De la obligație NIS2 la un program pe care îl poți demonstra

• Mapează serviciile efective la anexele și criteriile aplicabile; codul CAEN singur nu este o concluzie suficientă.
• Verifică dimensiunea întreprinderii inclusiv relațiile cu întreprinderi partenere sau legate, când sunt relevante.
• Pregătește identitatea legală, contactul operațional, persoana responsabilă, serviciile, sectorul și datele tehnice cerute de fluxul oficial.
• Păstrează confirmarea, exportul transmis și un workflow pentru actualizarea datelor când acestea se schimbă.

Livrabil: Dosar de încadrare + registru de date validate pentru DNSC.

• Desemnează un owner operațional cu mandat, linie de escaladare și înlocuitor pentru incident.
• Aprobă politica, apetitul la risc, planul anual și pragurile de escaladare la nivel de conducere.
• Folosește un RACI: Security/GRC, IT, HR, juridic/DPO, procurement, comunicare și business au roluri distincte.
• Păstrează deciziile, participarea la formare și revizuirea periodică în board pack.

Livrabil: Decizie de guvernanță, RACI și calendar de revizuire.

• Evaluează separat proiectarea, implementarea și eficacitatea fiecărui control.
• Acoperă: politici și risc, incidente, continuitate, furnizori, dezvoltare/mentenanță și vulnerabilități.
• Include măsurarea eficacității, igiena cibernetică și trainingul, criptografia, HR/acces/active și MFA sau comunicații sigure unde sunt potrivite.
• Prioritizează P1/P2/P3 după impact, probabilitate, dependențe și termene, nu doar după cât de ușor se implementează.

Livrabil: Matrice GAP, registru de riscuri și roadmap cu owner, termen și risc rezidual.

• Definește trierea, pragurile interne, Incident Coordinator-ul, jurnalul de decizii și canalele de escaladare.
• Pregătește pachetul de alertă timpurie: ce s-a întâmplat, servicii afectate, impact preliminar, containment și contact.
• Pentru 72h, menține evaluarea inițială de severitate/impact, indicatorii disponibili și măsurile în curs.
• Pentru raportul final, pregătește cronologia, cauza probabilă, impactul, măsurile aplicate și CAPA; adaptează fluxul la instrucțiunile actuale ale DNSC.

Livrabil: Playbook testat, șabloane de raportare și jurnal de incident auditabil.

• Clasifică furnizorii după acces, date, impact operațional, dependențe și subprocesatori.
• Cere minim: MFA, logging, notificare incident, patching, contact de incident, transparență asupra subprocesatorilor și assurance proporțional.
• Acordă acces remote cu ticket, aprobare, least privilege, durată limitată, logging și revocare.
• Păstrează evaluarea înainte de contract, excepțiile acceptate și review-ul periodic al furnizorilor critici.

Livrabil: Registru furnizori critici, clauze și flux de acces controlat.

• Realizează BIA pentru procesele și serviciile critice, inclusiv dependențe cloud, telecom și furnizori.
• Documentează BCP/DR, RTO/RPO, runbook-uri, contacte, alternative de comunicare și criterii de revenire.
• Testează restaurarea, nu doar execuția backup-ului; păstrează rezultat, timp real și măsuri corective.
• Rulează tabletop-uri pentru ransomware, indisponibilitate furnizor și leak de date, cu decizii consemnate.

Livrabil: BIA, planuri BC/DR, rezultate de restore și plan CAPA.

• Ancorează onboarding-ul, schimbarea rolului și offboarding-ul în revocarea accesului, MFA, active și evidențe.
• Livrează training pentru personal, dar și workshop-uri de guvernanță și tabletop-uri pentru management.
• Adaugă module pentru roluri cu risc: HR, procurement, service desk, finanțe, administratori și executivi.
• Măsoară acoperirea, raportările, timpul până la raportare, calitatea raportului și lecțiile din near miss-uri.

Livrabil: Program anual, dovezi de participare, KPI/KRI și îmbunătățire continuă.