Ghid de conformitate NIS 2 pentru management

Ce trebuie să știe un manager despre NIS 2

NIS 2 NU este un proiect IT. Este un proiect de guvernanță, risc și continuitate a afacerii, cu impact direct asupra:

• răspunderii conducerii;
• funcționării operaționale;
• relației cu furnizorii;
• capacității de a gestiona incidente majore.

Conducerea este explicit responsabilă pentru:

• aprobarea măsurilor de securitate;
• alocarea resurselor;
• supravegherea implementării;
• raportarea incidentelor.

Lipsa conformității = amenzi + măsuri corective + risc reputațional + risc operațional real.

Pașii pentru conformitate

Pasul 1 – Confirmarea încadrării legale

Întrebări-cheie pentru management:

• Suntem o entitate în scopul NIS 2? DA/NU – pentru DA urmează pașii următori.
• Suntem entitate esențială sau importantă?
• Ce servicii critice livrăm?
• Ce impact ar avea un incident major?

Rezultat: decizie formală de aplicabilitate NIS 2, asumată la nivel de conducere.

Pasul 2 – Înregistrare și evaluare inițială

• înregistrarea entității conform cerințelor DNSC;
• evaluarea nivelului de risc (instrumentele puse la dispoziție de autoritate);
• inventarierea sistemelor, serviciilor și furnizorilor critici.

Rezultat: imagine clară a expunerii reale, nu presupuneri.

Pasul 3 – Analiza de gap (unde suntem vs. ce cere legea)

Se analizează, documentat:

• guvernanța securității;
• politici și proceduri;
• măsuri tehnice existente;
• managementul incidentelor;
• relația cu furnizorii;
• continuitatea operațională.

Atenție: un audit pur IT este insuficient. Analiza trebuie să includă procese, decizii și responsabilități.

Rezultat: raport de gap analysis cu priorități clare. Astfel, se poate identifica ce este critic de implementat și ce poate fi planificat pentru implementări ulterioare — predictibilitate pentru investiții și pentru resursele necesare (financiare, umane etc.).

Pasul 4 – Implementarea măsurilor tehnice și organizatorice

Organizatoric (obligatoriu):

• politici de securitate aprobate de conducere;
• roluri și responsabilități clare;
• procedură de gestionare a incidentelor;
• procedură de raportare către DNSC;
• training pentru management și personal-cheie (plan de instruire anual, procese-verbale de participare, testări pentru a înțelege gradul de adopție a noilor informații de către angajați);
• controlul furnizorilor (evaluări periodice, NDA, SLA, DPA).

Tehnic (adaptat riscului):

• control acces și identitate;
• securitate rețea și endpoint;
• backup și recuperare;
• monitorizare și jurnalizare;
• protecție împotriva atacurilor comune;
• testarea măsurilor implementate: teste de penetrare, scanări de vulnerabilități, planuri de continuitate, planuri de recuperare în caz de dezastru — testate și demonstrate că funcționează (rapoarte, dovezi).

Rezultat: sistem funcțional, nu documentație decorativă.

Pasul 5 – Testare, exerciții, validare

• teste de incident (simulări, exerciții table-top);
• simulări de criză;
• verificarea fluxului de raportare;
• corecții unde apar blocaje.

Rezultat: organizația știe ce face într-un incident real.

Pasul 6 – Monitorizare continuă

• revizuiri periodice ale măsurilor de securitate;
• monitorizare și detecție a incidentelor de securitate, inclusiv prin soluții de tip SIEM și servicii SOC interne sau externalizate (acolo unde analiza de risc o justifică);
• actualizări la schimbări operaționale și tehnologice;
• supravegherea furnizorilor și a serviciilor externalizate;
• raportări periodice către management / board.

Rezultat: conformitate sustenabilă, nu proiect „one-off".

Cum alege managementul furnizorul potrivit pentru NIS 2

Aici se pierd cei mai mulți bani.

Ce NU este un furnizor bun NIS 2:

• „Vă facem ISO / NIS rapid";
• focus exclusiv pe IT;
• nu discută cu managementul;
• oferă doar documente standard;
• evită subiectul responsabilității conducerii.

Criterii clare de selecție (checklist managerial):

• Înțelege legislația, nu doar tehnologia. Întrebare directă: „Cum ne ajutați să ne îndeplinim responsabilitățile legale ca management?". Dacă răspunsul e tehnic → red flag.
• Abordare integrată (legal – organizațional – tehnic). Caută furnizori care traduc cerințele legale în decizii de business, adaptează măsurile la mărimea și riscul organizației și lucrează cu managementul, nu doar cu IT-ul.
• Metodologie clară, etapizată. Furnizorul trebuie să poată explica ce face în primele 30 / 60 / 90 de zile, ce livrează concret la fiecare etapă și ce rămâne responsabilitatea voastră.
• Experiență reală, nu promisiuni. Cere exemple de proiecte similare, livrabile reale (anonimizate) și cine va lucra efectiv, nu cine vinde.
• Transfer de control către organizație. Un furnizor bun vă face autonomi, vă explică riscurile și nu creează dependență artificială.

Ce ar trebui să primească managementul ca livrabile finale

• decizie formală de conformitate;
• hartă clară a riscurilor;
• politici și proceduri asumate;
• măsuri tehnice proporționale;
• plan de răspuns la incidente testat;
• mecanism de raportare funcțional;
• control asupra furnizorilor;
• vizibilitate continuă la nivel de board.

Rețineți

NIS 2 nu este despre „dacă". Este despre „cât de bine". Organizațiile care tratează NIS 2 ca un exercițiu strategic:

• reduc riscurile reale;
• își protejează continuitatea;
• câștigă încredere (parteneri, clienți, autorități).

Cele care îl tratează ca o formalitate vor descoperi costurile exact în momentul greșit.

Întrebări frecvente