NIS2 pentru management: ce trebuie să știe conducerea unei companii

De ce NIS2 este o temă de management, nu doar de IT

Până la adoptarea cadrului NIS2, securitatea cibernetică era tratată în multe organizații ca o responsabilitate exclusiv a departamentului IT. GEO 155/2024 schimbă fundamental această abordare. Art. 14(1) prevede explicit că organul de conducere al entităților esențiale și importante aprobă măsurile de gestionare a riscurilor de securitate cibernetică și răspunde de implementarea lor.

Această responsabilitate nu poate fi delegată unui director IT sau unui furnizor extern fără ca organul de conducere să rămână responsabil. Altfel spus, un consiliu de administrație sau un director general nu poate invoca lipsa de cunoștințe tehnice ca justificare pentru nerespectarea obligațiilor prevăzute de lege.

În contextul materialelor publice de orientare disponibile — inclusiv sesiunile informative organizate de DNSC și proiectele de pregătire sectorială — mesajul este consecvent: securitatea cibernetică trebuie tratată ca o prioritate de management, nu doar ca un proiect tehnic.

Răspunderea personală a conducerii

GEO 155/2024 prevede explicit că organul de conducere răspunde de implementarea măsurilor de securitate cibernetică. Nerespectarea obligațiilor din Art. 14 poate atrage sancțiuni aplicate de DNSC atât organizației, cât și persoanelor fizice din conducere.

Sancțiunile prevăzute de GEO 155/2024 variază în funcție de clasificarea entității (esențială sau importantă) și de gravitatea încălcării. Pentru context general privind nivelurile de sancțiuni, consultați sancțiunile NIS2 România.

Este important de subliniat că răspunderea conducerii nu se limitează la situațiile de neglijență gravă. Simpla neaprobare a măsurilor de securitate sau nedesemnarea responsabilului în termenul legal poate constitui o încălcare. Consultați un specialist juridic pentru evaluarea situației specifice a organizației dvs. Pentru tipurile de decizii interne pe care le poate lua conducerea fără a substitui concluzia oficială, vedeți și deciziile de management în pregătirea NIS2.

Legătura cu raportarea incidentelor

Obligațiile de management din Art. 14 sunt strâns legate de obligațiile de raportare a incidentelor din Art. 15. Conform Art. 15(6)–(7), organizațiile trebuie să notifice incidentele semnificative la DNSC:

• Avertizare inițială — în termen de 24 de ore de la constatare
• Notificare completă — în termen de 72 de ore, cu detalii despre incident
• Raport final — în termen de maximum o lună de la producere

Conducerea nu gestionează tehnic incidentul, dar trebuie să fie conștientă de aceste termene și să se asigure că procedurile interne le permit respectarea. Lipsa unei proceduri interne de escaladare poate genera probleme în momentul în care termenele de raportare încep să curgă. Citiți mai multe despre raportarea incidentelor NIS2.

Ce înseamnă guvernanța în contextul NIS2

Guvernanța NIS2 nu se referă doar la existența unor documente. Cadrul legislativ presupune un sistem funcțional în care:

Fiecare dintre aceste componente derivă din articole specifice ale GEO 155/2024 — Art. 11 pentru managementul riscului, Art. 13 pentru măsurile minime de securitate, Art. 14 pentru responsabilitățile conducerii și Art. 15 pentru raportarea incidentelor.

Greșeli frecvente în abordarea NIS2 la nivel de management

Pe baza informațiilor publice disponibile și a materialelor de orientare, câteva abordări greșite apar frecvent în organizațiile care încep pregătirea NIS2:

• Delegarea totală către IT. NIS2 necesită implicarea conducerii. Un proiect intern gestionat exclusiv de departamentul IT nu respectă cerințele Art. 14(1).
• Amânarea până la decizia DNSC. Deși obligația formală de desemnare a responsabilului curge de la comunicarea deciziei DNSC, pregătirea internă poate și ar trebui să înceapă înainte.
• Confundarea formării cu certificarea. Art. 14(2) cere formare profesională acreditată, nu certificarea organizației sau a responsabilului.
• Ignorarea lanțului de aprovizionare. Securitatea furnizorilor este parte din măsurile prevăzute de Art. 13(d). Conducerea nu poate trata dependențele externe ca fiind în afara responsabilității organizației.
• Tratarea NIS2 ca proiect cu termen fix. Obligațiile de management sunt continue — evaluare periodică a riscurilor, formare profesională, supraveghere a implementării măsurilor.

Resurse suplimentare

Pentru context suplimentar privind temele conexe discutate în acest articol:

• Obligații NIS2 pentru management — detalii Art. 14
• Responsabilul cu securitatea cibernetică NIS2
• Plan de acțiune NIS2 pe 30/60/90 de zile
• Checklist de pregătire internă NIS2

Cum poate ajuta NIS2 Pilot

NIS2 Pilot este un instrument de planificare internă care ajută conducerea să structureze informațiile relevante — sectorul de activitate, dimensiunea organizației, documentele existente, responsabilii potențiali — înainte de interacțiunea cu DNSC sau cu specialiștii externi.

Instrumentul nu oferă consultanță juridică, audit de securitate sau determinare oficială a clasificării. Generează un raport de planificare pe baza răspunsurilor auto-raportate, util ca punct de plecare pentru organizarea internă și pentru discuția cu un consultant.

Acest articol are scop informativ. Nu constituie consultanță juridică sau evaluare tehnică de specialitate. Toate resursele NIS2 Pilot