Instrumente

Software de conformitate NIS2: merită, și pe care îl alegeți?

Întrebarea vine aproape la fiecare a doua discuție: „Există un program care ne rezolvă NIS2?" Răspunsul scurt e da, sunt câteva zeci pe piață. Răspunsul lung, cel care contează, e că depinde foarte tare de unde porniți — și că unele companii cumpără o licență scumpă pentru o problemă pe care o rezolvau mai bine cu un tabel și puțină disciplină. Hai să le luăm pe rând, cinstit.

Ce face, de fapt, un „software NIS2"

Prima confuzie de lămurit: majoritatea platformelor care se vând ca „NIS2" sunt, la bază, sisteme de management al securității informației — un motor de tip ISO 27001 cu un strat de mapare NIS2 deasupra. Are logică, pentru că cele zece categorii de măsuri din OUG 155/2024 se suprapun serios cu controalele din ISO. Diferența dintre un instrument bun și unul care doar și-a lipit o etichetă stă în trei lucruri: cât de nativ tratează evaluarea de risc pe art. 21, dacă are un flux real de raportare a incidentelor pe termenele de 24h/72h/30 de zile, și unde vă stau fizic datele.

Ultimul punct nu e o formalitate. Când vorbim de o directivă europeană, o platformă găzduită în EU, care înțelege transpunerile naționale, vă scutește de întrebări incomode mai târziu. Un instrument american care tratează NIS2 ca pe încă o bifă între SOC 2 și altele va face treaba pe jumătate — corect din punct de vedere tehnic, dar surd la specificul local.

Platformele care contează în 2026

Nu le pun în clasament, pentru că „cel mai bun" înseamnă altceva pentru un spital cu 400 de angajați decât pentru un furnizor de cloud cu 30. Le grupez după cui i se potrivesc.

Construite în EU, pentru EU

Orbiq e printre puținele care tratează și stratul ISMS (ISO 27001) și stratul de reglementare european (NIS2, DORA) ca cetățeni de rang întâi, nu ca extensii lipite pe o structură americană, cu găzduire integrală în EU. Dacă jonglați cu mai multe cadre europene deodată, e o alegere serioasă. DataGuard merge pe alt model: combină software cu consultanță umană, potrivit pentru companii din zona medie care n-au expertiză internă și preferă să fie ținute de mână prin gap analysis și audit. Prețul reflectă partea de advisory, deci nu e cea mai ieftină variantă.

Rapide și accesibile, pentru IMM-uri

Reglyze e cea mai interesantă pentru o firmă mică din România care vrea rezultate repede: te duce de la un chestionar de scoping la un scor de conformitate în câteva zile și îți redactează politici cu AI, în loc să-ți dea șabloane goale. Are și un nivel gratuit care acoperă scoping-ul și o evaluare de gap de bază — suficient cât să afli dacă NIS2 te privește și unde stai. Secfix e ruda germană din DACH, ghidată și prietenoasă cu bugetul, gândită pentru startup-uri și companii mici. Cyberday are un unghi aparte: sparge cadrul în sarcini de securitate prioritizate și te pune să le bifezi direct în Microsoft Teams, ceea ce pentru o echipă mică poate fi exact diferența dintre „facem" și „amânăm".

Giganții americani, cu asterisc

Vanta și Drata sunt nume mari și au cele mai curate interfețe din piață. Problema e că au fost construite pentru audituri de tip SOC 2 — o fotografie anuală a controalelor — nu pentru realitatea operațională a NIS2, cu deadline-uri de raportare la stat și răspundere a conducerii. Un review tehnic e destul de dur cu Drata: nu cunoaște cronologia de raportare în trei etape, nu are câmpurile de notificare către CSIRT și nu urmărește cerințele de guvernanță ale conducerii. Se pot configura să pară că fac NIS2, dar, cum spunea cineva, „asta e management de proiect cu o vopsea de conformitate". Prețul pornește de la câteva mii de euro pe an, per cadru.

