Услуги

NIS2 разширява обхвата спрямо предшественика си и налага по-строги изисквания за управление на киберриска, отчетност на ръководството и докладване на инциденти. Санкциите за несъответствие могат да достигнат 10 млн. евро или 2% от глобалния оборот.

Какво получавате

• Scope assessment — дали и в коя категория попадате (essential / important).
• Gap анализ спрямо 10-те задължителни мерки по чл. 21.
• Roadmap за съответствие с ясни срокове и собственици.
• Политики и процедури — пълен документен набор, адаптиран към организацията.
• Incident response playbook с 24/72 часовите срокове за нотификация.
• Supply chain security — оценка и изисквания към доставчици.
• Обучение на ръководството — личната отговорност на Управителя/Борда.

DORA хармонизира правилата за ICT риск и устойчивост в целия финансов сектор на ЕС. Регулацията влезе в сила на 17 януари 2025 г. и обхваща банки, застрахователи, инвестиционни посредници, платежни институции, крипто и много други.

Нашите услуги

• ICT risk management framework — политики, роли, органи.
• Register of Information — попълване по EBA ITS шаблона (Elegance XLS Template v4).
• Договори с ICT трети страни — преглед, преговори, критични функции.
• ICT incident reporting — класификация, форми, срокове.
• Digital operational resilience testing — TLPT, scenario-based, vulnerability scans.
• Информация за заплахи — threat intel споделяне.

Внедряване от нулата

• Определяне на обхват на ISMS и заинтересованите страни.
• Оценка на риска, План за третиране, Декларация за приложимост (SoA).
• Всички 93 контрола по Annex A — кои са приложими, кои не и защо.
• Политики, процедури, записи — пълен документен комплект.
• Вътрешен одит и Преглед от ръководството.
• Придружаване по време на сертификационен одит (етап 1 и 2).

Типове тестове

• Web application pentest — OWASP Top 10, бизнес логика, authenticated/unauthenticated.
• External infrastructure — периметър, експозирани услуги, OSINT.
• Internal network — AD, lateral movement, privilege escalation.
• Mobile apps — iOS/Android, static & dynamic анализ.
• API security — REST/GraphQL, auth, rate limiting, IDOR.
• Cloud security — AWS/Azure/GCP конфигурационен преглед.
• Social engineering — phishing симулации, vishing, physical.
• Red teaming — goal-oriented multi-vector с MITRE ATT&CK mapping.

Virtual CISO (vCISO)

Фракционен CISO на място или отдалечено — работи директно с борда и екипа, изгражда стратегия, бюджет, метрики и отчита статуса към ръководството и регулатора. Типично 2–8 дни месечно според размера и зрелостта на организацията.

Governance рамки

• NIST CSF 2.0 — Govern, Identify, Protect, Detect, Respond, Recover.
• COBIT 2019 — стратегически IT governance.
• CIS Controls v8 — implementation groups 1/2/3.
• ITIL v4 — service management, change control.

Отчетност

• Тримесечни отчети до борда — риск, метрики, инциденти.
• Годишен независим преглед — задължителен по ЗКС/NIS2.
• Готови пакети за регулаторна проверка.