Ce înseamnă, în practică, pregătirea pentru NIS2: exemplul Profi și Safetech Innovations

Pentru alinierea facilă la NIS2 și o gestiune mai riguroasă a riscurilor cibernetice, Profi, unul dintre cei mai mari retaileri locali, a derulat un proiect amplu de GRC (Governance, Risk Management, Compliance),  împreună cu Safetech Innovations. Parteneriatul a condus la dezvoltarea unei culturi de securitate la nivelul organizației, la adoptarea bunelor practici internaționale, conformitatea cu cerințele NIS2, precum și la o implementare măsurabilă și scalabilă a măsurilor de protecție.

Un context complex: mii de puncte de lucru, zeci de mii de angajați și riscuri în continuă expansiune

Profi este una dintre cele mai mari rețele de retail din România, cu peste 1.730 de magazine în mai mult de 700 de localități și aproximativ 28.000 de angajați. Compania gestionează peste 55.000 de echipamente terminale, cu o distribuție extinsă și complexă la nivel național, care în lipsa unui cadru clar de reglementare  în materie de securitate cibernetică și evoluția rapidă a business-ului generează provocări majore pentru operațiunile companiei.

„Profi este o companie cu o amprentă uriașă, ceea ce face ca operațiunile specifice de securitate cibernetică să genereze provocări de scalabilitate. Mai mult, sectorul, prin specificul și rata de înnoire a forței de muncă nu permite o derulare facilă a programelor de conștientizare și igienă cibernetică. Echipa de management a conștientizat însă riscurile de securitate ceea ce a condus la inițierea unui proces de gestionare și mitigare a acestora, atât prin adopția de tehnologie cât și prin crearea de politici și proceduri”, explică Daniel Monoranu, CISO, Profi.

Analiza internă efectuată de Profi a arătat că tehnologia, oricât de performantă, nu este suficientă pentru a construi un sistem solid de protecție. Organizația avea nevoie de o strategie clară, cu obiective măsurabile și auditate anual. Adoptarea unui cadru GRC (Governance, Risk Management, Compliance) a fost considerată soluția potrivită, context în care Profi a inițiat alinierea la NIST CSF și adoptarea bunelor practici GRC, ca parte integrantă a strategiei de securitate cibernetică. NIST CSF – acronim pentru National Institute of Standards and Technology Cybersecurity Framework – este un standard recunoscut internațional, care oferă un set clar de principii și controale pentru identificarea, protejarea, detectarea și răspunsul la amenințările cibernetice.

Proiect GRC derulat împreună cu Safetech Innovations

Gestionarea riscurilor cibernetice și implementarea unui proiect GRC necesită o abordare concentrată, măsurabilă și detaliată, pe care Profi nu o putea susține integral intern. Astfel, contractarea unui furnizor extern ca Safetech Innovations a fost soluția naturală.

”Compania avea nevoie de resurse calificate pentru derularea proiectului GRC, iar la Safetech Innovations am găsit cele mai competente persoane. Spre exemplu, pentru primul rol externalizat de GRC Officer, Safetech Innovations ne-a alocat un expert cu competențe avansate pe multiple arii de cybersecurity, dar și cu experiență reală de CISO – o combinație rară și cu valoare adăugată ridicată”, spune  Daniel Monoranu.

Proiectul a urmat o structură clară: analiza inițială a politicilor și proceselor existente, definirea obiectivelor (reducerea pierderilor operaționale, respectarea standardelor de cybersecurity și consolidarea securității cibernetice), analize de risc, inclusiv a soluțiilor utilizate sau cele noi propuse și a furnizorilor, implementarea modulelor pentru managementul riscului, incidentelor și conformității, instruirea angajaților și, în final, raportarea și monitorizarea continuă pentru top management.

Pe parcursul proiectului, colaborarea a evoluat cu externalizarea a încă trei roluri către experți Safetech Innovations, care au preluat definirea controalelor, politicilor și analiza riscurilor, urmând implementarea efectivă. Pentru Profi, scalabilitatea rapidă a resurselor și combinația dintre flexibilitatea companiei Safetech Innovations și expertiza ridicată a echipei au fost avantaje majore. „Serviciile de Guvernanță, Managementul Riscului și Conformitate (GRC) oferite de Safetech Innovations au un impact direct asupra protejării datelor confidențiale, diminuării riscurilor și asigurării conformității cu reglementările actuale. Aceste servicii ajută organizațiile să dezvolte, implementeze și gestioneze mai eficient sistemele și strategiile de securitate. Companiile pot apela la Safetech atât pentru consultanță și implementare, cât și pentru externalizarea rolurilor specifice de GRC Officer, așa cum am procedat și cu Profi”, detaliază Veronica Răuță, Manager al Departamentului Servicii de Management al Securității, Safetech Innovations.

