Continutul articolului
Audit de securitate cibernetică NIS2: ce verifică, când este necesar și cum îți pregătești compania
Un audit de securitate cibernetică nu înseamnă doar verificarea antivirusului, scanarea câtorva adrese IP sau redactarea unui raport tehnic. În contextul NIS2, auditul trebuie să analizeze dacă organizația gestionează în mod real riscurile cibernetice și dacă poate preveni, detecta, limita și gestiona un incident.
O companie poate avea firewall, backup și soluții de monitorizare, dar să rămână expusă din cauza unor parole slabe, a accesului excesiv, a lipsei procedurilor, a furnizorilor neverificați sau a unui plan de răspuns la incidente care nu a fost testat niciodată.
Un audit de securitate cibernetică NIS2 identifică aceste deficiențe și le transformă într-un plan clar de remediere. Pentru entitățile esențiale și importante, auditul nu reprezintă doar o bună practică. OUG nr. 155/2024 prevede obligația efectuării auditului în condițiile și cu periodicitatea stabilite prin reglementările DNSC, în funcție de nivelul de risc al entității. (Legislație)
În acest articol vei afla ce este auditul de securitate cibernetică, ce verifică, cum se desfășoară și cum ajută compania să se pregătească pentru cerințele NIS2.
>> Cere o ofertă pentru un training personalizat de Securitate Cibernetică și NIS2 pentru angajați
Ce este un audit de securitate cibernetică?
Auditul de securitate cibernetică este o evaluare sistematică a politicilor, procedurilor, tehnologiilor și măsurilor de protecție implementate într-o organizație.
Iată un exemplu de audit de securitate cibernetică. Acest audit nu este unul “oficial pentru DNSC”:
Scopul său este să stabilească:
- ce active și servicii trebuie protejate;
- ce amenințări și vulnerabilități există;
- dacă măsurile actuale sunt adecvate;
- dacă procedurile sunt aplicate în practică;
- cât de repede poate fi detectat un incident;
- cum poate continua activitatea în timpul unui atac;
- ce deficiențe trebuie remediate;
- cine răspunde pentru implementarea măsurilor.
OUG nr. 155/2024 descrie auditul periodic ca pe o evaluare sistematică a politicilor, procedurilor și măsurilor de protecție implementate la nivelul rețelelor și sistemelor informatice, realizată pentru identificarea disfuncționalităților și vulnerabilităților și recomandarea măsurilor de remediere.
Prin urmare, auditul nu trebuie să verifice doar infrastructura IT. El trebuie să analizeze și modul în care oamenii, procesele și tehnologia funcționează împreună.
>> Cere o ofertă pentru un training personalizat de Securitate Cibernetică și NIS2 pentru angajați
Ce legătură există între auditul de securitate cibernetică și NIS2?
Directiva NIS2 stabilește un cadru comun de securitate cibernetică pentru 18 sectoare considerate importante la nivelul Uniunii Europene. În general, organizațiile mijlocii și mari din sectoarele acoperite trebuie să implementeze măsuri adecvate de gestionare a riscurilor și să raporteze incidentele semnificative. Directiva introduce și o responsabilitate mai clară a managementului pentru supravegherea securității cibernetice. (Strategia Digitală a Europei)
În România, cadrul principal este reprezentat de OUG nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025.
Legislația cere entităților esențiale și importante să adopte măsuri tehnice, operaționale și organizatorice proporționale cu riscurile lor. Aceste măsuri trebuie să țină cont de expunerea companiei, dimensiunea sa, probabilitatea incidentelor și impactul economic sau social pe care acestea îl pot produce.
Auditul oferă organizației răspunsul la o întrebare importantă: măsurile declarate există doar în documente sau funcționează și în realitate?
Este auditul NIS2 obligatoriu pentru orice companie?
Nu orice companie intră automat sub incidența NIS2.
Încadrarea depinde de mai mulți factori:
- sectorul de activitate;
- serviciile furnizate;
- dimensiunea organizației;
- impactul întreruperii serviciilor;
- existența unor criterii speciale;
- identificarea companiei ca entitate esențială sau importantă.
La nivel european, regula generală vizează organizațiile mijlocii și mari din sectoarele critice, însă există și excepții sau criterii speciale.
Pentru entitățile identificate drept esențiale sau importante, legislația română prevede obligația de a se supune auditului de securitate cibernetică. Condițiile și periodicitatea auditului sunt stabilite în funcție de nivelul de risc și de reglementările DNSC sau, după caz, de cerințele autorității sectoriale competente.
