GV.OC — Fundatia pe care se construieste toata conformitatea NIS2 si securitatea cibernetica

GV.OC (Contextul Organizational) este prima categorie din functia de guvernanta (Govern) a NIST Cybersecurity Framework 2.0 si, din experienta noastra cu firmele romanesti care se pregatesc de conformitatea NIS2, este si cea mai importanta. Acest articol explica de ce GV.OC este fundatia pe care se construieste toata securitatea cibernetica, cele 4 subcategorii pe intelesul tuturor, legatura directa cu OUG 155/2024 si pasii practici de implementare in 2-4 saptamani.

De ce majoritatea firmelor gresesc securitatea inca de la primul pas

In ultimii ani am vazut zeci de companii romanesti care investesc zeci sau sute de mii de euro in solutii tehnice de securitate — sisteme de protectie a retelei, programe antivirus de top, solutii de monitorizare a evenimentelor de securitate — si care totusi raman vulnerabile sau nu trec auditurile de conformitate.

Motivul este aproape intotdeauna acelasi: au sarit peste fundatie. Au cumparat tehnologie inainte sa isi raspunda la cea mai simpla intrebare: "Ce anume protejam si de ce?" Este ca si cum ai monta o alarma scumpa pe o casa fara sa stii care incapere contine lucrurile de valoare si pe unde poate intra cineva.

NIST Cybersecurity Framework 2.0 numeste aceasta fundatie GV.OC — Contextul Organizational. Din experienta firmei Global Data Protection (dataconsulting.ro) cu organizatii care se pregatesc pentru Directiva NIS2, este pasul de la care depinde totul.

Ce este GV.OC si de ce se numeste fundatia conformitatii

GV.OC inseamna un singur lucru, exprimat simplu: intelegi contextul real al organizatiei tale inainte sa iei orice decizie de securitate cibernetica. Inainte sa cumperi solutii sau sa redactezi politici, raspunzi la patru intrebari esentiale:

• Ce facem noi ca firma si ce este critic pentru supravietuirea si cresterea afacerii?
• Cine depinde de noi si de cine depindem noi?
• Ce asteapta clientii, furnizorii, investitorii si autoritatile de la noi in materie de securitate?
• Ce obligatii legale si contractuale avem?

Se numeste fundatia conformitatii pentru ca toate celelalte functii din NIST CSF 2.0 — identificare, protectie, detectie, raspuns si recuperare — capata sens doar raportat la acest context. Fara el, fiecare masura tehnica devine o bifa pe o lista pe care nu o intelege nimeni si pe care nu o poti sustine in fata unui auditor.

Cele 4 subcategorii GV.OC, pe intelesul tuturor

GV.OC-01 — Misiunea organizatiei ghideaza managementul riscului cibernetic

Riscul cibernetic se prioritizeaza in functie de ceea ce inseamna cu adevarat afacerea ta.

Sa luam o fabrica de componente auto. Misiunea reala nu este "sa producem piese", ci "sa livram la timp componente fara defecte catre producatori care lucreaza in regim de livrare exacta". Un atac informatic care opreste linia de productie 48 de ore nu este un simplu incident tehnic — este o penalitate contractuala uriasa si un client pierdut. Acest lucru schimba complet ordinea prioritatilor de securitate.

GV.OC-02 — Partile interesate, interne si externe, si asteptarile lor sunt cunoscute

Trebuie sa stii exact cine are interese legate de securitatea ta si ce asteapta de la tine.

Sa luam un furnizor de servicii informatice. Partile interesate includ clientii corporativi (care pot cere certificari prin contract), Directoratul National de Securitate Cibernetica (DNSC) ca autoritate de reglementare, angajatii, partenerii care ofera gazduire in nor, asiguratorii pentru riscuri cibernetice si investitorii. Fiecare are alte asteptari, iar firma trebuie sa le identifice inainte sa promita ceva ce nu poate sustine.

GV.OC-03 — Obligatiile legale, de reglementare si contractuale sunt identificate si gestionate

Aici intra tot cadrul legal aplicabil: OUG 155/2024 (NIS2), Regulamentul General privind Protectia Datelor (RGPD), dar si clauzele contractuale cu clientii mari care cer certificarea ISO 27001 sau echivalente.

Sa luam o clinica medicala. Aceasta prelucreaza date privind sanatatea (o categorie speciala de date sub RGPD), poate intra in sfera NIS2 prin sectorul sanatatii si are adesea contracte cu case de asigurari sau spitale care impun cerinte stricte de securitate. Sunt trei surse diferite de obligatii, care trebuie inventariate impreuna, nu separat.

GV.OC-04 — Serviciile si capabilitatile critice de care depind altii sunt identificate si comunicate

Daca alte organizatii depind de tine, trebuie sa stii exact ce sisteme sunt critice si sa comunici clar acest lucru.

