Sprijinim companiile sa identifice cerintele aplicabile, sa evalueze riscurile si sa implementeze masuri de securitate sustinute de proceduri, responsabilitati si dovezi verificabile.
Pornim de la infrastructura, activitatile si datele organizatiei. Stabilim ce exista deja, unde sunt diferente fata de cerintele aplicabile si ce actiuni trebuie prioritizate.
Serviciile acopera evaluarea, implementarea masurilor tehnice, documentarea proceselor, instruirea personalului si verificarea periodica a controalelor.
Directiva NIS2, Directiva (UE) 2022/2555, este transpusa prin OUG nr. 155/2024, aprobata cu modificari si completari prin Legea nr. 124/2025, cu completarile ulterioare, inclusiv Legea nr. 123/2026. DNSC este autoritatea competenta nationala, alaturi de autoritatile cu atributii sectoriale prevazute de cadrul legal.
Pentru entitatile esentiale si importante vizate, conformarea este o obligatie legala, iar nerespectarea cerintelor poate atrage sanctiuni. Conformarea NIS2 nu reprezinta o certificare optionala.
Serviciile noastre transforma cerintele identificate intr-un plan de lucru: masuri, responsabili, termene, verificari si documentatie.
Solicita Oferta Personalizata
Incadrarea NIS2 se analizeaza pe baza sectorului, tipului de servicii, dimensiunii si criteriilor speciale aplicabile. Aceasta nu se stabileste exclusiv dupa numarul de angajati.
Putem sprijini:
Analizam situatia existenta in raport cu cerintele relevante pentru organizatie si cu limitele evaluarii agreate.
Evaluarea poate include:
• Inregistrarea si urmarirea solicitarilor interne.
• Circuite de aprobare pentru cereri, documente si operatiuni.
• Evidenta activitatilor, interventiilor, resurselor sau echipamentelor.
• Aplicatii pentru departamente operationale, administrative si comerciale.
• Centralizarea datelor si documentelor asociate unui proces.
• Notificari, termene si urmarirea stadiului de lucru.
Stabilim impreuna cine introduce datele, cine le verifica, cine aproba si ce informatii trebuie sa fie disponibile fiecarui rol.
Corelam deficientele cu efectele posibile asupra activitatii: indisponibilitate, pierderea datelor, acces neautorizat sau afectarea serviciilor furnizate.
Pentru fiecare risc relevant documentam:
• Sistemele si procesele afectate.
• Cauzele si vulnerabilitatile identificate.
• Impactul posibil.
• Controalele existente.
• Masurile propuse.
• Prioritatea.
• Responsabilul.
• Termenul si dependentele implementarii.
Planul de remediere permite urmarirea progresului si fundamentarea bugetului. Riscurile care raman dupa implementare sunt evidentiate pentru analiza conducerii.
Selectam masurile in functie de risc, infrastructura si cerintele aplicabile. Oferta precizeaza sistemele acoperite si configurarile care vor fi realizate.
• Identitati si acces: MFA, separarea conturilor administrative, revizuirea drepturilor si gestionarea accesului furnizorilor
• Protectia echipamentelor: Implementarea si configurarea solutiilor EDR, verificarea acoperirii si tratarea alertelor
• Securitatea retelei: Segmentare, reguli firewall, controlul accesului de la distanta si limitarea expunerii serviciilor
• Backup: Politici de copiere, protectia accesului la copii, verificarea executiei si teste de restaurare
• Jurnalizare: Activarea si centralizarea jurnalelor relevante, drepturi de acces si perioade de pastrare
• Configurari de securitate: Hardening, eliminarea serviciilor inutile si revizuirea configurarilor
• Actualizari: Organizarea verificarilor, prioritizarea remedierilor si planificarea instalarilor
• Monitorizare: Reguli de alertare, responsabilitati de preluare si trasee de escaladare
Pentru fiecare control stabilim cum este verificata functionarea si cine il administreaza dupa implementare.
Licentele, echipamentele si serviciile externe necesare sunt evidentiate in oferta.
Pregatim sau actualizam documentele astfel incat acestea sa descrie modul real de lucru si responsabilitatile persoanelor implicate.
Documentatia poate acoperi:
• Administrarea identitatilor si a drepturilor de acces.
• Utilizarea echipamentelor si lucrul de la distanta.
• Gestionarea actualizarilor si a vulnerabilitatilor.
• Copiile de siguranta si restaurarea.
• Gestionarea incidentelor.
• Schimbarile asupra sistemelor.
• Accesul furnizorilor.
• Intrarea, schimbarea rolului si plecarea angajatilor.
• Pastrarea dovezilor si verificarea controalelor.
• Continuitatea activitatii.
Fiecare procedura trebuie sa precizeze cine actioneaza, in ce situatie, cu ce aprobare si ce evidenta pastreaza.
