φ NIS2 DigitALL: ce am învățat în cinci ani de NIS și NIS2

Am lucrat NIS și NIS2 din toate direcțiile: audit, consultanță, externalizare, operare. Cel mai important lucru pe care l-am învățat nu e scris în lege.

E o întrebare pe care mi-o pun acum la începutul oricărui proiect: luni dimineață, când consultanții nu mai sunt în sală, ce din procesele astea se mai fac? Răspunsul onest a schimbat felul în care lucrez. Despre schimbarea asta, și despre ce a ieșit din ea, e articolul de față.

1. Cinci ani de NIS și NIS2: ce am învățat

De cinci ani lucrez cu directiva NIS și cu NIS2. Zeci de proiecte de audit, consultanță, externalizare și operare, în organizații foarte diferite ca mărime, sector și maturitate. Din ele iese același tipar. O implementare NIS2 nu e un proiect de documente. E un sistem de management, iar un sistem de management stă în picioare pe trei lucruri:

- Sprijinul managementului. Fără el, nimeni nu are autoritatea să schimbe felul în care se lucrează. - Oameni care înțeleg procesele. Nu doar cei care le-au scris, ci mai ales cei care le aplică în fiecare zi. - Activități care susțin procesele. Un proces nu merge de la sine. Are nevoie de pași concreți, repetabili, cu cineva responsabil pentru fiecare. Când unul dintre ele lipsește, procesul rămâne pe hârtie. Poate trece o verificare, dar nu se mai aplică.

2. Oamenii: cheia succesului sau groapa inițiativei Oamenii dintr-o organizație sunt cheia succesului. Tot ei pot îngropa o inițiativă de asemenea anvergură, fără să spună un cuvânt și fără rea-credință.

Cum se întâmplă? Procesul e greu de operat. E complicat. La fiecare pas cere ceva în plus: un email de completat, un document Word de actualizat, un tabel Excel de ținut la zi. La început se face din conștiinciozitate. Apoi vine un termen, un incident, o săptămână aglomerată, iar activitatea suplimentară cade întâi. După câteva luni, cerințele de proces nu se mai implementează. Inițiativa NIS moare, dar nu printr-un conflict. Moare prin neaplicare. Nu e o problemă de disciplină. E o problemă de proiectare. Un proces care cere oamenilor să facă muncă dublă, o dată munca lor și a doua oară munca de a o documenta, pierde. Am văzut asta prea des ca să mai cred că soluția e încă un training sau încă o reamintire. Soluția e un proces care lasă urme de la sine, din munca de zi cu zi.

3.Ce am schimbat din 2026: cele patru inițiative Din lecțiile astea și din zecile de proiecte am lansat, de la începutul lui 2026, patru inițiative. Le-am lucrat în paralel, iar acum sunt reflectate și implementate într-un concept pe care l-am numit φ NIS2 DigitALL, by Sectio Aurea. Le iau pe rând.

a. Procese simplificate. Politici, proceduri, standarde, ghidaje, evidențe de audit, scrise scurt și pe înțelesul celor care le aplică, astfel încât să poată fi folosite de organizații de mărimi diferite. O procedură pe care o poți urma fără să cauți trei documente alăturate. O politică pe care o citește, până la capăt, omul care trebuie s-o aplice. Simplificat nu înseamnă relaxat: le-am construit pornind de la controalele pe care le verifică un control extern riguros.

b. Procese implementate digital. De la evaluare și pregătirea auditului, la raportarea către conducere, printr-un cockpit care arată situația la zi, și până la operarea de zi cu zi. Dovada se produce pe parcurs, nu într-o săptămână de colectare dinaintea auditului. Directiva NIS2 și Ordonanța de urgență a Guvernului nr. 155/2024, care o transpune în România, cer măsuri de gestionare a riscurilor de securitate cibernetică care cuprind cel puțin aceste domenii: - analiza riscurilor și securitatea sistemelor informatice, cu revizuire periodică; - evaluarea eficacității măsurilor de securitate; - criptografia și, după caz, criptarea; - securitatea lanțului de aprovizionare, inclusiv relația cu furnizorii direcți; - securitatea achiziției, dezvoltării, întreținerii și casării sistemelor, inclusiv gestionarea vulnerabilităților; - securitatea resurselor umane, controlul accesului și gestionarea activelor; - gestionarea incidentelor; - continuitatea activității: copii de rezervă, redresare după dezastru, managementul crizelor; - igiena cibernetică de bază și formarea în securitate cibernetică; - autentificarea multifactor și comunicațiile securizate, după caz. De la aceste domenii am pornit.

Și am pus o condiție de proiectare: cât mai puține unelte, ideal una, într-o platformă în cloud. Fiecare unealtă în plus e încă un loc în care oamenii trebuie să completeze ceva.

c. Procese preconfigurate în sisteme digitale. O procedură pe hârtie nu operează nimic. Am pus procedurile în sistemele în care se lucrează efectiv: inventarul activelor și al configurațiilor, biroul de asistență și gestionarea cererilor, a incidentelor și a schimbărilor din informatică, registrul riscurilor și al controalelor, fluxurile de aprobare pentru accese. Sistemul reflectă procedura, nu invers. Ținta: să poată fi operate de organizații de mărimi și maturități diferite, de la o multinațională puternic reglementată până la o companie care abia face cunoștință cu securitatea cibernetică.

d. Inteligența artificială ca suport de educație. Întrebările apar când apar, iar responsabilul din organizație nu are mereu cui să le pună. Pentru clientela din România am construit AI Advisors, în trei roluri: Auditor, Consultant și responsabil cu securitatea informației. Lucrează pe datele organizației care întreabă, iar răspunsurile își arată sursa. Asistă decizia. Nu o iau: nicio acțiune nu se face fără confirmare umană explicită, iar orice conversație se poate escalada oricând către un consultant. 4. φ NIS2 DigitALL: aproape un an de inginerie, adusă la maturitate

Cele patru inițiative formează acum același concept. Am pornit la începutul lui 2026, iar ca să ajungă la maturitatea de azi a fost nevoie de aproape un an de inginerie. Nu e o prezentare cu promisiuni. E un mod mai agil de a opera NIS2, inclusiv prin felul în care se adoptă: pornești cu evaluarea, decizi la fiecare pas pe cel următor.

