Orice cadru serios de securitate cibernetică pornește de la același document: o politică de securitate a informațiilor (ISSP) scrisă și aprobată de conducere. NIS2 o enumeră prima dintre măsurile de gestionare a riscurilor de la articolul 21, iar ISO/IEC 27001 o impune la clauza 5.2. Security Policy Express ghidează un IMM european printr-un atelier online și generează o primă versiune structurată, în numele său: un proiect de lucru pe care consultanții săi îl vor verifica, nu consultanță juridică.
Răspunsul dintr-un minut, pentru un director general care nu este specialist IT.
O politică de securitate a informațiilor (adesea abreviată ISSP, sau PSSI în franceză) este documentul prin care conducerea declară, în scris, cum protejează compania informațiile și sistemele IT, cine este responsabil de ce și ce reguli trebuie respectate de toată lumea. Este scurtă în partea de sus (o declarație de politică semnată de conducere) și mai detaliată dedesubt (reguli tematice și proceduri operaționale). Nu este un manual tehnic: este o decizie a conducerii, pusă pe hârtie, la care poate face trimitere restul muncii dumneavoastră de securitate.
ISO/IEC 27001 atribuie politica „conducerii de vârf” (top management), iar NIS2 articolul 20 cere ca organele de conducere ale entităților vizate să aprobe măsurile de gestionare a riscurilor de securitate cibernetică și să supravegheze punerea lor în aplicare. Furnizorul dumneavoastră IT vă poate ajuta să o redactați; doar conducerea o poate asuma.
Surse: Directiva (UE) 2022/2555, art. 20 · ISO/IEC 27001:2022, clauza 5Buna practică distinge trei niveluri. Politica enunță principiile și responsabilitățile. Politicile tematice (controlul accesului, backup, criptografie, furnizori...) le traduc pe fiecare domeniu. Procedurile descriu cine face ce, pas cu pas, atunci când se întâmplă ceva. Controlul 5.1 din ISO/IEC 27001 menționează explicit atât politica, cât și politicile tematice.
Sursa: ISO/IEC 27001:2022, anexa A, controlul 5.1Niciun text european nu impune un singur șablon. NIS2 articolul 21(1) cere măsuri „adecvate și proporționale”, ținând cont de expunerea entității la riscuri, de dimensiunea sa și de probabilitatea și gravitatea incidentelor. Un producător cu 40 de angajați și un spital nu vor redacta aceeași politică și nu trebuie să o facă.
Sursa: Directiva (UE) 2022/2555, art. 21(1)O politică scrisă o dată și arhivată nu protejează nimic. Standardele se așteaptă ca ea să fie comunicată personalului, confirmată de acesta și reexaminată la intervale planificate și după schimbări importante. De aceea politica dumneavoastră ar trebui să includă de la început propriul ciclu de reexaminare, responsabilul și istoricul versiunilor.
Sursa: ISO/IEC 27001:2022, clauza 5.2 și controlul 5.1Majoritatea companiilor mici și mijlocii aplică deja unele reguli de securitate. Ceea ce lipsește de obicei este versiunea scrisă, aprobată și coerentă, pe care un regulator, un auditor, un asigurător sau un client mare o poate citi efectiv.
NIS2 extinde regulile europene de securitate cibernetică la multe companii mijlocii din sectoare precum industria, alimentarea, gestionarea deșeurilor, transportul sau serviciile digitale. Pentru entitățile vizate, „politicile privind analiza riscurilor și securitatea sistemelor informatice” sunt prima măsură enumerată la articolul 21(2).
NIS2 articolul 21(2)(d) cere entităților vizate să abordeze securitatea lanțului de aprovizionare, inclusiv aspectele de securitate ale relațiilor cu furnizorii direcți. Chiar dacă nu intrați în domeniul de aplicare, clienții mari vă pot cere o politică de securitate scrisă în chestionarele lor pentru furnizori.
Redactarea unei politici înseamnă să răspunzi simultan la multe întrebări: care sunt activele critice, cine decide, ce facem în caz de atac ransomware, cât timp păstrăm backupurile? Fără o structură, exercițiul tinde să fie amânat, trimestru după trimestru.
