Implementarea directivei NIS2 în România necesită, înainte de orice acțiune tehnică, decizii strategice din partea conducerii organizației. Conform legislației naționale, responsabilitatea pentru gestionarea riscurilor cibernetice revine organului de conducere, nu departamentului IT.
Autor: Mihail Guranda, Specialist GRC, Safetech Innovations S.A.
Citește și: De ce liceenii din Franța protestează mai mult decât cei din alte țări europene
În cadrul Ordonanței de urgență nr. 155/2024, transpusă în legislația națională, se subliniază clar că deciziile de conformitate și gestionare a riscurilor trebuie să fie luate de conducere, înainte de a se trece la implementarea soluțiilor tehnice. Astfel, conducerea trebuie să stabilească mai întâi ce înseamnă un risc acceptabil pentru organizație, în raport cu obiectivele și partenerii externi, pentru a putea prioritiza acțiunile și bugetele.
Deciziile strategice ale conducerii înainte de implementarea tehnică
Conform legislației, conducerea trebuie să decidă asupra a cinci aspecte esențiale înainte de a aprofunda soluțiile tehnice. Acestea includ stabilirea apetitului la risc, alocarea responsabilităților, definirea bugetului de securitate, precum și aprobarea politicilor și procedurilor de gestionare a riscurilor. Fără aceste decizii, orice proiect tehnic riscă să fie ineficient sau să nu respecte cerințele legale.
Astfel, conducerea trebuie să stabilească clar cine are autoritatea de a aproba politicile de securitate, cine poate face derogări și cine trebuie să escaladeze incidentele către nivelul superior. De asemenea, bugetul pentru măsurile de securitate trebuie să fie decis de management, nu delegat exclusiv echipei IT, pentru a asigura proporționalitatea și alinierea cu riscurile asumate.
Implementarea NIS2 impune o schimbare în modul în care organizațiile gestionează riscurile cibernetice, punând accent pe deciziile de guvernanță și pe responsabilitatea conducerii în procesul de conformitate.
Conform Hotnews.ro