Pe scurt: φ NIS2 DigitALL este platforma operată de Sectio Aurea prin care entitățile esențiale și importante trec de la declarații la dovezi: evidență produsă din operarea reală, cu justificare scrisă pe fiecare scor. Are patru componente, Audit, Command, Ops și AI Advisors, care lucrează pe aceleași date, cu un traseu comun al datelor între ele. Fiecare organizație primește propria instanță, accesibilă din browser, fără nimic de instalat.

Pentru mine contează însă altceva: platforma o operează echipa care a scris procesele. Nu primești doar o licență și un manual de configurare. Primești procese deja scrise, o instanță configurată pe ele și o echipă care le operează împreună cu oamenii tăi. Exact lecția din primele două secțiuni. Un lucru rămâne neschimbat: răspunderea pentru NIS2 rămâne a conducerii. Platforma nu o preia. Îi dă conducerii baza documentată pe care o exercită. 5. Ce face φ NIS2 DigitALL, pe cele patru componente φ NIS2 DigitALL are patru componente: Audit, Ops, Command și AI Advisors. Le iau în ordinea în care le folosește o organizație: se măsoară, se lucrează, conducerea vede, iar cine are o întrebare primește sprijin.

Audit. Aici își măsoară organizația distanța față de prag. Evaluarea se face pe controalele din ordinul directorului Directoratului Național de Securitate Cibernetică nr. 1/2026, cu două scoruri la fiecare control, unul pentru documentație și unul pentru implementare, fiecare cu justificare scrisă. Rezultatul e poziția față de pragul legal aplicabil nivelului organizației, apoi constatări pe domenii, cu evidențe atașate, și acțiuni corective cu responsabili și termene. Auditorul publică rezultatul, iar organizația îl vede, fără să-l poată modifica. Ops. Munca se face aici. Audit și Command o citesc. Fiecare organizație are propria instanță, a ei, pe care echipa noastră o configurează și o operează în numele organizației: biroul de asistență și inventarul activelor, gestionarea cererilor, a incidentelor și a schimbărilor, guvernanța riscurilor și a conformității, plus legătura cu soluția de detecție și răspuns pe stațiile de lucru pe care a ales-o organizația. Accesurile se cer, se aprobă și se recertifică prin fluxuri de aprobare, iar execuția tehnică rămâne în sistemele organizației. Command. Aici vede conducerea distanța până la prag, pe un singur ecran, cu aceeași cifră pe fiecare ecran, și ce blochează progresul. Ordonanța cere ca organele de conducere să aprobe măsurile și să supravegheze punerea lor în aplicare, iar Command le dă baza documentată pentru asta. În configurația Guvernanță arată remedierea venită din Audit; indicatorii din operare apar doar în Integral. Command citește, iar nicio schimbare în sistemele operaționale nu se face fără confirmare umană explicită.

AI Advisors. Aici primește răspuns cine are o întrebare, în momentul în care apare. Sunt trei roluri: Auditor, pentru cazuistica de audit și formularea constatărilor; Consultant, pentru proiectarea și aplicarea proceselor de guvernanță; responsabilul cu securitatea informației, pentru decizia executivă și prioritizare. Lucrează pe datele organizației care întreabă, iar fiecare răspuns își arată sursa. Asistă decizia. Nu o iau: nicio acțiune fără confirmare umană explicită, iar orice conversație se poate escalada oricând către un consultant. De ce acum?

În ultimele luni au apărut tot mai multe aplicații NIS2 care promit să aducă organizația pe calea conformării. Înțeleg de ce: nevoia e reală, iar promisiunea e ușor de făcut.

Eu, Madalin Bratu, am decis să lansez conceptul care chiar o face: φ NIS2 DigitALL este mixul de inovare, inginerie și experiență aplicată în tehnologie care își propune să realizeze efectiv implementarea cerințelor de proces ale NIS2.

Vreau să fiu precis despre ce spun. Nu promit conformitatea: ea se atestă la nivelul organizației, nu al unei platforme. Spun că procesele se pot implementa, se pot opera și lasă dovezi din munca reală. Pentru că asta contează: conformitatea

NIS2 se măsoară acum pe controale, cu scor și justificare scrisă pe fiecare. Iar o organizație care își adună dovezile de mână, în Excel și în dosar, reconstituie trecutul în loc să-și arate operarea.

Întrebarea de la care am pornit

Revin la întrebarea cu care am început: luni dimineață, când consultanții nu mai sunt în sală, ce din procesele organizației tale se mai fac?

Dacă nu ești sigur de răspuns, hai să vorbim. Pornim de la procesele tale, nu de la un instrument. Mă găsești pe LinkedIn sau la madalin.bratu@phi.ro.

Madalin Bratu Director General, Sectio Aurea

by Sectio Aurea — Tot parcursul NIS2, digitalizat.