Chiar și atunci când o organizație nu este inclusă direct în domeniul NIS2, auditul poate fi util pentru protejarea datelor, continuitatea activității, cerințele clienților sau evaluarea furnizorilor.
>> Cere o ofertă pentru un training personalizat de Securitate Cibernetică și NIS2 pentru angajați
Ce verifică un audit de securitate cibernetică NIS2?
Un audit complet trebuie să acopere măsurile tehnice, operaționale și organizatorice. Nu este suficientă verificarea unui singur server sau efectuarea unei scanări automate.
Guvernanța și responsabilitățile managementului
Auditorul verifică dacă există o structură clară de responsabilitate pentru securitatea cibernetică.
Sunt analizate aspecte precum:
- persoanele responsabile;
- implicarea conducerii;
- aprobarea politicilor;
- alocarea bugetelor;
- raportarea riscurilor către management;
- urmărirea planurilor de remediere;
- separarea responsabilităților.
Managementul trebuie să poată demonstra că aprobă și supraveghează măsurile de gestionare a riscurilor, nu doar că a delegat întreaga problemă departamentului IT.
Inventarul activelor și evaluarea riscurilor
Compania nu poate proteja în mod eficient sisteme despre care nu știe că există.
Auditul verifică dacă organizația deține un inventar actualizat pentru:
- servere;
- calculatoare;
- aplicații;
- servicii cloud;
- echipamente de rețea;
- conturi privilegiate;
- baze de date;
- furnizori;
- servicii critice.
Pe baza activelor sunt analizate amenințările, vulnerabilitățile, probabilitatea incidentelor și impactul potențial.
Politicile și procedurile de securitate
Auditorul analizează dacă politicile sunt actualizate, aprobate și cunoscute de angajați.
Pot fi verificate procedurile privind:
- controlul accesului;
- parolele;
- utilizarea dispozitivelor;
- lucrul de la distanță;
- gestionarea actualizărilor;
- clasificarea informațiilor;
- backupul;
- raportarea incidentelor;
- relația cu furnizorii;
- plecarea angajaților din companie.
Existența unui document semnat cu ani în urmă nu demonstrează că procedura este aplicată.
Controlul accesului și autentificarea
Auditul verifică dacă angajații au doar accesul necesar rolului lor și dacă drepturile sunt retrase atunci când nu mai sunt necesare.
Sunt analizate:
- conturile administrative;
- autentificarea multifactor;
- conturile inactive;
- accesul foștilor angajați;
- parolele și politicile de autentificare;
- accesul furnizorilor;
- revizuirea periodică a permisiunilor;
- separarea conturilor administrative de cele obișnuite.
Autentificarea multifactor, controlul accesului și securitatea resurselor umane se numără printre categoriile de măsuri incluse în cadrul național NIS2.
Gestionarea vulnerabilităților și actualizărilor
Auditorul verifică modul în care sunt descoperite, evaluate și remediate vulnerabilitățile.
Compania trebuie să poată demonstra:
- ce sisteme deține;
- cine urmărește vulnerabilitățile;
- cât de repede sunt instalate actualizările;
- cum sunt tratate sistemele vechi;
- cum sunt prioritizate vulnerabilitățile critice;
- dacă sunt efectuate scanări și testări;
- cum sunt documentate excepțiile.
Lipsa unui proces de patch management poate permite exploatarea unor vulnerabilități cunoscute, chiar dacă organizația folosește soluții moderne de securitate.
Jurnalizarea, monitorizarea și detectarea incidentelor
Auditul analizează dacă activitățile importante sunt înregistrate și dacă alertele sunt urmărite.
Sunt verificate:
- logurile de autentificare;
- evenimentele generate de servere;
- soluțiile EDR sau antivirus;
- monitorizarea conturilor privilegiate;
- păstrarea logurilor;
- sincronizarea timpului;
- alertele privind activitățile neobișnuite;
- responsabilitatea pentru analiza alertelor.
OUG nr. 155/2024 prevede o abordare cuprinzătoare, inclusiv jurnalizarea și asigurarea trasabilității activităților desfășurate în rețele și sisteme informatice.
Răspunsul la incidente
Compania trebuie să știe ce face înainte ca incidentul să apară.
