COMPLY · Consultanță NIS2 și ISO/IEC 27001
Conformitate NIS2 și ISO 27001 pe care o poți dovedi.
Legăm fiecare cerință de o măsură reală din firmă și de dovada că funcționează. Așa treci de un control DNSC, de un audit de certificare sau de chestionarul unui client mare, fără teancuri de documente pe care nu le citește nimeni.
- OUG 155/2024NIS2 în România, sub DNSC
- 93 de controaleîn ISO/IEC 27001:2022
- 1 dosar de dovezipentru ambele
Cum arată conformitatea dovedită
Pentru cine e
Ne cheamă firmele aflate într-una din aceste situații
Alege-o pe a ta și mergi direct la partea care te privește.
Firma intră sub NIS2
Ai primit sau aștepți decizia DNSC și trebuie să arăți măsuri, nu intenții.
Vezi unde ești acumUn client cere dovezi
Un chestionar de securitate, o clauză NIS2 în contract sau o cerință ISO 27001 de la un client mare.
Vezi ce primeștiVrei certificarea ISO 27001
Construim sistemul și dovezile, ca auditul organismului de certificare să nu fie o surpriză.
Vezi drumul spre certificareAi documente, dar nu dovezi
Politicile există, dar nimeni nu poate arăta că sunt aplicate și cine răspunde de ele.
Vezi ce verificămNIS2 și ISO/IEC 27001
Nu sunt același lucru, dar le construim o singură dată
NIS2 e o obligație legală, cu control din partea statului. ISO 27001 e un standard voluntar, pe care îl certifici ca să arăți clienților că ai un sistem. Partea din mijloc, adică riscurile, regulile, accesul, continuitatea, furnizorii și dovezile, o facem o dată și o folosim pentru amândouă.
Citește ghidul NIS2Analiza lipsurilor
Ce verificăm: diferența dintre ce scrie și ce poți dovedi
Nouă zone, aceleași pentru NIS2 și ISO 27001. Alege una și vezi ce verificăm, ce întrebare punem și ce dovadă căutăm.
Zona 01 din 9
Guvernanță și responsabili
Cine decide, cine răspunde și cum ajung riscurile la conducere.
„Știe conducerea care sunt primele 5 riscuri ale firmei?”
Roluri numite, decizii ale conducerii, rapoarte periodice.
Zona 02 din 9
Managementul riscului
Metoda de evaluare, registrul riscurilor, riscurile acceptate și planul de tratare.
„Cine a acceptat ultimul risc și când?”
Registrul riscurilor cu responsabil, termen și decizie.
Zona 03 din 9
Politici și proceduri
Dacă documentele descriu ce se întâmplă de fapt în firmă.
„Ce politică ați aplicat ultima dată și cum se vede?”
Politici aprobate, versiuni, confirmări de citire.
Zona 04 din 9
Conturi și Microsoft 365
Verificarea în doi pași, accesul condiționat, conturile de administrator, partajarea externă (Entra ID, Intune, Defender, Purview).
„Câte conturi de administrator aveți și cine le folosește?”
Rapoarte de configurare, revizuiri de acces, jurnale de audit.
Zona 05 din 9
Backup și continuitate
Ce se salvează, cât de des, cât durează recuperarea (RTO/RPO) și dacă a fost testată.
„Când ați restaurat ultima dată ceva important?”
Teste de restaurare documentate, plan de continuitate.
Zona 06 din 9
Jurnale și detecție
Ce evenimente se păstrează, cât timp și cine primește alertele.
„Puteți arăta cine a intrat în sistem ieri la 14:00?”
Surse de jurnale, retenție, reguli de alertare.
Zona 07 din 9
Răspuns la incidente
Clasificare, escaladare, comunicare și raportarea către DNSC în 24h și 72h.
„Cine decide, la 2 noaptea, că incidentul e semnificativ?”
Procedura, lista de contacte, un exercițiu documentat.
Zona 08 din 9
Furnizori
Furnizorii critici, accesul lor, clauzele de securitate și dependențele.
„Ce furnizor, dacă dispare mâine, vă oprește activitatea?”
Registrul furnizorilor, evaluări, clauze contractuale.
Zona 09 din 9
Dovezi și audit
Legătura dintre cerință, măsură, responsabil și dovadă, gata pentru audit.
„Dacă vine auditorul luni, ce îi arătați?”
Registrul de dovezi, cu status și responsabil.
Verificare gratuită, 2 minute
Unde ești acum? Harta ta de maturitate
Pentru fiecare zonă, alege ce e adevărat azi. Harta se colorează pe loc și îți arată primele trei priorități. Nimic nu e trimis nicăieri.
- Guvernanță și responsabili
- Managementul riscului
- Politici și proceduri
- Conturi și Microsoft 365
- Backup și continuitate
- Jurnale și detecție
- Răspuns la incidente
- Furnizori
- Dovezi și audit
Cum decurge
Harta proiectului, de la prima săptămână la certificare
Duratele sunt cele obișnuite pentru o firmă de 50–250 de angajați. Primești calendarul exact după discuția inițială.
