Conformitate NIS2: Cine Trebuie Numit Responsabil și Pentru Ce Răspunde

În acest material discutăm despre atribuțiile și răspunderile persoanei responsabile pentru conformitatea NIS2 în companie.

Directiva NIS2 introduce cerințe mai stricte privind securitatea cibernetică pentru numeroase organizații din Uniunea Europeană. În România, companiile care intră în domeniile de aplicare trebuie să își evalueze riscurile, să implementeze măsuri de securitate și să demonstreze că dispun de mecanisme clare de prevenire și gestionare a incidentelor.

Unul dintre cele mai importante aspecte ale conformității este stabilirea responsabilităților interne. NIS2 nu înseamnă doar instalarea unor soluții tehnice, ci presupune implicarea conducerii organizației, existența unor procese documentate și desemnarea unor persoane care să coordoneze activitățile de securitate cibernetică.

Pentru companii, întrebarea nu este doar „cine se ocupă de IT?”, ci „cine răspunde efectiv de conformitatea cu cerințele de securitate?”. Răspunsul trebuie să țină cont de dimensiunea organizației, de sectorul de activitate, de nivelul de risc și de obligațiile aplicabile fiecărei entități.

Cine trebuie numit responsabil pentru conformitatea NIS2?

În practică, responsabilitatea pentru securitatea informațiilor și conformitatea NIS2 trebuie să fie clar atribuită în cadrul organizației. Aceasta poate reveni unui responsabil intern, unui manager de securitate, unui CISO sau unei echipe specializate, în funcție de structura companiei.

Responsabilul desemnat nu trebuie să fie neapărat aceeași persoană care administrează infrastructura IT. Rolul său este mai larg și poate include coordonarea proceselor de management al riscurilor, monitorizarea măsurilor de securitate, gestionarea incidentelor și raportarea către conducerea organizației.

Un element important al NIS2 este implicarea conducerii. Managementul organizației trebuie să cunoască riscurile de securitate cibernetică, să aprobe măsurile relevante și să se asigure că există resurse suficiente pentru implementarea acestora. Responsabilitatea nu poate fi transferată integral către departamentul IT sau către un furnizor extern.

Pentru ce răspunde persoana sau echipa desemnată?

Responsabilul NIS2 are, de regulă, un rol de coordonare și control. Printre responsabilitățile principale se pot număra:

• evaluarea și documentarea riscurilor de securitate cibernetică;
• coordonarea politicilor și procedurilor de securitate;
• monitorizarea măsurilor tehnice și organizatorice;
• gestionarea și raportarea incidentelor;
• coordonarea planurilor de continuitate și recuperare în caz de dezastru;
• verificarea securității furnizorilor și a lanțului de aprovizionare;
• pregătirea documentației pentru audituri și controale;
• instruirea angajaților cu privire la securitatea cibernetică.

Responsabilitatea trebuie susținută de autoritate și resurse. O persoană desemnată formal, fără acces la informații, buget sau sprijin din partea conducerii, nu poate gestiona eficient conformitatea.

10 măsuri minime pentru conformitatea NIS2

NIS2 se bazează pe o abordare bazată pe risc, iar măsurile trebuie adaptate profilului organizației. În general, companiile ar trebui să urmărească cel puțin următoarele direcții:

1. Managementul riscurilor cibernetice – identificarea amenințărilor, vulnerabilităților și impactului potențial asupra activității.
2. Politici de securitate documentate – existența unor reguli clare privind accesul, utilizarea sistemelor și protecția informațiilor.
3. Gestionarea incidentelor – proceduri pentru detectarea, analizarea, limitarea și raportarea incidentelor.
4. Continuitatea activității – planuri de backup, recuperare și funcționare în cazul unor atacuri sau întreruperi majore.
5. Securitatea lanțului de aprovizionare – evaluarea riscurilor asociate furnizorilor și partenerilor.
6. Securitatea dezvoltării și mentenanței sistemelor – aplicarea principiilor de securitate în ciclul de viață al sistemelor informatice.
7. Gestionarea vulnerabilităților – identificarea și remedierea vulnerabilităților, inclusiv prin actualizări și patch-uri.
8. Controlul accesului și autentificarea – utilizarea unor mecanisme de autentificare puternice și aplicarea principiului privilegiilor minime.
9. Criptografia și protecția datelor – folosirea măsurilor adecvate pentru protejarea datelor în tranzit și la stocare.
10. Instruirea personalului – pregătirea angajaților și dezvoltarea unei culturi organizaționale orientate către securitate.

Cum poate verifica o companie dacă intră sub incidența NIS2?

