De la obligație NIS2 la un program pe care îl poți demonstra

• Mapează serviciile efective la anexele și criteriile aplicabile; codul CAEN singur nu este o concluzie suficientă.
• Verifică dimensiunea întreprinderii inclusiv relațiile cu întreprinderi partenere sau legate, când sunt relevante.
• Pregătește identitatea legală, contactul operațional, persoana responsabilă, serviciile, sectorul și datele tehnice cerute de fluxul oficial.
• Păstrează confirmarea, exportul transmis și un workflow pentru actualizarea datelor când acestea se schimbă.

Livrabil: Dosar de încadrare + registru de date validate pentru DNSC.

• Desemnează un owner operațional cu mandat, linie de escaladare și înlocuitor pentru incident.
• Aprobă politica, apetitul la risc, planul anual și pragurile de escaladare la nivel de conducere.
• Folosește un RACI: Security/GRC, IT, HR, juridic/DPO, procurement, comunicare și business au roluri distincte.
• Păstrează deciziile, dovezile de formare acreditată a organelor de conducere (OUG 155/2024, art. 14 alin. (2)) și revizuirile periodice. Verifică și controalele de management din Ordinul 1/2026.

Livrabil: Decizie de guvernanță, RACI și calendar de revizuire.

• Stabilește nivelul de asigurare din evaluarea riscului și selectează controalele aplicabile din anexa nr. 1.
• Completează pentru fiecare control scorurile de documentație și implementare, de la 1 la 5, cu justificări scrise și dovezi pentru stadiul declarat.
• Folosește NIS2@RO sau instrumentul EVAL_MMS corespunzător când platforma este indisponibilă; verifică pragurile potrivit anexei nr. 2.
• Tratează prioritar măsurile-cheie aplicabile și întocmește planul de remediere dacă pragurile nu sunt atinse, cu responsabili și termene asumate.

Livrabil: Matrice de controale, scoruri justificate, registru de dovezi și plan de remediere.

• Definește trierea, pragurile interne, Incident Coordinator-ul, jurnalul de decizii și canalele de escaladare.
• Pregătește pachetul de alertă timpurie: ce s-a întâmplat, servicii afectate, impact preliminar, containment și contact.
• Pentru 72h, menține evaluarea inițială de severitate/impact, indicatorii disponibili și măsurile în curs.
• Pentru raportul final, pregătește cronologia, cauza probabilă, impactul, măsurile aplicate și CAPA; adaptează fluxul la instrucțiunile actuale ale DNSC.

Livrabil: Playbook testat, șabloane de raportare și jurnal de incident auditabil.

• Clasifică furnizorii după acces, date, impact operațional, dependențe și subprocesatori.
• Cere minim: MFA, logging, notificare incident, patching, contact de incident, transparență asupra subprocesatorilor și assurance proporțional.
• Acordă acces remote cu ticket, aprobare, least privilege, durată limitată, logging și revocare.
• Păstrează evaluarea înainte de contract, excepțiile acceptate și review-ul periodic al furnizorilor critici.

Livrabil: Registru furnizori critici, clauze și flux de acces controlat.

• Realizează BIA pentru procesele și serviciile critice, inclusiv dependențe cloud, telecom și furnizori.
• Documentează BCP/DR, RTO/RPO, runbook-uri, contacte, alternative de comunicare și criterii de revenire.
• Testează restaurarea, nu doar execuția backup-ului; păstrează rezultat, timp real și măsuri corective.
• Rulează tabletop-uri pentru ransomware, indisponibilitate furnizor și leak de date, cu decizii consemnate.

Livrabil: BIA, planuri BC/DR, rezultate de restore și plan CAPA.

• Ancorează onboarding-ul, schimbarea rolului și offboarding-ul în revocarea accesului, MFA, active și evidențe.
• Livrează training pentru personal, dar și workshop-uri de guvernanță și tabletop-uri pentru management.
• Adaugă module pentru roluri cu risc: HR, procurement, service desk, finanțe, administratori și executivi.
• Măsoară acoperirea, raportările, timpul până la raportare, calitatea raportului și lecțiile din near miss-uri.

Livrabil: Program anual, dovezi de participare, KPI/KRI și îmbunătățire continuă.