Conformitate NIS2 & GDPR fără stres & fără amenzi
Audit complet pe metodologie scrisă, plan de remediere prioritizat după impact și efort, implementare tehnică efectivă și documentația pe care o cer DNSC, ANSPDCP și auditorii externi. Eviți amenzile administrative de până la 10 milioane EUR sau 2% din cifra de afaceri globală, transformi conformitatea într-un avantaj comercial real în pitching pentru contracte cu instituții publice și acoperi cerințele tehnice impuse de polițele cyber insurance moderne.
Cifrele care contează pentru consiliul tău
NIS2 (Directiva UE 2022/2555) a intrat în vigoare în România prin transpunere și se aplică unui spectru mult mai larg de companii decât prima directivă din 2016 — practic toate IMM-urile peste 50 angajați din 18 sectoare. GDPR (Regulamentul 2016/679) rămâne cel mai aplicat regim sancționator de către ANSPDCP, cu peste 2 milioane € amenzi în ultimii ani în România. Iată ce e în joc pentru consiliul tău în următoarele 12-24 luni.
Tot ce ai nevoie pentru conformitate end-to-end
Combinăm partea de consultanță reglementară cu implementarea tehnică efectivă. Nu îți dăm doar un raport voluminos pe care îl închizi în sertar — implementăm controalele cerute de directivă, scriem documentația de audit, instruim echipa și menținem nivelul prin review-uri periodice. Lucrăm cu ISO 27001, NIST CSF 2.0 și CIS Controls v8 ca framework-uri complementare pentru companiile care vor certificare formală.
Audit conformitate NIS2 & GDPR
Gap analysis complet pe cele 10 măsuri tehnice și organizatorice impuse de NIS2 art. 21, plus articolele cheie din GDPR (5, 25, 28, 30, 32, 33, 35). Raport scris cu scor de maturitate per control, riscuri identificate cu CVSS și plan de remediere prioritizat după impact și efort.
GAP ANALYSISImplementare măsuri tehnice
MFA universal pe conturile critice, segmentare rețea L3 cu firewall intern, criptare date in transit (TLS 1.3) și at rest (AES-256), management vulnerabilități prin scanning lunar, control acces privilegiat (PAM cu CyberArk/Delinea), monitorizare loguri centralizată cu retenție conformă.
CONTROALE TEHNICESecuritatea & confidențialitatea datelor
Hardening aplicații, criptare baze de date (TDE pentru SQL Server, pg_crypto pentru PostgreSQL), politici DLP (Microsoft Purview, Endpoint Protector), gestionare consimțăminte și drepturi GDPR ale persoanelor vizate (acces, rectificare, ștergere, portabilitate, opoziție).
GDPR ART. 32Endpoint Security Management
EDR centralizat pe toate stațiile, patching automat sub 72h pentru CVE critice, restricționare USB pe politici granulare, controlul aplicațiilor (whitelisting), izolare automată endpoint-uri compromise. Cerință explicită NIS2 pentru entitățile esențiale și importante. Detalii: securitate cibernetică.
NIS2 ART. 21Evidență tratament & documentație
Registrul activităților de prelucrare (RoPA art. 30), DPIA pentru prelucrări cu risc ridicat (art. 35), politici interne, proceduri de notificare incident către DNSC (24h pentru NIS2) și ANSPDCP (72h pentru GDPR), template-uri răspuns persoană vizată, contract DPA standard pentru procesatori.
RoPA + DPIATraining echipă & awareness
Sesiuni de instruire diferențiate pentru management, IT și utilizatori finali. Simulări phishing recurente, training GDPR pe roluri, atestate nominale arhivate cu retenție 3 ani. Cerință NIS2 pentru top management — răspund personal, inclusiv penal, pentru lipsa de conformitate.
SECURITY AWARENESSPrograme de conformitate reale
Trei companii (anonimizate) pentru care am livrat în 2024-2025 programe complete NIS2/GDPR — ilustrează diferența între o firmă care plătește un raport ca să bifeze cerința și una care folosește conformitatea ca instrument operațional. Toate au trecut audit-uri externe sau inspecții fără neconformități critice.
Furnizor energie regional, 180 angajați
Entitate esențială NIS2 (sector energie) cu obligație clară de raportare DNSC. Am livrat program complet în 14 săptămâni: gap analysis pe ISO 27001 + NIS2, implementare MFA universal, segmentare OT/IT, SOC 24/7, runbook-uri IR, training board. Au trecut prima notificare DNSC fără observații, plus polița cyber a fost reduce-ată cu 22%.
Rețea clinici private, 12 locații
Procesare masivă date sensibile (date medicale, art. 9 GDPR). Au avut o sesizare ANSPDCP în 2023 pentru breach minor. Am implementat program de remediere accelerat: DPIA pe toate procesele cu date medicale, criptare DB, DLP, training pe roluri pentru 240 oameni, DPO extern. Inspecție de control 2024 — fără sancțiuni.
