Cadrul legal: tehnici și obligații
Tabel de corelare între cele 12 tehnici și obligațiile din GDPR, Directiva NIS2 și ISO/IEC 27001:2022.
Tabelul de mai jos arată la ce obligații contribuie fiecare tehnică, pentru a ușura documentarea măsurilor în registrul de securitate (art. 30 și 32 GDPR), în evaluarea riscurilor cerută entităților NIS2 sau în Declarația de aplicabilitate ISO/IEC 27001. Este un instrument de sprijin, nu o demonstrație de conformitate: o măsură corelată cu un articol dovedește că ați tratat un risc, nu că ați îndeplinit articolul. În ISO/IEC 27001, controalele se selectează și se justifică în procesul de tratare a riscurilor, iar GDPR și NIS2 cer măsuri adecvate riscului concret al organizației, nu o listă fixă. Referințele la NIS2 sunt la articolele Directivei (UE) 2022/2555; în România, transpunerea este OUG nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025, care preia aceleași măsuri cu numerotare proprie.
| Nr. | Tehnica | GDPR | Directiva NIS2 (art. 21 alin. 2, cu excepțiile notate) | ISO/IEC 27001:2022, Anexa A |
|---|---|---|---|---|
| 1 | Parola de recunoaștere | art. 32 | lit. (i) – control al accesului, resurse umane (nu ține locul MFA de la lit. j) | A.5.17, A.6.3, A.5.3 |
| 2 | Regula celor doi | art. 25; art. 32 alin. (1) lit. (b) | lit. (i) – control al accesului (nu ține locul MFA de la lit. j) | A.5.3, A.8.2 |
| 3 | Runbook-ul pe hârtie | art. 33 (evaluarea riscului, notificare), art. 33 alin. (5), art. 34 | lit. (b) – gestionarea incidentelor; lit. (c) – continuitate și gestionarea crizelor; art. 23 – notificare | A.5.24–A.5.28, A.5.29–A.5.30 |
| 4 | Sigiliul | art. 32 alin. (1) lit. (a) și (c) | lit. (h) – criptografie și gestionarea cheilor | A.8.24, A.5.17, A.7.10 |
| 5 | Copia de la mănăstire | art. 32 alin. (1) lit. (c) și (d) | lit. (c) – copii de rezervă și recuperare în caz de dezastru | A.8.13, A.5.30 |
| 6 | Compartimentarea | art. 5 alin. (1) lit. (c); art. 25; art. 32 | lit. (i) – control al accesului, gestionarea activelor | A.5.15, A.5.18, A.8.3, A.8.22 |
| 7 | Chirograful | art. 5 alin. (1) lit. (f); art. 32 alin. (1) lit. (b) | lit. (d) – lanț de aprovizionare; lit. (e) – achiziție, dezvoltare, întreținere | A.8.24, A.5.19–A.5.21, A.8.32, A.8.15 |
| 8 | Mesagerul și spațiul gol | art. 32; art. 9 (date sensibile) | lit. (e); lit. (i) | A.8.22, A.7.10, A.8.12, A.8.31 |
| 9 | Blocul de unică folosință | art. 32 alin. (1) lit. (a); art. 34 alin. (3) lit. (a) | lit. (h) – criptografie și criptare | A.8.24 |
| 10 | Momeala | art. 33 (luarea la cunoștință); art. 32 alin. (1) lit. (d) | lit. (b) – detectarea incidentelor; art. 23 | A.8.16, A.5.24–A.5.26 |
| 11 | Codul de constrângere | art. 32 | art. 21 alin. (1) – mediul fizic; lit. (i) – securitatea resurselor umane | A.7.1–A.7.4, A.6.3, A.6.8 |
| 12 | Jurnalul santinelei | art. 5 alin. (2); art. 33 alin. (3) și (5) | lit. (b); lit. (f) – evaluarea eficacității măsurilor | A.8.15, A.8.16, A.8.17 |
Cum se citește tabelul invers
Tabelul poate fi folosit și pornind de la obligație, pentru a răspunde întrebării „ce măsură concretă pot documenta pentru această literă?”:
- NIS2 lit. (b), gestionarea incidentelor: runbook-ul pe hârtie (3), momeala (10), jurnalul santinelei (12).
- NIS2 lit. (c), continuitate și copii de rezervă: runbook-ul pe hârtie (3), copia de la mănăstire (5).
- NIS2 lit. (d)–(e), lanț de aprovizionare și sisteme: chirograful (7), mesagerul și spațiul gol (8).
- NIS2 lit. (h), criptografie: sigiliul (4), blocul de unică folosință (9).
- NIS2 lit. (i), acces și resurse umane: parola de recunoaștere (1), regula celor doi (2), compartimentarea (6), codul de constrângere (11).
- NIS2 lit. (j), autentificare multifactor: nicio tehnică din carte nu o acoperă singură; MFA pe conturi este o măsură tehnică distinctă, pe care fișele 1 și 2 o completează, nu o înlocuiesc.
- GDPR art. 32 alin. (1) lit. (a), criptare: sigiliul (4), blocul de unică folosință (9).
- GDPR art. 32 alin. (1) lit. (b), integritate: regula celor doi (2), chirograful (7).
- GDPR art. 32 alin. (1) lit. (c), restabilirea disponibilității: copia de la mănăstire (5), sigiliul (4).
- GDPR art. 33, notificarea încălcărilor: runbook-ul pe hârtie (3), momeala (10), jurnalul santinelei (12).
Costul direct al implementării celor douăsprezece tehnici, pentru o firmă de 20 de oameni, este mic — pungi sigilate, două discuri externe, eventual un laptop dedicat și câteva abonamente —, iar costul real este timpul oamenilor, de ordinul câtorva zile de lucru în prima lună și al câtorva ore pe lună după aceea; planul de acțiune le detaliază orientativ. Ele sunt măsuri accesibile care pot reduce semnificativ unele dintre riscurile cele mai frecvente, iar implementarea și documentarea lor sunt un punct de plecare onest pentru conformitate. Nu sunt un substitut pentru evaluarea riscurilor, pentru verificarea periodică a eficacității măsurilor și pentru ansamblul obligațiilor care se aplică organizației voastre.