De la obligație la audit: pașii practici

Bun venit la „NIS2 pe înțelesul tuturor”, seria de videoclipuri Certudo despre securitatea cibernetică și noile obligații legale din România. Acesta este episodul 8: De la obligație la audit: pașii practici. Este episodul care încheie seria. În episodul anterior am vorbit despre riscuri, furnizori și continuitate. Am văzut cum se analizează riscurile, cum se verifică lanțul de aprovizionare și cum se pregătește organizația pentru o criză. Astăzi punem totul cap la cap, într-un traseu practic, de la prima verificare până la auditul calificat. Informațiile prezentate reflectă cadrul legal din octombrie 2026.

În acest episod răspundem la o întrebare foarte practică: concret, ce facem, în ce ordine și cât durează? Vom vedea trei lucruri. Primul: traseul în 7 pași, de la verificarea încadrării până la audit, cu duratele orientative ale fiecărui pas. Al doilea: cum urmăriți progresul, cu indicatori de monitorizare pe care și conducerea îi poate citi. Al treilea: ce puteți încredința unui partener extern și ce trebuie să rămână în organizație. La final recapitulăm concluziile întregii serii.

Să privim mai întâi traseul complet. Primul pas: verificați încadrarea și notificați DNSC. Se face imediat. Pasul doi: guvernanța. Desemnați responsabilul NIS și stabiliți cine răspunde de ce, după decizia DNSC de încadrare. Pasul trei: analiza gap, adică diferența dintre situația de azi și cerințe. Durează între 2 și 6 săptămâni. Pasul patru: raportările către DNSC, între ziua 60 și ziua 150. Pasul cinci: implementarea sistemului de management al securității informației. Între 8 și 24 de săptămâni. Pasul șase: oamenii și exercițiile. Aceasta este o activitate continuă. Și pasul șapte: auditul și îmbunătățirea, la aproximativ un an. Duratele sunt orientative. Ele depind mult de maturitatea de la care porniți. Le luăm acum pe rând.

Primul pas este verificarea încadrării. Vă uitați la sector, la mărimea organizației și la excepțiile prevăzute de lege, așa cum am arătat în episodul 2. Dacă organizația intră sub incidență, notificați DNSC, prin platforma DNSC. Nu amânați acest pas. Neînregistrarea se sancționează separat, cu amendă de până la 500.000 de lei. Al doilea pas este guvernanța. După decizia DNSC de încadrare, desemnați responsabilul NIS și îl comunicați la DNSC. Responsabilul NIS raportează direct conducerii și trebuie să poată semnala problemele fără conflict de interese. De aceea, legea cere ca el să fie independent de structurile IT și de tehnologia operațională. Condițiile exacte le-am discutat în episodul 4. Tot acum stabiliți responsabilitățile conducerii. Conducerea aprobă măsurile, supraveghează implementarea și răspunde pentru ele. Recomandăm în plus un sponsor executiv, adică un membru al conducerii care ia decizii și deblochează resurse. Și câte un responsabil pe fiecare domeniu: IT, tehnologie operațională, resurse umane, juridic, achiziții.

Al treilea pas este analiza gap. Este fundamentul oricărui proiect de implementare. Fără ea, nu știți ce să prioritizați. Și riscați să cheltuiți bani și timp pe măsuri care nu sunt cele mai importante. Analiza gap compară starea actuală a organizației cu cerințele NIS2 și ale cadrului CyFun, la nivelul care vi se aplică. Rezultatul are trei părți. Prima: o imagine de ansamblu a deficiențelor, adică unde sunteți astăzi. A doua: prioritățile. Un control care face parte din măsurile-cheie și nu atinge pragul are prioritate maximă, indiferent de cost. Pentru celelalte, cântăriți cât vă apropie de prag și ce resurse cer. A treia: planul de proiect, cu etape, responsabili și termene. O analiză gap durează de obicei între 2 și 6 săptămâni. Iar rezultatele ei vă ajută direct la pasul următor: autoevaluarea și planul de remediere cerute de DNSC.

Al patrulea pas sunt raportările către DNSC. Aici termenele sunt fixe. Ele curg de la confirmarea înregistrării. În 60 de zile depuneți evaluarea nivelului de risc al entității, ENIRE. Din ea rezultă nivelul CyFun pe care trebuie să îl atingeți: Bază, Important sau Esențial. În 120 de zile depuneți autoevaluarea maturității, după metodologia CyFun. Iar în 150 de zile, adică la 30 de zile după autoevaluare, depuneți planul de remediere, asumat de conducere. După plan urmează implementarea măsurilor. Legea nu stabilește explicit un termen pentru implementare. Prin analogie cu alte termene din ordonanță, se deduce un termen în jurul zilei 330. Auditul calificat urmează la aproximativ un an. Calendarul este strâns. De aceea merită să aveți analiza gap înainte de autoevaluare, nu după.

Al cincilea pas este implementarea ISMS, adică a sistemului de management al securității informației. Concret, înseamnă politici, procese, controale tehnice și organizatorice și dovezi de conformitate. Durează între 8 și 24 de săptămâni, în funcție de punctul de pornire. În practică, în medie aproximativ 6 luni. Gândiți-vă la implementare în trei straturi. Primul strat este documentația: politici, standarde și planuri adaptate organizației, nu copiate dintr-un model. Al doilea strat este implementarea. Fluxuri operaționale clare, care arată pentru fiecare proces cine face, cine aprobă, cine este consultat și cine este informat. Al treilea strat sunt dovezile și controlul intern. Loguri, rapoarte, tichete, aprobări, rezultatele exercițiilor și un registru de controale verificate periodic. Un document perfect, care nu se aplică în practică, nu înseamnă maturitate. La autoevaluare și la audit contează ce puteți demonstra.