Extinderea echipei Safetech Innovations a fost generată atât de creșterea maturității Profi în securitate cibernetică, cât și de alinierea la standardele grupului AHOLD. Proiectul include analize de risc pe furnizori și soluții, implicare directă în implementarea măsurilor de reducere a riscurilor, precum și externalizarea unor elemente ale planului de Business Continuity.

Din septembrie 2025, proiectul integrează și consolidarea culturii de cybersecurity, prin implicarea a doi specialiști Safetech Innovations care derulează activități de instruire și evaluări periodice ale angajaților Profi.

Evoluție pozitivă și rezultate măsurabile

Proiectul GRC derulat împreună cu Safetech Innovations a avut o evoluție pozitivă pe cei doi ani de colaborare, toate livrabilele fiind evaluate și validate în raport cu obiectivele inițiale. Profi a reușit să contureze un cadru complet de politici și proceduri pentru toate ariile specifice GRC. Pe baza acestui cadru, compania a început implementarea proceselor și atenuarea riscurilor identificate.

„Sarcinile asociate rolului de GRC Officer implică o colaborare strânsă cu echipa beneficiarului, pe toate planurile — de la CISO și IT până la top management. Este o abordare structurată, menită să asigure gestionarea eficientă a riscurilor, conformitatea cu reglementările și alinierea politicilor interne la obiectivele de afaceri. Este o relație de colaborare care necesită o bună cunoaștere a organizației clientului și a modului său de lucru, pentru ca rezultatele să fie vizibile și măsurabile”, explică Veronica Răuță.

Implementarea GRC din 2023 a reprezentat o pregătire solidă pentru alinierea la NIS2, având în vedere că sectorul de retail și implicit nici Profi, nu erau anterior reglementate de NIS1 și nu existau precedente în abordarea unei asemenea reglementări. Încă de la începutul anului 2025, cu sprijinul Safetech Innovations, compania a demarat procesul de remediere a neconcordanțelor identificate, pregătind astfel organizația și pentru conformitatea cu standardul ISO 27001.

În prezent, Profi se raportează la multiple cadre de conformitate: NIST CSF, NIS2, ISO și PCIDSS. Chiar dacă unele măsuri și controale se suprapun, această redundanță contribuie pozitiv la creșterea gradului de securitate. Alinierea la cadrul GRC a fost bine primită la toate nivelurile organizației, atât operațional, cât și managerial, fiind un pas important în crearea unei culturi cyber durabile, care generează automatisme comportamentale în rândul utilizatorilor și administratorilor.

„Derularea proiectului GRC cu Safetech ne-a ajutat să creăm o cultură de securitate cibernetică, la nivel de politici și proceduri, dar și ca mentalitate în cadrul organizației. Am reușit să depășim reticențele tehnice și comportamentale și să adoptăm un mod de lucru care integrează implicit elementele de securitate. Suntem în plin proces de integrare a securității în ADN-ul cultural al organizației, iar colaborarea cu Safetech este unul dintre elementele care fac posibil acest rezultat,” subliniază Daniel Monoranu.

Proiectul a contribuit semnificativ la maturizarea organizației, oferind proceduri și controale ferme și posibilitatea de a măsura constant progresul în reducerea nivelului de risc. Evaluările interne prevăd acordarea unui scor trimestrial pentru un set de acțiuni și măsuri, evaluând modul de lucru, acuratețea și redundanța. În urma acestui sistem, în 2025 Profi a înregistrat o creștere semnificativă a scorului, confirmând efortul depus și evoluția constantă. Evaluările realizate la nivelul grupului AHOLD au confirmat nivelul de maturitate intern, asigurând direcția corectă pentru organizație.

Autori: 

Daniel Monoranu, Chief Information Security Officer, Profi

Veronica Răuță, Manager Servicii de Management al Securității, Safetech Innovations