Shares

În acest material discutăm despre procesul de audit NIS2 (primul pas spre conformitate NIS2). Mai exact, ne propunem să răspundem detaliat la anumite neclarități legate de acest subiect.

Directiva NIS2 introduce cerințe mai stricte pentru securitatea cibernetică a organizațiilor din sectoare esențiale și importante. Pentru companiile vizate, conformitatea nu înseamnă doar achiziționarea unor soluții de securitate, ci și implementarea unor procese, politici și măsuri care pot fi demonstrate și verificate.

Una dintre cele mai importante etape este auditul de securitate cibernetică. Acesta trebuie pregătit din timp, deoarece auditul nu verifică doar existența unor tehnologii, ci și modul în care organizația gestionează riscurile, incidentele, accesul, vulnerabilitățile și continuitatea activității.

Pentru organizațiile care pornesc de la zero sau care nu au un departament intern dedicat, un proces coordonat poate simplifica semnificativ drumul către conformitate. Zemernett oferă un astfel de model, cu un singur interlocutor pentru evaluare, implementare, pregătirea auditului și menținerea conformității.

Cine face auditul NIS2?

Auditul formal de securitate cibernetică este realizat de un auditor de securitate cibernetică atestat de Directoratul Național de Securitate Cibernetică (DNSC), conform cadrului legislativ aplicabil în România.

Este importantă diferența dintre consultanță și audit. O companie de consultanță poate ajuta organizația să identifice lipsurile și să implementeze măsurile necesare, însă auditul formal trebuie realizat independent.

În modelul Zemernett, organizația are un singur punct de contact pentru întregul proiect, iar auditul formal este realizat de un partener independent atestat DNSC, cu un contract direct între organizație și auditor.

Cât durează un audit NIS2?

Durata auditului depinde de dimensiunea și complexitatea organizației. Contează numărul de sisteme, locații, angajați, furnizori și servicii critice, dar și nivelul de documentare și maturitate în securitate cibernetică.

În cazul unei organizații cu infrastructură simplă, auditul poate fi realizat într-un interval relativ scurt. Pentru organizațiile complexe, evaluarea poate dura mai multe zile sau se poate desfășura în mai multe etape.

Pregătirea pentru audit poate dura însă mult mai mult decât auditul propriu-zis. Dacă există politici lipsă, vulnerabilități, sisteme neactualizate sau procese care nu sunt documentate, acestea trebuie remediate înainte de evaluarea formală.

Cum se pregătește o organizație pentru audit?

Pregătirea începe cu o evaluare a situației actuale. Organizația trebuie să știe ce sisteme deține, ce date procesează, ce riscuri există și ce măsuri sunt deja implementate.

Printre cele mai importante etape se numără:

  • inventarierea activelor și sistemelor IT;
  • analiza riscurilor;
  • identificarea vulnerabilităților;
  • implementarea politicilor și procedurilor;
  • controlul accesului și autentificarea;
  • backup și planuri de continuitate;
  • managementul incidentelor;
  • actualizarea sistemelor și aplicațiilor;
  • evaluarea furnizorilor și a lanțului de aprovizionare;
  • instruirea angajaților;
  • colectarea dovezilor necesare auditului.

Un aspect esențial este documentarea. Auditorul trebuie să poată verifica nu doar că o măsură există, ci și că aceasta este aplicată, monitorizată și revizuită periodic.

Ce este NIS2 și cine trebuie să se conformeze?

NIS2 este Directiva europeană 2022/2555 privind securitatea rețelelor și a sistemelor informatice. În România, cerințele sunt implementate prin cadrul legislativ național aplicabil, inclusiv OUG nr. 155/2024 și actele normative ulterioare.

Directiva vizează organizații din sectoare precum energia, transporturile, sănătatea, sectorul bancar, infrastructura digitală, serviciile TIC, administrația publică, apa potabilă, gestionarea deșeurilor, producția unor produse critice și serviciile digitale.

Organizațiile sunt încadrate, în funcție de criteriile legale, în categorii precum entități esențiale și entități importante. Încadrarea nu depinde doar de domeniul de activitate sau de numărul de angajați. Sunt relevante și tipul serviciului furnizat, dimensiunea organizației și impactul pe care l-ar avea o întrerupere asupra economiei sau societății.