Al șaselea pas privește oamenii. Și nu se termină niciodată. Înseamnă instruire, simulări de phishing, teste de răspuns la incidente și exerciții pentru planurile de continuitate și de recuperare în caz de dezastru. Cultura de securitate nu se construiește din documente, ci prin practică și implicare. Al șaptelea pas este auditul și îmbunătățirea. Începeți cu un audit intern, care vă arată unde mai aveți de lucru. Urmează auditul calificat, făcut de un auditor atestat de DNSC, la aproximativ un an. Până la apariția noului ordin privind auditul, se aplică criteriile din Ordinul 559/2021. O veste bună: DNSC a comunicat o abordare graduală. Maturitatea țintă nu trebuie atinsă de la primul audit. Contează însă demersurile de remediere pe care le puteți demonstra. Iar după audit, ciclul continuă: corectați, măsurați din nou și vă îmbunătățiți.

Cum știți dacă avansați? Prin indicatori. Indicatorii transformă conformitatea într-un subiect pe care conducerea îl poate urmări, la fel ca pe cele financiare. Exemplele de pe ecran sunt adaptate după standardul ISO/IEC 27004 și după ghidul practic al DNSC. Câteva exemple. Procentul politicilor de securitate revizuite, cu ținta de 100%, verificat anual. Procentul sistemelor critice testate, prin teste de penetrare și scanări, tot cu ținta de 100%, anual. Procentul angajaților instruiți, cu o țintă de cel puțin 90%. Drepturile de acces revizuite pentru sistemele critice, cel puțin trimestrial. Iar pentru sistemele afectate de malware, pentru incidentele rezolvate peste termen și pentru riscurile medii și mari nerevizuite, ținta este zero. Pentru fiecare indicator stabiliți formula, ținta, dovada, frecvența și responsabilul. Responsabilul NIS răspunde de ei, iar conducerea este informată periodic, în revizuirile de management. Țintele sunt orientative: fiecare organizație le stabilește după riscurile și maturitatea proprie.

Multe organizații lucrează cu consultanți. Este util să știți de la început unde e granița. Un partener extern poate proiecta, ghida, mapa și documenta. Poate redacta politici și planuri adaptate organizației. Poate defini fluxurile, rolurile și matricea de responsabilități. Poate face maparea pe controalele CyFun, poate stabili ce dovezi sunt așteptate și poate identifica deficiențele și măsurile necesare. Poate chiar prelua rolul de responsabil NIS externalizat. În organizație rămân deciziile, operarea și testarea. Deciziile de risc și alocarea resurselor. Implementarea tehnică: configurări, licențe, tehnologii. Operarea zilnică a proceselor. Colectarea dovezilor și exercițiile, cu lecțiile învățate. Și, mai ales, răspunderea legală a conducerii. Pe scurt: puteți externaliza expertiza și consultanța, nu și responsabilitatea. Și încă un detaliu important: pentru independență, auditorul calificat nu poate fi cel care v-a făcut consultanța sau implementarea.

Pentru că acesta este ultimul episod, să adunăm concluziile întregii serii. Unu: conformitatea NIS2 este responsabilitatea conducerii, nu doar a departamentului IT. Doi: termenele curg de la confirmarea înregistrării. Primul an este deja planificat, prin termene clare. Trei: CyFun este cadrul oficial de referință pentru NIS2 în România. Autoevaluarea și auditul se raportează la el. Patru: contează dovezile. Documentația fără o implementare demonstrabilă nu asigură maturitatea. Cinci: incidentele exploatează adesea lipsa măsurilor de bază. Așa cum am văzut în primul episod, în cazul ANCPI. Dacă rețineți un singur lucru, să fie acesta: începeți acum, cu verificarea încadrării și cu analiza gap. Calendarul este strâns, iar implementarea durează luni.

Să recapitulăm. Prima idee: drumul are 7 pași, iar analiza gap este fundamentul lor. Fără ea nu știți ce să prioritizați. A doua: conformitatea se demonstrează prin dovezi și se urmărește prin indicatori, cu ținte, frecvențe și responsabili. A treia: puteți externaliza expertiza, nu și responsabilitatea. Iar auditorul calificat trebuie să fie independent de cine v-a ajutat.

Primul pas concret este analiza gap. Echipa Certudo vă poate sprijini prin consultanța de pre-implementare. Vă ajutăm cu analiza gap, cu autoevaluarea după cadrul CyFun și cu planul de remediere, pe nivelul Bază, Important sau Esențial. Detaliile sunt pe certudo.com. Și, în curând, vom anunța acolo și sprijinul pentru faza de implementare. Dacă sunteți abia la început, verificați gratuit încadrarea organizației în platforma Certudo, la app.certudo.com. Toate episoadele seriei „NIS2 pe înțelesul tuturor” sunt disponibile pe certudo.com. Vă mulțumim că ați urmărit seria până la capăt.