De Oana Ijdelea
NIS2 schimbă regulile jocului: securitatea cibernetică nu mai este doar o problemă de IT, ci o obligație juridică, de guvernanță și de securitate energetică (NIS2 este noua regulă europeană care obligă companiile și instituțiile din sectoarele esențiale, inclusiv energia, să-și protejeze sistemele informatice împotriva atacurilor cibernetice și să raporteze rapid incidentele).
În energie, o pană de curent nu mai începe neapărat într-o stație electrică. Poate începe într-un server, într-un cont compromis, într-un software furnizat de un terț sau într-o vulnerabilitate ignorată prea mult timp. Aceasta este schimbarea fundamentală pe care trebuie să o înțelegem. Rețelele energetice sunt astăzi infrastructuri fizice controlate digital. Iar cu cât energia devine mai conectată, mai automatizată și mai inteligentă, cu atât suprafața de atac crește.
ENISA – centrul european de expertiză în securitate cibernetică – a analizat 4.875 de incidente produse în Uniunea Europeană între iulie 2024 și iunie 2025. Atacurile de tip DDoS au reprezentat 77% dintre incidentele raportate, în timp ce ransomware-ul a rămas amenințarea cu cel mai mare impact. Phishing-ul și exploatarea vulnerabilităților au fost principalele căi de acces. Pentru sectorul energetic, problema este mai gravă decât pare. O infrastructură IT compromisă poate afecta o infrastructură operațională. Iar o infrastructură operațională compromisă poate afecta, în lanț, economia și societatea. ENISA avertizează explicit că întreruperile prelungite ale rețelelor energetice pot produce efecte în cascadă asupra altor sectoare. De aceea, securitatea cibernetică trebuie privită ca parte a securității energetice.
Iar aici intervine NIS2.
Directiva 2022/2555 include energia printre sectoarele cu importanță critică ridicată și extinde aria de aplicare către o gamă largă de actori: producători, operatori de transport și distribuție, furnizori, operatori de stocare, LNG, infrastructuri petroliere și, între altele, operatori din sectorul hidrogenului. În România, cadrul NIS2 este transpus prin OUG nr. 155/2024, aprobată și modificată ulterior prin Legea nr. 124/2025. Cadrul național pune în sarcina entităților esențiale și importante atât obligații de gestionare a riscului, cât și obligații de raportare a incidentelor.
Dar aici este esențială diferența dintre conformitate și securitate. Conformitatea nu înseamnă securitate. Poți avea politici, proceduri, audituri și certificate. Și totuși să fii vulnerabil. NIS2 trebuie înțeleasă ca un sistem de guvernanță a riscului. Directiva cere organismelor de conducere să aprobe măsurile de gestionare a riscului cibernetic, să supravegheze implementarea acestora și permite atragerea răspunderii pentru încălcarea obligațiilor. Este o schimbare majoră.
Cybersecurity ajunge astfel în sala de consiliu. Nu mai este suficient ca directorul IT să spună că sistemul este protejat. Consiliul de administrație trebuie să știe ce active sunt critice, ce vulnerabilități există, cât costă remedierea lor, ce dependențe există față de furnizori și ce se întâmplă dacă un sistem cade. În energie, întrebarea juridică devine inevitabilă: cine răspunde atunci când o vulnerabilitate cunoscută nu este remediată?
A doua mare problemă este lanțul de aprovizionare. O companie energetică poate avea propriile sisteme bine securizate și totuși să fie expusă printr-un furnizor de software, de servicii gestionate, de mentenanță sau de tehnologie operațională. ENISA arată că riscurile de supply chain și compromiterea terților se află printre principalele preocupări ale organizațiilor europene. Contractele comerciale trebuie, prin urmare, să înceapă să vorbească serios despre cybersecurity.
Cine notifică incidentul? În cât timp? Cine conservă probele? Cine suportă costurile de remediere? Ce drepturi de audit are beneficiarul? Ce se întâmplă dacă furnizorul subcontractează serviciul? Care sunt standardele minime de securitate? Cine răspunde pentru o breșă produsă printr-un terț? Acestea nu mai sunt întrebări tehnice. Sunt întrebări juridice și de guvernanță.
Mai mult, legislația românească stabilește termene precise pentru raportarea incidentelor semnificative: o avertizare timpurie în maximum 24 de ore și o notificare a incidentului în maximum 72 de ore de la momentul în care entitatea a luat cunoștință de acesta. Pentru anumite incidente cu impact transfrontalier există obligații suplimentare de notificare rapidă. Într-o criză reală, aceste termene sunt foarte scurte. De aceea, procedura juridică trebuie construită înaintea atacului, nu în timpul lui.
Companiile energetice au nevoie de planuri de răspuns testate, matrice clare de responsabilitate, proceduri de conservare a probelor, protocoale de comunicare cu DNSC și autoritățile competente, precum și mecanisme contractuale care să permită reacția rapidă.
Și mai există o dimensiune. Europa construiește în paralel cadrul privind reziliența entităților critice, iar Directiva CER a Comisiei Europene urmărește identificarea entităților critice și protejarea serviciilor esențiale împotriva unei game largi de riscuri. Pe înțelesul tuturor, CER obligă operatorii infrastructurilor esențiale, inclusiv din energie, să fie pregătiți să prevină, să reziste și să se refacă rapid după incidente care le-ar putea întrerupe serviciile, fie că vorbim despre atacuri, sabotaj, dezastre naturale sau alte amenințări. NIS2 protejează infrastructura critică din perspectiva digitală. CER îi cere să fie rezilientă în fața amenințărilor fizice și a altor riscuri. NIS2 și CER trebuie, deci, privite împreună: una întărește reziliența digitală, cealaltă reziliența infrastructurii critice. În energie, cele două lumi nu mai pot fi separate.
În final, problema nu este dacă vom avea atacuri cibernetice. Le avem deja. Problema este cât de repede putem detecta un atac, cât de bine putem limita propagarea lui și cât de repede putem reporni serviciul.
Pentru un avocat specializat în energie, aceasta este poate cea mai importantă concluzie juridică a noii realități: securitatea cibernetică devine parte din obligația de continuitate a afacerii. Iar pentru administratorii infrastructurilor energetice, NIS2 nu trebuie privită ca încă o obligație de conformare. Trebuie privită ca ceea ce este în realitate: o nouă regulă de protecție a infrastructurii energetice.
Pentru că, în economia digitală, protejarea energiei înseamnă și protejarea codului care o controlează.
| Știri BVB