Securizarea rețelelor și a sistemelor informatice.
Și dovada că o faceți.

NIS2 este Directiva (UE) 2022/2555 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune. Este o directivă, nu un regulament: obligă statele membre, fiecare dintre ele transpunând-o în dreptul național. Ce trebuie să facă o organizație este stabilit, așadar, de legea națională, care urmează directiva și poate merge mai departe.

A înlocuit Directiva (UE) 2016/1148, prima Directivă NIS, care acoperea mult mai puține sectoare, lăsa statelor membre decizia asupra domeniului de aplicare și a fost aplicată foarte inegal. NIS2 stabilește o regulă comună privind dimensiunea, adaugă sectoare, armonizează măsurile de securitate și raportarea incidentelor, face organele de conducere răspunzătoare și oferă autorităților de supraveghere competențe reale și amenzi.

Directiva și regulamentul de punere în aplicare

Articolul 21 alineatul (2) din directivă enumeră în text zece măsuri de gestionare a riscurilor. Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei le transformă într-o anexă cu treisprezece puncte numerotate, cu cerințe detaliate. Se aplică direct unei liste de furnizori digitali (DNS, domenii de prim nivel, cloud, centre de date, rețele de furnizare de conținut, servicii gestionate și servicii de securitate gestionate, piețe online, motoare de căutare online, rețele de socializare și servicii de încredere). Pentru orice altă entitate, este cea mai precisă interpretare la nivelul UE a articolului 21 și cea pe care o citează evaluatorii.

Modificări în discuție

În ianuarie 2026, Comisia a propus modificări punctuale ale NIS2, împreună cu o revizuire a Regulamentului privind securitatea cibernetică, pentru a simplifica conformitatea și a clarifica normele. Până la adoptarea și transpunerea oricărei modificări, se aplică directiva în forma transpusă în dreptul național; măsurile și termenele de pe această pagină nu sunt modificate de propunere.

Decid două lucruri: dacă activitatea dvs. se încadrează într-unul dintre cele optsprezece sectoare din anexa I sau anexa II și dacă sunteți cel puțin o întreprindere mijlocie. Câteva entități intră în domeniul de aplicare indiferent de dimensiune.

Regula privind dimensiunea (articolul 2 alineatul (1))

Directiva se aplică entităților publice sau private de un tip enumerat în anexa I sau II care se califică drept întreprinderi mijlocii în temeiul Recomandării 2003/361/CE a Comisiei sau care depășesc plafoanele acesteia și care își furnizează serviciile sau își desfășoară activitățile în Uniune.

Cifrele sunt cele din recomandare; întreprinderile partenere și cele legate se iau în calcul, așa că o filială mică a unui grup mare de regulă nu este mică. Articolul 3 alineatul (4) din anexa recomandării, care poate permite unei întreprinderi să își păstreze statutul de IMM, nu se aplică în cazul NIS2.

În domeniul de aplicare indiferent de dimensiune (articolul 2 alineatul (2))

• Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului.
• Furnizorii de servicii de încredere.
• Registrele de nume de domenii de prim nivel și furnizorii de servicii DNS.
• Furnizorul unic, într-un stat membru, al unui serviciu esențial pentru activități societale sau economice critice.
• Entitățile a căror perturbare ar putea afecta semnificativ siguranța publică, securitatea publică sau sănătatea publică ori ar putea genera un risc sistemic semnificativ.
• Entitățile critice din cauza importanței lor specifice la nivel național sau regional.
• Entitățile din administrația publică a guvernului central și, la nivel regional, atunci când o evaluare bazată pe riscuri o justifică.
• Entitățile identificate drept entități critice în temeiul Directivei (UE) 2022/2557 privind reziliența entităților critice și entitățile care furnizează servicii de înregistrare a numelor de domenii.

Cine este exclus

Directiva nu se aplică entităților din administrația publică ce își desfășoară activitățile în domeniile securității naționale, securității publice, apărării sau aplicării legii și nici sistemului judiciar, parlamentelor și băncilor centrale. Statele membre pot excepta anumite entități din aceste domenii.

