Implementare NIS2: pașii necesari pentru conformarea companiei
Pentru multe organizații, implementarea NIS2 începe cu o întrebare aparent simplă: „Ce documente trebuie să avem?”. În realitate, conformarea nu se rezumă la politici, proceduri sau formulare. NIS2 presupune un sistem funcțional prin care compania identifică riscurile, stabilește responsabilități, implementează măsuri de securitate, gestionează incidentele și poate demonstra că aceste măsuri sunt aplicate în practică.
În România, cadrul NIS2 este reglementat prin OUG nr. 155/2024, aprobată prin Legea nr. 124/2025, precum și prin actele subsecvente emise de Directoratul Național de Securitate Cibernetică. Prin urmare, implementarea NIS2 nu mai este un proiect care poate fi amânat până când apar toate răspunsurile perfecte. Pentru entitățile vizate, este un proces concret de analiză, organizare și reducere a riscurilor.
O implementare corectă trebuie să lege trei zone care sunt deseori tratate separat: managementul, securitatea tehnică și documentarea conformării. Dacă una dintre ele lipsește, compania poate avea politici bine redactate, dar fără măsuri reale, sau poate avea sisteme tehnice bune, dar fără responsabilități, evidențe și procese coerente.
Pe scurt
Implementarea NIS2 înseamnă mai mult decât pregătirea unui dosar de conformare. Compania trebuie să își verifice încadrarea, să evalueze riscurile, să stabilească responsabilități, să aplice măsuri tehnice și organizatorice și să pregătească procese clare pentru incidente, furnizori și continuitatea activității.
Scopul nu este doar să poți spune că ai implementat NIS2, ci să poți demonstra că organizația poate preveni, identifica, gestiona și limita efectele unui incident cibernetic.
Conținut
Ce înseamnă implementarea NIS2
Implementarea NIS2 este procesul prin care o organizație transformă cerințele juridice și de securitate cibernetică într-un sistem intern funcțional.
În practică, acest proces trebuie să răspundă la întrebări precum:
- se află compania în domeniul de aplicare al NIS2?
- este entitate esențială sau entitate importantă?
- care sunt serviciile, activele și sistemele critice?
- ce riscuri pot afecta continuitatea serviciilor?
- cine aprobă și cine coordonează măsurile de securitate?
- cum sunt evaluate aplicațiile, sistemele și furnizorii?
- cum este identificat și raportat un incident semnificativ?
- cum poate compania demonstra că măsurile funcționează?
De aceea, implementarea trebuie începută cu analiza activității reale, nu cu alegerea unor modele de documente. Două companii din același sector pot avea infrastructuri, furnizori, riscuri și niveluri de maturitate complet diferite.
Etapa 1: verificarea încadrării în NIS2
Primul pas este stabilirea aplicabilității. Compania trebuie să verifice sectorul în care activează, serviciile furnizate, dimensiunea organizației și eventualele situații speciale care pot determina încadrarea indiferent de dimensiune.
Analiza nu trebuie făcută exclusiv pe baza codului CAEN principal. Pot conta și activitățile secundare autorizate, tipul serviciului furnizat, rolul companiei în lanțul de aprovizionare și impactul pe care întreruperea serviciului l-ar putea avea asupra clienților sau asupra altor organizații.
În această etapă trebuie clarificate cel puțin următoarele:
- sectorul și subsectorul relevant;
- tipul de entitate prevăzut de cadrul aplicabil;
- numărul de angajați, cifra de afaceri și activele totale;
- serviciile furnizate efectiv;
- dependența altor organizații de aceste servicii;
- posibila încadrare ca furnizor unic sau entitate critică.
O încadrare greșită poate conduce fie la ignorarea unor obligații reale, fie la construirea unui proiect disproporționat pentru situația companiei.
Etapa 2: notificarea și înregistrarea
Pentru entitățile care intră în domeniul de aplicare, implementarea NIS2 include și procesul de notificare în vederea înregistrării. Informațiile transmise trebuie să permită verificarea dimensiunii, activității, serviciilor furnizate și a situațiilor specifice relevante pentru încadrare.
Este important ca notificarea să fie susținută de documente și informații coerente. O simplă selectare a unor categorii într-un formular nu este suficientă dacă acestea nu corespund activității reale a organizației.
În această fază, compania trebuie să aibă pregătite:
- datele de identificare și contact;
- informațiile privind dimensiunea organizației;
- sectoarele, subsectoarele și serviciile relevante;
- documentele justificative solicitate;
- rezultatele evaluărilor și autoanalizelor aplicabile;
- datele persoanelor desemnate, atunci când este cazul.
