Când o companie ajunge să ceară oferte pentru NIS2, una dintre primele surprize este diferența de preț. Pentru aceeași companie pot veni două sau trei propuneri care nu seamănă deloc între ele. Una poate părea relativ rezonabilă. Alta poate arăta ca un proiect de transformare completă a infrastructurii. Între ele pot fi zeci de mii de euro diferență.
Pentru cineva non-tehnic, problema nu este doar prețul. Problema este că nu este foarte clar ce cumperi de fapt.
Articolul acesta este despre cum citești o ofertă NIS2 dacă nu vii din IT. Nu despre cum implementezi, nu despre timeline, nu despre checklistul de conformare. Ci despre cum compari ofertele astfel încât să înțelegi dacă sunt construite realist sau dacă includ costuri și complexitate care nu au sens pentru compania ta.
Primul lucru: o ofertă NIS2 nu este doar despre tehnologie
Una dintre cele mai comune confuzii este ideea că NIS2 înseamnă „mai multă tehnologie".
În realitate, într-un proiect NIS2 intră de obicei trei lucruri diferite:
- măsuri tehnice
- procese și proceduri
- documentare și guvernanță
Aici apar și multe neînțelegeri. O ofertă poate părea mare pentru că include sisteme noi. Alta poate părea mică pentru că se bazează mai mult pe ce există deja și se concentrează pe documentare, procese și configurarea corectă a infrastructurii actuale.
Dacă nu separi mental aceste trei zone, este foarte greu să înțelegi de ce două oferte arată atât de diferit.
Ce ar trebui să conțină o ofertă bună
O ofertă NIS2 bună nu trebuie să fie „frumoasă". Trebuie să fie clară.
Ar trebui să poți vedea relativ ușor:
- ce include evaluarea inițială
- ce măsuri tehnice se implementează
- ce documente sau politici se livrează
- ce presupune din partea echipei interne
- ce rămâne de menținut după proiect
- ce costuri apar după implementare
Dacă citești o ofertă și ai impresia că „sunt multe cuvinte, dar nu știu exact ce fac oamenii ăștia", este un semn prost. O ofertă bună nu te lasă cu senzația asta.
Unde apar, de obicei, costurile umflate
Aici merită să fim foarte practici.
1. Evaluarea inițială este prea vagă
Multe diferențe de preț încep de la evaluarea inițială.
Dacă oferta nu explică destul de clar ce se analizează la început, există riscul ca proiectul să plece de la presupunerea că totul lipsește.
Asta duce rapid la proiecte mai mari, pentru că se recomandă măsuri noi fără să fie clar ce există deja în companie.
În schimb, o evaluare bună ar trebui să răspundă la întrebări foarte simple:
- ce sisteme există deja
- ce măsuri de securitate există deja
- ce procese există, chiar dacă sunt informale
- ce lipsește efectiv
Fără etapa asta, costul proiectului poate crește artificial.
2. Soluții prea complexe pentru dimensiunea companiei
Aici apar multe proiecte supra-dimensionate.
O companie de 80–120 de angajați poate primi recomandări care sună bine pe hârtie, dar care au fost gândite pentru organizații mult mai mari sau pentru medii cu cerințe diferite.
Când se propun soluții foarte complexe, merită pusă o întrebare simplă:
De ce este necesară exact această soluție pentru compania mea și ce risc concret rezolvă?
Dacă răspunsul este vag sau foarte general, există șanse bune ca proiectul să fie over-engineered.
3. Costuri recurente mascate
Unele oferte par rezonabile la prima vedere, dar lasă în afara costuri importante care apar după implementare:
- licențe anuale
- costuri de monitorizare
- costuri de mentenanță
- costuri de suport recurent
- costuri pentru audituri sau revizuiri ulterioare
Aici este important să nu te uiți doar la suma inițială.
O întrebare foarte utilă este:
După ce se termină proiectul, ce costuri rămân în anul 2 și anul 3?
Multe companii nu pun întrebarea asta suficient de devreme.