Legea cărei țări se aplică (articolul 26)

Ca regulă, cea a statului membru în care este stabilită entitatea. Furnizorii de comunicații electronice publice intră sub jurisdicția fiecărui stat membru în care furnizează servicii. Furnizorii de servicii DNS, registrele de domenii de prim nivel și furnizorii de servicii de înregistrare a numelor de domenii, furnizorii de servicii de cloud computing, de centre de date și de rețele de furnizare de conținut, furnizorii de servicii gestionate și furnizorii de servicii de securitate gestionate, piețele online, motoarele de căutare online și rețelele de socializare intră sub jurisdicția statului membru în care se află sediul principal din Uniune; cei stabiliți în afara Uniunii trebuie să desemneze un reprezentant într-un stat membru în care oferă servicii.

Anexa I enumeră unsprezece sectoare cu grad ridicat de criticitate; anexa II enumeră șapte alte sectoare critice. Anexa în care vă aflați, împreună cu dimensiunea dvs., decide dacă sunteți o entitate esențială sau importantă — nu ce măsuri se aplică.

Anexa I — sectoare cu grad ridicat de criticitate

Anexa II — alte sectoare critice

Fiecare entitate din domeniul de aplicare este fie esențială, fie importantă (articolul 3). Categoria schimbă modul în care sunteți supravegheat și cât de mare poate fi o amendă. Ea nu schimbă măsurile de securitate care se aplică: toate cele zece se aplică ambelor categorii.

1. Întrebarea 1

   Ce facem, de fapt?

   Descrieți-vă activitatea cu propriile cuvinte și comparați-o cu sectoarele și tipurile de entități de mai sus. Luați în calcul fiecare activitate, nu doar pe cea principală.

2. Întrebarea 2

   Cât de mari suntem?

   Personal, cifră de afaceri și bilanț, inclusiv întreprinderile partenere și cele legate. Un răspuns aproximativ este suficient pentru început.

3. Întrebarea 3

   Unde ne desfășurăm activitatea?

   Statele membre în care sunteți stabiliți sau în care furnizați servicii. Acestea decid ce lege se aplică și ce autoritate este competentă.

4. Întrebarea 4

   Se aplică o regulă independentă de dimensiune?

   Comunicații publice, servicii de încredere, TLD sau DNS, furnizor unic al unui serviciu esențial, administrație publică, entitate critică.

Anexa I și peste plafoanele pentru întreprinderile mijlocii înseamnă de regulă entitate esențială; Anexa I la dimensiune medie sau Anexa II înseamnă de regulă entitate importantă. Verificați apoi legislația națională și ghidurile autorității dvs., care pot desemna entități sau pot adăuga detalii. Dacă aveți dubii, întrebați autoritatea națională: multe publică un instrument de autoevaluare și un formular de înregistrare.

Statele membre trebuiau să stabilească, până la 17 aprilie 2025, o listă a entităților esențiale și importante, precum și a entităților care furnizează servicii de înregistrare a numelor de domenii, și să o revizuiască cel puțin o dată la doi ani (articolul 3 alineatul (3)). Pentru întocmirea ei, entitățile transmit cel puțin:

• denumirea lor;
• adresa și datele de contact actualizate, inclusiv adresele de e-mail, intervalele IP și numerele de telefon;
• sectorul și subsectorul relevante din anexa I sau II, după caz;
• după caz, statele membre în care furnizează servicii care intră în domeniul de aplicare.

Modificările trebuie notificate fără întârziere și, în orice caz, în termen de două săptămâni. Furnizorii digitali a căror jurisdicție este dată de sediul principal (DNS, TLD, înregistrarea numelor de domenii, cloud, centre de date, rețele de furnizare de conținut, servicii gestionate și servicii de securitate gestionate, piețe online, motoare de căutare online și platforme de servicii de socializare în rețea) își transmit datele și pentru registrul ținut de ENISA (articolul 27), inclusiv sediul principal și celelalte sedii din Uniune.

Modul și termenul de înregistrare sunt stabilite de legislația națională: căutați platforma de înregistrare și termenul-limită ale autorității dvs.

Articolul 20 alineatul (1): statele membre se asigură că organele de conducere ale entităților esențiale și importante aprobă măsurile de gestionare a riscurilor în materie de securitate cibernetică luate pentru a respecta articolul 21, supraveghează punerea lor în aplicare și pot fi trase la răspundere pentru încălcarea acestui articol.

