Cybersecurity la nivel de board și lanț de aprovizionare: ce arată actualizarea din 24 iulie a Cyber Resilience Pledge

Guvernul britanic a actualizat pe 24 iulie 2026 lista semnatarilor Cyber Resilience Pledge, adăugând 14 organizații. Actualizarea nu creează o obligație legală pentru companiile din România și nu este o schemă UE, însă este relevantă ca exemplu concret de politică de securitate: trei măsuri ușor de explicat conducerii, legate de responsabilitatea boardului, avertizare timpurie și controlul riscului din lanțul de aprovizionare.

Ce s-a actualizat pe 24 iulie

Pagina oficială a listei de semnatari arată că 14 noi organizații au aderat la angajament pe 24 iulie. Programul a fost lansat formal la 10 Downing Street pe 7 iulie 2026 și cere participanților să își asume trei acțiuni. Faptul că lista este actualizată public arată și o lecție de guvernanță: un angajament devine mai credibil când poate fi urmărit și comunicat, nu doar aprobat intern.

Cele trei acțiuni din angajamentul britanic

• Cybersecurity ca responsabilitate de board: implementarea acțiunilor din Cyber Governance Code of Practice și instruirea membrilor boardului în termen de trei luni, apoi anual.
• Avertizare timpurie: înscrierea în serviciul NCSC Early Warning în termen de o lună de la semnare.
• Securitate în lanțul de aprovizionare: înregistrarea în Cyber Essentials Supplier Check Tool, auditarea acoperirii și o abordare bazată pe risc pentru solicitarea Cyber Essentials de la furnizori.

În plus, participanții sunt încurajați să promoveze aceleași acțiuni în propriul lanț de aprovizionare și să publice declarația semnată. Cerințele exacte, termenele și instrumentele aparțin programului din Regatul Unit; ele nu trebuie copiate automat într-un contract sau într-o politică internă fără adaptare la legislația, sectorul și profilul de risc aplicabile organizației.

Cum poate fi tradus modelul pentru o organizație din România

• Stabilește un owner de business pentru riscul cibernetic, cu raportare regulată către conducere sau către structura de guvernanță relevantă.
• Definește un tablou de bord scurt: active critice neactualizate, MFA, backup testat, incidente, accesuri privilegiate și furnizori cu risc ridicat.
• Folosește servicii de alertare, informații de vulnerabilitate și monitorizare relevante pentru infrastructura proprie; nu presupune că un singur feed acoperă tot mediul.
• Clasifică furnizorii după impact și acces la date sau sisteme, apoi aplică proporțional cerințe de securitate, drepturi de audit, notificare de incident și obligații de remediere.
• Păstrează dovada deciziilor: evaluarea riscului, excepțiile aprobate, rezultatele exercițiilor și acțiunile corective.

Întrebări utile pentru management

• Cine poate decide acceptarea unui risc cibernetic semnificativ și unde este documentată decizia?
• Cât timp ne-ar lua să aflăm că o vulnerabilitate critică afectează un activ expus?
• Care furnizori pot opri un proces de business sau pot accesa date personale, date financiare ori sisteme operaționale?
• Putem arăta că cerințele din contracte sunt verificate și nu doar bifate la onboarding?
• Când am testat ultima dată răspunsul la un incident care pornește de la un furnizor?

Aceste întrebări nu înlocuiesc analiza juridică sau de conformitate. Pentru entitățile aflate sub cerințe sectoriale ori NIS2, controalele și responsabilitățile trebuie corelate cu obligațiile aplicabile în România și în UE. Angajamentul britanic rămâne un exemplu de bună practică, nu o certificare și nu o garanție împotriva incidentelor.

Mesajul pentru programele de awareness

Angajații au un rol important în raportare, parole, autentificare și verificarea solicitărilor neobișnuite. Dar reziliența nu poate fi transferată exclusiv către utilizatorul final. Boardul trebuie să aloce responsabilități și resurse, iar echipele de achiziții, juridic, IT și securitate trebuie să trateze furnizorii ca parte a suprafeței de atac. Awareness-ul funcționează cel mai bine atunci când completează aceste controale, nu când încearcă să le substituie.