Supravegherea executivă NIS2: cum își exercită conducerea rolul prin CysNIS

Supravegherea executivă NIS2 înseamnă obligația organelor de conducere ale entităților esențiale și importante de a aproba măsurile de gestionare a riscurilor de securitate cibernetică și de a urmări cum sunt puse în practică. Securitatea nu mai poate fi delegată integral departamentului IT sau unui furnizor: conducerea trebuie să vadă, să înțeleagă și să poată demonstra că a supravegheat procesul.

Pe scurt

• Art. 20 din Directiva NIS2 obligă organele de conducere să aprobe măsurile de securitate cibernetică, să supravegheze implementarea lor și să urmeze instruiri periodice.
• În România, cerința este preluată prin OUG nr. 155/2024, aprobată prin Legea nr. 124/2025.
• Problema practică nu este lipsa măsurilor, ci lipsa unei imagini centralizate pe care conducerea să o poată consulta oricând.
• CysNIS, platforma dezvoltată de ProDefence, oferă un cont de management cu acces doar în citire, gândit pentru directori, administratori și consilii de conducere.

Conformitatea NIS2 nu mai este doar responsabilitatea departamentului IT

NIS2 tratează securitatea cibernetică drept o chestiune de guvernanță. Directorul general, administratorul sau consiliul de conducere nu trebuie să configureze echipamente, dar răspund pentru faptul că organizația are măsuri adecvate, că acestea sunt aplicate și că riscurile sunt urmărite în timp.

Art. 20 din directivă prevede că organele de conducere aprobă măsurile de gestionare a riscurilor, supraveghează punerea lor în aplicare și pot răspunde pentru încălcări. Membrii conducerii trebuie, de asemenea, să urmeze cursuri care să le permită să identifice riscurile și să evalueze impactul măsurilor asupra serviciilor furnizate. DNSC a pus în dezbatere și un standard de pregătire NIS2 pentru organele de conducere.

În România, cadrul este stabilit de OUG nr. 155/2024, actul normativ principal indicat de DNSC pentru NIS2. Consecința directă: conducerea trebuie să poată arăta, la un control sau la un audit, că a avut vizibilitate asupra implementării, asupra riscurilor și asupra progresului.

De ce are nevoie managementul de vizibilitate directă

Implementarea NIS2 produce politici, proceduri, măsuri tehnice, controale organizaționale, un registru de riscuri, evidențe privind incidentele, responsabilități interne și raportări periodice. Fără un instrument dedicat, toate acestea ajung la conducere prin documente dispersate, rapoarte transmise manual sau ședințe punctuale.

Rezultatul este un dezechilibru: conducerea are răspunderea, dar nu are un mecanism simplu prin care să supravegheze. Întrebarea la care trebuie să poată răspunde oricând este una singură: putem demonstra că am aprobat, supravegheat și monitorizat măsurile de securitate cibernetică?

Ce este funcția de Supraveghere executivă NIS2 din CysNIS

Supravegherea executivă este o funcționalitate a platformei CysNIS dedicată conducerii organizației. Prin ea, managerii urmăresc implementarea cerințelor NIS2 și ale OUG 155/2024 direct din platformă, fără să aibă nevoie de pregătire tehnică avansată.

Contul de tip Management/Observator are acces doar în citire. Conducerea poate consulta stadiul implementării fără riscul de a modifica din greșeală datele operaționale introduse de echipa tehnică sau de consultanți.

Ce vede conducerea în contul de management

Progresul implementării, actualizat continuu

Stadiul cerințelor NIS2 este afișat pe domenii, măsuri și activități. Conducerea vede ce este finalizat, ce este în lucru și unde există întârzieri, fără să aștepte un raport static.

Rapoarte și scoruri de conformitate

Platforma oferă rapoarte de conformitate, matrice de control și scoruri de risc. Sunt informațiile de care conducerea are nevoie când decide bugete, resurse și priorități.