Articolul 20 alineatul (2): membrii organelor de conducere au obligația de a urma cursuri de formare, iar entitățile sunt încurajate să ofere periodic o formare similară angajaților lor, astfel încât aceștia să dobândească suficiente cunoștințe și competențe pentru a identifica riscurile și a evalua practicile de gestionare a riscurilor în materie de securitate cibernetică și impactul lor asupra serviciilor furnizate de entitate.

Aceasta este schimbarea care a mutat securitatea cibernetică de pe o linie a bugetului IT pe agenda consiliului de administrație. În practică, un auditor va căuta aprobarea măsurilor de către consiliu, procese-verbale care arată supravegherea și dovezi ale formării pentru fiecare membru.

Articolul 21 alineatul (1) impune măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru gestionarea riscurilor la adresa rețelelor și a sistemelor informatice utilizate pentru operațiunile sau serviciile dvs. și pentru prevenirea sau reducerea la minimum a impactului incidentelor. Măsurile trebuie să asigure un nivel de securitate adecvat riscului, ținând seama de stadiul actual al tehnologiei, de standardele europene și internaționale relevante și de costul punerii în aplicare. Proporționalitatea ține seama de gradul de expunere la riscuri, de dimensiunea entității și de probabilitatea și gravitatea incidentelor, inclusiv de impactul lor societal și economic.

Articolul 21 alineatul (2) prevede că măsurile se bazează pe o abordare care ține seama de toate riscurile — protejarea sistemelor și a mediului lor fizic împotriva incidentelor — și includ cel puțin cele zece de mai jos. Proporționalitatea se aplică profunzimii fiecăreia, niciodată alegerii celor pe care le acoperiți: cele zece sunt un minim, nu un meniu.

(a) Politici privind analiza riscurilor și securitatea sistemelor informatice

O metodă documentată de identificare și evaluare a riscurilor, un registru al riscurilor, decizii privind tratarea și acceptarea lor și o politică de securitate a informațiilor aprobată de conducere. Monitorizarea poate arăta că o bază tehnică de securitate este aplicată pe fiecare mașină; analiza riscurilor în sine este documentară.

Un auditor cere: metoda de evaluare a riscurilor și registrul curent; dovezi că politica este aplicată pe sisteme, nu doar scrisă.

(b) Gestionarea incidentelor

Detectarea, analiza, izolarea și răspunsul la incidente, cu roluri, un jurnal al incidentelor și analize ulterioare. Momentul primei detectări este cel cu care un evaluator compară raportarea dvs.

Un auditor cere: jurnalul incidentelor; timpii de la detectare la notificare pentru incidentele anterioare; dovada respectării termenelor de 24 de ore, 72 de ore și o lună.

(c) Continuitatea activității, cum ar fi gestionarea copiilor de rezervă și recuperarea în caz de dezastru, și gestionarea crizelor

Planuri de continuitate și recuperare cu obiective privind timpul și punctul de recuperare, copii de rezervă protejate și testate și o organizare pentru situații de criză. Controlul picat cel mai des la audit este restaurarea testată: o copie de rezervă care a rulat nu dovedește nimic până când datele nu au fost recuperate.

Un auditor cere: planul de continuitate și recuperare, cu obiectivele declarate; data și rezultatul ultimului test de restaurare.

(d) Securitatea lanțului de aprovizionare

Securitatea relațiilor cu fiecare furnizor direct și furnizor de servicii. Articolul 21 alineatul (3) vă obligă să țineți seama de vulnerabilitățile specifice fiecărui furnizor, de calitatea generală a produselor și a practicilor sale de securitate cibernetică, inclusiv de procedurile sale de dezvoltare securizată, precum și de rezultatele evaluărilor coordonate la nivelul UE ale riscurilor de securitate ale lanțurilor de aprovizionare critice.

Un auditor cere: un registru al furnizorilor clasificați după criticitate; evaluările riscurilor acestora; clauzele de securitate din contracte.

(e) Securitatea în achiziționarea, dezvoltarea și întreținerea rețelelor și a sistemelor informatice, inclusiv gestionarea și divulgarea vulnerabilităților

Cerințe de securitate la cumpărarea și construirea sistemelor, configurare securizată, gestionarea modificărilor, aplicarea corecțiilor, teste de securitate și o modalitate de a primi rapoarte privind vulnerabilitățile și de a acționa pe baza lor.

