Când furnizorul tău cade: reziliența operațională și lanțul de aprovizionare în NIS2

Un incident care nu a fost al tău, dar te-a costat

Cazul platformei de achiziții este util tocmai pentru că nu implică un atac spectaculos. Nu a fost ransomware, nu a fost exfiltrare de date, nu a apărut niciun grup de atacatori într-un comunicat. A fost o simplă indisponibilitate tehnică a unui serviciu extern, iar efectul de business a fost imediat: proceduri oprite, termene legale în pericol, echipe care așteptau.

Companiile afectate au avut noroc că autoritatea a reacționat rapid și a prelungit termenele printr-un act normativ. În lumea privată, acest tip de salvare nu există. Dacă furnizorul tău de facturare, de semnătură electronică, de ERP sau de identitate cade trei zile, nimeni nu îți prelungește contractele cu clienții.

Întrebarea pe care ar trebui să și-o pună orice manager după un astfel de eveniment este simplă: dacă mâine cade cel mai important furnizor digital al companiei, cât timp mai putem funcționa și ce facem în acest interval? Foarte puține organizații pot răspunde fără să improvizeze.

Dependențele de terți nu apar în bilanț, dar apar în downtime

O companie medie din România folosește astăzi între treizeci și o sută de servicii externe pentru a-și desfășura activitatea zilnică: găzduire, email, ERP, contabilitate, semnătură electronică, portaluri ale autorităților, procesatori de plăți, servicii de backup, platforme de comunicare. Fiecare dintre ele este un punct în care operațiunile pot să se oprească fără ca echipa internă să poată interveni.

Problema reală nu este numărul furnizorilor, ci faptul că nimeni nu îi ține evidența într-un loc unic. Contractele stau la juridic, credențialele la IT, facturile la financiar, iar relația comercială la persoana care a semnat inițial. Când apare incidentul, prima oră se pierde încercând să afli pe cine suni.

Al doilea strat de risc este cel invizibil: furnizorii furnizorilor tăi. Platforma ta de facturare rulează pe un cloud care rulează pe o infrastructură de rețea. O întrerupere la nivelul trei se propagă până la tine, iar tu nu ai niciun contract cu acel nivel trei. NIS2 numește asta risc de lanț de aprovizionare și cere să fie gestionat explicit.

Ce cere NIS2, concret, despre furnizori

Articolul 21 din Directiva NIS2 stabilește un set de măsuri minime de gestionare a riscurilor. Trei dintre ele privesc direct subiectul acestui articol și sunt cel mai des tratate superficial:

• Securitatea lanțului de aprovizionare. Compania trebuie să evalueze riscurile asociate fiecărui furnizor direct, inclusiv calitatea practicilor lui de securitate, nu doar prețul și SLA-ul comercial.

• Continuitatea activității și managementul crizelor. Sunt necesare planuri de continuitate, backup gestionat corect și proceduri de recuperare după dezastru, testate, nu doar scrise.

• Securitatea în achiziția, dezvoltarea și mentenanța sistemelor. Cerințele de securitate trebuie incluse din faza de selecție a furnizorului și menținute pe toată durata relației.

Ceea ce scapă multor organizații este cuvântul demonstrabil. NIS2 nu se mulțumește cu intenția. Autoritatea competentă poate cere dovezi: registrul de furnizori, evaluările de risc, clauzele contractuale, rezultatele testelor de recuperare, procesele verbale ale exercițiilor. O politică frumos formatată, fără evidențe în spate, nu trece.

Inventarul de dependențe, pasul pe care aproape nimeni nu îl face

Înainte de orice plan de continuitate, ai nevoie de o listă. Nu de un document de o sută de pagini, ci de un tabel pe care echipa de management îl poate citi în cinci minute. Pentru fiecare furnizor digital, cinci coloane sunt suficiente pentru a începe.

• Ce proces de business se oprește dacă acest serviciu devine indisponibil.

• Cât timp putem funcționa fără el înainte ca impactul să devină serios, exprimat în ore sau zile, nu în adjective.

• Ce date de-ale noastre procesează sau stochează, și dacă intră date cu caracter personal în ecuație.

• Care este alternativa sau procedura manuală de rezervă, dacă există una.

• Cine este responsabil intern pentru relația cu acest furnizor și cum îl contactăm în afara programului.

Exercițiul acesta produce, de regulă, două surprize. Prima: lista este mult mai lungă decât se aștepta oricine. A doua: trei sau patru servicii se dovedesc a fi puncte unice de eșec pentru operațiuni, fără ca nimeni să fi decis vreodată în mod conștient acest lucru.

RTO și RPO, explicate fără jargon

Doi indicatori transformă discuția despre continuitate din una vagă în una măsurabilă, iar auditorii îi cer aproape întotdeauna.