Producător auto-parts, supplier OEM
Entitate importantă NIS2 (manufactură) presată suplimentar de cerințele de supply chain security ale clienților OEM germani (TISAX). Am aliniat ISO 27001 cu NIS2 și TISAX într-un singur program integrat — 9 luni, 3 audit-uri externe trecute consecutiv. Vezi și departamentul IT externalizat pentru operare continuă.
De la neconform la audit-ready în 5 pași
Metodologie clară, livrabile la fiecare fază, fără surprize în factură. Lucrăm pe milestones cu acceptanță scrisă din partea sponsor-ului tău intern (de obicei CFO, CIO sau DPO). Fiecare fază are deliverables tangibile pe care le poți arăta în consiliu — nu e consultanță vagă, e proiect cu output măsurabil.
Gap analysis
Evaluare actuală vs. cerințele NIS2 art. 21 & GDPR cap. IV. Interviuri cu management, IT, HR, juridic, review documente existente, scanare tehnică perimetru. Raport cu scor maturitate pe fiecare control într-o matrice de 60+ rânduri.
Plan de remediere
Backlog prioritizat după risc residual, efort estimat și buget disponibil. Calendar de implementare cu milestones clare, dependențe identificate și estimări orare/financiare per task. Roadmap pe 6-9 luni cu quick wins în primele 4 săptămâni.
Implementare tehnică
MFA universal, segmentare rețea, criptare end-to-end, EDR pe endpoint-uri, backup 3-2-1-1-0 cu testare lunară, logging centralizat în SIEM, hardening servere conform CIS Benchmarks. Echipa noastră face munca tehnică, tu validezi rezultatul prin acceptance testing.
Documentație & training
Politici complete (information security, acceptable use, BYOD, remote access), proceduri operaționale, RoPA, DPIA, planuri IR și DR scrise pe scenarii. Training pe roluri pentru echipă, simulări phishing, atestate. Pachet complet gata de prezentat la inspecție DNSC sau ANSPDCP.
Audit periodic & menținere
Review anual cu re-evaluarea controalelor, ajustare în funcție de schimbări legislative (decizii ANSPDCP, ghiduri DNSC, modificări sectoriale), retest controale tehnice prin VA/PT, raport pentru top management. Conformitatea nu e proiect, e proces continuu monitorizat.
Trei moduri de a aborda conformitatea
Începi cu audit-ul ca să știi exact unde ești, decizi singur dacă mergi mai departe cu implementarea sau cu mentenanța continuă. Fără contracte ascunse, fără retainer minim impus, fără penalizări dacă te răzgândești. Modular: poți cumpăra doar ce ai nevoie, când ai nevoie.
Pentru companii care vor să știe clar unde sunt poziționate față de NIS2 și GDPR — fără să se angajeze încă într-un program de implementare. Output ideal pentru a obține buget de la board.
- Gap analysis NIS2 + GDPR integrat
- Interviuri cu management & IT
- Scanare tehnică perimetru
- Raport scris cu top 20 riscuri prioritizate
- Estimare cost remediere per categorie
- Prezentare rezultate către board (2h)
Proiect de implementare a măsurilor tehnice și a documentației, ajustat la dimensiunea companiei și complexitatea infrastructurii existente. Tipic 8-16 săptămâni cu milestones validate săptămânal.
- Tot ce e în Audit complet
- Implementare MFA, segmentare, criptare
- Setup EDR & logging centralizat
- Backup 3-2-1-1-0 cu RPO <4h
- Politici, RoPA, DPIA, planuri IR / DR
- Training echipă (3 sesiuni)
- Suport pre-inspecție DNSC / ANSPDCP
Recomandat ferm: mențin conformitatea după implementare prin review-uri periodice, monitorizare legislativă și DPO extern dedicat. Ideal pentru entitățile esențiale și importante NIS2 cu raportare anuală obligatorie.
- Review trimestrial controale tehnice
- Actualizare politici & proceduri
- Monitorizare schimbări legislative
- DPO extern (Data Protection Officer)
- Sprijin notificare incident <24h / 72h
- Training anual + simulări phishing
- Raport anual pentru top management
- Reprezentare la inspecție autorități
Răspundem la întrebările care apar real în consilii
Ce ne întreabă CEO-ii, CFO-ii și directorii juridici când ridicăm subiectul conformitate. Dacă ai o întrebare specifică pe sectorul tău, scrie-ne pe pagina de contact și răspundem în 24h.
Compania mea trebuie să respecte NIS2?
Cât durează auditul de conformitate?
Cât costă implementarea efectivă?
Partea juridică este inclusă?
Garantați 100% conformitatea?
Ce înseamnă concret 3-2-1-1-0 și RPO <4h?
Conformitatea nu e opțională. Începe cu auditul.
O singură amendă NIS2 sau GDPR poate depăși tot bugetul tău IT pe trei ani. Auditul nostru îți arată exact unde ești expus, în 4-8 săptămâni, cu plan de remediere clar, prețuri transparente și roadmap care se alinează cu ciclul tău anual de buget.