Un auditor cere: o politică de gestionare a vulnerabilităților, cu termene de remediere în funcție de gravitate, și dovezi că acestea sunt respectate — timpul de la detectare la remediere.

(f) Politici și proceduri de evaluare a eficacității măsurilor

Măsurarea funcționării efective a măsurilor: indicatori, audituri interne, analize efectuate de conducere și ce s-a schimbat în urma lor.

Un auditor cere: o tendință măsurabilă în timp, nu o captură de ecran; dovezi ale analizei periodice și ale rezultatului ei.

(g) Practici de bază în materie de igienă cibernetică și formare în domeniul securității cibernetice

Aplicarea corecțiilor, securizare, eliminarea conturilor implicite, închiderea porturilor nefolosite și formare pentru toți, adaptată rolului fiecăruia.

Un auditor cere: baza tehnică de igienă cibernetică și conformitatea actuală cu aceasta; evidența formării pentru fiecare persoană, cu date.

(h) Politici și proceduri privind utilizarea criptografiei și, după caz, a criptării

Ce algoritmi și lungimi de cheie sunt aprobate, unde este obligatorie criptarea (în repaus, în tranzit) și cum sunt generate, stocate, rotite și distruse cheile.

Un auditor cere: politica de criptografie; dovezi privind ciclul de viață al cheilor, în special rotirea; starea criptării sistemelor și a conexiunilor.

(i) Securitatea resurselor umane, politici de control al accesului și gestionarea activelor

Verificări ale antecedentelor, după caz, procese pentru angajare, schimbare de rol și plecare, privilegiul minim, revizuiri periodice ale accesului și un inventar al activelor, cu proprietari și clasificare.

Un auditor cere: dovezi că accesul celor care au plecat a fost revocat, cu date; ultima revizuire a accesului și cine a semnat-o; inventarul activelor.

(j) Utilizarea autentificării multifactor sau a autentificării continue, a comunicațiilor securizate și a sistemelor de comunicații de urgență securizate

Autentificare multifactor sau continuă, comunicații vocale, video și text securizate și sisteme de comunicații de urgență securizate, după caz.

Un auditor cere: acoperirea autentificării multifactor pe tipuri de cont, exportată din furnizorul de identitate; excepțiile și cine a aprobat fiecare excepție.

Când găsiți o lipsă (articolul 21 alineatul (4))

O entitate care constată că nu respectă măsurile trebuie să ia, fără întârzieri nejustificate, toate măsurile corective necesare, adecvate și proporționale. O lipsă pe care ați găsit-o, ați consemnat-o și ați remediat-o este dovada unui program funcțional; o lipsă ascunsă este o încălcare.

Adoptat la 17 octombrie 2024, regulamentul de punere în aplicare stabilește cerințele tehnice și metodologice ale măsurilor prevăzute la articolul 21, precum și situațiile în care un incident este semnificativ, pentru: furnizori de servicii DNS, registrele de nume de domenii de prim nivel, furnizori de servicii de cloud computing, furnizori de servicii de centre de date, furnizori de rețele de furnizare de conținut, furnizori de servicii gestionate, furnizori de servicii de securitate gestionate, furnizori de piețe online, de motoare de căutare online și de platforme de servicii de socializare în rețea și furnizori de servicii de încredere.

Fiind un regulament, se aplică direct acestora, fără transpunere. Pentru toți ceilalți, este cea mai bună interpretare tehnică disponibilă a articolului 21, iar Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) publică ghiduri tehnice de punere în aplicare pentru acesta.

Cele treisprezece puncte ale anexei

O entitate esențială sau importantă notifică CSIRT-ul național sau autoritatea competentă, fără întârzieri nejustificate, cu privire la orice incident semnificativ. După caz, notifică și destinatarii serviciilor sale cu privire la incidentele semnificative care i-ar putea afecta și comunică destinatarilor potențial afectați de o amenințare cibernetică semnificativă ce măsuri pot lua.

Ce face ca un incident să fie semnificativ

Un incident este semnificativ dacă (articolul 23 alineatul (3)):

• a cauzat sau poate cauza perturbări operaționale grave ale serviciilor sau pierderi financiare pentru entitate; sau
• a afectat sau poate afecta alte persoane fizice sau juridice, cauzând prejudicii materiale sau morale considerabile.

