NIS2 nu cere doar existența unui responsabil pe hârtie. Pentru o organizație vizată direct sau pentru o firmă care lucrează cu entități esențiale ori importante, întrebarea serioasă este alta: poate responsabilul cu securitatea rețelelor și sistemelor informatice să arate că securitatea funcționează în practică? Asta înseamnă mandat clar, acces la conducere, autoritate reală și dovezi care rezistă la o verificare.
Ce cere NIS2, pe scurt
Directiva NIS2 stabilește obligații de management al riscurilor de securitate cibernetică și de raportare a incidentelor semnificative pentru entitățile vizate. Comisia Europeană explică și faptul că directiva aduce responsabilitatea conducerii pentru neconformarea cu măsurile de management al riscului cibernetic. Cu alte cuvinte, securitatea nu mai poate fi lăsată doar în zona tehnică.
Asta nu înseamnă că fiecare companie trebuie să aibă același titlu de post sau aceeași organigramă. Responsabilul poate fi CISO, responsabil IT, manager de securitate, specialist intern sau consultant contractual, în funcție de situație. Important este ca rolul să fie documentat și legat de decizia de management. Pentru o privire mai largă asupra obligațiilor operaționale, util este și acest checklist NIS2 pentru management, riscuri, furnizori, backup, incidente și responsabilități.
Acest text nu este consultanță juridică. Aplicarea concretă depinde de sector, dimensiune, rolul entității și legislația națională aplicabilă.
Independența nu înseamnă izolare
Independența responsabilului nu înseamnă că lucrează separat de business sau că poate bloca orice proiect. Înseamnă că poate semnala riscuri reale fără presiunea de a le ascunde, cosmetiza sau amâna.
Un semn sănătos este accesul direct la conducere pentru riscuri majore: lipsa backupului testat, furnizori critici fără cerințe de securitate, conturi privilegiate necontrolate, lipsa unui proces de incident response sau vulnerabilități amânate repetat. Dacă toate avertismentele trec prin aceeași persoană care trebuie să declare proiectul „gata”, independența este slabă.
În practică, organizația ar trebui să poată arăta un mandat scris, o linie de raportare clară, dreptul de a escalada riscurile importante și evidența deciziilor prin care conducerea acceptă, reduce sau transferă un risc.
Autoritatea trebuie să producă efecte
Un responsabil fără autoritate devine persoana care strânge documente după incident. Autoritatea reală se vede în capacitatea de a cere informații, de a convoca oamenii potriviți, de a propune măsuri și de a urmări implementarea lor.
NIS2 vorbește despre măsuri de management al riscurilor, incidente, continuitate, backup, securitatea lanțului de aprovizionare, achiziții, dezvoltare și întreținere, evaluarea eficacității măsurilor, igienă cibernetică, instruire, criptografie, controlul accesului și autentificare multifactor. Prin urmare, rolul nu poate fi limitat la antivirus și parole.
Într-o firmă mică, autoritatea poate însemna acces la administrator, la contractele cu furnizorii IT, la inventarul conturilor și la deciziile privind bugetul. Într-o firmă mai mare, autoritatea trebuie formalizată prin politici, comitete, rapoarte periodice și indicatori urmăriți de conducere.
Dovezile arată dacă sistemul funcționează
Politica spune ce ar trebui să se întâmple. Dovezile arată că s-a întâmplat. Aici se vede diferența dintre conformare formală și securitate funcțională.
Exemple utile sunt registrul de riscuri actualizat, procese-verbale în care conducerea a discutat riscuri cyber, rapoarte de testare a backupului, evidența instruirilor, jurnalul de incidente, lecțiile învățate după un eveniment, evaluările furnizorilor critici, revizuirile de acces pentru conturi privilegiate și testarea procedurii de criză.
Regulamentul de punere în aplicare (UE) 2024/2690 este relevant pentru anumite categorii de furnizori digitali și detaliază cerințe tehnice și metodologice privind măsurile de management al riscurilor și incidentele semnificative. Chiar dacă nu se aplică fiecărei companii, direcția este clară: controale documentate, măsurabile și verificabile.
Greșeli frecvente în companii
Prima greșeală este numirea unui responsabil fără timp, buget sau acces la conducere. A doua este păstrarea securității exclusiv în IT, deși riscurile ating contracte, furnizori, HR, juridic, operațiuni și relația cu clienții. A treia este confuzia dintre „avem documente” și „avem controale care funcționează”.
O organizație credibilă ar trebui să poată răspunde simplu: cine răspunde de risc, cine aprobă măsurile, cine verifică dacă funcționează și ce dovezi există. Dacă răspunsul depinde de o singură persoană care „știe ea”, sistemul este fragil.
Întrebări frecvente
Responsabilul NIS2 trebuie să fie angajat intern?
Nu neapărat. Rolul poate fi intern sau contractual, dar mandatul, raportarea, autoritatea și dovezile trebuie să fie clare.
Independența înseamnă că responsabilul poate opri orice proiect?
Nu. În articol, independența înseamnă libertate de semnalare și escaladare a riscurilor, nu putere nelimitată asupra deciziilor de business.
Ce dovezi sunt mai importante decât o politică semnată?
Dovezile de funcționare: registre de riscuri actualizate, teste de backup, rapoarte de incidente, revizuiri de acces, instruiri și decizii documentate ale conducerii.
Este suficient ca responsabilul să se ocupe de antivirus și parole?
Nu. Riscurile NIS2 acoperă și incidente, continuitate, furnizori, acces, instruire, achiziții, dezvoltare și evaluarea eficacității măsurilor.
