Guvernanță, risc și conformitate

Directiva NIS2 (OUG 155/2024) ridică standardul de responsabilitate în securitatea cibernetică și pune un accent puternic pe guvernanță, managementul riscurilor și reziliență operațională.

EFI8 sprijină organizațiile în implementarea cerințelor NIS2 printr-o abordare strategică, independentă și orientată spre rezultate. Analizăm contextul organizației, identificăm riscurile cibernetice și construim un cadru de guvernanță clar, care oferă managementului control, predictibilitate și încredere.

Oferim:

• Identificarea rolurilor operaționale ce vor implementa această ordonanță în entitate (matrice RACI)

• Crearea sau actualizarea cadrului de guvernanță în securitate cibernetică (politici, proceduri și mecanisme de control)

• Analiza și managementul riscurilor cibernetice, în conformitate cu cerințele NIS2

• Definirea planurilor de răspuns la incidente și a mecanismelor de detectare și gestionare a acestora

• Planuri de continuitate și recuperare în caz de dezastru (BCP & Disaster Recovery) pentru menținerea funcționării serviciilor critice

• Definirea responsabilităților de securitate la nivel de management și organizație

• Monitorizarea și îmbunătățirea continuă a conformității

Rezultatul este o organizație mai pregătită, mai rezilientă și mai capabilă să gestioneze cu încredere provocările unui mediu digital în continuă evoluție.

Cyber Resilience Act introduce un nou standard european pentru securitatea produselor digitale și a sistemelor conectate, stabilind cerințe clare privind gestionarea vulnerabilităților, securitatea pe întreg ciclul de viață al produsului și responsabilitatea producătorilor și furnizorilor de tehnologie.

EFI8 sprijină organizațiile în înțelegerea și implementarea cerințelor CRA, printr-o abordare strategică care îmbină guvernanța securității, managementul riscurilor și securitatea produselor digitale încă din faza de proiectare (security by design și security by default).

Serviciile EFI8 pot include:

• Evaluarea conformității cu cerințele Cyber Resilience Act

• Analiza riscurilor de securitate pentru produse și aplicații digitale

• Definirea proceselor de gestionare a vulnerabilităților (Vulnerability Management)

• Integrarea principiilor Security by Design și Security by Default în dezvoltarea produselor

• Definirea proceselor de monitorizare și raportare a vulnerabilităților

• Alinierea proceselor interne la cerințele de securitate ale lanțului de aprovizionare digital

Prin expertiza EFI8, organizațiile pot transforma cerințele CRA într-un cadru clar de guvernanță și securitate a produselor digitale, care consolidează încrederea utilizatorilor, reduce riscurile operaționale și susține dezvoltarea unor produse digitale sigure și reziliente.

În economia digitală, datele personale reprezintă una dintre cele mai valoroase resurse ale unei organizații. Protejarea lor nu este doar o cerință de conformitate, ci o componentă esențială a securității cibernetice și a guvernanței informației.

Regulamentul General privind Protecția Datelor (GDPR) stabilește cadrul prin care organizațiile trebuie să asigure protecția datelor, responsabilitatea în prelucrarea acestora și gestionarea riscurilor asociate informațiilor sensibile. Integrată corect în strategia de securitate cibernetică, protecția datelor devine un pilon al rezilienței digitale și al încrederii în organizație.

Serviciile EFI8 pot include:

• Evaluarea nivelului de conformare GDPR și integrarea acestuia în cadrul de securitate cibernetică al organizației

• Maparea fluxurilor de date și analiza activităților de prelucrare

• Definirea cadrului de guvernanță a datelor și a responsabilităților organizaționale

• Realizarea evaluărilor de impact asupra protecției datelor (DPIA)

• Implementarea principiilor privacy by design și privacy by default în procesele și sistemele IT

• Definirea mecanismelor de gestionare a incidentelor de securitate a datelor și notificare a breșelor

Prin abordarea EFI8, protecția datelor devine parte integrată a strategiei de securitate cibernetică și a managementului riscurilor organizației, contribuind la creșterea rezilienței digitale, la protejarea informațiilor sensibile și la consolidarea încrederii în relația cu clienții și partenerii.

Regulamentul Digital Operational Resilience Act (DORA) marchează unul dintre cele mai importante momente în evoluția securității cibernetice în Europa. Provenit din sectorul financiar – domeniul în care standardele de securitate și control al riscurilor au fost definite și rafinate de-a lungul deceniilor – DORA stabilește astăzi cadrul european pentru guvernanța riscurilor ICT, reziliența operațională digitală și gestionarea incidentelor tehnologice.