Șabloanele descărcate descriu adesea o organizație cu un responsabil de securitate, un centru de operațiuni de securitate și un buget dedicat. Un document care nu corespunde realității este mai rău decât niciunul: nu va fi aplicat, iar un auditor va observa diferența dintre hârtie și practică.
Același document răspunde simultan mai multor texte. Iată ce spune fiecare dintre ele, cu un link către sursa oficială. Fiecare referință trimite la sursa oficială; transpunerile naționale pot adăuga detalii.
Entitățile esențiale și importante trebuie să adopte „măsuri tehnice, operaționale și organizatorice adecvate și proporționale” pentru gestionarea riscurilor de securitate cibernetică, pe baza unei abordări all-hazards (a tuturor pericolelor). Lista de la articolul 21(2) începe cu „(a) politici privind analiza riscurilor și securitatea sistemelor informatice”. Articolul 20 adaugă că organele de conducere aprobă aceste măsuri, supraveghează punerea lor în aplicare și urmează formare.
Clauza 5.2 cere conducerii de vârf să stabilească o politică de securitate a informațiilor adecvată scopului organizației, care oferă un cadru pentru obiectivele de securitate și include angajamente de respectare a cerințelor aplicabile și de îmbunătățire continuă. Ea trebuie documentată, comunicată intern și pusă la dispoziția părților interesate, după caz. Controlul A.5.1 din anexa A extinde aceasta la politicile tematice, aprobate, publicate, confirmate și reexaminate.
Articolul 24(2) prevede că, atunci când este proporțional cu activitățile de prelucrare, măsurile operatorului includ „punerea în aplicare a politicilor adecvate de protecție a datelor”. Articolul 32 cere măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului. O politică de securitate este locul firesc pentru a documenta aceste măsuri.
Pentru anumite entități digitale (de exemplu furnizorii de cloud computing, de centre de date și de servicii gestionate), Comisia a adoptat cerințe tehnice și metodologice detaliate. Anexa sa începe cu o „politică privind securitatea rețelelor și a sistemelor informatice” și descrie cum este aprobată, documentată și reexaminată. Chiar dacă compania dumneavoastră nu face parte din aceste tipuri de entități, anexa este o referință publică utilă pentru structurarea unei politici.
Pentru entitățile financiare, DORA impune dezvoltarea și documentarea unei politici de securitate a informațiilor care definește reguli de protecție a disponibilității, autenticității, integrității și confidențialității datelor, activelor informaționale și activelor TIC. Dacă sunteți furnizor TIC al unei bănci sau al unui asigurător, așteptați-vă ca clientul să întrebe cum se compară politica dumneavoastră cu a sa.
Agențiile naționale de securitate cibernetică publică ghiduri gratuite pe care o politică le poate folosi ca bază. În Franța, ghidul ANSSI de igienă informatică prevede 42 de măsuri esențiale pentru responsabilii de securitate a sistemului informatic al unei organizații. ENISA, Agenția Uniunii Europene pentru Securitate Cibernetică, publică ghiduri care susțin punerea în aplicare a NIS2 în întreaga Uniune.
Articolul 21(2) din NIS2 enumeră zece măsuri minime. Punctul (a) este chiar politica, dar o politică bine construită este și locul unde celelalte nouă își găsesc responsabilul, regula și procedura. Așa structurăm documentul generat.
Declarația de politică, domeniul de aplicare, rolurile și metoda utilizată pentru identificarea și evaluarea riscurilor. Este coloana vertebrală a documentului.
O procedură de gestionare a incidentelor: detectare, calificare, escaladare, izolare, notificare și lecții învățate.
Gestionarea backupurilor, recuperarea în caz de dezastru și gestionarea crizelor, așa cum formulează directiva: cine decide, ce repornește primul, cât de des sunt testate backupurile.
Reguli pentru alegerea, contractarea și monitorizarea furnizorilor IT și a prestatorilor de servicii, inclusiv clauzele de securitate pe care le așteptați de la ei.
