Art. 21 NIS2: cele 10 măsuri, traduse în controale tehnice

Articolul 21 din Directiva (UE) 2022/2555 obligă entitățile esențiale și importante să ia măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru a gestiona riscurile la adresa rețelelor și sistemelor informatice. În România, cerința vine prin OUG 155/2024, aprobată prin Legea 124/2025 — vedeți ghidul complet NIS2 pentru România pentru încadrare.

Două idei contează pentru echipa tehnică. Prima: abordarea este „toate riscurile” — nu doar atacuri, ci și defecțiuni, erori umane, pene de curent. A doua: proporționalitatea ține cont de stadiul tehnologiei, de standardele relevante, de cost, de mărimea entității și de expunerea la risc. Asta nu scutește nicio literă, dar explică de ce o firmă de 60 de oameni nu are nevoie de un SOC propriu non-stop.

Răspunderea pentru aprobarea acestor măsuri aparține conducerii, conform Art. 20 — detalii în articolul despre răspunderea conducerii.

Tabelul nu este o listă exhaustivă de controale, ci un punct de plecare. Ghidurile ENISA și standardele precum ISO/IEC 27001 oferă mai multă granularitate dacă aveți nevoie de un cadru de referință.

Analiza riscurilor începe cu un inventar: nu puteți evalua riscul pe un server despre care nu știți că există. Legați fiecare risc de active concrete (servere, aplicații, conturi, furnizori) și de un proprietar. Un registru de riscuri care nu menționează niciun activ real este greu de apărat în fața unui auditor.

Gestionarea incidentelor înseamnă trei lucruri tehnice: să vedeți (loguri centralizate, detecție la perimetru și pe endpoint), să reacționați (procedură, roluri, blocare) și să consemnați (registru cu marcaje de timp). Ultimul punct se leagă direct de termenele de raportare către DNSC.

Continuitatea se dovedește prin restaurări, nu prin backupuri. Un job de backup „verde” de doi ani fără o singură restaurare de test nu demonstrează nimic. Păstrați cel puțin o copie offline sau imutabilă — ransomware-ul modern țintește întâi backupurile, cum arată anatomia unui atac ransomware.

Litera (d) privește relația cu furnizorii direcți și prestatorii de servicii. Tehnic, asta se traduce în: un registru al furnizorilor cu ce acces are fiecare, conturi nominale (nu partajate) pentru terți, acces la distanță doar prin canale controlate și jurnalizate, și revocarea promptă la încheierea contractului.

Pe partea contractuală, cereți furnizorilor critici să vă anunțe incidentele care vă pot afecta, să descrie cum își protejează propriul acces la sistemele voastre și să accepte o evaluare periodică. Nu e nevoie de chestionare de 200 de întrebări: o listă scurtă, aplicată consecvent, valorează mai mult decât un formular complet pe care nu îl citește nimeni. Prioritizați după acces — un furnizor cu drepturi de administrator pe servere contează mai mult decât unul care livrează consumabile.

Litera (e) acoperă achiziția, dezvoltarea și mentenanța, inclusiv gestionarea și divulgarea vulnerabilităților. Minimul rezonabil:

• scanări regulate ale serviciilor expuse și ale aplicațiilor web;
• corelarea CVE-urilor publicate cu software-ul instalat efectiv, nu cu o listă generică;
• termene interne de remediere pe severitate, urmărite până la închidere;
• un canal public de raportare a vulnerabilităților (de exemplu un fișier security.txt).

Igiena cibernetică (g) este hardening-ul de bază: sisteme actualizate, servicii inutile oprite, configurări securizate. Pentru servere, un punct de plecare bun este checklistul CIS pentru Linux. Instruirea face parte din aceeași literă — inclusiv conștientizarea privind phishingul modern.

Criptografia (h) cere politici, nu doar algoritmi: ce date se criptează, cu ce, cine ține cheile, cum se rotesc certificatele. Un inventar al certificatelor cu data de expirare evită atât breșele, cât și incidentele de disponibilitate. Planificarea pe termen lung include și criptografia post-quantum.

Resurse umane, control acces și active (i) înseamnă că plecarea unui angajat închide toate conturile lui în aceeași zi și că drepturile se revizuiesc periodic. Autentificarea multifactor (j) are cel mai bun raport efort/efect din toată lista: începeți cu accesul la distanță (VPN, RDP, SSH), conturile de administrator și emailul.

Litera (f) este cea care transformă celelalte nouă din declarații în realitate: trebuie să aveți politici și proceduri pentru evaluarea eficacității măsurilor. În practică, asta înseamnă verificări recurente și dovezi datate.

1. Definiți pentru fiecare măsură un indicator verificabil (de exemplu „procentul conturilor privilegiate cu MFA”).
2. Automatizați colectarea acolo unde se poate — dovezile manuale se învechesc repede.
3. Revizuiți rezultatele periodic cu conducerea și consemnați deciziile.
4. Tratați abaterile ca acțiuni cu proprietar și termen, nu ca note de subsol.

Entitățile esențiale sunt supravegheate ex-ante, deci pot fi verificate oricând; cele importante sunt supravegheate în general ex-post, de regulă după un incident sau pe baza unor indicii. În ambele cazuri, dovezile pregătite dinainte sunt cele care contează.