Cu componentă tehnică inclusă

Heimdal iese din tiparul „doar documentație": e modular, alegi din vreo 12 produse și plătești ce folosești, iar în pachet vin și unelte tehnice reale de securitate. Microsoft Purview are un șablon dedicat de evaluare NIS2 și e alegerea firească dacă sunteți deja adânc în ecosistemul Microsoft. Pentru partea de risc uman — instruirea angajaților și a conducerii, cerută explicit de art. 21 — există unelte de nișă precum usecure, care fac fix asta și lasă restul altcuiva. E un complement, nu un înlocuitor.

GRC de întreprindere

Pentru organizațiile mari există greii: OneTrust, ServiceNow, MetricStream. Puternice, flexibile, cu mapare de control pe orice cadru vă imaginați — și cu prețuri și implementări pe măsură, de la zeci la peste o sută de mii de euro pe an, cu luni de configurare. Pentru o companie mijlocie din România sunt, de regulă, un pantof cu trei numere mai mare.

La ce să vă uitați, indiferent de nume

Dacă rețineți un singur lucru din tot articolul, fie acesta: nu vă lăsați vrăjiți de numărul de integrări sau de câți clienți are furnizorul. Pentru NIS2, întrebările care contează sunt altele.

• Are un flux real de incidente? Nu un jurnal generic, ci un proces cu cele trei etape — avertizare la 24h, raportare la 72h, raport final la 30 de zile — cu câmpuri pentru autoritate și urmărirea termenelor. La 2 noaptea, când s-a întâmplat ceva, echipa nu trebuie să caute pe Google un șablon.
• Urmărește răspunderea conducerii? Legea pune responsabilitatea pe umerii managementului și cere instruirea lui. O platformă bună păstrează urma aprobărilor și a cursurilor, pentru că exact asta vă cere un inspector.
• Acoperă și lanțul de aprovizionare? Un registru de furnizori, cu evaluări și niveluri de criticitate, pentru că sunteți răspunzători și de securitatea furnizorilor voștri direcți.
• Scoate dovezi la un click? La un control, trebuie să exportați documentat ce ați făcut. Un instrument care „arată frumos" dar nu produce probele pe care le cere autoritatea vă lasă descoperiți exact când contează.
• Unde stau datele? Găzduire în EU, cu înțelegerea transpunerii românești. Nu e paranoia, e igienă.

Și acum, partea incomodă: aveți nevoie de software?

O să spunem ceva ce un vânzător de licențe nu vă spune niciodată. Pentru multe companii mijlocii din România, un software de conformitate cumpărat prea devreme e bani aruncați. Nu pentru că uneltele ar fi slabe — unele sunt excelente — ci pentru că o platformă goală rezolvă problema greșită. Ea vă ajută să întrețineți conformitatea, nu să o construiți. Dacă nu știți încă dacă NIS2 vi se aplică, în ce categorie intrați și ce vă lipsește, un abonament lunar nu vă răspunde la niciuna din aceste întrebări — doar vă dă un tablou de bord frumos, gol.

Ordinea sănătoasă e invers față de cum o vând furnizorii. Întâi aflați unde stați — printr-o evaluare care vă spune negru pe alb ce aveți deja și ce mai e de făcut. Abia după ce știți asta are sens să vă întrebați dacă vă trebuie o platformă care să țină totul viu, sau dacă un set de proceduri bine făcute și puțină disciplină internă vă ajung pentru încă un an. La companiile cu care lucrăm, primul livrabil nu e o recomandare de software — e harta onestă a situației. Uneori concluzia chiar e „luați unealta X"; de multe ori e „aveți deja tot ce vă trebuie, hai să-l punem în ordine".

Dacă vreți să vedeți cum arată harta asta în practică, am publicat un studiu de caz cu cifre reale de teren: ce se găsește la un audit tipic, cum se prioritizează și cum ajunge o organizație de la 38% la 74% conformitate în 90 de zile. Fără nicio licență cumpărată.