Conformitate NIS2 pentru companii, de la evaluare la implementare.
Zemernett ajută organizațiile să transforme cerințele NIS2 într-un program concret de securitate: evaluare tehnică, măsuri de gestionare a riscurilor, securizarea infrastructurii, continuitate, control al accesului, documentație și pregătire pentru audit.
NIS2 este deja parte din cadrul legal aplicabil în România.
România a transpus Directiva NIS2 prin OUG nr. 155/2024, aprobată și modificată ulterior. Există deja cadrul pentru înregistrare, supraveghere, verificare și control, iar obligațiile de securitate și raportare trebuie tratate ca procese continue.
Articolul 13 acoperă managementul riscului, incidentele, continuitatea, furnizorii, vulnerabilitățile, criptografia, accesul, activele și alte zone esențiale.
Pentru incidentele semnificative există etape și termene legale de raportare, inclusiv avertizare timpurie și notificare ulterioară.
Regimul sancționator diferă în funcție de încadrarea ca entitate esențială sau importantă și de obligația încălcată.
Conducerea trebuie să aprobe și să supravegheze măsurile de gestionare a riscurilor; NIS2 nu este exclusiv responsabilitatea departamentului IT.
Încadrarea nu se stabilește doar după numărul de angajați.
În multe cazuri, NIS2 vizează întreprinderi mijlocii și mari care activează în sectoarele prevăzute de lege. Există însă și excepții și situații speciale, astfel încât evaluarea trebuie făcută după activitate, dimensiune, servicii furnizate și rolul organizației.
Conformarea trebuie transformată în controale care funcționează în infrastructură.
Nu tratăm NIS2 ca pe un checklist de documente. Evaluăm mediul tehnic, implementăm măsurile necesare și construim procese care pot fi administrate și demonstrate ulterior.
Infrastructură & cybersecurity
Segmentare de rețea, hardening, patching, MFA, protecția endpointurilor, monitorizare, managementul vulnerabilităților și alte măsuri adaptate riscului.
Continuitate & recuperare
Backup, proceduri de recuperare, testarea restaurării, redundanță și măsuri pentru limitarea impactului incidentelor asupra operațiunilor.
Acces logic și protecția activelor
Controlul accesului la sisteme și active, administrarea identităților și, atunci când analiza de risc o impune, integrarea unor măsuri relevante de securitate fizică.
De la încadrare la conformitate administrată.
Separăm clar evaluarea, implementarea tehnică, verificarea independentă și menținerea ulterioară a măsurilor.
Încadrare & gap assessment
Analizăm dacă organizația intră în sfera NIS2 și identificăm diferențele dintre situația actuală și cerințele aplicabile.
ZemernettImplementarea măsurilor
Stabilim prioritățile și implementăm măsurile tehnice și operaționale din aria noastră de competență.
ZemernettVerificare / audit
Atunci când este necesară verificarea independentă, auditul este separat de implementare și poate fi realizat prin partenerul auditor atestat DNSC.
Partener atestatMenținere & monitorizare
Măsurile trebuie menținute, documentate și adaptate atunci când infrastructura, riscurile sau obligațiile se schimbă.
ZemernettCele 10 categorii minime de măsuri.
Măsurile trebuie să fie adecvate și proporționale cu riscul. Lista de mai jos reprezintă domeniile principale prevăzute de cadrul legal, nu un checklist universal de configurări tehnice.
Politici, proceduri și revizuirea periodică a riscurilor.
Detectare, răspuns, escaladare și raportare.
Backup, disaster recovery și managementul crizelor.
Riscurile legate de furnizori și prestatori.
Securitatea ciclului de viață și gestionarea vulnerabilităților.
Proceduri pentru verificarea controalelor implementate.
Practici de bază și formarea personalului.
Politici și utilizarea adecvată a mecanismelor criptografice.
Securitatea resurselor umane, controlul accesului și gestionarea activelor.
Autentificare multifactor și metode sigure de comunicare.
