Digitalizarea ajută companiile să fie mai eficiente, dar extinde și suprafața expusă atacurilor cibernetice. Directiva NIS2 stabilește un cadru european comun pentru creșterea nivelului de securitate cibernetică și introduce obligații privind gestionarea riscurilor și raportarea incidentelor. Pentru antreprenori și IMM-uri întrebarea de la care trebuie să pornească analiza este simplă: firma mea intră sub incidența NIS2?
Ce înseamnă NIS2 pentru compania ta?
Conformitatea ar trebui tratată ca un proces care implică tehnologia, oamenii și modul în care funcționează compania. Din perspectiva AROBS, un punct de plecare util este evaluarea situației actuale: ce active trebuie protejate, ce riscuri există și ce controale sunt deja implementate. Abia apoi pot fi prioritizate investițiile și măsurile suplimentare necesare.
De la obligație legală la information security
NIS2 aduce în prim-plan și o perspectivă mai amplă asupra information security. Conformitatea este legată de capacitatea organizației de a-și proteja datele, sistemele și serviciile și de a-și continua activitatea atunci când apare un incident. Prin urmare, nu este suficient ca politicile de securitate să existe pe hârtie: riscurile trebuie identificate, evaluate, tratate și monitorizate în mod concret.
Cum verifici dacă organizația intră sub incidența NIS2
Primul pas este să verifici sectorul în care operează compania și serviciile pe care le furnizează. NIS2 acoperă, între altele, domenii precum energia, transporturile, sănătatea, infrastructura digitală, anumite activități de producție, serviciile poștale, industria alimentară și chimică sau cercetarea. Apoi, trebuie analizate dimensiunea organizației și criteriile specifice aplicabile activității sale.
Cadrul NIS2 diferențiază între entități esențiale și entități importante, clasificarea influențând inclusiv regimul de supraveghere și sancționare. Există însă și situații în care o organizație poate intra în sfera de aplicare indiferent de dimensiune. De aceea, apartenența la un anumit sector nu oferă singură răspunsul. Încadrarea trebuie verificată în raport cu legislația aplicabilă organizației și cu particularitățile serviciilor furnizate.
Dacă firma este vizată, ce trebuie făcut concret?
Conformarea presupune măsuri tehnice, operaționale și organizaționale: evaluarea riscurilor, gestionarea vulnerabilităților și incidentelor, planuri pentru continuitatea activității, politici și proceduri adecvate și stabilirea responsabilităților managementului. Sunt relevante, de asemenea, cerințele privind raportarea incidentelor și securitatea lanțului de aprovizionare.
Instrumente precum Vulnerability Assessment și Penetration Testing pot evidenția expuneri reale înainte ca acestea să fie exploatate. Evaluarea nu ar trebui însă făcută o singură dată. Infrastructura se schimbă, apar servicii și furnizori noi, iar amenințările evoluează, astfel că profilul de risc al companiei trebuie reevaluat periodic.
Conformitatea poate deveni un avantaj pentru business
Privită dincolo de obligația legislativă, securitatea cibernetică susține reziliența companiei. Măsurile adecvate pot reduce riscul întreruperilor operaționale, al pierderii datelor și al prejudiciilor reputaționale. Colaborarea cu specialiști permite prioritizarea investițiilor în funcție de riscurile reale și particularitățile organizației, în locul implementării unui set generic de controale.
AROBS dezvoltă soluții personalizate pentru organizații din Automotive, Travel, Life Sciences, Aerospace, Marine, Enterprise Solutions și alte industrii, unde securitatea poate fi integrată încă din ciclul de dezvoltare. Separat, prin serviciile de cybersecurity, specialiștii identifică vulnerabilități și riscuri și recomandă sau implementează măsuri adaptate organizației. Pentru companiile vizate de NIS2, o evaluare specializată poate clarifica nivelul actual de pregătire și pașii care trebuie prioritizați.
Sursa foto: freepik.com