Pentru furnizorii digitali pe care îi vizează, regulamentul de punere în aplicare concretizează acest lucru. Un incident este semnificativ dacă, printre altele, a cauzat sau ar putea cauza pierderi financiare de peste €500.000 sau 5% din cifra de afaceri anuală, oricare dintre acestea este mai mică; exfiltrarea de secrete comerciale; decesul unei persoane sau prejudicii considerabile aduse sănătății unei persoane; ori un acces reușit, suspectat a fi rău-intenționat și neautorizat, la sisteme, capabil să cauzeze perturbări operaționale grave. Fiecare tip de furnizor are și praguri de serviciu — pentru un serviciu de cloud, de exemplu, indisponibilitatea completă timp de peste 30 de minute. Incidentele care se repetă de cel puțin două ori în șase luni, cu aceeași cauză aparentă, se iau în calcul împreună.

Etapele și termenele lor

CSIRT sau autoritatea răspunde la avertizarea timpurie în 24 de ore, cu un feedback inițial și, la cerere, cu îndrumări privind atenuarea. Raportarea nu atrage, în sine, o răspundere sporită a entității. Entitățile din afara domeniului de aplicare, precum și entitățile vizate, pentru incidente, amenințări și incidente evitate la limită care nu sunt semnificative, pot notifica și voluntar (articolul 30).

Ce trebuie să existe înainte de incident

• Monitorizare care înregistrează prima detectare, cu ora ei.
• Un mod scris de a decide dacă un incident este semnificativ și cine decide.
• Datele de contact și formularele CSIRT sau ale autorității dvs. și cine face raportarea.
• Șabloane pentru avertizarea timpurie, notificare și raportul final.
• Un registru al fiecărui incident, semnificativ sau nu, cu deciziile și orele.

Securitatea lanțului de aprovizionare este măsura (d), iar articolul 21 alineatul (3) vă cere să cântăriți vulnerabilitățile fiecărui furnizor direct, calitatea produselor și dezvoltarea securizată. Grupul de cooperare, împreună cu Comisia și ENISA, poate efectua evaluări coordonate ale riscurilor de securitate ale lanțurilor critice de aprovizionare TIC (articolul 22), ale căror rezultate trebuie să le luați în considerare.

Statele membre pot impune entităților să utilizeze anumite produse, servicii și procese TIC certificate în cadrul sistemelor europene de certificare a securității cibernetice (articolul 24) și încurajează utilizarea standardelor europene și internaționale (articolul 25).

În practică: țineți un registru al furnizorilor și prestatorilor de servicii, cu criticitatea lor, evaluați-i pe cei critici, introduceți clauze de securitate în contracte (notificarea incidentelor, drept de audit, subcontractanți, ieșire) și știți ce software al furnizorilor rulează pe sistemele dvs.

Fiecare stat membru desemnează una sau mai multe autorități competente și un punct unic de contact. Competențele lor depind de categoria entității.

Autoritățile trebuie să țină seama de circumstanțele fiecărui caz: gravitatea și durata încălcării, încălcările anterioare, prejudiciul cauzat, caracterul intenționat sau din neglijență, măsurile luate pentru a o preveni sau atenua, respectarea codurilor de conduită sau a certificărilor și cooperarea.

Acestea se aplică încălcărilor articolului 21 (măsurile) sau ale articolului 23 (raportarea). Directiva stabilește minimul plafonului maxim: legislația națională poate stabili plafoane mai mari, poate adăuga penalități cu titlu cominatoriu și decide dacă și cum sunt amendate entitățile administrației publice.

Persoanele fizice responsabile pentru o entitate esențială sau care acționează ca reprezentant legal al acesteia pot fi trase la răspundere pentru încălcarea obligației de a asigura conformitatea (articolul 32 alineatul (6)), iar organele de conducere pot fi trase la răspundere în temeiul articolului 20.

Atunci când o încălcare implică și o încălcare a securității datelor cu caracter personal, autoritatea informează autoritatea de supraveghere a protecției datelor; dacă pentru aceeași conduită se aplică o amendă GDPR, nu se mai aplică pentru ea o a doua amendă NIS2 (articolul 35).

NIS2 nu este doar un set de obligații pentru entități. Creează și structurile cărora li se raportează aceste obligații, pe care merită să le cunoașteți înainte de un incident, nu în timpul lui.

