Ce răspundere are conducerea? Rolul responsabilului NIS

Bun venit la „NIS2 pe înțelesul tuturor”, seria de videoclipuri Certudo despre securitatea cibernetică și noile obligații legale din România. Acesta este episodul 4: Ce răspundere are conducerea? Rolul responsabilului NIS. Informațiile prezentate reflectă cadrul legal din octombrie 2026. În episodul anterior am urmărit primul an după notificarea DNSC: evaluarea de risc, autoevaluarea după CyFun, planul de remediere și auditul. Toate aceste etape au un punct comun: trebuie asumate de conducere. Astăzi vedem ce înseamnă concret această răspundere și cine o susține, zi de zi, în organizație.

În acest episod vorbim despre oameni și despre roluri, nu despre tehnologie. Vom vedea trei lucruri. Primul: ce cere concret art. 14 din OUG 155/2024 organelor de conducere. Al doilea: cum arată noua organigramă a securității cibernetice și ce condiții trebuie să îndeplinească responsabilul NIS. Al treilea: ce puteți externaliza, ce rămâne întotdeauna în organizație și ce sancțiuni personale riscă cei din conducere.

În primul episod am prezentat pe scurt art. 14. Astăzi îl luăm verb cu verb și vedem ce înseamnă fiecare în practică. Aprobă. Conducerea aprobă măsurile de gestionare a riscurilor de securitate cibernetică. Asta înseamnă politici aprobate formal, un apetit la risc stabilit de conducere și un plan de remediere asumat de conducere. Supraveghează. Aprobarea nu este un act făcut o singură dată. Conducerea urmărește implementarea, primește rapoarte periodice și organizează revizuiri de management. Se instruiesc. Membrii conducerii urmează ei înșiși o instruire în securitate cibernetică și asigură instruirea angajaților. Răspund. În caz de neconformitate, răspunderea este a conducerii, inclusiv personal. Consecința este simplă: securitatea nu mai poate fi delegată în întregime departamentului IT. Deciziile de risc și alocarea resurselor rămân la masa conducerii.

Să ne oprim la instruire, pentru că aici apar multe goluri. Legea 124/2025, care a aprobat ordonanța, a introdus explicit obligația de instruire profesională pentru membrii organelor de conducere. Cadrul CyFun, adoptat de DNSC, o transformă într-un control verificabil. De la nivelul Important, membrii conducerii trebuie să poată demonstra că au urmat cursuri de instruire. Scopul nu este ca directorii să devină specialiști. Scopul este ca ei să poată evalua riscurile cibernetice și consecințele lor și să poată decide măsurile de atenuare. Ghidul de implementare publicat de DNSC sugerează patru teme. Conceptele de bază ale securității. Identificarea, evaluarea și atenuarea riscurilor. Deciziile strategice în fața amenințărilor. Și responsabilitățile de guvernanță. Recomandă, de asemenea, sesiuni anuale de actualizare. Cuvântul important este „demonstra”. Conducerile declară adesea angajament, dar nu au dovada formală a instruirii. Păstrați deci certificatele de absolvire, listele de prezență sau rapoartele de parcurgere. Pe tema formării, DNSC are acte în lucru, între care un ordin privind furnizorii de formare. Până la publicarea lor, urmăriți forma finală.

Cine face, concret, toată această muncă? Aici intervine noua organigramă a securității cibernetice. Mai întâi, separăm ce cere legea de ce recomandăm. Legea cere două lucruri: un organ de conducere responsabil și un responsabil NIS. În vârf se află organul de conducere. Are răspunderea finală: stabilește apetitul la risc, aprobă politicile și alocă resursele. Comitetul de audit, acolo unde există, asigură o supraveghere independentă. Recomandăm apoi un sponsor executiv NIS2. Este un membru al conducerii care ia decizii și deblochează situațiile atunci când proiectul se împotmolește. Recomandăm și un comitet de coordonare, care aduce la aceeași masă toate departamentele implicate. Responsabilul NIS gestionează securitatea, riscurile, conformitatea și relația cu autoritățile. Urmează responsabilii pe domenii, procese sau departamente: IT, tehnologie operațională, digital, resurse umane, juridic, achiziții. Ei răspund de implementare în zona lor. La bază se află echipele interne și părțile interesate: angajați, furnizori, clienți și autorități.

Să ne uităm mai atent la responsabilul NIS. În multe organizații, rolul este numit și director de securitate a informației, sau CISO. Este un rol transversal, care atinge întreaga organizație. Are trei mari zone de activitate. Prima: managementul securității. Coordonează programul NIS2, riscurile, incidentele, raportările, strategia și implementarea. A doua: monitorizare și asigurare. Verifică dacă măsurile funcționează și escaladează constatările către conducere. A treia: relația cu autoritățile, în primul rând cu DNSC. Două detalii contează foarte mult. Responsabilul NIS raportează direct conducerii. Și este independent de IT și de tehnologia operațională, ca să poată semnala problemele fără conflict de interese. În practică, pentru fiecare indicator de securitate, responsabilul NIS răspunde, iar conducerea este informată periodic.

