Controlul conformității cu NIS2 și KSC: documente, registre și teste care trebuie să formeze un ansamblu coerent de dovezi

Controlul conformității cu NIS2 și KSC nu se rezumă la prezentarea politicilor și procedurilor. Autoritatea de supraveghere poate verifica dacă organizația și-a stabilit corect domeniul obligațiilor, a atribuit responsabilitățile, a implementat măsurile de securitate și poate demonstra funcționarea acestora prin registre actualizate, rezultate ale testelor și decizii documentate ale conducerii. Pregătirea trebuie, așadar, construită ca un lanț de dovezi: de la obligație și risc, prin mecanismul aplicat, până la înregistrarea execuției, evaluarea eficacității și reacția la abatere.

Controlul verifică sistemul, nu dosarul

Punctul de plecare nu este numărul politicilor și procedurilor, ci stabilirea corectă a domeniului obligațiilor. Organizația trebuie să poată indica ce servicii, procese, sisteme informatice, locații și dependențe față de furnizori intră sub incidența cerințelor KSC și pe ce bază a fost luată această decizie. Înainte de ordonarea documentației, conducerea trebuie să confirme statutul entității și domeniul serviciilor furnizate, apoi să desemneze persoana responsabilă pentru pregătirea controlului.

Cel mai important risc privind dovezile apare atunci când documentația descrie soluții pe care organizația nu le aplică în realitate sau pe care nu le poate confirma prin înregistrări. Situația este frecventă în cazul revizuirilor drepturilor de acces, evaluărilor de risc, copiilor de siguranță, supravegherii furnizorilor și testelor de continuitate. Materialul probator trebuie să formeze un lanț coerent: cerință sau risc, decizie, măsură de securitate aplicată, responsabilitate, dovada execuției, rezultatul evaluării eficacității și reacția la abaterea identificată.

Autoritatea poate începe cu documentul-cadru și poate continua cu un eșantion operațional. Dacă procedura de gestionare a incidentelor definește modul de clasificare și escaladare a evenimentelor, organizația trebuie să se aștepte la verificarea sesizărilor, timpilor de reacție, deciziilor adoptate, comunicării, închiderii cazurilor și concluziilor formulate după incident. Domeniul sistemului nu se demonstrează numai printr-o descriere, ci și prin harta serviciilor și dependențelor, inventarul activelor, atribuirea proprietarilor și concordanța acestor informații cu registrele operaționale.

Documentația NIS2 și KSC înaintea controlului: ce politici, registre și dovezi sunt necesare în practică trebuie să reflecte un mecanism de management funcțional, nu un catalog de modele. Controlul autorității de supraveghere trebuie diferențiat de auditul unui sistem de management. Ambele pot utiliza dovezi similare, însă controlul urmărește îndeplinirea obligațiilor rezultate din legislația aplicabilă și din domeniul supravegherii, în timp ce auditul evaluează conformitatea și eficacitatea sistemului în raport cu criterii stabilite. Rezultatul favorabil al uneia dintre aceste activități nu o înlocuiește pe cealaltă.

Domeniul și responsabilitățile, analizate în detaliu

Prima categorie de dovezi trebuie să explice de ce organizația intră sub incidența anumitor obligații și unde se află limitele mediului supravegheat. Autoritatea poate solicita justificarea încadrării entității, identificarea serviciilor reglementate și indicarea proceselor, activelor informaționale, sistemelor, locațiilor și furnizorilor aferenți. Domeniul nu trebuie descris exclusiv prin denumirea activității. El trebuie să permită urmărirea furnizării serviciului de la procesul de afaceri, prin activele care îl susțin, până la dependențele externe.

Baza pregătirii o constituie o descriere actuală a domeniului, aprobată de conducere și completată cu harta serviciilor și proceselor, inventarul activelor critice și structura responsabilităților. Documentele prin care se stabilesc rolurile trebuie să definească nu doar denumirile funcțiilor, ci și autoritatea de a accepta riscuri, de a activa măsuri de urgență, de a escalada incidente și de a lua decizii privind furnizorii. Proprietarii serviciilor, activelor și riscurilor trebuie desemnați în concordanță cu distribuția reală a competențelor.

O neconcordanță tipică apare atunci când registrul indică un proprietar formal al riscului, dar decizia de acceptare este luată de o altă persoană, fără mandat corespunzător și fără o înregistrare a deciziei. Aceeași problemă poate apărea în cazul derogărilor de la măsurile de securitate, continuității activității și aprobării furnizorilor. Procesele-verbale ale ședințelor, hotărârile, aprobările evaluărilor de risc, deciziile bugetare și analizele conducerii trebuie să demonstreze că aceasta cunoaște riscurile semnificative, soluționează aspectele care depășesc competențele operaționale și monitorizează implementarea deciziilor adoptate.

