Responsabil NIS2, certificat DNSC

Compania intra sub incidența NIS2 ca entitate esențială, dar nu avea măsuri formalizate, nici un responsabil de securitate desemnat. Conducerea nu știa de unde să înceapă și care e expunerea la sancțiuni.

Am realizat un gap analysis complet față de cerințele NIS2, am construit setul de politici și proceduri, am implementat măsurile tehnice prioritare (MFA, segmentare, monitorizare, backup) și am preluat rolul de responsabil de securitate, certificat DNSC, ca punct unic de contact.

Conformitatea nu mai este o cursă contra-cronometru, ci un proces întreținut. Cu un responsabil de securitate dedicat și proceduri clare, compania răspunde la solicitările DNSC și la cerințele partenerilor cu documente, nu cu improvizații, iar revizuirile periodice mențin nivelul de conformitate în timp.

Spitalul prelucra date medicale sensibile, dar avea incertitudine privind obligațiile legale și o suprafață de atac mare: sisteme medicale și administrative pe aceeași rețea, fără plan de incident.

Am efectuat o analiză de risc, am segmentat sistemele medicale față de cele administrative, am implementat EDR, MFA și backup imutabil și am redactat un plan de răspuns la incidente, testat printr-un exercițiu practic.

Datele de pacienți sunt acum protejate prin straturi multiple, iar personalul știe cum să reacționeze la un incident, pentru că a exersat scenariul. Spitalul a trecut de la incertitudine legală la o poziție în care poate demonstra conformitatea în fața autorităților, cu documentația la zi.

Operatorul lucra cu zeci de furnizori care aveau acces la sisteme, fără reguli clare și fără evaluare. NIS2 cere gestionarea explicită a riscului din lanțul de aprovizionare, lucru complet neacoperit.

Am introdus politici de securitate pentru furnizori, un proces de evaluare a terților, control granular al accesului (least privilege) și monitorizarea conexiunilor externe. Am centralizat identitățile și am eliminat accesele inutile.

Relația cu furnizorii a devenit mai sigură și mai transparentă: fiecare terț are acces doar la ce îi este necesar și este monitorizat. Riscul din lanțul de aprovizionare, anterior invizibil, este acum documentat și gestionat ca parte din operațiunile curente, nu ca o problemă descoperită la audit.