În acest material discutăm despre răspunderea personală a administratorului în contextul conformității NIS2.

Directiva NIS2 schimbă modul în care organizațiile privesc securitatea cibernetică. Dacă în trecut aceasta era considerată în principal o responsabilitate a departamentului IT, noul cadru legislativ mută responsabilitatea la nivelul conducerii executive. Administratorii și membrii organelor de conducere au obligații directe privind aprobarea, supravegherea și susținerea măsurilor de securitate implementate în cadrul organizației.

Prin NIS2, securitatea cibernetică devine o componentă esențială a guvernanței corporative. Organizațiile care intră sub incidența directivei trebuie să demonstreze că gestionează riscurile informatice într-un mod documentat, continuu și eficient, iar conducerea trebuie să fie implicată activ în acest proces.

În acest context, răspunderea personală a administratorilor capătă o importanță deosebită. Lipsa măsurilor adecvate de securitate, neimplementarea obligațiilor prevăzute de legislație sau neglijența în gestionarea riscurilor pot atrage sancțiuni semnificative pentru organizație și pot genera consecințe directe asupra persoanelor aflate la conducerea acesteia.

Ce prevede Directiva NIS2 privind răspunderea administratorilor?

Una dintre cele mai importante modificări aduse de Directiva NIS2 este implicarea directă a conducerii organizației în procesul de conformitate. Administratorii nu mai pot delega integral responsabilitatea securității informatice către departamentul IT sau către un furnizor extern.

Conducerea are obligația de a:

• aproba politicile și măsurile de management al riscurilor cibernetice;
• supraveghea implementarea acestora;
• aloca resurse financiare și umane suficiente;
• participa la programe de instruire privind securitatea cibernetică;
• lua decizii informate privind gestionarea riscurilor și continuitatea activității.

În cazul unui incident major sau al unei verificări din partea autorităților competente, administratorii trebuie să poată demonstra că și-au îndeplinit obligațiile și că au exercitat o supraveghere reală asupra măsurilor adoptate.

Ce înseamnă răspunderea personală a administratorului?

Directiva NIS2 introduce conceptul potrivit căruia membrii organelor de conducere pot răspunde pentru neîndeplinirea obligațiilor impuse de legislație. Această răspundere nu înseamnă automat aplicarea unor sancțiuni personale în orice situație, însă implică obligația administratorilor de a demonstra că au acționat cu diligență și că au implementat un sistem adecvat de management al riscurilor.

Printre aspectele urmărite se numără:

• existența unui proces formal de gestionare a riscurilor;
• evaluarea periodică a amenințărilor cibernetice;
• aprobarea politicilor interne;
• monitorizarea implementării măsurilor de securitate;
• existența unui plan de răspuns la incidente;
• instruirea personalului și a conducerii.

În lipsa acestor elemente, organizația poate întâmpina dificultăți în demonstrarea conformității în fața autorităților sau a auditorilor independenți.

Rolul responsabilului NIS2 în cadrul organizației

Pentru multe organizații, desemnarea unui responsabil NIS2 reprezintă una dintre cele mai eficiente modalități de coordonare a procesului de conformitate.

Responsabilul NIS2 are rolul de a coordona implementarea cerințelor directivei și de a facilita colaborarea dintre conducere, departamentul IT, managementul riscurilor și celelalte departamente implicate.

Printre atribuțiile sale se pot regăsi:

• coordonarea evaluării riscurilor;
• monitorizarea implementării măsurilor tehnice și organizatorice;
• urmărirea obligațiilor de raportare a incidentelor;
• pregătirea documentației necesare pentru audit;
• colaborarea cu conducerea și cu auditorii independenți;
• monitorizarea permanentă a nivelului de conformitate.

Este important de subliniat că desemnarea unui responsabil NIS2 nu transferă răspunderea legală a administratorilor. Conducerea rămâne responsabilă pentru aprobarea și supravegherea măsurilor implementate.

Relația dintre NIS2 și GDPR

Deși NIS2 și GDPR urmăresc obiective diferite, cele două reglementări sunt complementare și trebuie abordate împreună.

GDPR are ca obiectiv protecția datelor cu caracter personal, în timp ce NIS2 urmărește creșterea rezilienței cibernetice și protejarea serviciilor esențiale și importante.