Auditorul verifică existența unui plan care să stabilească:
- cine coordonează răspunsul;
- cum este raportat intern incidentul;
- cum sunt izolate sistemele afectate;
- cine comunică cu managementul;
- cum sunt păstrate dovezile;
- când sunt implicați furnizorii;
- cum sunt îndeplinite obligațiile de notificare;
- cum este reluată activitatea.
Planul trebuie testat. Un document care nu a fost niciodată folosit într-un exercițiu poate conține numere de telefon greșite, roluri neclare sau acțiuni imposibil de executat.
Backupul și continuitatea activității
Auditorul verifică dacă organizația poate recupera sistemele și datele după un atac, o eroare sau o întrerupere majoră.
Sunt analizate:
- frecvența backupurilor;
- separarea copiilor de infrastructura principală;
- protejarea împotriva modificării;
- criptarea;
- testele de restaurare;
- timpul necesar recuperării;
- prioritizarea serviciilor;
- planurile de continuitate;
- procedurile de lucru manual.
Continuitatea activității, gestionarea backupurilor, recuperarea în caz de dezastru și managementul crizelor sunt categorii explicite ale măsurilor de gestionare a riscurilor.
Securitatea furnizorilor
O companie poate fi afectată printr-un furnizor de cloud, software, suport IT sau servicii gestionate.
Auditul verifică:
- lista furnizorilor critici;
- accesul acordat acestora;
- clauzele contractuale de securitate;
- obligațiile de notificare;
- evaluarea furnizorilor;
- continuitatea serviciilor;
- retragerea accesului;
- riscurile de subcontractare.
NIS2 acordă o atenție explicită securității lanțului de aprovizionare și relațiilor cu furnizorii direcți.
Angajații și cultura de securitate
Auditul verifică dacă personalul este instruit și dacă instruirea este adaptată responsabilităților.
Pot fi analizate:
- cursurile de securitate;
- procesul de onboarding;
- simulările de phishing;
- testarea cunoștințelor;
- pregătirea managementului;
- instruirea echipei IT;
- raportarea mesajelor suspecte;
- reinstruirea angajaților.
Un curs realizat o singură dată nu este suficient dacă organizația nu urmărește participarea, rezultatele și schimbarea comportamentului.
Care este diferența dintre audit, scanarea vulnerabilităților și testarea de penetrare?
Aceste activități sunt complementare, dar nu sunt identice.
Scanarea vulnerabilităților folosește instrumente automate pentru identificarea configurațiilor slabe, versiunilor neactualizate și vulnerabilităților cunoscute.
Testarea de penetrare încearcă să exploateze controlat anumite vulnerabilități pentru a demonstra impactul lor.
Auditul de securitate cibernetică are o arie mai largă. El analizează tehnologia, politicile, responsabilitățile, dovezile, procesele și modul în care compania gestionează riscurile.
Un pentest poate arăta că o aplicație este vulnerabilă. Auditul trebuie să explice și de ce vulnerabilitatea nu a fost descoperită mai devreme, cine trebuia să o remedieze și ce proces trebuie schimbat pentru a evita repetarea situației.
Cum se desfășoară auditul NIS2?
Auditul începe prin stabilirea domeniului evaluării: entități juridice, sedii, servicii, aplicații, infrastructură și furnizori incluși.
Urmează colectarea documentelor, interviurile cu managementul și echipele relevante, analiza configurațiilor, verificarea dovezilor și, dacă este cazul, testările tehnice.
Deficiențele sunt apoi clasificate în funcție de risc, impact și urgență. Raportul final trebuie să prezinte constatările, dovezile, recomandările și prioritățile de remediere.
Conform cadrului național, după primirea raportului de audit, entitățile vizate trebuie să pregătească și să transmită planul de măsuri pentru remedierea deficiențelor și termenele asumate. Termenul prevăzut pentru această etapă este de cel mult 15 zile lucrătoare de la primirea raportului.
Auditul nu se termină însă odată cu predarea raportului. Compania trebuie să urmărească implementarea măsurilor și să verifice dacă deficiențele au fost remediate.
Cum îți pregătești compania pentru audit?
Pregătirea nu înseamnă ascunderea problemelor sau redactarea rapidă a unor politici înaintea vizitei auditorului.
Înainte de audit, organizația ar trebui să centralizeze:
- organigrama și responsabilitățile;
- inventarul activelor;
- evaluarea riscurilor;
- politicile și procedurile;
- lista furnizorilor;
- contractele relevante;
- incidentele anterioare;
- dovezile instruirii;
- rapoartele de vulnerabilitate;
- testele de backup;
- planul de răspuns la incidente;
- planurile de continuitate;
- drepturile de acces;
- măsurile de remediere aflate în lucru.
