebancari (HCE nr. 28/2025, modificat prin HCE nr. 229/2025)bnm.md · consultat 23 octombrie 2026
  5. PCI DSS v4.0.1 — SAQ D pentru furnizori de servicii, r2 (cerințele 11.3 și 11.4)pcisecuritystandards.org · consultat 23 octombrie 2026
  6. Regulamentul (UE) 2022/2554 (DORA)eur-lex.europa.eu · consultat 23 octombrie 2026

Despre autori

Ghidurile le scrie echipa care face testele, nu un departament de marketing. Le actualizăm când se schimbă legea, standardul sau ce vedem în teste.

Echipa Pentest.mdIngineri de securitate cu certificări CEH, CISSP, CISA și CISM

Ghiduri conexe

Ghidul PCI DSS v4.0.1Ghidul DORA și TLPTGhidul Legii 48/2023Ghidul ISO 27001 și SOC 2Cum vă pregătiți pentru un pentestCât costă un pentestToate ghidurile →

Raportarea din ianuarie se apropie?

Teste de penetrare pe sistemele critice, pe producție, cu testeri certificați și raport gata pentru BNM.

Solicitați o ofertă →Scrieți-ne o întrebare