cum completez că angajații pot raporta un incident de securitate

Ruta internă de raportare este dovada, nu o intenție

Această întrebare se referă la canalul de raportare în sine: pot angajații să raporteze intern un incident, și se întâmplă asta și în realitate. Aceasta este diferit de întrebarea dacă organizația înregistrează sau gestionează incidentele — asta se încadrează la procedura de gestionare a incidentelor de securitate. Aici clientul dorește să știe în mod specific dacă există o cale ușor accesibilă și cunoscută prin care un angajat poate semnala ceva: o adresă de e-mail, un sistem de tichet, un nume pe intranet. Dovada nu este deci procedura în ansamblu, ci canalul concret plus ceva care să arate că angajații cunosc acel canal — o captură de ecran din intranet, un pasaj din documentul de integrare, sau o diapozitiv din training.

Dacă nu ai întocmit asta separat, atunci «nu» sau «parțial» este răspunsul onest, chiar dacă există într-adevăr o procedură de gestionare a incidentelor care este folosită doar de echipa IT. Nu completa «da» pe baza procedurii singure; întrebarea evaluează sensibilizarea și accesibilitatea, nu doar procesul. Dacă există training de sensibilizare care abordează canalul de raportare, aceasta este adesea cea mai puternică dovadă — verifică asta în raport cu training-ul în practici de bază pentru igiena cibernetică, pentru că aceste două răspunsuri trebuie să fie mutual coerente. Dacă nu se potrivesc între ele, asta se observă mai repede într-o mostră de audit decât o singură dovadă lipsă.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Acest requisit provine din articolul 21 alineatul 2 al Directivei NIS2, unde gestionarea incidentelor este una dintre cele zece măsuri obligatorii; Legea de securitate cibernetică transpune asta în dreptul român începând cu 15 august 2026. ISO/IEC 27001 elaborează asta în Anexa A până la nivelul canalelor de raportare și sensibilizare, iar clienții care utilizează un chestionar ISO întreabă adesea literal după acel punct de control din Anexa A. Dacă organizația în sine este certificată, această dovadă se află de obicei deja gata — vedeți certificatul ISO 27001 pentru modul în care asta poate fi demonstrat.