Riscuri, furnizori, continuitate: obligațiile NIS2 în practică

Bun venit la „NIS2 pe înțelesul tuturor”, seria de videoclipuri Certudo despre securitatea cibernetică și noile obligații legale din România. Acesta este episodul 7: Riscuri, furnizori, continuitate: obligațiile NIS2 în practică. Informațiile prezentate reflectă cadrul legal din octombrie 2026. În episodul anterior am vorbit despre autoevaluarea CyFun și despre greșelile care costă la audit. Autoevaluarea arată cât de mature sunt măsurile dumneavoastră. Astăzi vedem ce cuprind, concret, aceste măsuri și de unde pornesc ele: de la riscuri, de la furnizori și de la capacitatea de a continua activitatea.

Este cel mai dens episod al seriei, așa că mergem pe esențial. Vom vedea trei lucruri. Primul: cei patru piloni ai obligațiilor NIS2 și lista măsurilor tehnice și organizatorice cerute. Al doilea: cum funcționează managementul riscului, fundamentul tuturor acestor măsuri. Al treilea: cum gestionați furnizorii critici și cum vă pregătiți pentru o criză, astfel încât activitatea să poată continua.

Toate obligațiile NIS2 se pot grupa în patru piloni. Primul pilon este gestionarea riscurilor. Măsurile tehnice și organizatorice trebuie să fie proporționale cu riscul. Aici intră, de exemplu, criptarea, controlul accesului și securitatea lanțului de aprovizionare. Al doilea pilon este răspunderea conducerii. Conducerea aprobă măsurile, supraveghează implementarea și asigură instruirea. Poate răspunde personal, inclusiv prin interdicția de a ocupa funcții de conducere. Al treilea pilon este raportarea incidentelor semnificative către DNSC, în termene stricte: 24 de ore, 72 de ore și o lună. Al patrulea pilon este continuitatea activității: planuri de continuitate și de recuperare în caz de dezastru, backup-uri și o echipă de gestionare a crizei. Despre conducere și despre raportare am vorbit în episoadele anterioare. Astăzi ne concentrăm pe riscuri, pe furnizori și pe continuitate.

Ce măsuri cere, concret, legea? Lista minimă cuprinde zece domenii. Politici de analiză a riscurilor și de securitate a sistemelor, revizuite periodic. Evaluarea eficacității acestor măsuri. Politici privind criptografia și, după caz, criptarea. Securitatea lanțului de aprovizionare, adică a furnizorilor și prestatorilor direcți. Securitatea în achiziția, dezvoltarea, întreținerea și casarea sistemelor, împreună cu gestionarea vulnerabilităților. Backup-ul, recuperarea în caz de dezastru și managementul crizelor. Igiena cibernetică de bază și instruirea în securitate. Autentificarea multifactor și comunicațiile securizate, inclusiv cele de urgență. Controlul accesului logic și fizic, securitatea sistemelor informatice și industriale, a calculatoarelor și a dispozitivelor mobile. Și evaluarea, scanarea, testarea și monitorizarea vulnerabilităților tehnice. Ordinul DNSC 1/2026 transformă aceste principii în controale concrete și măsurabile, organizate după funcțiile cadrului CyFun. La nivelul Esențial vorbim de 218 controale. Observați cât de multe dintre ele ar fi prevenit incidentul de la ANCPI, discutat în primul episod.

Toate aceste măsuri sunt proporționale cu riscul. De aceea, totul pornește de la un proces de management al riscului. Procesul urmează standardul internațional ISO/IEC 27005 și ghidul practic publicat de DNSC. Are șase etape. Unu: contextul. Stabiliți metodologia, criteriile de impact și de acceptare a riscului și cine răspunde de fiecare risc. Doi: identificarea. Activele, amenințările, vulnerabilitățile și controalele pe care le aveți deja. Trei: analiza. Pentru fiecare risc estimați probabilitatea și impactul, apoi evaluați și stabiliți prioritățile. Patru: tratarea. Faceți un plan de tratare, iar riscul care rămâne, numit risc rezidual, este acceptat formal. Cinci: comunicarea către conducere și către părțile interesate relevante. Șase: monitorizarea. Riscurile se revizuiesc periodic și la orice schimbare.

Pentru fiecare risc aveți patru opțiuni de tratare. Evitarea: renunțați la activitatea care generează riscul. Transferul: de exemplu prin externalizare sau prin asigurare. Reducerea: introduceți controale care scad probabilitatea sau impactul. Și acceptarea: riscul rezidual este asumat de conducere, în limita apetitului de risc stabilit. Un lucru important: evaluarea nivelului de risc transmisă către DNSC, ENIRE, este doar începutul. Analiza de risc nu este un document făcut o singură dată. Ea se reia atunci când apar amenințări noi sau vulnerabilități descoperite recent. Se reia și când unele măsuri existente își pierd eficacitatea, la schimbări de arhitectură, la active noi și după incidente.

