Implementarea NIS2: cinci decizii pe care conducerea trebuie să le ia înainte de echipa IT

Articolul explică că transpunerea NIS2 în România (OUG nr. 155/2024 și Legea nr. 124/2025) mută responsabilitatea conformității la nivelul organelor de conducere. Autorul recomandă ca înaintea oricăror măsuri tehnice conducerea să decidă apetitul la risc, alocarea responsabilităților, bugetul de securitate, arhitectura de asigurare și raportare și guvernanța dependențelor de furnizori. Fără aceste decizii, organizațiile riscă conformitate doar formală, dificil de demonstrat în audituri.

Pe scurt

• OUG nr. 155/2024 și Legea nr. 124/2025 transpun NIS2 în România şi plasează răspunderea de conformitate la nivelul organelor de conducere (art. 11-12).
• Conducerea trebuie să definească apetitul la risc ca reper pentru prioritizarea măsurilor proporționale de securitate cibernetică.
• Este necesară o decizie clară privind alocarea drepturilor de decizie, escaladare şi cine aprobă politica de securitate la nivel de board.
• Bugetul de securitate trebuie decis managerial, prioritizat în funcţie de expunere şi audituri periodice (art. 11 alin. (5)).
• Organizațiile trebuie să stabilească lanţul de raportare intern şi extern pentru incidente şi criterii de gestionare a riscurilor din lanţul de aprovizionare (art. 15-16)