Cum să vă pregătiţi compania pentru reglementările privind securitatea cibernetică şi confidenţialitatea

Cercetările Canon au arătat că liderii IT evaluează în mod constant securitatea informaţiilor ca una dintre principalele trei responsabilităţi cele mai dificile şi consumatoare de timp în ultimii cinci ani.

De fapt, securitatea informaţiilor (33 %) a fost evaluată drept provocarea numărul unu, urmată îndeaproape de menţinerea conformităţii (25 %). Ca atare, securitatea informaţiilor rămâne o preocupare stringentă, deoarece cerinţele de conformitate şi complexitatea tehnologică continuă să crească.

Reglementările continuă să se extindă, Uniunea Europeană şi guvernele naţionale consolidând directivele privind securitatea cibernetică şi lărgind sfera sectoarelor vizate. Acest lucru înseamnă că, în prezent, se aşteaptă ca un număr mai mare de organizaţii să demonstreze că dispun de sisteme eficiente de gestionare a riscurilor, de răspuns la incidente, de supraveghere a lanţului de aprovizionare şi de planificare a rezilienţei.

În 2026, această schimbare a reglementărilor va trece de la faza de pregătire la cea de implementare practică. Din luna ianuarie 2025, DORA impune entităţilor financiare obligaţia de a-şi consolida procedurile de gestionare a riscurilor în domeniul tehnologiei informaţiei şi comunicaţiilor, de efectuare a testelor de rezilienţă, de raportare a incidentelor şi de supraveghere a furnizorilor terţi critici. Legea privind rezilienţa cibernetică intră, de asemenea, într-o etapă operaţională cheie: începând cu luna septembrie 2026, producătorii de produse cu elemente digitale vor fi obligaţi să raporteze vulnerabilităţile exploatate activ şi incidentele grave de securitate, înainte de extinderea domeniului de aplicare al legii, în luna decembrie 2027. Aceste etape importante indică faptul că respectarea normelor va rămâne o prioritate la nivelul consiliilor de administraţie în anii următori.

NIS2 reprezintă, de asemenea, un element central al acestei schimbări. Conceput pentru a consolida rezilienţa cibernetică în UE, acesta extinde domeniul de aplicare al predecesorului său prin introducerea unor obligaţii mai stricte de gestionare a riscurilor şi de raportare a incidentelor, a unei supravegheri reglementare mai riguroase şi a unei responsabilităţi sporite pentru conducerea superioară. Pe măsură ce statele membre continuă să implementeze şi să aplice legislaţia naţională, organizaţiile care activează la nivel transfrontalier vor trebui să monitorizeze cu atenţie cerinţele locale.

Pentru a îndeplini obligaţiile de astăzi şi pentru a vă adapta la peisajul în continuă evoluţie al securităţii informaţiilor de mâine, este crucial să colaboraţi cu un partener care are expertiza, serviciile şi soluţiile necesare pentru a vă pregăti operaţiunile pentru viitor. Companiile se pot pregăti pentru reglementările noi şi emergente, pot evita schimbările potenţial costisitoare în apropierea termenelor de punere în aplicare şi pot adopta o abordare mai proactivă în ceea ce priveşte securitatea informaţiilor, luând în considerare următoarele aspecte.

Companiile trebuie să înţeleagă clar legislaţia aplicabilă organizaţiei lor, industriei şi regiunilor în care îşi desfăşoară activitatea. Acest demers ar trebui să includă consultarea unor experţi în domeniul juridic, al conformităţii şi al securităţii, pentru a înţelege nu doar obligaţiile directe, ci şi impactul mai larg asupra produselor, serviciilor, furnizorilor şi proceselor interne.

Implementarea unui proces de monitorizare continuă a legislaţiei emergente, a termenelor de punere în aplicare la nivel naţional şi a orientărilor în materie de reglementare este, de asemenea, esenţială. Aceasta ar putea fi gestionată printr-o echipă internă dedicată sau externalizată unui furnizor expert, permiţând organizaţiilor să anticipeze cerinţele viitoare şi să se adapteze înainte ca aceste termene să devină urgente.

Pentru a se adapta la contextul legislativ în continuă schimbare, echipele de securitate ar putea fi nevoite să-şi extindă competenţele, fie prin angajarea unor specialişti, fie prin formarea angajaţilor actuali în domeniul conformităţii cu normele de securitate, al interpretării legislaţiei, al gestionării riscurilor şi al implementării măsurilor de control în materie de securitate. Acest lucru poate afecta resursele, personalul şi bugetele, în funcţie de nivelul de adaptare necesar.

Echipele IT trebuie să stabilească procese clare pentru gestionarea vulnerabilităţilor, aplicarea corecţiilor, răspunsul la incidente, testarea rezilienţei şi notificarea încălcărilor de securitate a datelor. Aceste procese trebuie documentate, testate şi verificate periodic pentru a asigura respectarea obligaţiilor, cum ar fi cele prevăzute în NIS2, DORA şi Legea privind rezilienţa cibernetică. Acolo unde este necesar, organizaţiile ar putea totodată să investească în software suplimentar, capacităţi de monitorizare şi în servicii gestionate care susţin aceste procese în timp.

Chiar dacă furnizorii sunt externi organizaţiei, nivelul lor de securitate, procesele de raportare şi gradul de pregătire în materie de conformitate pot avea totuşi un impact direct asupra expunerii dumneavoastră la riscuri. Este important să colaboraţi cu furnizorii, să le înţelegeţi practicile de securitate, să verificaţi cerinţele contractuale şi să efectuaţi audituri sau evaluări care vă vor ajuta să vă asiguraţi că se aliniază cu standardele dumneavoastră de conformitate.

În timp ce unele incidente de securitate pot avea un impact semnificativ asupra companiei dumneavoastră, este important ca angajaţii să semnaleze rapid riscurile şi să se promoveze o cultură a raportării deschise. Procedurile clare de escaladare, sensibilizarea angajaţilor şi raportarea transparentă ajută organizaţiile să înveţe din incidente, să respecte termenele de notificare şi să consolideze măsurile de control, fără a crea o cultură a învinovăţirii.

Reglementările noi şi emergente reprezintă un factor pozitiv pentru consumatori şi industria securităţii în ansamblu. În esenţă, acest lucru va contribui la crearea unui peisaj digital mai sigur, mai rezilient şi mai transparent pentru companii. Deşi ar fi nevoie de o investiţie pe termen scurt şi de eforturi operaţionale, beneficiile pe termen lung ale adaptării din timp şi implementării unei abordări proactive a reglementărilor depăşesc cu mult provocările.