Etapa 3: stabilirea guvernanței și a responsabilităților
NIS2 nu este un proiect care poate fi lăsat exclusiv în responsabilitatea departamentului IT. Managementul trebuie să fie implicat în aprobarea, supravegherea și susținerea măsurilor de securitate.
Implementarea trebuie să clarifice:
- cine aprobă strategia și măsurile de securitate;
- cine coordonează operațional proiectul NIS2;
- cine gestionează incidentele și comunicarea internă;
- cine urmărește furnizorii și riscurile din supply chain;
- cine menține documentația și dovezile de conformare;
- cum ajung riscurile importante la nivelul conducerii.
O greșeală frecventă este desemnarea formală a unei persoane, fără timp, autoritate, resurse și acces la informațiile necesare. Responsabilitatea trebuie integrată în procesele organizației, nu doar menționată într-o decizie internă.
Etapa 4: inventarierea activelor și a serviciilor critice
Nu poți proteja ceea ce nu ai identificat. Din acest motiv, una dintre cele mai importante etape ale implementării NIS2 este inventarierea sistemelor, aplicațiilor, infrastructurii, datelor și furnizorilor de care depinde activitatea.
Inventarul trebuie să includă, în funcție de organizație:
- servere, stații de lucru și dispozitive mobile;
- aplicații interne și platforme cloud;
- conturi privilegiate și sisteme de identitate;
- rețele, echipamente și conexiuni critice;
- backup-uri și soluții de recuperare;
- furnizori IT, telecom, cloud și securitate;
- sisteme operaționale sau industriale;
- servicii fără de care compania nu își poate continua activitatea.
Inventarul nu trebuie să fie o listă statică. El trebuie actualizat atunci când apar aplicații, furnizori, locații, dispozitive sau procese noi.
Etapa 5: evaluarea riscurilor cibernetice
Implementarea NIS2 trebuie construită pe o evaluare reală a riscurilor. Nu toate sistemele au aceeași importanță și nu toate amenințările pot produce același impact.
Evaluarea trebuie să analizeze cel puțin:
- amenințările relevante pentru sector și organizație;
- vulnerabilitățile sistemelor și proceselor;
- probabilitatea producerii unui incident;
- impactul operațional, financiar și reputațional;
- efectele asupra clienților și partenerilor;
- dependența de furnizori și servicii externe;
- măsurile existente și eficiența acestora;
- riscul rămas după aplicarea măsurilor.
Rezultatul nu ar trebui să fie doar un tabel cu scoruri. Evaluarea trebuie să conducă la un plan de măsuri, cu priorități, responsabili, termene și resurse.
Etapa 6: analiza GAP și planul de implementare NIS2
Analiza GAP compară situația actuală a organizației cu cerințele care trebuie îndeplinite. Ea arată ce există deja, ce funcționează parțial și ce trebuie construit sau îmbunătățit.
Un plan de implementare NIS2 bine făcut trebuie să conțină:
- cerința sau riscul identificat;
- situația actuală;
- măsura necesară;
- responsabilul pentru implementare;
- termenul de realizare;
- bugetul și resursele necesare;
- dovada prin care va fi demonstrată implementarea;
- modalitatea de verificare a eficienței.
Fără un astfel de plan, implementarea tinde să devină o colecție de acțiuni izolate, fără prioritizare și fără o imagine clară asupra progresului.
Ce măsuri trebuie să acopere implementarea NIS2
Măsurile trebuie să fie proporționale cu riscurile și cu impactul potențial al incidentelor. În practică, proiectul trebuie să acopere atât zona tehnică, cât și procesele operaționale și organizatorice.
Analiza riscurilor și securitatea sistemelor
Compania trebuie să aibă politici și metode prin care identifică, evaluează, tratează și monitorizează riscurile de securitate.
Gestionarea incidentelor
Trebuie stabilit cine identifică incidentul, cine îl clasifică, cine îl investighează, cine decide escaladarea și cine gestionează raportarea.
Continuitatea activității și recuperarea
Backup-ul nu este suficient dacă nu este testat. Organizația are nevoie de reguli privind continuitatea, recuperarea în caz de dezastru, gestionarea crizelor și reluarea serviciilor critice.
Securitatea lanțului de aprovizionare
Furnizorii trebuie evaluați și din perspectiva securității. Contractele, nivelurile de acces, serviciile subcontractate și dependențele critice trebuie analizate și monitorizate.