Primul pas este identificarea sectorului de activitate. Directiva vizează sectoare esențiale și importante, printre care energia, transporturile, sănătatea, infrastructura digitală, serviciile IT, administrația publică, producția și anumite servicii critice.

Al doilea pas este verificarea dimensiunii organizației. În multe situații, criteriile privind numărul de angajați și cifra de afaceri reprezintă un element important în stabilirea aplicabilității. Totuși, anumite entități pot intra sub incidența regulilor și în funcție de natura serviciilor furnizate, indiferent de dimensiune.

Compania trebuie apoi să verifice dacă furnizează servicii sau operează infrastructuri care pot avea un impact semnificativ asupra economiei, societății sau siguranței publice. Analiza trebuie să țină cont și de cadrul național de transpunere și de eventualele cerințe sau proceduri stabilite de autoritățile competente.

O evaluare de conformitate poate clarifica dacă organizația este vizată, ce categorie de entitate îi este aplicabilă și care sunt măsurile ce trebuie implementate.

NIS2 și GDPR: două obligații diferite, dar complementare

Conformitatea NIS2 trebuie analizată împreună cu cerințele GDPR atunci când organizația prelucrează date cu caracter personal. Cele două cadre legislative au obiective diferite, dar se intersectează în zona securității informațiilor.

GDPR impune măsuri pentru protejarea datelor personale și include obligații privind securitatea prelucrării și notificarea anumitor breșe de securitate. NIS2 are un domeniu mai larg și urmărește reziliența cibernetică a organizațiilor și a infrastructurilor relevante.

O companie poate avea, prin urmare, obligații atât în baza GDPR, cât și în baza NIS2. Implementarea unor politici solide de securitate, controlul accesului, gestionarea incidentelor și monitorizarea vulnerabilităților pot contribui la îndeplinirea ambelor seturi de cerințe.

Ce amenzi pot fi aplicate?

Nerespectarea obligațiilor NIS2 poate conduce la măsuri de supraveghere și sancțiuni, în funcție de gravitatea încălcării și de cadrul legislativ național aplicabil. Directiva prevede sancțiuni administrative semnificative, inclusiv amenzi calculate în funcție de categoria entității și de gravitatea neconformității.

Pentru entitățile esențiale, sancțiunile pot ajunge la cel puțin 10 milioane de euro sau 2% din cifra de afaceri anuală globală, în funcție de valoarea mai mare. Pentru entitățile importante, pragul poate ajunge la cel puțin 7 milioane de euro sau 1,4% din cifra de afaceri anuală globală, în funcție de valoarea mai mare. Aplicarea concretă a sancțiunilor depinde de legislația națională relevantă.

În plus, autoritățile pot impune măsuri corective, controale și alte obligații pentru remedierea neconformităților.

Cum ajută Zemernett companiile pentru conformitatea NIS2?

Pregătirea pentru conformitatea NIS2 poate implica mai multe etape, de la analiza situației actuale și identificarea riscurilor până la implementarea măsurilor de securitate și pregătirea pentru audit. Zemernett poate gestiona acest proces integrat, oferind atât consultanță, cât și suport pentru implementarea soluțiilor necesare.

Un avantaj pentru organizații este faptul că întregul proiect poate fi coordonat prin intermediul unei singure echipe. Astfel, compania nu trebuie să gestioneze separat mai mulți furnizori pentru diferitele etape ale procesului de conformitate. Echipa Zemernett poate sprijini organizația pe parcursul evaluării, implementării măsurilor, pregătirii pentru audit și interacțiunii cu auditorul independent atestat de DNSC.

Conformitatea NIS2 presupune și menținerea măsurilor implementate pe termen lung. Prin serviciile de conformitate administrată, Zemernett poate contribui la monitorizarea continuă a securității, gestionarea vulnerabilităților, aplicarea actualizărilor necesare și realizarea raportărilor relevante.

Concluzie

Conformitatea NIS2 presupune mai mult decât desemnarea unui responsabil sau achiziția unor soluții de securitate. Este un proces organizațional care implică managementul, departamentele tehnice, angajații și furnizorii externi.

Pentru a evita riscurile de neconformitate, o companie trebuie să stabilească mai întâi dacă intră sub incidența directivei, să identifice riscurile relevante și să implementeze măsuri proporționale cu nivelul de expunere. Desemnarea clară a responsabilităților și monitorizarea continuă a securității reprezintă elemente esențiale.

Prin coordonarea evaluării, implementării, pregătirii pentru audit și menținerii măsurilor de securitate, Zemernett poate sprijini organizațiile în construirea unui proces integrat de conformitate NIS2, adaptat cerințelor și riscurilor specifice fiecărei companii.

Dacă aveți nevoie de ajutor pentru securizarea companiei, vă stăm la dispoziție.

Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).