Registrul de riscuri

NIS2 are la bază gestionarea riscurilor. Nu este suficient ca organizația să declare că aplică măsuri; trebuie să arate că riscurile sunt identificate, evaluate, tratate și urmărite. Registrul din CysNIS face vizibile riscurile active, nivelul lor și măsurile planificate sau aplicate.

Incidentele deschise

Cronologia incidentelor arată situațiile relevante, stadiul fiecăreia și măsurile asociate. Pentru o entitate NIS2, gestionarea incidentelor este și o obligație de conformitate, cu termene de notificare la 24 de ore, 72 de ore și raport final.

O interfață pentru utilizatori fără pregătire tehnică

Scopul nu este ca membrii conducerii să analizeze jurnale de sistem sau vulnerabilități, ci să înțeleagă stadiul conformității și riscurile care contează pentru organizație.

Cum susține CysNIS obligațiile de guvernanță

Prin platformă, organizația poate demonstra supravegherea prin:

• evidența progresului implementării NIS2;
• monitorizarea măsurilor de conformitate și a riscurilor active;
• rapoarte de conformitate consultabile oricând;
• trasabilitatea activităților;
• separarea rolurilor între management, consultanți și echipele tehnice.

Astfel, CysNIS funcționează nu doar ca instrument de implementare, ci și ca instrument de guvernanță cibernetică: leagă munca tehnică și procedurală de răspunderea conducerii.

Consultanță NIS2 și platformă: abordarea ProDefence

ProDefence oferă consultanță pentru implementarea NIS2 și audit de conformare, folosind CysNIS ca instrument de lucru, monitorizare și raportare. Parcursul tipic are cinci etape:

1. Evaluarea aplicabilității: sector, dimensiune, servicii furnizate și obligațiile care decurg. Punctul de pornire este verificarea încadrării NIS2.
2. Analiza decalajelor și planul de implementare: situația existentă față de cerințe și măsurile necesare.
3. Implementarea: politici, proceduri, registre și controale adaptate organizației, nu copiate din modele generice.
4. Monitorizarea prin CysNIS: progres, documentare și o imagine clară asupra nivelului de conformitate.
5. Supravegherea executivă: acces dedicat pentru conducere, ca aceasta să își poată exercita rolul.

Organizațiile care nu au pe cine desemna intern pot acoperi rolul prin responsabil NIS2 externalizat. Răspunderea conducerii rămâne însă aceeași în toate variantele, așa cum arătăm în comparația celor trei variante de implementare NIS2.

Întrebări frecvente

Ce înseamnă supravegherea executivă în NIS2?

Este obligația organelor de conducere ale entităților esențiale și importante de a aproba măsurile de gestionare a riscurilor de securitate cibernetică, de a urmări aplicarea lor și de a urma instruiri periodice, conform art. 20 din Directiva NIS2 și OUG 155/2024.

Poate conducerea să delege complet securitatea cibernetică departamentului IT?

Poate delega munca, nu și răspunderea. Conducerea trebuie să poată demonstra că a aprobat măsurile și că a supravegheat implementarea lor.

Ce vede managementul în contul de supraveghere CysNIS?

Progresul implementării pe domenii, rapoarte și scoruri de conformitate, registrul de riscuri și incidentele deschise, totul cu acces doar în citire.

Are nevoie conducerea de cunoștințe tehnice pentru a folosi platforma?

Nu. Interfața de management prezintă stadiul conformității și riscurile relevante într-o formă accesibilă celor fără pregătire tehnică.

Concluzie

NIS2 cere conducerii să vadă, să înțeleagă și să supravegheze. Nu este suficient ca măsurile să existe undeva în zona tehnică: managementul trebuie să aibă acces la ele și să poată dovedi că le-a urmărit. Pentru o discuție despre modul în care se aplică aceste cerințe în organizația dumneavoastră, contactați echipa ProDefence.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.