Cum sunt alese și configurate sistemele noi, cum sunt aplicate actualizările și cum sunt tratate și divulgate vulnerabilitățile.
Politici și proceduri pentru a verifica dacă măsurile funcționează: indicatori, reexaminări interne, exerciții și analiza de către conducere.
Regulile de zi cu zi (parole, actualizări, conștientizarea phishingului) și un plan de formare, inclusiv pentru conducere, cum cere articolul 20(2) pentru organele de conducere.
Când datele trebuie criptate (laptopuri, backupuri, transferuri), ce protocoale sunt acceptabile și cine gestionează cheile.
Angajări, mutări și plecări; cine primește ce acces și cine îl aprobă; un inventar al activelor cu proprietarii lor.
Unde este cerută autentificarea multifactor sau continuă și cum sunt securizate comunicațiile vocale, video, text și de urgență.
Corespondențele cu ISO/IEC 27001 sunt indicative, stabilite de noi pentru a vă ajuta să navigați, și nu reprezintă o corespondență oficială publicată de ISO sau de Comisia Europeană. Sursa celor zece măsuri: Directiva (UE) 2022/2555, art. 21(2).
Documentul generat urmează o structură pe care un auditor, un asigurător sau un client o va recunoaște. Fiecare capitol este completat din răspunsurile date în atelier, astfel încât să descrie compania dumneavoastră, nu una fictivă.
Angajamentul conducerii, în câteva paragrafe, semnat și datat.
Cine decide, cine implementează, cine verifică, inclusiv atunci când IT-ul este externalizat.
O modalitate simplă și repetabilă de a identifica, evalua și trata riscurile.
Să știți ce protejați înainte de a decide cum.
Cine poate accesa ce și cum se dovedește aceasta.
Nivelul de bază tehnic, scris în limbaj simplu.
Unde este necesară criptarea și cum este gestionată.
Securitatea în relațiile cu furnizorii IT și serviciile cloud.
Partea umană, de la angajare până la plecare.
Sedii, camere de servere și echipamente în afara biroului.
Principiile, detaliate în procedurile de mai jos.
Cum rămâne politica vie și corectă.
O politică spune ce trebuie să se întâmple; o procedură spune cine o face, în ce ordine și cu ce înregistrare. Acestea sunt cele patru pe care clienții și auditorii le cer cel mai des și care contează cel mai mult în ziua în care ceva merge prost.
De la prima alertă până la raportul final: cum raportează personalul un eveniment suspect, cine îl califică, cine izolează sistemele afectate, cine contactează furnizorul IT, asigurătorul și autoritățile și cum sunt păstrate probele.
Cum este solicitat, aprobat, creat, modificat și eliminat un cont. Procedura acoperă sosirile, schimbările de rol și plecările, conturile de administrator, conturile partajate și de serviciu, precum și revizuirea periodică prin care un manager confirmă că fiecare persoană mai are nevoie de accesul pe care îl are.
Cum este descrisă, evaluată din punct de vedere al riscului, aprobată, testată, efectuată și, dacă este cazul, anulată o modificare a unui sistem de producție (o aplicație nouă, o regulă de firewall, o actualizare majoră). Într-o companie mică, procesul poate fi ușor: un formular scurt și un registru sunt suficiente, cu condiția să existe și să fie folosite.
Ce se salvează, cât de des, unde, pentru cât timp și, mai ales, cum se testează restaurarea. Procedura leagă backupurile de obiectivele de recuperare pentru fiecare activitate critică și descrie organizarea de criză: cine decide, cine comunică, ce sisteme repornesc primele.
Politica este scrisă pentru conducere și IT. Politica de utilizare acceptabilă (PUA; în engleză, AUP) este scrisă pentru toți ceilalți: setul scurt și ușor de citit de reguli pe care fiecare angajat, angajat temporar sau colaborator extern îl acceptă înainte de a folosi IT-ul companiei.
Utilizarea conturilor și a parolelor, e-mailul și mesageria, accesul la internet, utilizarea personală tolerată sau nu, dispozitivele mobile și munca la distanță, suporturile amovibile, serviciile cloud și instrumentele de IA generativă, confidențialitatea, raportarea incidentelor și ce poate monitoriza compania și de ce.