Modul de încadrare, înscrierea în registrul corespunzător și competențele autorității trebuie stabilite de fiecare dată în funcție de cadrul juridic actual și de situația concretă a entității. O dezvoltare practică a acestui subiect este prezentată în materialul NIS2: autoevaluarea și înscrierea în registrul KSC – ce trebuie să facă o companie de producție? Dacă organizația are statut de entitate esențială, evaluarea domeniului trebuie corelată și cu materialul Auditul KSC obligatoriu: ce entități esențiale trebuie să se pregătească pentru prima evaluare a conformității. Statutul în sine nu demonstrează însă că managementul a aprobat limitele responsabilității și a asigurat revizuirea periodică a acestora.

Registrele demonstrează practica operațională

Un registru reprezintă dovada unui management continuu numai dacă reflectă deciziile și activitățile desfășurate în procese, nu dacă este completat periodic ca anexă la o procedură. Înainte de alegerea instrumentului trebuie definite câmpurile obligatorii, sursele datelor, proprietarii înregistrărilor și regulile de aprobare a modificărilor. O foaie de calcul poate fi suficientă dacă asigură controlul accesului, istoricul modificărilor, responsabilitatea clară și protecția împotriva modificărilor neautorizate. Un instrument complex nu garantează credibilitatea datelor dacă nu este clar cine actualizează registrul, când și în baza cărui eveniment.

Registrul riscurilor trebuie să coreleze scenariile de amenințare cu serviciile și activele, să indice proprietarul, măsurile existente, rezultatul evaluării, decizia privind tratarea riscului și stadiul acțiunilor. Autoritatea poate verifica dacă unui risc marcat pentru reducere îi sunt asociate o acțiune, un termen și dovada realizării, iar unui risc acceptat — aprobarea unei persoane cu autoritatea necesară. Indicatorii utili pentru management includ numărul riscurilor deschise, al acțiunilor nefinalizate și al deciziilor care așteaptă o nouă analiză. Aceștia sunt indicatori adoptați de organizație, nu praguri stabilite prin lege.

Registrul incidentelor și evenimentelor trebuie să permită reconstituirea etapelor succesive: detectare, clasificarea incidentului, escaladare, decizia de notificare, comunicare, restabilirea funcționării și închiderea formală, inclusiv concluziile formulate. Materialele conexe includ registrele vulnerabilităților, corecțiilor și excepțiilor acceptate, revizuirilor drepturilor de acces, efectuării și restaurării copiilor de siguranță, modificărilor de configurație, activităților administratorilor, instruirilor și exercițiilor.

Amânarea unei corecții trebuie să poată fi urmărită de la vulnerabilitatea identificată, prin evaluarea impactului și decizia de acordare a excepției, până la instituirea măsurilor compensatorii, termenul reevaluării și confirmarea închiderii. Simpla listă a corecțiilor restante nu demonstrează dacă întârzierea este ținută sub control.

Aceeași coerență este necesară pentru supravegherea lanțului de aprovizionare. Lista contractelor nu înlocuiește clasificarea furnizorilor, evaluarea dependenței serviciilor și activelor de terți, definirea cerințelor de securitate, înregistrările analizelor sau deciziile privind deficiențele neacceptate. Registrul trebuie să arate cine a aprobat furnizorul, ce derogări au fost acceptate și când va avea loc reevaluarea. Trebuie monitorizați în special furnizorii fără o evaluare actuală și acțiunile restante rezultate din analize. Subiectul rămâne relevant și în cadrul programului Implementarea NIS2 după înscrierea în registrul KSC – plan de acțiune până la 3 aprilie 2027.

Regulile privind păstrarea, accesul și aprobarea modificărilor trebuie diferențiate în funcție de tipul înregistrării, relevanța sa probatorie, cerințele legale și contractuale și necesitățile analizei incidentelor. Nu trebuie stabilită o singură perioadă de păstrare pentru toate registrele fără o asemenea analiză. Termenele de notificare a incidentelor și modul de protejare a dovezilor trebuie verificate de fiecare dată în raport cu legislația aplicabilă și cu orientările autorității competente. Un catalog mai amplu al materialelor este prezentat în articolul Documentația NIS2 și KSC înaintea controlului: ce politici, registre și dovezi sunt necesare în practică. Maturitatea operațională este însă demonstrată de înregistrările generate în activitatea curentă și de legătura vizibilă dintre cerință, rezultatul controlului și acțiunea corectivă.

