Directiva NIS2 a schimbat felul în care multe organizații privesc securitatea cibernetică. Pentru companiile din sectoare esențiale sau importante, securitatea nu mai este doar o bună practică, ci o obligație care trebuie demonstrată.
Pe cine privește NIS2
NIS2 se adresează organizațiilor din sectoare esențiale sau importante, precum energia, transportul, sănătatea, utilitățile, telecomunicațiile, IT și serviciile digitale, dar și alte servicii de care depinde buna funcționare a societății. În România, autoritatea competentă în domeniu este Directoratul Național de Securitate Cibernetică (DNSC).
Primul pas este să stabilești dacă organizația ta intră sub incidența directivei și ce obligații decurg de aici. De multe ori, cerințele NIS2 se suprapun cu alte cadre aplicabile, precum DORA pentru sectorul financiar sau cerințele BNR, ASF și ADR.
Ce măsuri cere în practică
Când evaluăm conformitatea cu NIS2, ne uităm la măsurile care acoperă principalele zone de risc ale organizației:
- managementul riscurilor de securitate cibernetică și guvernanța;
- gestionarea incidentelor și continuitatea activității;
- securitatea lanțului de aprovizionare;
- managementul vulnerabilităților;
- igiena cibernetică și controlul accesului.
Nu este suficient ca aceste măsuri să existe în documente. Contează dacă sunt implementate în practică, dacă există dovezi privind aplicarea lor și dacă sunt monitorizate în timp.
Cum te pregătești
Cel mai eficient punct de plecare este o analiză GAP: o comparație între ce ai acum și ce cere NIS2. Ea îți arată clar ce lipsește și ce merită prioritizat înainte de un audit oficial.
Urmează auditul de securitate cibernetică, care evaluează controalele tehnice și organizaționale implementate și identifică neconformitățile. Testarea prin penetrare poate completa imaginea, validând controalele tehnice în condiții reale. Rezultatele se transformă apoi într-un plan de remediere prioritizat, adaptat resurselor organizației.
De ce contează un auditor atestat
Pentru auditurile cerute în contextul NIS2, contează ca evaluarea să fie realizată de un auditor de securitate cibernetică atestat. Dataeye este auditor de securitate cibernetică atestat DNSC, înscris în Registrul Național al Auditorilor de Securitate Cibernetică cu indicativul IDASC QC-18310A7. Dacă vrei să înțelegi mai clar cum stai față de cerințele NIS2, putem începe cu o discuție despre contextul organizației tale.