Achiziția, dezvoltarea și mentenanța sistemelor
Securitatea trebuie integrată în modul în care sunt cumpărate, dezvoltate, configurate și actualizate aplicațiile și sistemele. Aici intră și gestionarea vulnerabilităților și a actualizărilor.
Controlul accesului și gestionarea activelor
Accesul trebuie acordat pe baza rolului și a necesității. Conturile, privilegiile, dispozitivele și activele trebuie administrate și revizuite periodic.
Autentificarea și comunicațiile securizate
În funcție de risc, compania trebuie să folosească autentificare multifactor, criptare și canale de comunicare adecvate pentru procesele sensibile.
Training și igienă cibernetică
Personalul și managementul trebuie să înțeleagă riscurile, regulile interne și modul de reacție în cazul unui incident. Trainingul nu trebuie tratat ca o prezentare unică, ci ca un proces periodic.
Etapa 7: pregătirea procesului de raportare a incidentelor
Una dintre zonele care trebuie implementate înainte de apariția unui incident este mecanismul de raportare. Dacă organizația începe să stabilească responsabilitățile și să caute informațiile abia după producerea atacului, riscul de întârziere și de raportare incompletă crește semnificativ.
Procesul intern trebuie să stabilească:
- cum este identificat un incident semnificativ;
- cine colectează informațiile tehnice și operaționale;
- cine aprobă notificarea;
- cum sunt respectate termenele legale;
- cum sunt păstrate dovezile și jurnalele;
- cum sunt informați managementul, clienții și partenerii;
- cum este pregătit raportul final și analiza cauzei.
Cadrul NIS2 prevede un mecanism etapizat, care poate include avertizarea timpurie, notificarea incidentului și raportarea finală. Din acest motiv, compania trebuie să poată lua decizii într-un interval scurt, pe baza unor informații care sunt încă în curs de verificare.
Ce documente pot rezulta din implementarea NIS2
Documentația exactă depinde de activitatea și nivelul de risc al organizației, dar un proiect complet poate include:
- analiza de încadrare și domeniul de aplicare;
- inventarul activelor și serviciilor critice;
- evaluarea riscurilor cibernetice;
- analiza GAP și planul de remediere;
- politica generală de securitate cibernetică;
- politica de control al accesului;
- procedura de gestionare a incidentelor;
- planul de continuitate și recuperare;
- procedura de evaluare a furnizorilor;
- politica de backup și restaurare;
- procedura de gestionare a vulnerabilităților;
- planul de training și conștientizare;
- registre, rapoarte și dovezi de verificare;
- raportări periodice către management.
Documentele trebuie să descrie ceea ce organizația face în realitate. O procedură care nu este cunoscută, aplicată și testată nu oferă protecție doar pentru că există într-un folder.
Cât durează implementarea NIS2
Nu există un termen universal. Durata proiectului depinde de dimensiunea organizației, numărul de locații, complexitatea infrastructurii, maturitatea actuală și diferențele identificate în analiza GAP.
O companie care are deja politici de securitate, inventare actualizate, management al incidentelor și planuri de continuitate poate implementa cerințele mai repede decât o organizație care începe de la zero.
Durata este influențată în special de:
- numărul de sisteme și active;
- numărul de furnizori critici;
- complexitatea fluxurilor operaționale;
- calitatea documentației existente;
- disponibilitatea echipelor interne;
- nevoia de investiții tehnice;
- nevoia de testare și remediere.
Implementarea poate fi etapizată, dar nu ar trebui redusă la livrarea rapidă a unor documente. Unele măsuri necesită achiziții, configurări tehnice, renegocierea contractelor și testarea proceselor.
Cât costă implementarea NIS2
Costul depinde de diferența dintre nivelul actual și nivelul de securitate necesar. O organizație matură va avea, în general, costuri mai reduse de remediere decât una fără inventare, politici, control al accesului, backup verificat sau procese de incident response.
Bugetul poate include:
- analiză juridică și operațională;
- evaluarea riscurilor și auditul tehnic;
- elaborarea și adaptarea documentației;
- licențe, echipamente sau servicii de securitate;
- remedierea vulnerabilităților;
- trainingul managementului și angajaților;
- testarea backup-urilor și a continuității;
- monitorizarea și mentenanța ulterioară.
Cea mai costisitoare abordare este, de regulă, implementarea făcută fără prioritizare: investiții tehnice fără evaluare de risc, documente care nu se aplică și soluții cumpărate fără să fie integrate în procesele companiei.
