Etapele de conformare la Directiva NIS2 includ mai mulți pași esențiali, pe care organizațiile afectate trebuie să îi urmeze pentru a se asigura că îndeplinesc toate cerințele directivei. Aceste etape includ:
- Evaluarea conformității și identificarea entităților vizate
Primul pas este determinarea dacă organizația se încadrează în categoria entităților esențiale sau entităților importante definite de directivă. Organizațiile trebuie să evalueze domeniul lor de activitate și să identifice dacă oferă servicii esențiale sau importante pentru infrastructura critică a Uniunii Europene. Acest lucru se face analizând criteriile de clasificare stabilite în Directiva NIS2
- Efectuarea unei evaluări de risc și a unui audit inițial
Organizațiile trebuie să realizeze o evaluare completă a riscurilor cibernetice și să efectueze un audit inițial pentru a înțelege starea curentă a măsurilor lor de securitate. Evaluarea de risc trebuie să acopere toate sistemele și procesele critice pentru identificarea potențialelor vulnerabilități
- Elaborarea și implementarea unui plan de conformitate
În urma auditului inițial, organizațiile trebuie să elaboreze un plan de conformitate, care include măsuri tehnice și organizaționale necesare pentru a aborda riscurile identificate. Acest plan trebuie să cuprindă:
- Stabilirea unor politici de securitate și proceduri specifice.
- Implementarea controalelor de securitate și a măsurilor pentru protecția infrastructurii critice (ex. criptarea datelor, controlul accesului, managementul patch-urilor)
- Dezvoltarea capacităților de gestionare a incidentelor cibernetice
Organizațiile trebuie să implementeze proceduri de gestionare a incidentelor, care să includă:
- Raportarea incidentelor către DNSC în termen de 24 de ore.
- Crearea unui plan de continuitate a afacerii și de recuperare în caz de dezastru.
- Stabilirea unor echipe interne dedicate pentru gestionarea incidentelor (ex. CSIRT – Computer Security Incident Response Team)
- Implementarea măsurilor de securitate pentru lanțul de aprovizionare
Conform NIS2, organizațiile trebuie să identifice și să gestioneze riscurile asociate lanțului de aprovizionare, asigurându-se că toți furnizorii și partenerii respectă standardele de securitate impuse. Acest lucru presupune evaluarea furnizorilor și implementarea unor măsuri de protecție pentru a preveni accesul neautorizat sau breșele de securitate cauzate de terți
- Training și conștientizarea angajaților
Organizațiile trebuie să asigure formarea periodică a personalului în domeniul securității cibernetice și să crească gradul de conștientizare cu privire la bunele practici de securitate. Managementul și echipele operaționale trebuie să aibă cunoștințele necesare pentru a identifica și gestiona riscurile cibernetice
- Monitorizarea continuă și audituri periodice
Organizațiile trebuie să desfășoare audituri interne și externe periodice pentru a evalua eficacitatea măsurilor implementate și pentru a identifica posibile deficiențe. Auditul trebuie să fie realizat de firme specializate și certificate, iar rezultatele acestuia să fie analizate de management pentru a stabili măsuri corective, dacă este necesar(
- Raportarea și comunicarea continuă cu autoritățile
Organizațiile trebuie să comunice permanent cu autoritățile naționale competente (în România, DNSC) și să raporteze toate incidentele de securitate care pot avea un impact asupra activității sau asupra furnizării serviciilor către clienți. De asemenea, trebuie să asigure că toate rapoartele și documentația sunt păstrate conform cerințelor legale
Este important de subliniat ca pentru a se conforma normelor NIS2, societatile esentiale si cele importante trebuie sa implice atat un consultant tehnic, specializat in siguranta cibernetica, cat si un avocat cu competente in domeniul protectiei datelor cu caracter personal specializat in conformarea la NIS2.
Prin respectarea acestor etape, organizațiile vor putea să se conformeze Directivei NIS2 și să își îmbunătățească securitatea cibernetică, reducând riscul de incidente și asigurând continuitatea activităților esențiale și importante.
Pentru mai multe informații sau orice întrebări suplimentare, vă rugăm să nu ezitați să ne contactați:
➡ Telefon: (+4) 031 426 0745
📧 Email: office@grecupartners.ro
Suntem aici pentru a vă ajuta și pentru a oferi suportul nostru legal la toate situațiile dumneavoastră.
Așteptăm cu nerăbdare să discutăm cu dumneavoastră.
Avocat Elena Grecu