Este mai bine ca auditorul să găsească o problemă cunoscută, documentată și aflată în remediere decât o deficiență ascunsă sau ignorată.
Cele mai frecvente probleme identificate
Printre deficiențele întâlnite frecvent într-o organizație se pot număra:
- lipsa inventarului complet al activelor;
- conturi administrative folosite pentru activități obișnuite;
- lipsa autentificării multifactor;
- backupuri netestate;
- acces menținut pentru foști angajați;
- politici care nu reflectă realitatea;
- lipsa monitorizării alertelor;
- furnizori neverificați;
- proceduri de incident neexersate;
- angajați care nu cunosc procesul de raportare;
- vulnerabilități critice neremediate;
- lipsa implicării managementului.
Valoarea auditului nu constă doar în enumerarea acestor probleme, ci în stabilirea unei ordini realiste de rezolvare.
Cum alegi furnizorul pentru audit?
Alege un auditor care poate înțelege atât cerințele NIS2, cât și infrastructura și procesele companiei.
Verifică:
- eligibilitatea și atestările aplicabile;
- experiența în sectorul tău;
- independența față de sistemele auditate;
- metodologia folosită;
- modul de protejare a informațiilor;
- experiența tehnică a echipei;
- claritatea raportului;
- sprijinul oferit pentru remediere;
- posibilitatea reverificării măsurilor.
Regulile privind auditorii și acceptarea rapoartelor pot fi dezvoltate sau actualizate prin acte subsecvente. Din acest motiv, compania trebuie să verifice cerințele DNSC și ale autorității sectoriale aplicabile la data contractării auditului.
Auditul NIS2 nu este doar despre conformitate
Un audit realizat corect poate ajuta compania să:
- reducă probabilitatea unui incident;
- limiteze impactul atacurilor;
- recupereze mai rapid serviciile;
- clarifice responsabilitățile;
- prioritizeze investițiile;
- îmbunătățească relația cu furnizorii;
- demonstreze clienților că tratează securitatea serios;
- ofere managementului o imagine realistă asupra riscurilor.
Scopul nu este obținerea unui raport fără observații. O astfel de concluzie ar fi puțin realistă pentru majoritatea organizațiilor.
Scopul este identificarea riscurilor importante și transformarea lor într-un plan de îmbunătățire pe care managementul îl poate finanța, urmări și verifica.
>> Cere o ofertă pentru un training personalizat de Securitate Cibernetică și NIS2 pentru angajați
Întrebări frecvente despre auditul de securitate cibernetică NIS2
Ce este auditul de securitate cibernetică NIS2?
Este o evaluare sistematică a politicilor, procedurilor, măsurilor tehnice și controalelor prin care compania își gestionează riscurile cibernetice și cerințele aplicabile.
Auditul NIS2 este obligatoriu?
Pentru entitățile esențiale și importante, OUG nr. 155/2024 prevede obligația efectuării auditului în condițiile și cu periodicitatea stabilite prin reglementările aplicabile, în funcție de nivelul de risc.
Este suficient un test de penetrare?
Nu. Testul de penetrare verifică anumite vulnerabilități tehnice. Auditul analizează și guvernanța, procedurile, managementul riscurilor, furnizorii, instruirea și continuitatea activității.
Cât durează un audit?
Durata depinde de dimensiunea companiei, numărul sistemelor, sediile implicate, complexitatea infrastructurii și domeniul stabilit. O evaluare serioasă poate necesita de la câteva zile la mai multe săptămâni.
Ce primește compania la final?
În mod normal, compania primește un raport cu domeniul auditului, metodologia, constatările, riscurile, dovezile și recomandările. Pe baza raportului trebuie construit un plan de măsuri, cu responsabili și termene.
Auditul garantează conformitatea NIS2?
Nu în mod automat. Auditul indică nivelul actual și deficiențele existente. Conformitatea presupune implementarea măsurilor, actualizarea lor și menținerea unui proces continuu de gestionare a riscurilor.
Cât de des trebuie repetat?
Pentru entitățile esențiale și importante, periodicitatea este stabilită potrivit reglementărilor aplicabile și nivelului de risc. În afara obligației legale, auditul ar trebui repetat după schimbări majore, incidente sau modificări importante ale infrastructurii.
