Directiva NIS2 a fost transpusă în legislația din România prin OUG 155/2024. Efectul practic: un număr mare de companii au acum obligații de securitate cibernetică pe care înainte nu le aveau — și, în multe cazuri, nu știu că le au.
Prima întrebare nu e „ce fac”, ci „mi se aplică?”
Încadrarea depinde de sectorul de activitate, de dimensiunea firmei și de rolul pe care îl are în lanțul de furnizare al altor companii. Sunt firme convinse că sunt vizate și nu sunt. Și sunt firme convinse că nu au nicio treabă cu subiectul, până când un client mare le cere dovada conformității ca să poată semna contractul mai departe. Verificarea încadrării este cea mai ieftină etapă din tot procesul și cea care evită cea mai multă muncă degeaba.
Ce verifică un audit de conformitate
Auditul nu se uită doar la firewall. Acoperă zone care în multe firme nu sunt considerate „IT”: analiza riscurilor, tratarea incidentelor, continuitatea activității și copiile de siguranță, securitatea lanțului de furnizare, achiziția și mentenanța sistemelor, evaluarea eficacității măsurilor, igiena cibernetică și instruirea angajaților, criptografia, securitatea resurselor umane și controlul accesului, autentificarea cu mai mulți factori.
De ce contează ca auditorul să fie independent
Un furnizor care vinde echipamente sau licențe și face și auditul are un conflict de interese evident: concluziile lui vor semăna suspect de bine cu lista lui de produse. AuditorNIS2.ro nu vinde nimic după audit — modelul declarat este exact acesta, evaluare independentă, fără produse atașate.
Ce primești la final
Un raport care spune, în limbaj normal, ce ai deja în regulă, ce lipsește și în ce ordine merită rezolvat. Ordinea contează: nu toate lipsurile au același risc și același cost, iar o firmă cu buget limitat trebuie să știe ce face în luna următoare, nu o listă de o sută de puncte fără prioritizare.
De unde începi
Prima discuție este gratuită și se poate cere pe auditornis2.ro. Are sens în special dacă ești într-una din situațiile astea: un client îți cere documentație de securitate, ai primit o solicitare de la o autoritate, sau pur și simplu nu ești sigur dacă legea te vizează.
Acest articol prezintă cadrul general și nu constituie consultanță juridică. Încadrarea concretă a unei firme se stabilește de la caz la caz.