Conducerea organizațiilor, responsabilă de securitatea cibernetică, conform NIS2

Un raport recent al ENISA, intitulat „NIS Investments 2025”, subliniază importanța implicării leadership-ului în securitatea cibernetică, evidențiind că „deconectarea leadership-ului” de realitățile tehnice rămâne o barieră majoră în calea rezilienței organizaționale. Studiul arată că întreprinderile care integrează riscurile cibernetice în indicatorii de performanță ai top managementului se recuperează cu 40% mai rapid după un atac comparativ cu cele care lasă aceste aspecte exclusiv în sarcina departamentului IT.

👉 Rolul esențial al conducătorilor în gestionarea riscurilor cibernetice

Potrivit raportului, atribuirea totală a responsabilității pentru securitatea cibernetică departamentelor IT nu mai este fezabilă. Odată cu implementarea Directivei NIS2, responsabilitatea se extinde la conducerea executivă. Această schimbare semnificativă impune Consiliilor de administrație și managementului să aprobe, supravegheze și să răspundă activ pentru gestionarea riscurilor cibernetice.

Articolul 20 din NIS2 stipulează clar că „conducerea organizațiilor trebuie să valideze măsurile de securitate” și să înțeleagă implicațiile riscurilor cibernetice asupra afacerii. De asemenea, membrii board-ului sunt obligați la formare continuă pentru a putea evalua corect aceste riscuri și a lua decizii informate.

👉 Consecințe și responsabilitate personală în cazul neglijenței

Directiva NIS2 introduce o responsabilitate personală pentru conducători, existând riscul de sancțiuni inclusiv prin suspendări temporare în caz de neglijență gravă. Organizațiile pot fi amendate cu până la 2% din cifra de afaceri globală, iar obligațiile de conformitate includ instruirea periodică a conducerii. Astfel, „lipsa de implicare nu mai este o opțiune”, subliniază raportul.

Managementul are acum sarcina de a transforma securitatea cibernetică într-o parte integrantă a strategiei de business, ceea ce impune vizibilitate asupra lanțului de aprovizionare și construirea unei capacități reale de răspuns la incidente.