Pentru a verifica dacă intră sub incidența NIS2, o companie ar trebui să analizeze domeniul de activitate, dimensiunea, tipul serviciilor oferite și criteriile de impact prevăzute de legislație.

Ce amenzi sunt prevăzute?

Nerespectarea obligațiilor NIS2 poate atrage sancțiuni semnificative. În funcție de categoria entității și de încălcare, amenzile pot ajunge la milioane de euro sau la un procent semnificativ din cifra de afaceri anuală la nivel mondial.

Pentru entitățile esențiale, sancțiunile pot ajunge până la 10 milioane de euro sau 2% din cifra de afaceri anuală la nivel mondial, în funcție de valoarea mai mare. Pentru entitățile importante, nivelul maxim poate ajunge la 7 milioane de euro sau 1,4% din cifra de afaceri anuală la nivel mondial.

Pe lângă amenzi, autoritățile pot dispune măsuri de remediere și termene pentru conformare.

Ce măsuri de securitate sunt necesare?

Conformitatea NIS2 presupune implementarea unor măsuri tehnice și organizatorice adaptate riscurilor organizației. Printre cele mai importante se numără:

  • analiza și gestionarea riscurilor;
  • prevenirea și gestionarea incidentelor;
  • backup și continuitatea activității;
  • managementul vulnerabilităților și actualizărilor;
  • securitatea lanțului de aprovizionare;
  • controlul accesului și autentificarea multifactor;
  • criptarea datelor și a comunicațiilor;
  • monitorizarea sistemelor;
  • instruirea angajaților;
  • testarea periodică a măsurilor de securitate.

Aceste măsuri trebuie să fie susținute de politici, proceduri și dovezi. Un antivirus sau un firewall, de exemplu, nu demonstrează singur conformitatea cu NIS2.

De la zero la conform, în patru pași

Zemernett structurează procesul de conformitate NIS2 în patru etape:

1. Evaluare preliminară
Se stabilește dacă organizația este vizată, ce obligații îi sunt aplicabile și ce măsuri lipsesc. Evaluarea preliminară este oferită gratuit și fără obligații.

2. Implementare
Sunt implementate măsurile tehnice și organizatorice necesare, inclusiv politici, proceduri, managementul vulnerabilităților și procesul de actualizare a sistemelor.

3. Audit formal
Auditul este realizat de un auditor independent atestat DNSC. Zemernett coordonează procesul, iar organizația are un singur interlocutor.

4. Conformitate administrată
După audit, măsurile trebuie menținute. Zemernett poate asigura monitorizare, raportare, suport pentru menținerea conformității și coordonarea re-auditului periodic.

Cum poate ajuta Zemernett?

Zemernett oferă consultanță și implementare pentru conformitate NIS2, acoperind întregul proces într-un singur proiect.

Organizația beneficiază de un singur punct de contact, fără să fie nevoită să coordoneze separat mai mulți furnizori. De la evaluarea inițială și implementarea măsurilor până la pregătirea auditului și colaborarea cu auditorul independent atestat DNSC, procesul este coordonat de echipa Zemernett.

În plus, serviciile de conformitate administrată pot contribui la menținerea pe termen lung a măsurilor implementate, prin monitorizare, managementul vulnerabilităților, actualizări și raportare.

Concluzie

Auditul NIS2 este doar una dintre etapele procesului de conformitate. Organizațiile vizate trebuie să înceapă cu identificarea obligațiilor aplicabile, analiza riscurilor și implementarea măsurilor tehnice și organizatorice necesare.

Auditul formal este realizat de un auditor atestat DNSC, iar durata sa depinde de complexitatea organizației. Pregătirea poate dura însă mai mult decât auditul propriu-zis, motiv pentru care este recomandată o abordare planificată.

Prin cele patru etape: evaluare preliminară, implementare, audit formal și conformitate administrată, Zemernett oferă organizațiilor un traseu coordonat de la identificarea obligațiilor până la menținerea conformității NIS2.

Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.

Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).

Shares