RTO, obiectivul de timp pentru recuperare, răspunde la întrebarea: în cât timp trebuie să funcționeze din nou acest serviciu? Dacă răspunsul companiei este patru ore, dar furnizorul garantează contractual doar restaurare în patruzeci și opt de ore, ai identificat un decalaj care trebuie fie acoperit cu o alternativă, fie acceptat formal de management.

RPO, obiectivul punctului de recuperare, răspunde la: câte date ne permitem să pierdem? Dacă backup-ul rulează o dată pe noapte, RPO-ul real este de douăzeci și patru de ore de muncă, indiferent ce spune politica internă.

Recomandarea practică este să stabilești aceste valori împreună cu oamenii din business, nu doar cu IT-ul. Departamentul financiar știe mult mai bine decât administratorul de sistem cât costă o zi fără facturare. Valorile agreate devin apoi criteriu de selecție a furnizorilor și de configurare a backup-ului.

Când indisponibilitatea unui terț îți blochează o obligație legală

Situația din iulie ridică o problemă pe care puține planuri de continuitate o acoperă: ce faci când sistemul care cade este cel prin care îți îndeplinești o obligație de reglementare sau contractuală. Depunerea unei declarații, încărcarea unei documentații, transmiterea unei raportări către o autoritate.

Trei acțiuni fac diferența în astfel de momente, iar toate trebuie pregătite dinainte, nu improvizate.

• Documentează întreruperea în timp real. Capturi de ecran cu marcaj de timp, mesajele de eroare, comunicatele oficiale ale operatorului platformei, orele exacte la care ai încercat. Aceasta este dovada ta ulterioară că imposibilitatea a fost obiectivă.

• Notifică imediat partea căreia îi datorezi obligația, în scris, chiar dacă nu ai încă soluția. O notificare trimisă în ziua incidentului valorează enorm mai mult decât o explicație oferită după expirarea termenului.

• Verifică dacă există o cale alternativă de îndeplinire, cum ar fi transmiterea pe email, la ghișeu sau prin curier. În multe cazuri, canalul de rezervă există, dar nimeni nu îl caută în primele ore.

Aceste trei pași costă câteva zeci de minute când sunt pregătiți dinainte și pot salva o penalitate contractuală sau o sancțiune administrativă.

Cinci întrebări pentru fiecare furnizor critic

Evaluarea furnizorilor nu trebuie să înceapă cu un chestionar de două sute de întrebări pe care nimeni nu îl completează. Pentru majoritatea companiilor, cinci întrebări bine formulate acoperă cea mai mare parte a riscului relevant.

• Aveți o certificare recunoscută, de tipul ISO 27001 sau echivalent, și ne puteți pune la dispoziție certificatul valabil și domeniul de aplicare?

• În cât timp ne notificați în caz de incident de securitate care ne afectează datele sau serviciul, și prin ce canal?

• Care este RTO-ul contractual și cât de des testați efectiv procedura de recuperare?

• Pe ce subcontractori vă bazați pentru serviciul pe care ni-l furnizați și unde sunt găzduite datele noastre?

• Dacă relația contractuală încetează, în ce format și în cât timp primim datele noastre înapoi?

Răspunsurile, sau lipsa lor, spun mai mult despre maturitatea unui furnizor decât orice prezentare comercială. Un furnizor serios are aceste informații pregătite. Unul care ezită la a treia întrebare este el însuși un risc pe care îl importi în organizația ta.

De unde începi, realist

Dacă organizația ta intră sub incidența NIS2, sau lucrează cu clienți care intră, ordinea eficientă a lucrurilor este următoarea. Începi cu inventarul de dependențe, pentru că fără el orice altceva este presupunere. Continui cu clasificarea celor cinci sau zece furnizori cu adevărat critici. Stabilești RTO și RPO împreună cu business-ul. Verifici ce spun contractele existente și unde lipsesc clauzele de securitate și notificare. La final testezi, măcar o dată pe an, un scenariu real de indisponibilitate, pe hârtie sau în practică.

Privtech acoperă acest parcurs prin evaluare NIS2, audit IT, inventarierea și clasificarea dependențelor, definirea planurilor de continuitate și monitorizare cu SOC pentru detectarea rapidă a incidentelor care pornesc din zona furnizorilor. Rezultatul pe care îl urmărim nu este un dosar de conformitate, ci capacitatea reală a companiei de a funcționa în ziua în care ceva din exterior se oprește.

Important

Acest articol are caracter informativ și nu constituie consultanță juridică. Încadrarea companiei sub NIS2 și interpretarea obligațiilor legale trebuie validate împreună cu specialiști juridici sau de conformitate. Referirea la incidentul platformei de achiziții se bazează pe comunicatul public al Agenției pentru Dezvoltare Regională Vest din iulie 2026.