Definim modul in care organizatia identifica, escaladeaza si gestioneaza un incident.
Serviciul poate include:
• Stabilirea persoanelor de contact.
• Clasificarea incidentelor dupa impact.
• Definirea traseului de escaladare.
• Organizarea informatiilor necesare investigatiei.
• Proceduri de izolare si limitare a efectelor.
• Pasi de recuperare si verificare.
• Exercitii pe scenarii agreate.
• Documentarea concluziilor si a actiunilor ulterioare.
Sprijinim colectarea informatiilor tehnice necesare evaluarilor si notificarilor. Responsabilitatile, destinatarul si termenele de raportare sunt clarificate pentru cadrul aplicabil fiecarui incident. Programul de interventie, timpii de raspuns si serviciile de investigatie sunt definite contractual.
Pregatim sesiuni adaptate rolurilor si situatiilor intalnite in companie.
Temele pot include:
• Recunoasterea mesajelor de phishing.
• Utilizarea autentificarii multifactor.
• Protejarea conturilor si a datelor de acces.
• Transmiterea documentelor prin canalele aprobate.
• Raportarea unei suspiciuni de incident.
• Lucrul de la distanta.
• Responsabilitatile administratorilor si ale persoanelor cu acces privilegiat.
Putem include exemple practice, verificarea intelegerii si evidenta participarii.
Eventualele cursuri pentru care sunt necesare acreditari sau conditii legale specifice sunt delimitate explicit de sesiunile interne de constientizare.
Organizam dovezile privind masurile implementate si modul in care acestea sunt administrate.
Acestea pot include:
• Inventare si diagrame ale infrastructurii.
• Matrice de acces.
• Politici aprobate si versiuni ale procedurilor.
• Evidente privind configurarea controalelor.
• Rezultatele testelor de restaurare.
• Rapoarte de verificare si remediere.
• Evidente de instruire.
• Documentarea incidentelor si a schimbarilor.
• Situatia actiunilor din planul de remediere.
Sprijinim pregatirea raspunsurilor la chestionare de securitate pe baza informatiilor verificabile.
Evaluarea si pregatirea documentatiei sunt distincte de auditul reglementat. Auditul de securitate cibernetica prevazut de OUG nr. 155/2024 este realizat de auditori cu atestat DNSC valabil, in conditiile legii.
Atunci cand administrarea infrastructurii presupune prelucrarea datelor personale in numele clientului si pe baza instructiunilor acestuia, actionam ca persoana imputernicita pentru operatiunile respective. Rolul se stabileste dupa activitatea efectiva, nu doar dupa denumirea contractului.
Relatia este documentata conform art. 28 GDPR, inclusiv in ceea ce priveste obiectul, durata, natura prelucrarii, categoriile de date si instructiunile operatorului.
In functie de prelucrarile si sistemele acoperite, sprijinul poate include:
• Limitarea accesului la date.
• Confidentialitatea personalului autorizat.
• Protectia conturilor si a infrastructurii.
• Jurnalizarea operatiunilor relevante.
• Aplicarea regulilor agreate pentru pastrare, returnare sau stergere.
• Evidenta accesului tehnic.
• Informatii pentru evaluarea incidentelor.
• Asistenta tehnica pentru solicitarile operatorului.
Utilizarea altor persoane imputernicite, accesul acestora si obligatiile de asistenta sunt documentate potrivit relatiei aplicabile. Operatorul si persoana imputernicita au obligatii proprii.
Lucram cu persoanele responsabile din companie si, unde este cazul, cu responsabilul cu protectia datelor si consilierul juridic. Serviciul de administrare IT nu presupune automat preluarea rolului de DPO sau a intregului program GDPR.
Solicita Oferta PersonalizataClarificam organizatia, locatiile, sistemele, serviciile si cerintele care trebuie analizate.
Identificam persoanele care pot furniza informatii si valida constatarile.
Analizam documentele, inventarele si configurarile disponibile. Accesul tehnic si activitatile de verificare sunt agreate inainte de executie.
Diferentiem deficientele confirmate de aspectele care necesita investigatii suplimentare. Explicam impactul asupra activitatii si prioritatile propuse.
Stabilim responsabilitatile, termenele, costurile si dependentele. Delimitam actiunile echipei noastre de cele care revin beneficiarului sau altor furnizori.
Realizam lucrarile contractate si pastram dovezile verificarilor. Actualizam documentatia pentru a reflecta configurarile si procesele implementate.
Putem continua cu verificari periodice, actualizarea evidentelor si urmarirea remedierilor, conform serviciului agreat.
Lista exacta este stabilita in oferta si poate include:
Fiecare livrabil precizeaza aria acoperita si eventualele limitari ale evaluarii.
Definim cine implementeaza, cine aproba si cine verifica fiecare activitate.