4. Totul este externalizat
Unele proiecte sunt construite astfel încât aproape totul rămâne la furnizor: configurări, procese, documentație, operare.
Asta poate părea simplu pe termen scurt, dar pe termen mediu duce la dependență și la costuri mai mari.
Nu înseamnă că externalizarea este greșită. Înseamnă doar că merită să înțelegi foarte clar ce rămâne în companie după proiect și ce nu.
Ce merită să compari între două oferte
Când două oferte arată foarte diferit, comparația nu trebuie făcută doar pe preț.
Sunt cel puțin cinci lucruri care merită puse unul lângă altul.
1. Ce pleacă de la zero și ce folosește ce există deja
Asta este una dintre cele mai importante diferențe.
O ofertă care folosește infrastructura existentă și completează ce lipsește va arăta foarte diferit față de una care tratează proiectul ca pe un rebuild complet.
2. Ce sisteme noi sunt propuse
Nu orice sistem nou este automat justificat.
Merită să fie clar:
- de ce este necesar
- ce risc rezolvă
- ce alternativă există
- ce cost recurent aduce
3. Ce rol are echipa internă
Într-o ofertă bună, rolul echipei interne este clar. Nu pentru că echipa trebuie să facă tot, ci pentru că lipsa de claritate aici duce aproape întotdeauna la confuzie, întârzieri sau dependență.
4. Ce livrabile primești
Dacă la finalul proiectului nu este clar ce primești concret, este greu să compari valoarea reală a ofertelor.
Aici merită să fie clare:
- documentele livrate
- configurațiile implementate
- procedurile create
- trainingul făcut
- auditul sau verificarea finală
5. Ce rămâne după proiect
Poate cea mai importantă întrebare este aceasta:
După ce proiectul se încheie, compania înțelege mai bine infrastructura și procesele sau devine și mai dependentă de furnizor?
Răspunsul la întrebarea asta spune mult despre calitatea reală a ofertei.
Întrebări simple pe care le poate pune managementul
Un director nu trebuie să intre în detalii tehnice ca să citească bine o ofertă.
Dar sunt câteva întrebări care ajută foarte mult:
- Ce parte din proiect este evaluare și ce parte este implementare?
- Ce măsuri există deja în companie și sunt luate în calcul?
- Ce sisteme noi se propun și de ce?
- Ce costuri recurente rămân după implementare?
- Ce poate menține echipa internă și ce rămâne externalizat?
- Ce se întâmplă dacă aleg să implementez în etape, nu tot dintr-o dată?
Dacă o ofertă nu poate răspunde clar la întrebările astea, este foarte greu de apărat intern, indiferent dacă este ieftină sau scumpă.
Un semn bun și un semn prost
Un semn bun este atunci când oferta face diferența clară între:
- ce este obligatoriu acum
- ce este recomandat ulterior
- ce este opțional
Un semn prost este atunci când totul pare urgent, totul pare obligatoriu și totul este împachetat într-un pachet mare, greu de separat.
În practică, proiectele bune sunt de obicei mai clare și mai ușor de înțeles, nu mai complicate.
Ce ar trebui să rămână după ce ai citit o ofertă
După ce citești o ofertă NIS2, ar trebui să poți răspunde relativ simplu la trei întrebări:
- Ce facem efectiv?
- De ce facem asta?
- Ce rămâne în companie după proiect?
Dacă nu poți răspunde la ele, înseamnă că oferta încă nu este suficient de clară.
Concluzie
Diferențele mari dintre ofertele NIS2 nu apar doar pentru că un furnizor este „mai scump" și altul „mai ieftin".
De multe ori apar pentru că proiectele sunt construite pe ipoteze diferite: ce există deja, ce lipsește, ce trebuie schimbat și cât de mult rămâne compania dependentă de furnizor după implementare.
Pentru management, partea dificilă nu este să aleagă între 12.000€ și 85.000€ - ci să înțeleagă ce se află în spatele acestor sume.
De aceea, înainte să compari prețurile, merită să compari logica proiectului. Acolo apar, de obicei, cele mai importante diferențe.