Întreabă o echipă de infrastructură cum arată dovezile de conformitate NIS2 și de obicei primești un pachet de politici: o politică de securitate a informației, un plan de răspuns la incidente, un chestionar pentru furnizori, toate semnate și versionate. Acele documente contează, dar nu sunt dovezi. Descriu ce intenționezi să faci. Dovada e înregistrarea a ce ai făcut de fapt - cine a schimbat regula de firewall, când, cu ce autoritate, și cum era configurația înainte. Evaluatorii cer al doilea lucru, iar diferența dintre cele două e locul unde majoritatea echipelor devin inconfortabile.

O recapitulare rapidă a ce avem de-a face. NIS2, formal Directiva (UE) 2022/2555, a avut un termen de transpunere de 17 octombrie 2024, iar legile naționale au tot apărut de atunci, fiecare pe propriul calendar. A extins scopul mult dincolo de vechile categorii NIS, a inclus explicit lanțurile de furnizori și a atașat obligații organelor de conducere personal, nu unei organizații abstracte. Dacă furnizezi orice unei entități aflate în scop, așteaptă-te ca obligațiile ei să-ți ajungă pe birou sub formă de clauze contractuale, indiferent dacă ești sau nu direct în scop.

Ce cere de fapt directiva

Articolul 21 listează măsurile de management al riscului: politici privind analiza riscului și securitatea sistemelor informatice, gestionarea incidentelor, continuitatea afacerii și backup, securitatea lanțului de furnizori, securitate în achiziție și dezvoltare, proceduri de evaluare a eficacității, igienă cibernetică de bază și instruire, criptografie, control al accesului și managementul activelor, și autentificare multi-factor (MFA). Citește lista asta ca pe un set de întrebări la care vei fi rugat să răspunzi cu înregistrări. Fiecare element se termină cu aceeași urmărire din partea unui evaluator: arată-mi. Arată-mi backup-ul pe care l-ai restaurat, accesul pe care l-ai revocat, schimbarea pe care ai aprobat-o.

Articolul 23 e cel care schimbă ingineria, nu hârtiile. O avertizare timpurie în 24 de ore de la momentul în care devii conștient de un incident semnificativ. O notificare mai completă în 72 de ore, incluzând o evaluare inițială a severității și impactului. Un raport final într-o lună. Cronometrele astea pornesc din momentul în care devii conștient, ceea ce face din linia ta temporală de detecție parte din dovada propriu-zisă. Dacă nu poți spune când ai știut, nu poți demonstra că ai raportat la timp - iar o cronologie a incidentului reasamblată din memorie o săptămână mai târziu nu convinge pe nimeni.

Dovada de conformitate NIS2 e o înregistrare

Iată forma practică a ce cere un evaluator. O listă a sistemelor aflate în scop și cine deține fiecare. O înregistrare a schimbărilor la configurația relevantă pentru securitate, pe o perioadă declarată. Dovada că accesul a fost acordat, revizuit și eliminat, cu date. Dovada că backup-urile nu doar au fost făcute, ci și restaurate. Și pentru fiecare incident semnificativ, o cronologie pe care o poți apăra: detecție, escaladare, izolare, notificare. Toate datate, atribuibile unei identități nominale, și produse din altceva decât amintirea unei persoane.

Adevărul incomod e că aproape tot ce ține de asta există deja undeva, în fiecare companie. E într-un sistem de tichete, un canal de chat, trei console, istoricul de terminal al unui inginer și o foaie de calcul. Munca de conformitate devine atunci arheologie: două săptămâni în care cineva reconstruiește ce s-a întâmplat din artefacte care n-au fost niciodată concepute să fie dovezi. E costisitor, e demoralizant și produce un document în care nimeni nu are deplină încredere - inclusiv persoana care l-a asamblat.

Proprietatea care transformă un jurnal în dovadă

Un jurnal devine dovadă când e append-only și protejat împotriva modificărilor. Distincția contează mai mult decât pare. Un tabel pe care un administrator îl poate actualiza e o înregistrare a ce vrea acel administrator să crezi. Ce vrea un evaluator e o secvență în care orice modificare a unei intrări anterioare e detectabilă, fără să trebuiască să ai încredere în cine operează sistemul - inclusiv noi. Proprietatea asta e cea care transformă „iată jurnalele noastre” în ceva pe care o terță parte se poate baza, nu doar îl primește.

Audit trail-ul Sencai e append-only și înlănțuit prin hash. Fiecare intrare poartă propriul hash și hash-ul intrării dinainte, deci înregistrările formează un lanț, nu o grămadă. Exportul CSV include ambele valori, entry_hash și prev_hash, ceea ce înseamnă că auditorul tău nu trebuie să ne creadă pe cuvânt pentru nimic. Poate recalcula lanțul singur, offline, cu un script scris de el, și poate vedea dacă rezistă. Dacă o singură intrare ar fi fost modificată sau eliminată, recalcularea încetează să corespundă din acel punct înainte.

Întrebări despre lanțul de furnizori la care vei fi întrebat

Articolul 21 pune securitatea lanțului de furnizori pe listă, iar Articolul 20 face conducerea răspunzătoare personal pentru aprobarea și supravegherea acestor măsuri, motiv pentru care aceste întrebări vin acum cu o greutate reală în spate. Așteaptă-te să fii întrebat ce subprocesatori ating datele tale, în ce jurisdicții operează, cum ai detecta o compromitere provenită de la unul dintre ei și cât de repede ai putea elimina unul. Dacă nu poți enumera astăzi furnizorii tăi, nu poți răspunde la niciuna dintre acestea - iar un inventar incomplet e cea mai rapidă cale de a pica secțiunea asta.

Aici izolarea per organizație și un model real de roluri încetează să mai fie funcționalități de produs și devin răspunsuri de audit. Cine poate crea infrastructură, cine poate doar s-o vadă, cine a invitat pe cine și când, și care dintre acele invitații au fost de fapt acceptate, nu doar trimise - astea sunt întrebări cu date atașate. Aceeași logică se aplică configurației care chiar te protejează: reguli de firewall, granițe de rețea și înregistrări DNS, fiecare cu o înregistrare a cine le-a schimbat la furnizor, și când.

Cum te pregătești fără un departament de conformitate

Începe prin a scrie întrebările la care ai avea dificultăți să răspunzi într-o cameră cu un evaluator. De obicei sunt patru: ce rulăm, cine poate atinge asta, ce s-a schimbat trimestrul trecut, și cum dovedim oricare dintre astea. Apoi repară înregistrarea, nu raportarea. Un sistem care captează răspunsurile pe măsură ce munca se întâmplă costă aproape nimic în momentul respectiv; reconstituirea lor ulterioară costă săptămâni, de fiecare dată. NIS2 n-a creat acel gol - doar l-a făcut costisitor de menținut.

Nimic din asta nu face conformitatea plăcută. Îi schimbă însă forma. O dovadă pe care o poți exporta, o poți preda unui auditor și-l poți lăsa s-o verifice independent e o conversație foarte diferită de un folder de screenshot-uri și o promisiune că nimic n-a fost editat. Ăsta e standardul pentru care am construit: infrastructura ta într-un singur loc, schimbările înregistrate pe măsură ce se întâmplă, și un export conceput să fie verificat de cineva a cărui întreagă meserie e să-l pună la îndoială.