Cheltuielile de securitate cibernetică: cum se împart în bugetul unui proiect finanțat

Echipamente, la litera A punctul 1 litera a: dispozitivele dedicate monitorizării atacurilor, identificării și remedierii vulnerabilităților, implementării controalelor de securitate și construirii arhitecturii de securitate. Este ajutor de stat și intră în ponderea de hardware care, pentru un proiect cu rezultat software, nu poate depăși 20% din valoarea totală eligibilă fără să anuleze punctajul pe subcriteriul de buget.

Auditare tehnică, la litera B punctul 4: verificarea corespondenței dintre rezultatul proiectului și cererea de finanțare, inclusiv din punctul de vedere al securității aplicației, al testării nivelelor de securitate ale sistemului informatic, al protecției informației și al respectării reglementărilor privind datele cu caracter personal. Este ajutor de minimis, deci intră în plafonul de 300.000 de euro pe întreprindere unică în trei ani.

Instruire, la litera B punctul 3: pregătirea personalului căruia îi este destinat produsul dezvoltat și a personalului care va asigura mentenanța, dacă acesta este angajat al beneficiarului. Formularea leagă instruirea de produsul din proiect, nu de firmă în general — un curs de conștientizare pentru tot personalul nu intră aici doar pentru că are securitatea ca temă.

Ghidul cere ca asistența nerambursabilă aferentă activității de bază — cheltuielile de la litera A plus cele de la litera B punctul 1, literele b și c — să reprezinte minimum 80% din asistența nerambursabilă totală. Tot ce rămâne în afara ei, adică publicitatea obligatorie a proiectului, auditul tehnic, consultanța, instruirea, managementul intern, accesibilizarea și costurile indirecte, trebuie să încapă împreună în restul de 20%.

Peste asta se suprapune un plafon mai strâns: cheltuielile de la litera B punctele 2 și 5 — consultanța, avizele și autorizațiile, respectiv managementul intern de proiect — nu pot depăși 10% din valoarea maximă eligibilă a proiectului. Iar costurile indirecte sunt eligibile în procent de maximum 7% din valoarea totală a cheltuielilor eligibile.

Concluzia pentru cine bugetează: o linie de audit generoasă nu se adaugă gratuit, ci strânge spațiul consultanței și al instruirii. Ordinea în care se dimensionează aceste poziții contează mai mult decât prețul fiecăreia în parte. Ca ordin de mărime, orientativ și fără TVA, un audit de securitate sau un test de penetrare pornește de la 1.500–3.000 de euro; cifra finală vine dintr-o ofertă scrisă, în funcție de perimetrul testat.

Ghidul este explicit: auditorul tehnic trebuie să dețină o certificare CISA, CISM sau CISSP ori altă certificare profesională de nivel avansat recunoscută internațional în domeniul auditului IT, al securității informației sau al securității cibernetice — de exemplu CCSP, CIPP/E, ISO 27001 Lead Auditor sau OSCP —, emisă de un organism internațional acreditat și condiționată de examinare formală și experiență profesională verificabilă.

Consecința operațională este una de achiziție, nu de scriere: certificarea se verifică înainte de contractare, iar linia de audit se bugetează distinct, cu nume de certificare în specificație. Un raport semnat de cineva fără certificarea cerută nu se repară la decont; se refuză.

Limita noastră, cea care ne costă o poziție de buget: nu semnăm raportul de audit tehnic pentru un produs pe care l-am construit noi. Construim, documentăm și punem la dispoziție tot ce are nevoie auditorul, dar auditul îl semnează un terț certificat. Un audit făcut de constructor nu are valoarea pentru care există în ghid.

Raportul de audit cu constatări și cu remedierile aplicate, capturile configurărilor active, jurnalele copiilor de siguranță împreună cu dovada unui test de restaurare, procesele-verbale ale sesiunilor de instruire și, pentru aplicațiile dezvoltate, documentația de arhitectură din care reiese cum sunt separate rolurile și unde se jurnalizează acțiunile.

La această categorie factura singură nu demonstrează nimic: un serviciu de securitate fără livrabil scris este poziția cea mai ușor de contestat dintr-un dosar de plată. Emitem documentele la fiecare recepție, nu la solicitare ulterioară. Nu evaluăm eligibilitatea firmei, nu depunem dosarul și nu promitem aprobarea unei cereri de plată — încadrarea în ghid rămâne a autorității de management.