Deoarece NIS2 este o directivă, obligațiile vă revin prin legislația națională. Statele membre urmează directiva, dar diferă în privința platformelor și termenelor de înregistrare, a autorităților implicate, a cuantumului amenzilor peste minim, a tratamentului administrației publice și a sectoarelor suplimentare adăugate. Mai multe state au transpus-o cu întârziere, iar Comisia a deschis proceduri de constatare a neîndeplinirii obligațiilor împotriva celor care nu își notificaseră legislația până la termen.

România a transpus NIS2 prin Ordonanța de urgență a Guvernului (OUG) nr. 155/2024, aprobată prin Legea nr. 124/2025. Autoritatea competentă națională și CSIRT-ul național este Directoratul Național de Securitate Cibernetică (DNSC), unde entitățile vizate se înregistrează și raportează incidentele. Consultați îndrumările actuale ale DNSC pentru termenul de înregistrare, formulare și canalul de raportare.

Pentru orice stat membru: identificați legea națională, autoritatea competentă pentru sectorul dvs., platforma sa de înregistrare și canalul său de raportare a incidentelor. Aceste patru informații sunt prima pagină a oricărui dosar NIS2.

1. Pasul 1

   Stabiliți domeniul de aplicare și categoria

   Parcurgeți verificarea în patru întrebări; confirmați cu autoritatea națională; înregistrați-vă acolo unde este necesar.

2. Pasul 2

   Responsabilizați conducerea

   Aprobarea programului de către consiliu, un responsabil desemnat, formarea conducerii și un ritm de raportare către consiliu.

3. Pasul 3

   Cunoașteți ce aveți

   Inventarul sistemelor, datelor, conturilor cloud, furnizorilor și al persoanelor cu acces privilegiat.

4. Pasul 4

   Evaluați riscurile

   O metodă, un registru al riscurilor și decizii de tratare, raportate la cele zece măsuri și cele 13 puncte.

5. Pasul 5

   Activați monitorizarea continuă

   Evenimente, vulnerabilități, securizare și autentificări din fiecare sistem, păstrate ca dovezi. Tăcerea trebuie să fie vizibilă.

6. Pasul 6

   Pregătiți-vă pentru incidente

   Detectare, criterii de semnificație, procesul de 24 h / 72 h / o lună, șabloane și contacte, apoi un exercițiu.

7. Pasul 7

   Închideți lacunele tehnice

   Autentificare multifactor, termene de aplicare a corecțiilor, securizare, segmentare, criptare, copii de rezervă testate.

8. Pasul 8

   Scrieți ce trebuie scris

   Politici, roluri, planuri de continuitate, clauze pentru furnizori, politici de criptografie și de acces — scurte, aprobate, aplicate.

9. Pasul 9

   Instruiți

   Conducerea și personalul, în funcție de rol, cu evidențe.

10. Pasul 10

    Măsurați și revizuiți

    Indicatori și tendințe, revizuirea de către conducere, acțiuni corective fără întârzieri nejustificate — și reluați.

Dovezile bune au trei proprietăți: sunt înregistrate continuu, nu redactate cu o săptămână înainte de o inspecție; sunt legate de cerințele numerotate, astfel încât un inspector le poate urmări rând cu rând; și includ ce a fost greșit și dacă a fost remediat, nu doar veștile bune.

Alți furnizori vă vând cloud și servere și vă lasă securitatea în grijă. Modulul TotulDigital de Conformitate în securitate cibernetică vă monitorizează continuu serverele, Cloud Office și conturile cloud, și transformă ceea ce observă în dovezi corelate cu NIS2 și cu Regulamentul de punere în aplicare — alături de alte unsprezece cadre.

Două principii se aplică peste tot. Un control apare ca dovedit doar acolo unde monitorizarea îl observă; ceea ce nu poate vedea apare ca fără date, niciodată ca trecut. Iar modulul observă și raportează — nu modifică niciodată sistemele dvs.: echipa dvs. sau furnizorul dvs. de IT remediază ce găsește, iar următoarea scanare arată dacă remedierea a funcționat. Vă oferă dovezi pentru auditor și autoritatea de reglementare; nu înlocuiește consultanța juridică sau un audit de certificare.

• Directiva (UE) 2022/2555 (NIS2)
• Anexa tehnică a CIR (UE) 2024/2690
• Ghidul de implementare ENISA