EFI8 oferă organizațiilor nu doar suport de conformare, ci expertiză concretă în implementarea operațională a cerințelor DORA. Analizăm modul în care organizația gestionează riscurile ICT, evaluăm maturitatea mecanismelor de control și construim cadrul necesar pentru managementul riscurilor tehnologice, gestionarea incidentelor, testarea rezilienței digitale și controlul furnizorilor ICT.

Serviciile EFI8 pot include:

• Implementarea cadrului de management al riscurilor ICT conform DORA

• Definirea mecanismelor de guvernanță și responsabilitate la nivel de management

• Crearea și operaționalizarea proceselor de gestionare și raportare a incidentelor ICT

• Testarea rezilienței operaționale digitale și a capacității de răspuns la incidente

• Evaluarea și gestionarea riscurilor asociate furnizorilor ICT și lanțului digital de aprovizionare

• Consolidarea planurilor de continuitate operațională și recuperare în caz de dezastru

Prin expertiza EFI8, cerințele DORA devin un cadru solid de guvernanță și reziliență digitală, care oferă managementului control real asupra riscurilor tehnologice și susține stabilitatea operațională într-un ecosistem financiar din ce în ce mai dependent de tehnologie.

Regulamentul (UE) 2024/1689 privind inteligența artificială (AI Act) stabilește reguli comune în Uniunea Europeană pentru sistemele de inteligență artificială (IA). Obligațiile depind de nivelul de risc al fiecărui sistem și de rolul organizației: furnizor, care dezvoltă sistemul, sau implementator, care îl folosește în activitatea profesională.

Când aveți nevoie

Regulamentul vă privește dacă organizația dumneavoastră dezvoltă, vinde sau folosește sisteme de IA, inclusiv asistenți conversaționali, instrumente de recrutare sau de scor de credit.

Data	Ce se aplică
2 februarie 2025	Practicile interzise și alfabetizarea în domeniul IA
2 august 2025	Modelele de IA de uz general
2 august 2026	Majoritatea prevederilor, inclusiv transparența
2 decembrie 2027	Sistemele cu grad ridicat de risc din anexa III
2 august 2028	Sistemele cu grad ridicat de risc din produse reglementate (anexa I)

Ce facem

Serviciile EFI8 pot include:

• Inventarul sistemelor de IA din organizație, inclusiv instrumentele cumpărate ca serviciu și funcțiile de IA din aplicațiile existente
• Stabilirea rolului organizației pentru fiecare sistem: furnizor, implementator sau amândouă
• Clasificarea fiecărui sistem pe nivelurile de risc din regulament și verificarea practicilor interzise
• Analiza de lacune: ce cere regulamentul pentru fiecare sistem, ce există deja în organizație și ce lipsește
• Documentația de guvernanță a IA: politica de utilizare, procedura de supraveghere umană, regulile de păstrare a jurnalelor, informările de transparență, cerințele pentru furnizorii de sisteme de IA
• Pregătirea evaluării impactului asupra drepturilor fundamentale (art. 27), acolo unde regulamentul o cere
• Programul de alfabetizare în domeniul IA (art. 4) și instruirea personalului care folosește sau supraveghează sisteme de IA
• Corelarea cerințelor AI Act cu GDPR, NIS2 și DORA, când același sistem intră sub mai multe reglementări

Ce primiți

Registrul sistemelor de IA, cu rolul și nivelul de risc pentru fiecare, raportul de analiză de lacune, documentele de guvernanță a IA și planul de instruire.

Surse: Regulamentul (UE) 2024/1689 privind inteligența artificială; Regulamentul (UE) 2026/1744, în vigoare din 27 iulie 2026.

În era digitală, documentele electronice trebuie gestionate într-un mod care să garanteze autenticitatea, integritatea, trasabilitatea și disponibilitatea informației pe termen lung. În România, arhivarea documentelor în format electronic este reglementată prin Legea nr. 135/2007 privind arhivarea documentelor în formă electronică, cu modificările și completările ulterioare.

Conform acestui cadru legislativ, organizațiile care oferă servicii de arhivare electronică trebuie să fie înregistrate și autorizate la Autoritatea pentru Digitalizarea României (ADR) ca Operatori de Servicii de Arhivare Electronică, demonstrând că sistemele și procesele lor respectă cerințele legale privind securitatea, integritatea și administrarea documentelor digitale.

EFI8 sprijină organizațiile în proiectarea și implementarea sistemelor de arhivare electronică și în pregătirea pentru procesul de înregistrare și autorizare la ADR, printr-o abordare care îmbină expertiza în managementul documentelor, securitatea cibernetică și guvernanța informației.