Sa ne intoarcem la furnizorul de servicii informatice care gazduieste datele mai multor clinici. O cadere a infrastructurii lui afecteaza simultan zeci de cabinete medicale. El trebuie sa stie precis care servicii sunt critice, cine depinde de ele si cum comunica in caz de incident — pentru ca raspunderea lui se extinde dincolo de propria firma.

Legatura directa cu OUG 155/2024 (NIS2) si responsabilitatea conducerii

OUG 155/2024, care transpune Directiva NIS2 in Romania, pune un accent foarte puternic pe guvernanta si pe responsabilitatea directa a conducerii. Nu mai este suficient ca "se ocupa departamentul informatic".

Administratorii si directorii trebuie sa inteleaga riscurile cibernetice, sa aprobe strategia de securitate si sa isi asume formal raspunderea. In multe situatii, conducerea poate raspunde personal pentru deficiente grave de conformitate.

GV.OC este exact instrumentul care iti permite sa indeplinesti aceasta cerinta in mod structurat si demonstrabil. Cand un auditor sau DNSC intreaba "cum a stabilit conducerea prioritatile de securitate?", documentul GV.OC este raspunsul. Fara el, ramai doar cu o colectie de masuri tehnice, fara o logica de afaceri in spate. Pentru o verificare rapida a aplicabilitatii NIS2, foloseste verificatorul NIS2 gratuit.

Erori frecvente la companiile private din Romania

Din proiectele pe care le-am vazut la Global Data Protection, aceleasi greseli se repeta:

• Se incepe direct cu achizitii de tehnologie

  Se cumpara solutii inainte sa se inteleaga ce trebuie protejat. Investitia se face fara o evaluare structurata a priorititilor.

• Documentatia este copiata din alte companii

  Politici preluate de pe internet sau de la alta firma, fara adaptare la contextul propriu. Auditorul o sesizeaza imediat.

• Conducerea nu este implicata cu adevarat

  "Lasa ca se ocupa departamentul informatic" — exact opusul a ceea ce cere NIS2 prin OUG 155/2024.

• Nu se identifica corect serviciile critice si dependentele

  Firma nu stie ce ar opri-o complet daca ar cadea. Lipseste maparea reala a sistemelor de care depinde activitatea.

• Se ignora furnizorii externi

  Servicii in nor, programe inchiriate, terti care prelucreaza date — desi acolo se afla adesea cel mai mare risc.

Cum implementezi practic GV.OC, pas cu pas

Pentru o firma mijlocie, intregul proces GV.OC poate fi finalizat in 2-4 saptamani. Procesul este accesibil si nu necesita luni de munca:

1. 1
   Sedinta de lucru cu conducerea

   Director general, director operational, director financiar, responsabil cu securitatea informatica — 2-4 ore. Este pasul fara de care nimic altceva nu functioneaza.

2. 2
   Definirea misiunii si a obiectivelor critice

   Din perspectiva securitatii cibernetice — ce te-ar afecta cel mai grav daca ar fi compromis.

3. 3
   Harta partilor interesate si a asteptarilor lor

   Cine depinde de tine si de cine depinzi. Inclusiv clienti, autoritati, asiguratori, parteneri.

4. 4
   Inventarul obligatiilor legale si contractuale

   NIS2 (OUG 155/2024), RGPD, clauze din contracte, cerinte de certificare (ISO 27001 unde se aplica).

5. 5
   Identificarea serviciilor si capabilitatilor critice

   Impreuna cu dependentele lor — interne si externe (furnizori cloud, SaaS, parteneri).

6. 6
   Un document scurt si clar

   10-25 de pagini, in functie de marimea firmei. Nu un volum stufos pe care nu il citeste nimeni.

7. 7
   Revizuire anuala sau la schimbari majore

   Fuziuni, servicii noi, extindere geografica, noi cerinte de reglementare.

Concluzie — GV.OC nu este birocratie, este investitie

GV.OC nu este birocratie. Este cea mai inteligenta investitie pe care o poti face in securitatea cibernetica, pentru ca aliniaza totul la realitatea afacerii tale.

Companiile care inteleg si implementeaza bine contextul organizational au un program de securitate relevant, eficient si usor de sustinut in fata auditorilor, clientilor sau autoritatilor. Cele care sar peste acest pas platesc mai tarziu, fie in bani aruncati pe solutii nepotrivite, fie in amenzi si incidente.

Global Data Protection SRL (dataconsulting.ro) ajuta companiile sa construiasca aceasta fundatie corect, de la prima sedinta de lucru cu conducerea pana la documentul final si pregatirea pentru NIS2. Pentru contextul complet al obligatiilor NIS2 in Romania, vezi articolul nostru despre Directiva NIS2 — obligatii firme si amenzi DNSC.

Intrebari frecvente despre GV.OC