1️⃣ Ce trebuie să știe un manager despre NIS 2
NIS 2 NU este un proiect IT.
Este un proiect de guvernanță, risc și continuitate a afacerii, cu impact direct asupra:
- răspunderii conducerii
- funcționării operaționale
- relației cu furnizorii
- capacității de a gestiona incidente majore
👉 Conducerea este explicit responsabilă pentru:
- aprobarea măsurilor de securitate
- alocarea resurselor
- supravegherea implementării
- raportarea incidentelor
Lipsa conformității = amenzi + măsuri corective + risc reputațional + risc operațional real.
2️⃣ Pașii pentru conformitate
PASUL 1 – Confirmarea încadrării legale
Întrebări-cheie pentru management:
- Suntem o entitate in scopul Nis 2? DA/NU – Pentru DA -> pasii urmatori.
- Suntem entitate esențială sau importantă?
- Ce servicii critice livrăm?
- Ce impact ar avea un incident major?
➡️ Rezultat: decizie formală de aplicabilitate NIS 2, asumată la nivel de conducere.
PASUL 2 – Înregistrare și evaluare inițială
- Înregistrarea entității conform cerințelor DNSC
- Evaluarea nivelului de risc (instrumentele puse la dispoziție de autoritate)
- Inventarierea sistemelor, serviciilor și furnizorilor critici
➡️ Rezultat: imagine clară a expunerii reale, nu presupuneri.
PASUL 3 – Analiza de gap (unde suntem vs. ce cere legea)
Se analizează, documentat:
- guvernanța securității
- politici și proceduri
- măsuri tehnice existente
- managementul incidentelor
- relația cu furnizorii
- continuitatea operațională
⚠️ Atenție:
Un audit pur IT este insuficient. Analiza trebuie să includă procese, decizii și responsabilități.
➡️ Rezultat: raport de gap analysis cu priorități clare. Astfel, se pot identifica ce este critic de implementat, ce poate fi planificat pentru implementari ulterioare. Predicitibilitate pentru investitii si pentru resursele necesare ( financiare, umane, etc.. )
PASUL 4 – Implementarea măsurilor tehnice și organizatorice
🔹 Organizatoric (obligatoriu)
- politici de securitate aprobate de conducere
- roluri și responsabilități clare
- procedură de gestionare a incidentelor
- procedură de raportare către DNSC
- training pentru management și personal-cheie ( plan de instruire anual, procese verbale de participate, testari pentru a intelege gradul de adoptie a noilor informatii pentru angajati ).
- controlul furnizorilor ( evaluari periodice, NDA, SLA, DPA)
🔹 Tehnic (adaptat riscului)
- control acces și identitate
- securitate rețea și endpoint
- backup și recuperare
- monitorizare și jurnalizare
- protecție împotriva atacurilor comune
- testarea măsurilor implementate
- teste de pentetrare, scanari de vulnerabilitati, planuri de continuitate, planuri de recuperare in caz de dezastru, testate si demonstrate ca functioneaza ( rapoarte, dovezi)
➡️ Rezultat: sistem funcțional, nu documentație decorativă.
PASUL 5 – Testare, exerciții, validare
- teste de incident ( simulari, exercitii table top )
- simulări de criză
- verificarea fluxului de raportare
- corecții unde apar blocaje
➡️ Rezultat: organizația știe ce face într-un incident real.
PASUL 6 – Monitorizare continuă
-
-
revizuiri periodice ale măsurilor de securitate
-
monitorizare și detecție a incidentelor de securitate, inclusiv prin:
-
soluții de tip SIEM
-
servicii SOC interne sau externalizate
(acolo unde analiza de risc o justifică)
-
-
actualizări la schimbări operaționale și tehnologice
-
supravegherea furnizorilor și a serviciilor externalizate
-
raportări periodice către management / board
-
➡️ Rezultat: conformitate sustenabilă, nu proiect „one-off”.
3️⃣ Cum alege managementul furnizorul potrivit pentru NIS 2
Aici se pierd cei mai mulți bani.
❌ Ce NU este un furnizor bun NIS 2
- „Vă facem ISO / NIS rapid”
- focus exclusiv pe IT
- nu discută cu managementul
- oferă doar documente standard
- evită subiectul responsabilității conducerii
✅ Criterii clare de selecție (checklist managerial)
1. Înțelege legislația, nu doar tehnologia
Întrebare directă:
„Cum ne ajutați să ne îndeplinim responsabilitățile legale ca management?”
Dacă răspunsul e tehnic → red flag.
2. Abordare integrată (legal – organizațional – tehnic)
Caută furnizori care:
- traduc cerințele legale în decizii de business
- adaptează măsurile la mărimea și riscul organizației
- lucrează cu managementul, nu doar cu IT-ul
3. Metodologie clară, etapizată
Furnizorul trebuie să poată explica:
- ce face în primele 30 / 60 / 90 zile
- ce livrează concret la fiecare etapă
- ce rămâne responsabilitatea voastră
4. Experiență reală, nu promisiuni
Cere:
- exemple de proiecte similare
- livrabile reale (anonimizate)
- cine va lucra efectiv, nu cine vinde
5. Transfer de control către organizație
Un furnizor bun:
- vă face autonomi
- vă explică riscurile
- nu creează dependență artificială
4️⃣ Ce ar trebui să primească managementul ca livrabile finale
✔️ decizie formală de conformitate
✔️ hartă clară a riscurilor
✔️ politici și proceduri asumate
✔️ măsuri tehnice proporționale
✔️ plan de răspuns la incidente testat
✔️ mecanism de raportare funcțional
✔️ control asupra furnizorilor
✔️ vizibilitate continuă la nivel de board
🎯 Retineti
NIS 2 nu este despre „dacă”. Este despre „cât de bine”.
Organizațiile care tratează NIS 2 ca un exercițiu strategic:
- reduc riscurile reale
- își protejează continuitatea
- câștigă încredere (parteneri, clienți, autorități)
Cele care îl tratează ca o formalitate:
- vor descoperi costurile exact în momentul greșit.