Fiecare test trebuie să conducă la o decizie

Autoritatea de supraveghere poate solicita nu doar planul de continuitate a activității, procedura de răspuns la incidente sau confirmarea realizării copiilor de siguranță. Sunt relevante și dovezile că aceste soluții au fost verificate în condiții reprezentative pentru serviciile, tehnologiile și dependențele reale față de furnizori. Programul de testare trebuie să rezulte din evaluarea riscurilor, criticitatea serviciilor, schimbările din mediu și cerințele legale și contractuale. Nu există o singură frecvență adecvată pentru toate măsurile. Domeniile cu impact ridicat, cu schimbări rapide sau în care testele anterioare au evidențiat abateri importante trebuie verificate mai frecvent.

Înaintea fiecărui test trebuie stabilite obiectul și criteriile de acceptare. Înregistrarea trebuie să includă domeniul, scenariul, participanții, mediul, criteriile de acceptare și toleranțele admise, iar după executare — rezultatul, abaterile și impactul real sau potențial asupra serviciului. Dacă sunt identificate deficiențe, materialul probator trebuie să indice acțiunile corective, responsabilii, termenele și data reverificării.

Indicatorii utili includ timpul efectiv de restaurare, punctul de restaurare atins, timpul de escaladare și procentul acțiunilor închise după test. Cea mai gravă eroare organizațională este repetarea testelor fără criterii de succes sau fără închiderea neconformităților identificate.

Testele esențiale includ restaurarea datelor din copiile de siguranță, comutarea pe soluții de rezervă, exercițiile de răspuns la incidente, testele comunicării de criză, revizuirile drepturilor de acces, restaurarea configurațiilor și verificarea tehnică a vulnerabilităților, inclusiv scanarea și — proporțional cu riscul — testele de penetrare. Rezultatul furnizorului poate constitui o parte a dovezii, dar nu înlocuiește testul efectuat de organizație dacă nu acoperă procesele, integrările, responsabilitățile și condițiile sale operaționale.

După fiecare test, proprietarul serviciului trebuie să adopte o decizie documentată: să accepte rezultatul, să implementeze o corecție, să stabilească o măsură compensatorie, să repete testul sau să accepte riscul în limitele autorității acordate.

Realizarea corectă a copiei de siguranță a unei baze de date nu demonstrează automat capacitatea de restabilire a serviciului. Testul poate arăta că aplicația necesită o versiune de configurație nedocumentată, mecanismul de identitate nu funcționează în mediul de rezervă, cheile nu sunt disponibile, iar singura persoană care cunoaște ordinea de pornire a componentelor nu participă la restaurare. Numai verificarea întregului lanț de dependențe permite compararea timpului și punctului efectiv de restaurare cu criteriile adoptate, evaluarea impactului asupra serviciului și luarea unei decizii privind nivelul de pregătire sau necesitatea îmbunătățirii.

Acest mod de documentare a testelor este relevant indiferent de sector, inclusiv pentru analiza temei NIS2 pentru companiile de producție: cui i se aplică, ce obligații introduce și cum se pregătește organizația fără a reduce subiectul exclusiv la IT. Domeniul dovezilor așteptate trebuie raportat la obligațiile aplicabile organizației, serviciilor sale și cadrului juridic actual. Esențial rămâne lanțul coerent: risc identificat, test planificat, criteriu măsurabil, rezultat documentat, decizia proprietarului și confirmarea închiderii eficace a acțiunilor.

Neconcordanțele cresc costul controlului

Documentația completă din punct de vedere formal își pierde valoarea dacă nu corespunde situației reale. Autoritatea poate compara declarațiile din politici cu configurațiile sistemelor, înregistrările sesizărilor, contractele, listele de acces, rezultatele scanărilor, procesele-verbale ale testelor și explicațiile proprietarilor de procese. Obiectivul nu este concordanța de redactare, ci posibilitatea urmăririi deciziei de la obligația și riscul identificate până la măsura implementată, înregistrarea funcționării acesteia și reacția la abatere.

Simularea controlului, realizată înaintea începerii activităților autorității, trebuie să se bazeze pe un eșantion selectat intenționat de servicii, incidente, furnizori și drepturi de acces, apoi să urmărească traseul de la documentație la datele-sursă. Astfel pot fi identificate un inventar de active neactualizat, denumiri diferite ale aceluiași serviciu în mai multe documente, riscuri fără proprietari, incidente omise din registru, furnizori fără evaluare documentată și acțiuni corective închise fără verificarea eficacității. Neconcordanțele trebuie eliminate prin stabilirea situației reale și a proprietarului înregistrării, nu prin uniformizarea ad-hoc a documentelor.