- Perimetrulsăptămâna 1
Ce entitate, servicii, sisteme, date și furnizori intră în analiză.
- Evaluareasăptămânile 2–4
Configurații, documente, discuții cu oamenii-cheie și dovezi existente.
- Planulsăptămâna 5
Registrul riscurilor, priorități, responsabili și planul pe 30/60/90 de zile.
- Implementarealunile 2–6
Măsurile din plan, cu dovada fiecăreia. Echipa ta execută, noi ghidăm și verificăm.
- Auditul de certificareopțional, din luna 7
Doar pentru ISO 27001: auditul în două etape, făcut de un organism de certificare acreditat.
Ce primești
Documentele vin din control, nu îl înlocuiesc
Opt livrabile. Inima lor e registrul de dovezi: pentru fiecare cerință, măsura, responsabilul, dovada și statusul.
Exemplu ilustrativ dintr-un registru de dovezi.
- Raportul pentru managementExecutive reportRiscurile și deciziile, pe înțelesul conducerii.
- Analiza lipsurilorGap assessmentUnde ești, ce lipsește și cât de grav e.
- Registrul riscurilorRisk registerFiecare risc cu impact, responsabil și decizie.
- Planul de tratareRisk treatment planCe se face, cine, până când.
- Declarația de aplicabilitateStatement of ApplicabilityCare din cele 93 de controale ISO se aplică și de ce.
- Politici și proceduriPoliciesDoar cele necesare, scrise după cum lucrați de fapt.
- Registrul de doveziEvidence registerCerință, măsură, dovadă, responsabil, status.
- Planul pe 30/60/90 de zileRoadmapOrdinea realistă în care se rezolvă.
Spus direct
Ce promitem și ce nu promitem
Ce facem
- Îți spunem sincer unde ești, inclusiv ce nu e în regulă
- Prioritizăm după risc, nu după cât de bine arată pe hârtie
- Scriem doar documentele de care ai nevoie
- Lucrăm cu echipa ta IT sau cu furnizorul, nu în locul lor
Ce nu facem
- Nu emitem certificatul ISO: îl dă un organism acreditat
- Nu vindem „conformitate garantată” din șabloane
- Nu înlocuim avocatul pentru interpretarea juridică finală
- Nu îți cerem să oprești activitatea în timpul evaluării
Primul pas
Hai să vorbim 30 de minute despre NIS2 și ISO 27001.
Îmi spui ce ți se cere și de cine. La final știi dacă intri sub NIS2, ce drum are sens și cât durează.
- Alegi un momentcare îți convine
- Vorbim 30 de minuteonline sau la telefon
- Primești o propunerecu pași și preț
Mai departe
Resurse gratuite și servicii legate
Întrebări
Întrebări frecvente despre NIS2 și ISO 27001
Care e diferența dintre NIS2 și ISO 27001?
NIS2 e o obligație legală pentru firmele din anumite sectoare, transpusă în România prin OUG 155/2024 și supravegheată de DNSC. ISO/IEC 27001 e un standard voluntar pentru un sistem de management al securității informației, care poate fi certificat. Au o bază comună mare, așa că le construim împreună.
Certificarea ISO 27001 ne face conformi NIS2?
Nu automat. Certificarea acoperă mult din ce cere NIS2 (riscuri, politici, controale, dovezi), dar NIS2 are cerințe proprii: înregistrarea la DNSC, raportarea incidentelor în 24 și 72 de ore și răspunderea conducerii.
Voi ne dați certificarea ISO 27001?
Nu. Certificarea o acordă un organism de certificare acreditat, după un audit în două etape. Noi pregătim sistemul și dovezile, ca auditul să decurgă fără surprize. Așa e corect: cine te pregătește nu are voie să te și certifice.
Cât durează?
Evaluarea și planul durează de obicei 4–5 săptămâni. Implementarea depinde de câte lipsuri sunt și de ritmul echipei tale, de obicei între 2 și 6 luni. Primești o estimare concretă după discuția inițială.
Cu ce începem dacă documentația e incompletă?
Cu perimetrul și evaluarea. Politicile au sens abia după ce înțelegem sistemele, riscurile, accesul, furnizorii și procesele reale.
Ajutați și cu partea tehnică?
Da. Evaluarea intră în conturi și Microsoft 365, acces privilegiat, backup, jurnale, rețea și alte zone relevante. Măsurile tehnice le aplică echipa ta sau furnizorul, cu ghidarea noastră.
Cât costă?
Depinde de mărimea firmei și de perimetru. Prima discuție, de 30 de minute, nu te costă nimic. După ea primești o propunere scrisă, cu ce se face, ce primești și prețul.
Surse oficiale