NIS2 nu se implementează peste noapte, dar nici nu este o ecuație fără rezultat. Are o ordine clară, cu etape care se succed logic și cu termene stabilite prin ordinele DNSC. Când le abordezi în context, implementarea devine gestionabilă. Iată parcursul, etapă cu etapă.
1. Înregistrarea la DNSC
Primul pas oficial este înregistrarea în platforma DNSC, cu datele de identificare ale entității și documentele justificative. Pe baza lor, DNSC emite decizia de încadrare (te confirmă ca entitate esențială sau importantă) și te înscrie în registrul OSE. Datele de înregistrare se actualizează ori de câte ori se schimbă ceva relevant și se confirmă periodic.
2. Analiza de risc inițială
După decizia de încadrare ai la dispoziție un termen scurt (de ordinul a 60 de zile) pentru a depune o analiză de risc inițială, conform metodologiei DNSC. Ea estimează efectul perturbator al unui incident asupra serviciilor tale și ajută la confirmarea nivelului țintă.
3. Autoevaluarea maturității pe CyFun
Urmează autoevaluarea maturității măsurilor de securitate, folosind cadrul CyFun, în termen de 60 de zile de la confirmarea evaluării de risc. Parcurgi controalele pe cele șase funcții și primești un scor de maturitate care arată exact unde te afli față de nivelul cerut (Bază, Important sau Esențial). Rezultatul devine baza planului de implementare. În practică, acest pas inițial este numit și audit inițial sau analiză de decalaj (gap analysis), spre deosebire de auditul intern de după implementare.
4. Implementarea măsurilor
Pe baza autoevaluării, implementezi măsurile lipsă, prioritizate pe risc, și întocmești documentația și registrele (active, riscuri, incidente, furnizori, vulnerabilități și celelalte). Este etapa cu cea mai multă muncă, dar și cea în care se vede cel mai clar progresul, implementând astfel SMSI (Sistemul de Management al Securității Informației).
5. Auditul intern și cel extern
Înainte de auditul oficial faci un audit intern, care verifică nivelul de conformitate în urma implementării. Apoi urmează auditul extern de conformitate, realizat de auditori de securitate cibernetică atestați. Pentru entitățile esențiale, auditurile de conformitate sunt periodice (de regulă la câțiva ani), iar între ele rămâi sub supraveghere, cu obligativitatea de a pune la dispoziția DNSC autoevaluarea maturității, cu frecvență anuală.
6. Menținerea conformității
Conformitatea nu este un proiect singular, ci un sistem de management continuu și o cultură organizațională pe care o întreții: confirmări anuale ale datelor, raportarea incidentelor în termene, revizuirea periodică a riscurilor, a registrelor și a planurilor, plus reluarea evaluării maturității și orice alte implementări noi, atunci când se schimbă activitatea, dimensiunea organizației sau contextul de risc.
Fiecare etapă se încheie cu ceva concret: o decizie, un document semnat, un audit trecut. Puse cap la cap, asiguri în final securitatea și reziliența cibernetică la nivel de organizație, în formă continuă, iar noi îți suntem alături pe tot parcursul.