Conformitatea trebuie menținută, nu doar pregătită o singură dată.
Aria exactă a serviciilor este stabilită după evaluarea infrastructurii și a obligațiilor aplicabile organizației.
NIS2 Conform
Menținerea măsurilor și proceselor stabilite în programul de conformare.
- Monitorizarea măsurilor tehnice administrate
- Patch management și managementul vulnerabilităților
- Backup și verificări periodice de recuperare
- Suport pentru procesele de gestionare a incidentelor
- Actualizarea documentației tehnice relevante
- Pregătire pentru verificări și re-evaluări periodice
NIS2 Conform Plus
Programul administrat plus măsuri suplimentare de cybersecurity, definite în funcție de risc.
- Tot ce este stabilit în programul NIS2 Conform
- EDR/XDR și capabilități suplimentare de detecție
- Testare tehnică periodică, dacă este inclusă în proiect
- Simulări de phishing și instruire suplimentară
- SLA adaptat criticității infrastructurii
- Raportare tehnică extinsă către management
Managed
Zemernett poate prelua administrarea operațională a programului tehnic NIS2.
Implementăm și menținem măsurile din aria convenită, monitorizăm infrastructura și sprijinim organizația în pregătirea pentru verificări și audit.
Responsabilitățile legale care revin entității și organului său de conducere nu pot fi transferate integral unui furnizor extern.Conformitatea NIS2, pe scurt.
Cum aflu dacă firma mea intră sub NIS2?
Încadrarea se analizează după sector, dimensiunea întreprinderii, tipul serviciilor furnizate și situațiile speciale prevăzute de OUG 155/2024. Numărul de angajați nu este singurul criteriu.
Ce trebuie să implementeze o companie vizată?
Cadrul include măsuri de gestionare a riscurilor precum politici de securitate, gestionarea incidentelor, continuitatea, securitatea furnizorilor, managementul vulnerabilităților, instruirea, criptografia, controlul accesului, gestionarea activelor și MFA.
Zemernett realizează auditul oficial?
Zemernett realizează evaluarea și implementarea tehnică. Atunci când este necesară o verificare independentă, auditul este separat de implementare și poate fi realizat printr-un partener auditor atestat DNSC, în baza modelului contractual stabilit.
Dacă sunt furnizorul unei companii NIS2, devin automat entitate NIS2?
Nu automat. Încadrarea proprie se stabilește conform criteriilor legale. În schimb, securitatea lanțului de aprovizionare este o cerință NIS2, astfel încât un client poate introduce obligații contractuale de securitate pentru furnizorii săi.
Ce termene există pentru raportarea incidentelor?
Pentru incidentele semnificative, cadrul NIS2 prevede mai multe etape de raportare, inclusiv avertizare timpurie în 24 de ore, notificare ulterioară în 72 de ore și raport final în termenul prevăzut de lege.
Cât poate ajunge amenda?
Pentru anumite încălcări majore, entitățile esențiale pot fi sancționate până la plafonul legal de 10 milioane EUR sau 2% din cifra de afaceri anuală mondială, iar entitățile importante până la 7 milioane EUR sau 1,4%, conform condițiilor din OUG 155/2024.
ISO 27001 înseamnă automat conformitate NIS2?
Nu. ISO/IEC 27001 oferă o bază foarte utilă pentru managementul securității informației, dar conformitatea NIS2 trebuie analizată separat în raport cu obligațiile legale aplicabile organizației.
Evaluare preliminară NIS2.
Spune-ne pe scurt cu ce se ocupă organizația, dimensiunea acesteia și cum arată infrastructura. Începem prin a clarifica încadrarea și zonele care trebuie analizate.
+40 756 963 483Informațiile de pe această pagină au caracter general și nu substituie o analiză juridică a încadrării organizației. Implementarea tehnică este realizată de Zemernett; verificarea sau auditul independent, atunci când este necesar, este separat de activitatea de implementare.