Într-o întreprindere de producție, analiza nu trebuie să se limiteze la mediul informatic administrativ. Pentru un serviciu selectat, aceasta poate include mentenanța, automatizările, accesul de la distanță pentru service, managementul configurației și dependențele dintre sistemele de producție. De exemplu, inventarul accesurilor poate să nu includă contul utilizat de un tehnician extern, deși existența acestuia este confirmată de contract, jurnalul conexiunii și configurația echipamentului. Importanța acestor dependențe este prezentată mai amplu în materialul NIS2 pentru companiile de producție: cui i se aplică, ce obligații introduce și cum se pregătește organizația fără a reduce subiectul exclusiv la IT.

Certificarea unui sistem de management poate structura managementul riscurilor, controlul documentației, auditurile și acțiunile corective, dar nu înlocuiește analiza domeniului juridic și nici dovezile privind îndeplinirea obligațiilor specifice KSC. Această limită este explicată în materialul NIS2 și SR EN ISO 27001: ce oferă certificarea și ce mai lipsește pentru conformitatea cu KSC. Absența unei singure înregistrări nu conduce automat la concluzia lipsei conformității, dar impune evaluarea relevanței dovezii, a cauzei lacunei și a posibilității de a confirma funcționarea mecanismului prin alte înregistrări credibile.

Costul controlului crește în special atunci când dovezile sunt dispersate, mandatele sunt neclare și nimeni nu coordonează răspunsurile și aprobarea materialelor transmise. Într-o asemenea situație, echipele ajung să reconcilieze manual date contradictorii chiar în timpul controlului. Desemnarea prealabilă a coordonatorului, a proprietarilor fiecărei dovezi și a regulilor de soluționare a neconcordanțelor reduce efortul și riscul de a prezenta autorității explicații contradictorii.

Pregătirea se construiește prin simularea controlului

Simularea internă a controlului trebuie să înceapă cu confirmarea statutului entității, a domeniului serviciilor supuse obligațiilor și a responsabilităților conducerii și proprietarilor de procese. Ulterior, coordonatorul relației cu autoritatea trebuie să pregătească o matrice de conformitate care corelează fiecare obligație cu proprietarul și dovada aferentă. Numai pe această bază se verifică eșantioane de înregistrări, se poartă discuții cu persoanele responsabile și se reconstituie desfășurarea unui incident sau test selectat. Rolul de coordonator trebuie atribuit unei persoane care are acces la conducere și capacitatea de a soluționa neconcordanțele, fără a înlocui proprietarii de fond ai dovezilor.

Fiecare proprietar al unei obligații trebuie să poată indica:

• documentul-cadru care stabilește modul de lucru,
• înregistrarea care confirmă îndeplinirea obligației,
• indicatorul de eficacitate al mecanismului aplicat,
• cea mai recentă decizie rezultată în urma analizei.

Absența oricăruia dintre aceste elemente reprezintă o întrerupere a lanțului de dovezi. Procedura de răspuns la incidente nu este suficientă dacă organizația nu poate prezenta înregistrarea evenimentului, timpul de reacție, evaluarea consecințelor, rezultatul analizei cauzelor și decizia privind modificarea măsurilor de securitate. Reconstituirea cazului arată și dacă explicațiile angajaților sunt concordante cu înregistrările și cu desfășurarea reală a activităților.

Simularea trebuie să acopere și logistica unui control: primirea și înregistrarea solicitării, stabilirea termenului și a responsabilului pentru răspuns, aprobarea materialelor, protejarea informațiilor sensibile, identificarea versiunilor transmise și documentarea constatărilor convenite cu autoritatea. Este utilă exersarea unei situații în care înregistrarea solicitată conține date care depășesc obiectul controlului sau necesită explicarea contextului. Astfel se poate stabili cine decide domeniul divulgării și cum păstrează organizația trasabilitatea materialelor transmise.

Planul de remediere trebuie să prioritizeze lacunele în funcție de impactul asupra serviciului, expunerea juridică, probabilitatea identificării și timpul necesar pentru obținerea unei dovezi credibile de eficacitate, nu în funcție de cât de ușor poate fi redactată o nouă procedură. Conducerea aprobă prioritățile, resursele și nivelul de risc acceptabil. O acțiune poate fi închisă numai după reverificarea mecanismului.

Calendarul trebuie stabilit în funcție de statutul real al entității, corespondența cu autoritatea și legislația actuală. După confirmarea statutului, analiza poate fi completată cu materialele NIS2: autoevaluarea și înscrierea în registrul KSC – ce trebuie să facă o companie de producție? și Implementarea NIS2 după înscrierea în registrul KSC – plan de acțiune până la 3 aprilie 2027. Datele și obligațiile indicate în aceste materiale trebuie confirmate de fiecare dată în raport cu cadrul juridic actual.