Există numeroase zone de suprapunere, precum:

• managementul riscurilor;
• măsurile tehnice și organizatorice de securitate;
• gestionarea incidentelor;
• controlul accesului;
• monitorizarea infrastructurii IT;
• continuitatea activității;
• documentarea măsurilor implementate.

În practică, implementarea corectă a măsurilor prevăzute de NIS2 contribuie și la consolidarea nivelului de conformitate cu cerințele GDPR, fără ca una dintre reglementări să o înlocuiască pe cealaltă.

Amenzile pentru nerespectarea NIS2

Directiva NIS2 introduce un regim sancționator mai sever comparativ cu vechea directivă.

În funcție de categoria din care face parte organizația și de gravitatea încălcării obligațiilor, autoritățile competente pot aplica amenzi administrative semnificative.

Pentru entitățile esențiale, sancțiunile pot ajunge până la 10 milioane de euro sau până la 2% din cifra de afaceri anuală globală, fiind aplicată valoarea cea mai mare dintre cele două.

Pentru entitățile importante, amenzile pot ajunge până la 7 milioane de euro sau până la 1,4% din cifra de afaceri anuală globală.

Pe lângă sancțiunile financiare, autoritățile pot dispune măsuri suplimentare, precum solicitarea implementării unor acțiuni corective, efectuarea unor audituri suplimentare sau alte măsuri prevăzute de legislația națională de transpunere a directivei.

Cum se pregătesc organizațiile pentru conformitatea NIS2?

Conformitatea nu reprezintă un proiect punctual, ci un proces continuu care implică evaluare, implementare, monitorizare și îmbunătățire permanentă.

În general, organizațiile parcurg următoarele etape:

• identificarea obligațiilor aplicabile;
• analiza infrastructurii existente;
• evaluarea riscurilor cibernetice;
• implementarea măsurilor tehnice și organizatorice;
• elaborarea politicilor și procedurilor;
• pregătirea documentației necesare;
• instruirea conducerii și a angajaților;
• pregătirea pentru auditul de conformitate;
• monitorizarea continuă și actualizarea măsurilor implementate.

Implicarea conducerii încă din fazele inițiale reduce riscul apariției neconformităților și facilitează demonstrarea conformității în cadrul verificărilor oficiale.

Cum ajută Zemernett companiile pentru conformitatea NIS2?

Pregătirea pentru conformitatea NIS2 poate implica mai multe etape, de la analiza situației actuale și identificarea riscurilor până la implementarea măsurilor de securitate și pregătirea pentru audit. Zemernett poate gestiona acest proces integrat, oferind atât consultanță, cât și suport pentru implementarea soluțiilor necesare.

Un avantaj important pentru organizații este faptul că întregul proiect poate fi coordonat prin intermediul unei singure echipe. Astfel, companiile nu trebuie să gestioneze separat mai mulți furnizori pentru diferitele etape ale procesului de conformitate. Echipa Zemernett poate sprijini organizația pe parcursul evaluării inițiale, implementării măsurilor tehnice și organizatorice, elaborării documentației necesare, pregătirii pentru audit și interacțiunii cu auditorul independent atestat de DNSC.

Conformitatea NIS2 presupune însă mai mult decât implementarea unor măsuri inițiale. Menținerea acestora pe termen lung este esențială pentru reducerea riscurilor și demonstrarea conformității în fața autorităților competente. Prin serviciile de conformitate administrată, Zemernett poate contribui la monitorizarea continuă a securității, gestionarea vulnerabilităților, aplicarea actualizărilor necesare, urmărirea nivelului de conformitate și realizarea raportărilor relevante, astfel încât organizațiile să își poată menține reziliența cibernetică într-un mod sustenabil.

Concluzie

Directiva NIS2 transformă securitatea cibernetică într-o responsabilitate strategică a conducerii organizației. Administratorii au obligația de a aproba, supraveghea și susține implementarea măsurilor necesare pentru gestionarea riscurilor cibernetice, iar lipsa implicării poate avea consecințe juridice și financiare importante.

Abordarea conformității ca un proces continuu, susținut de politici clare, monitorizare permanentă și implicarea managementului, contribuie atât la reducerea riscurilor operaționale, cât și la protejarea reputației organizației. Cu sprijinul echipei specializate Zemernett, companiile pot parcurge întregul proces de conformitate NIS2 într-un mod organizat, eficient și adaptat cerințelor legislative în vigoare.

Dacă aveți nevoie de ajutor pentru a vă aduce compania în conformitate cu NIS2, vă stăm la dispoziție.

Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).