Art. 14 alin. (4) stabilește cinci condiții pentru responsabilul NIS. Sunt cumulative: trebuie îndeplinite toate, nu doar o parte. Prima: are autoritate managerială. A doua: este subordonat direct organelor de conducere. A treia: funcționează independent de structurile IT și OT, adică de tehnologia operațională. A patra: are acces la resursele necesare pentru supravegherea și implementarea măsurilor. A cincea: urmează un curs acreditat, recunoscut de DNSC, în 12 luni de la desemnare. Această condiție este, deocamdată, suspendată temporar. Condiția de independență are o consecință practică importantă. Responsabilul NIS nu poate fi, de exemplu, directorul IT. Dacă ați desemnat deja pe cineva din structura IT, merită să revedeți decizia.

Când și pentru cine se aplică aceste reguli? Responsabilul NIS se desemnează și se comunică la DNSC după decizia de încadrare. Condițiile stricte din art. 14 alin. (4) vizează entitățile esențiale. Fac excepție administrația publică și întreprinderile micro și mici. Un alt aspect s-a schimbat: DNSC nu mai eliberează certificate pentru această poziție. Un proiect de decizie privind certificările se află în transparență decizională. Este doar un proiect, iar forma finală poate fi diferită. Indiferent de încadrare, rolurile trebuie să fie clare. De la nivelul Important, CyFun cere ca rolurile și responsabilitățile de securitate să fie documentate, aprobate și comunicate. La nivelul Esențial, cere și numirea unui manager superior pentru securitatea informației. Pe scurt: păstrați decizia de desemnare împreună cu dovada comunicării la DNSC.

Ce faceți dacă nu aveți în organizație o persoană care să îndeplinească toate aceste condiții? Rolul poate fi externalizat. Vorbim atunci despre un responsabil NIS extern, numit adesea vCISO. Un partener extern poate proiecta, ghida, mapa și documenta. Poate redacta politici și planuri adaptate organizației, poate defini fluxurile și rolurile și poate mapa măsurile pe controalele CyFun. Poate, de asemenea, să identifice deficiențele și măsurile necesare. Organizația, în schimb, decide, implementează, operează și testează. Deciziile de risc, alocarea resurselor, operarea zilnică, colectarea dovezilor și exercițiile rămân interne. Și un lucru nu se externalizează niciodată: răspunderea legală a conducerii. Puteți externaliza expertiza și consultanța, nu și responsabilitatea. O precizare utilă: pentru independență, auditorul calificat nu poate fi cel care a făcut consultanța sau implementarea.

Ajungem la întrebarea pe care și-o pun mulți administratori: ce risc eu, personal? Amenzile pentru organizație sunt mari. Pentru entitățile esențiale, ajung până la 10 milioane de euro sau 2% din cifra de afaceri anuală. Pentru entitățile importante, până la 7 milioane de euro sau 1,4%. Se aplică valoarea mai mare. Dincolo de amenzi, există și sancțiuni personale. Atunci când celelalte măsuri de remediere au eșuat, se poate ajunge la suspendarea temporară a certificărilor. Sau la interdicția de a exercita funcția de director executiv. Sunt măsuri de ultimă instanță, dar existența lor schimbă discuția. Securitatea cibernetică devine un risc personal pentru cei care conduc. În plus, DNSC face verificări suplimentare și poate cere dovezi privind obligațiile conducerii. Nu este suficient să fi luat decizii bune. Trebuie să le puteți demonstra.

Concret, ce ar trebui să puteți arăta la un control? Vă propunem un dosar al conducerii, cu opt tipuri de dovezi. Unu: decizia de desemnare a responsabilului NIS și dovada comunicării la DNSC. Doi: politicile de securitate, aprobate formal de conducere. Trei: apetitul la risc și riscurile documentate, aprobate de conducere. Patru: autoevaluarea după CyFun, semnată, și planul de remediere asumat de conducere. Cinci: deciziile de alocare a resurselor, adică buget, oameni și tehnologie. Șase: rapoartele periodice ale responsabilului NIS și procesele-verbale ale revizuirilor de management. Șapte: dovada instruirii membrilor conducerii. Opt: dovada instruirii angajaților. Acest dosar nu este o cerință cu acest nume. Este o modalitate practică de a arăta că organul de conducere aprobă, supraveghează, se instruiește și răspunde.

Să recapitulăm. Prima idee: art. 14 face din securitatea cibernetică o obligație a conducerii, care aprobă, supraveghează, se instruiește și răspunde. Iar toate acestea trebuie dovedite. A doua: responsabilul NIS are nevoie de autoritate, de acces direct la conducere, de resurse și de independență față de IT și OT. A treia: puteți externaliza expertiza, inclusiv rolul de responsabil NIS, dar răspunderea rămâne a organizației și a conducerii ei.

Primul pas este să verificați cum stă organizația dumneavoastră la capitolul guvernanță. Este desemnat responsabilul NIS? Îndeplinește toate condițiile? Are conducerea dovezile de care are nevoie? Vă propunem o discuție de 30 de minute cu un consultant Certudo. O puteți programa pe certudo.com. Împreună vedem ce aveți deja, ce lipsește și care sunt pașii următori. În episodul următor intrăm în cadrul CyFun. Vorbim despre cele șase funcții, despre nivelurile Bază, Important și Esențial și despre cum se acordă scorurile de maturitate. Vă mulțumim că ne-ați urmărit.