Controlul 5.10 din ISO/IEC 27001 cere ca regulile de utilizare acceptabilă a informațiilor și a celorlalte active asociate să fie identificate, documentate și implementate. Păstrarea acestor reguli într-o anexă separată le face mai ușor de citit, de semnat, de actualizat și de atașat documentelor de angajare.
Atunci când PUA menționează jurnalizarea sau monitorizarea activității personalului, se aplică legislația privind protecția datelor: angajații trebuie informați (RGPD art. 13), iar statele membre pot adopta reguli mai specifice pentru contextul de muncă (RGPD art. 88). Autorități de protecție a datelor precum CNIL publică ghiduri despre ce este acceptabil.
Pentru ca PUA să fie obligatorie pentru angajați, pot fi necesare formalități naționale. În Franța, de exemplu (de confirmat cu consultantul dumneavoastră în raport cu Codul muncii), reguli de acest tip sunt de obicei anexate regulamentului intern (règlement intérieur), care urmează o procedură stabilită de Codul muncii, inclusiv consultarea reprezentanților personalului. Verificați cu consultantul dumneavoastră regulile țării dumneavoastră.
Surse: ISO/IEC 27001:2022, A.5.10 · Regulamentul (UE) 2016/679, art. 13, 88 · CNIL · Légifrance, Codul muncii francez, art. L1321-4 și L1321-5.
O politică descrie o companie care se schimbă: personal nou, programe noi, furnizori noi, amenințări noi. Cadrele de referință citate aici se așteaptă, în general, ca ea să fie menținută la zi. Documentul generat include propriul calendar de reexaminare, responsabilul și tabelul versiunilor.
Prima versiune este aprobată de conducere, datată și versionată. Conform NIS2 art. 20(1), organele de conducere ale entităților vizate aprobă măsurile de gestionare a riscurilor de securitate cibernetică; conform ISO/IEC 27001 clauza 5.2, conducerea de vârf stabilește politica.
Politica este publicată intern; politica de utilizare acceptabilă este confirmată de fiecare utilizator. Controlul 5.1 din ISO/IEC 27001 se așteaptă ca politicile să fie comunicate personalului relevant și părților interesate și confirmate de acesta.
Controlul 5.1 din ISO/IEC 27001 cere reexaminarea la intervale planificate și în caz de schimbări semnificative. O reexaminare anuală este un punct de plecare rezonabil pentru un IMM; Regulamentul de punere în aplicare (UE) 2024/2690 încadrează, de asemenea, reexaminarea politicii pentru tipurile de entități digitale pe care le acoperă.
Un incident grav, o fuziune, un sediu nou, trecerea în cloud sau o reglementare nouă sunt motive pentru a redeschide documentul fără a aștepta data aniversară. Lecțiile învățate din incidente alimentează versiunea următoare.
Tabelul versiunilor, registrul aprobărilor, lista modificărilor, confirmările de luare la cunoștință. În ziua în care un auditor, un asigurător sau un client va cere, acest istoric arată că politica este aplicată și nu doar scrisă. Clauza 7.5 din ISO/IEC 27001 reglementează aceste informații documentate.
Security Policy Express este conceput ca un instrument self-service. Rămâneți stăpân pe conținut; instrumentul oferă structura, întrebările și referințele.
Un test scurt vă întreabă despre sector, dimensiune, activități și clienți și vă spune dacă NIS2 este probabil să se aplice, ce alte texte pot fi relevante și ce părți ale politicii contează cel mai mult în situația dumneavoastră. Vă indică instrumentele oficiale ale autorității naționale pentru un răspuns definitiv.
Răspundeți, cu propriile cuvinte, la o serie de întrebări ghidate, capitol cu capitol: organizația dumneavoastră, activitățile critice, furnizorul IT, backupurile, modul în care gestionați plecările, ce ați face în caz de ransomware. Fiecare întrebare explică de ce este pusă și la ce articol sau control se referă. Puteți opri și relua oricând.
