Întrebări frecvente. Răspunsuri directe, nu evazive.

Cu tot ce ține de securitatea IT a firmei și de felul în care o dovedești: audit IT și de securitate, pregătire pentru NIS2 și ISO 27001, securitatea Microsoft 365, guvernanța AI, monitorizarea rețelei și consultanță continuă.

Diferența e că le tratăm împreună. Un risc din Microsoft 365 e, în același timp, o problemă de securitate, o cerință NIS2 și o decizie pentru conducere.

Cu o discuție de 30 de minute, gratuită. Îmi spui ce te îngrijorează, ce s-a schimbat în firmă sau ce trebuie să demonstrezi.

După discuție primești o propunere scrisă: ce verificăm, ce primești la final, în cât timp și cu ce cost. Abia apoi decizi.

Da, împreună cu ei, nu în locul lor. Echipa IT sau furnizorul rămân responsabili de operare.

Noi aducem evaluarea independentă, prioritizarea după risc și legătura cu conducerea. De obicei, echipele IT apreciază asta: au în sfârșit argumente pentru bugetul pe care îl cer de mult.

Nu. Consultanța, auditul și guvernanța se fac la distanță, pentru firme din toată România și din alte țări europene.

Pentru rețele, WiFi sau alte lucrări care cer prezență fizică, stabilim deplasarea în funcție de locație.

Depinde de ce trebuie verificat: câți oameni, câte locații, ce sisteme și ce trebuie demonstrat la final. Nu dăm prețuri „pe utilizator” fără să înțelegem contextul, pentru că așa ies fie oferte umflate, fie surprize pe parcurs.

Prima discuție, de 30 de minute, e gratuită. După ea primești o propunere cu preț fix pentru un perimetru clar.

Depinde de serviciu. Orientativ: un audit IT și de securitate durează 2–4 săptămâni; securizarea Microsoft 365, 1–3 luni, în etape; pregătirea pentru NIS2 sau ISO 27001, de obicei 3–6 luni, în funcție de punctul de plecare.

Primele rezultate utile, adică riscurile principale și ce faci întâi, le ai de obicei după primele 2–3 săptămâni.

Conturile și accesul, administratorii, laptopurile, Microsoft 365, rețeaua, copiile de siguranță, jurnalele, furnizorii și regulile scrise. Perimetrul exact îl stabilim împreună.

Scopul nu e o listă lungă de probleme, ci riscurile care contează, în ordinea impactului asupra firmei, plus planul de rezolvare.

Nu. Auditul verifică pe larg: configurări, acces, procese, copii de siguranță, documente. Testul de penetrare încearcă să intre în sistem pe un drum anume, ca un atacator.

Pentru majoritatea firmelor, auditul e primul pas. Testul de penetrare are sens după aceea, pe sistemele expuse la internet.

Le putem și implementa: configurări, securizare, documente, verificarea că măsurile funcționează.

Dar evaluarea rămâne separată de implementare, ca prioritățile să fie date de risc, nu de dorința de a vinde mai multă muncă.

Un raport pentru conducere, pe înțeles; registrul riscurilor, cu responsabil și soluție pentru fiecare; un plan pe 30/60/90 de zile și, dacă e nevoie, notele tehnice pentru echipa IT.

Principiul e simplu: rezultatul trebuie folosit pentru decizii, nu pus într-un sertar.

Depinde de domeniul de activitate și de mărimea firmei. Regula generală: firmele medii și mari din sectoarele din anexele directivei (energie, transport, sănătate, digital, producție, alimentar, servicii poștale și altele) intră sub NIS2.

Există și excepții în care contează rolul firmei, nu mărimea. Poți verifica în câteva clicuri în ghidul NIS2.

Directiva prevede amenzi de până la 10 milioane de euro sau 2% din cifra de afaceri anuală globală pentru entitățile esențiale, respectiv 7 milioane de euro sau 1,4% pentru cele importante, oricare e mai mare.

În plus, conducerea poate răspunde personal, iar autoritatea poate cere măsuri și audituri. Pentru firme, de multe ori riscul mai mare e cel comercial: clienții mari cer deja dovezi de conformitate de la furnizori.

Nu automat. Sunt lucruri diferite: NIS2 e o obligație legală, ISO 27001 e un standard pe care îl alegi.

Dar un sistem ISO 27001 bine făcut acoperă o mare parte din ce cere NIS2: riscuri, responsabili, reguli, audit intern, dovezi. Lucrăm cu un singur dosar de dovezi pentru amândouă, nu cu două proiecte paralele.

Nu. E cel mai important pas, dar autentificarea veche o poate ocoli, iar atacatorii fură și sesiuni.

Contează și accesul condiționat, conturile de administrator, laptopurile administrate, protecția emailului și jurnalele. În ghidul Microsoft 365 ai un simulator care arată exact diferența.

De cele mai multe ori, nu. Multe firme au deja Business Premium și folosesc doar emailul și Teams.

Întâi folosim ce plătești deja, apoi recomandăm doar ce lipsește cu adevărat.

Da, dar proporțional. Riscurile reale sunt simple: date ale clienților puse în instrumente publice, rezultate folosite fără verificare și nimeni care să știe ce instrumente se folosesc.

Pentru o firmă mică, asta înseamnă un registru simplu, o politică de o pagină și instruire. Nu un program de corporație.

Interdicțiile și obligația de instruire a oamenilor (Art. 4) se aplică din februarie 2025. Transparența (Art. 50) se aplică din 2 august 2026. Obligațiile pentru sistemele cu risc ridicat au fost amânate la 2 decembrie 2027, prin Digital Omnibus.

Pentru majoritatea firmelor, primul pas e același: afli ce instrumente AI se folosesc și instruiești oamenii.

Cerem doar accesul necesar, pe cât posibil doar pentru citire și limitat în timp. Documentele stau în spații controlate, iar accesul se închide la finalul proiectului.

Când e nevoie, semnăm un acord de confidențialitate înainte de orice discuție tehnică.