Greșeli frecvente în implementarea NIS2
- tratarea proiectului exclusiv ca obligație IT;
- pregătirea documentelor înaintea evaluării riscurilor;
- desemnarea formală a unui responsabil fără resurse;
- ignorarea furnizorilor și subcontractorilor;
- confundarea backup-ului cu un plan complet de continuitate;
- lipsa testării procedurilor și măsurilor;
- lipsa implicării managementului;
- implementarea unor soluții tehnice fără reguli și responsabilități;
- amânarea pregătirii procesului de raportare a incidentelor;
- considerarea proiectului ca fiind finalizat după livrarea documentației.
Implementarea NIS2 este un proces continuu
Riscurile, aplicațiile, furnizorii și metodele de atac se schimbă. Din acest motiv, implementarea NIS2 nu se încheie odată cu aprobarea politicilor sau cu finalizarea auditului inițial.
Organizația trebuie să mențină un ciclu de:
- identificare a schimbărilor și riscurilor;
- evaluare și prioritizare;
- implementare a măsurilor;
- testare și verificare;
- raportare către management;
- actualizare a documentației și proceselor.
O companie este conformă nu doar atunci când are reguli, ci atunci când poate demonstra că regulile sunt aplicate, măsurile sunt verificate, iar problemele identificate sunt tratate.
Când este util un responsabil NIS2 externalizat
Pentru multe organizații, dificultatea principală nu este identificarea cerințelor, ci coordonarea implementării. Proiectul implică management, IT, juridic, achiziții, HR, furnizori și echipe operaționale.
Un responsabil externalizat poate fi util atunci când:
- compania nu are intern expertiza necesară;
- rolul nu justifică un specialist full-time;
- implementarea trebuie începută rapid;
- managementul are nevoie de raportare și coordonare;
- există mai mulți furnizori și departamente implicate;
- organizația are nevoie de suport continuu, nu doar de un audit;
- trebuie menținută relația operațională cu cerințele DNSC.
Externalizarea nu înlocuiește implicarea internă. Compania trebuie să ofere acces la informații, să aloce resurse și să implementeze deciziile aprobate. Rolul externalizat ajută la coordonare, metodă, monitorizare și menținerea proiectului într-o direcție coerentă.
Concluzie
Implementare NIS2 nu înseamnă doar politici și proceduri. Înseamnă guvernanță, evaluarea riscurilor, securitate tehnică, continuitatea activității, gestionarea incidentelor, controlul furnizorilor și implicarea reală a managementului.
O implementare sănătoasă începe cu încadrarea și evaluarea situației existente, continuă cu un plan realist de măsuri și devine un proces permanent de monitorizare și îmbunătățire.
Companiile care tratează NIS2 doar ca pe un proiect de documentație riscă să rămână vulnerabile exact în momentul în care apare un incident. Cele care construiesc un sistem real de securitate și conformare câștigă nu doar protecție juridică, ci și reziliență, control și încredere în relația cu partenerii.
Ai nevoie de ajutor pentru implementarea NIS2?
Vezi cum poate fi coordonată încadrarea, evaluarea riscurilor, documentația, planul de măsuri și menținerea conformării în cadrul unui serviciu externalizat.
Întrebări frecvente despre implementarea NIS2
1. Ce înseamnă implementare NIS2?
Implementarea NIS2 este procesul prin care o organizație își verifică încadrarea, evaluează riscurile, stabilește responsabilități și aplică măsuri tehnice, operaționale și organizatorice pentru securitatea rețelelor și sistemelor informatice.
2. Implementarea NIS2 înseamnă doar documente?
Nu. Documentația este necesară, dar trebuie susținută de măsuri reale, procese funcționale, responsabilități clare, training, testare și monitorizare.
3. Cine trebuie să fie implicat în implementarea NIS2?
Managementul, echipele IT și de securitate, juridicul, achizițiile, HR-ul, responsabilii operaționali și persoanele care gestionează furnizorii și continuitatea activității.
4. Cât durează implementarea NIS2?
Durata depinde de dimensiunea și maturitatea organizației, numărul sistemelor și furnizorilor, riscurile identificate și volumul măsurilor tehnice și organizatorice necesare.
5. Care este primul pas pentru implementarea NIS2?
Primul pas este analiza de încadrare, urmată de inventarierea activelor și serviciilor, evaluarea riscurilor și analiza diferențelor dintre situația actuală și cerințele aplicabile.
6. Este suficient un audit NIS2?
Nu. Auditul arată situația existentă și problemele care trebuie rezolvate. Conformarea presupune implementarea măsurilor, verificarea lor și menținerea proceselor în timp.
Surse oficiale Implementare NIS2