Instrumentul generează politica, cele patru proceduri și anexa de utilizare acceptabilă în numele companiei dumneavoastră, pe baza răspunsurilor. Acolo unde un răspuns lipsește, documentul o spune explicit, în loc să umple golul cu text generic. Rezultatul este un proiect de lucru, care trebuie revizuit și validat de consultanții dumneavoastră (avocat, furnizor IT, responsabil cu protecția datelor) înainte de aprobarea de către conducere.
Dacă doriți ajutor pentru a verifica răspunsurile, a adapta documentul unui context specific sau a vă pregăti pentru un audit, puteți cere sprijinul unui consultant partener. Acest pas este opțional: calea self-service este completă și fără el.
Important: documentul generat este o bază de lucru. Nu constituie consultanță juridică și nu face, prin sine, compania dumneavoastră conformă cu NIS2, ISO/IEC 27001, RGPD sau cu orice lege națională. Conformitatea depinde de ceea ce implementați efectiv și rămâne responsabilitatea dumneavoastră.
Trei blocuri, generate împreună din același atelier. Disponibilitatea și condițiile vor fi anunțate la lansare.
Documentul de bază, semnat de conducere.
Ceea ce face politica operațională.
Ca să vă orientați în texte.
Trebuie evitate confuziile între două situații: o obligație legală pentru companiile din domeniul de aplicare al NIS2 (sau al DORA) și o bună practică puternic recomandată pentru toți ceilalți.
NIS2 se aplică, în general, entităților publice sau private de tipurile enumerate în anexele I sau II, care au statutul de întreprindere mijlocie sau depășesc plafoanele pentru întreprinderile mijlocii, astfel cum sunt definite în Recomandarea Comisiei 2003/361/CE (art. 2(1)). Anumite tipuri de entități sunt vizate indiferent de dimensiune (art. 2(2)). Entitățile sunt apoi clasificate drept „esențiale” sau „importante” (art. 3), ceea ce influențează supravegherea și sancțiunile, dar ambele trebuie să aplice articolul 21.
Anexa I (sectoare cu criticitate ridicată): energie, transport, bancar, infrastructuri ale pieței financiare, sănătate, apă potabilă, ape uzate, infrastructură digitală, gestionarea serviciilor TIC (între întreprinderi), administrație publică și spațiu. Anexa II (alte sectoare critice): servicii poștale și de curierat, gestionarea deșeurilor, produse chimice, alimente, producție (inclusiv dispozitive medicale, electronică, echipamente electrice, mașini și vehicule), furnizori digitali și cercetare.
NIS2 este o directivă: statele membre au trebuit să o transpună până la 17 octombrie 2024 și să aplice măsurile din 18 octombrie 2024 (art. 41). Statutul și detaliile transpunerii diferă de la o țară la alta, iar legea națională poate preciza conținutul măsurilor. Verificați întotdeauna legea și instrumentele oficiale de verificare a eligibilității din țara dumneavoastră.
În afara acestor domenii, niciun drept european general nu obligă un IMM să adopte un document numit „politică de securitate a informațiilor”. Dar RGPD se aplică aproape fiecărei companii, clienții întreabă tot mai des furnizorii despre securitate, iar o politică scrisă este primul pas al oricărui cadru recunoscut. Este o alegere de prudență, nu o sancțiune legală.
Surse: Directiva (UE) 2022/2555, art. 2, 3, 41 și anexele I și II · Recomandarea Comisiei 2003/361/CE · Comisia Europeană, pagina directivei NIS2 · Franța: ANSSI, pagina NIS 2 (MesServicesCyber).
Fiecare afirmație de reglementare sau normativă de mai sus trimite la una dintre aceste surse. Linkurile duc către editorul oficial.
Această pagină este oferită cu titlu informativ. Nu constituie consultanță juridică. Textele sunt citate în versiunea publicată pe EUR-Lex; transpunerile naționale și ghidurile autorităților pot adăuga cerințe.
Atelierul self-service este în pregătire. Întrebări între timp: contact@syaga.eu.