Să trecem la furnizori. Securitatea dumneavoastră este la fel de bună ca a celui mai slab furnizor. Problema lui de securitate devine problema dumneavoastră. Securitatea lanțului de aprovizionare este una dintre cele mai importante noutăți aduse de NIS2. Primul pas este să identificați părțile interesate, interne și externe. Mai ales furnizorii care au acces la activele critice sau care le administrează. Apoi evaluați riscul fiecărei relații. Ghidul practic DNSC propune patru parametri. Maturitatea: ce capabilități de securitate cibernetică are furnizorul? Încrederea: sunt legitime intențiile lui față de organizație? Nivelul de acces: ce drepturi are asupra activelor și sistemelor critice? Și dependența: cât de critică este relația pentru activitatea dumneavoastră?

Ce faceți concret cu furnizorii critici? Îi tratați ca parte a propriului perimetru de securitate. Includeți cerințe de securitate în contracte și în acordurile privind nivelul serviciilor. Vă rezervați dreptul de audit și îi evaluați periodic. Securizați interconectările cu sistemele lor. Iar accesul lor este limitat la ce au nevoie și este monitorizat. Cadrul CyFun detaliază aceste cerințe. De exemplu, riscurile furnizorilor se reevaluează cel puțin o dată pe an și la orice schimbare din relație. Furnizorii trebuie să vă anunțe când se schimbă personalul care are acces la sistemele critice. Iar la nivelul Esențial păstrați o listă a furnizorilor critici, disponibilă atât online, cât și offline, pentru momentul unui incident major.

Ajungem la reziliență și continuitate. Întrebarea nu este dacă veți avea un incident, ci când. Totul începe cu analiza impactului asupra activității, pe scurt BIA. Ea stabilește doi parametri esențiali pentru fiecare serviciu critic. Primul este obiectivul punctului de recuperare, RPO: câte date vă permiteți să pierdeți. Se măsoară înapoi în timp, de la incident până la ultimul backup valid și sigur. Al doilea este timpul țintă de recuperare, RTO: în cât timp trebuie să reveniți. Se măsoară de la incident până la momentul în care serviciul este restabilit. Acești doi parametri nu sunt o decizie tehnică. Ei arată cât costă organizația fiecare oră de nefuncționare și fiecare oră de date pierdute.

Pe baza acestei analize construiți patru documente. Planul de continuitate a activității. Planul de recuperare în caz de dezastru. Procedura de gestionare a crizelor. Și planul de răspuns la incidente. Un plan care nu a fost testat rămâne doar o ipoteză. Amintiți-vă cazul ANCPI: backup-urile au fost distruse. Un backup care nu a fost verificat printr-o restaurare reală nu oferă nicio garanție. De aceea testați periodic. Revizuiți și testați planul de continuitate. Faceți exerciții de alertare a echipei și simulări de criză. Și faceți teste reale de restaurare din backup. CyFun cere ca backup-urile datelor critice să fie păstrate pe un sistem diferit de cel cu datele originale și să fie testate în mod regulat.

Și acum, poate cel mai important mesaj al episodului. Criza o gestionează conducerea. Ghidul DNSC subliniază că gestionarea crizei revine conducerii, chiar dacă incidentul este tehnic. Autoritatea de decizie este la conducere. Când decizia este delegată mai jos, apar blocaje tocmai în momentele în care fiecare oră contează. Conducerea răspunde și de comunicare, internă și externă. Către DNSC, în termenele de raportare. Către clienți. Către persoanele ale căror date sunt afectate, conform regulamentului GDPR. Și către presă. De aceea rolurile, mesajele și canalele de comunicare se stabilesc dinainte, nu în timpul crizei.

Să recapitulăm. Prima idee: toate măsurile NIS2 pornesc de la riscuri. Analiza de risc se face după o metodă clară, se aprobă de conducere și se revizuiește la fiecare schimbare. A doua: furnizorii critici fac parte din perimetrul dumneavoastră de securitate. Evaluați-i după maturitate, încredere, nivel de acces și dependență. A treia: continuitatea se planifică și se testează. Stabiliți RPO și RTO, testați restaurarea din backup și lăsați conducerea să gestioneze criza.

Primul pas este analiza de risc. O puteți începe gratuit, în platforma Certudo, la adresa app.certudo.com. Analiza de risc este punctul de plecare pentru toate măsurile despre care am vorbit astăzi. Tot în platformă găsiți și autoevaluarea după cadrul CyFun și planul de implementare. În episodul următor, ultimul din serie, vedem cum ajungeți de la obligație la audit: pașii practici, indicatorii de urmărit și ce puteți externaliza. Vă mulțumim că ne-ați urmărit.