Fort Cyber: Numai 27% dintre companiile din România pot să răspundă unui atac cibernetic

Companiile din ţara noastră investesc în antivirus, firewall, autentificare multifactor şi soluţii de backup, dar multe dintre ele continuă să confunde achiziţia de tehnologie cu securitatea cibernetică reală, doar 27% dintre ele fiind pregătite să răspundă concret unui atac cibernetic, potrivit rezultatelor studiului „Radiografia securităţii cibernetice în România în 2026”, prezentat ieri de Fort Cyber şi realizat împreună cu companiile Data Diggers şi Promocrat. Datele au fost colectate în perioada mai-iulie 2026 de la 211 companii din ţara noastră care ar trebui să implementeze dispoziţiile din Directiva europeană NIS 2.

Cercetarea a urmărit guvernanţa securităţii cibernetice, monitorizarea sistemelor, capacitatea de răspuns la incidente, măsurile tehnice, cultura de securitate, investiţiile planificate, folosirea inteligenţei artificiale şi pregătirea pentru cerinţele NIS2 şi DORA. Rezultatele nu sunt reprezentative statistic pentru toate organizaţiile din România, deoarece în eşantion sunt suprareprezentate organizaţiile din Bucureşti-Ilfov, companiile din IT şi sectorul financiar, firmele mari şi decidenţii deja implicaţi în securitate. Tocmai această limitare face însă concluzia şi mai îngrijorătoare: autorii raportului estimează că piaţa în ansamblu este, cel mai probabil, mai puţin pregătită decât o arată datele studiului.

La nivel declarativ, 45% dintre organizaţii au fost încadrate în segmentul cu cea mai ridicată maturitate cibernetică, dar când răspunsurile au fost confruntate cu trei condiţii practice - monitorizare permanentă, plan de răspuns testat şi exerciţii regulate -, procentul organizaţiilor cu maturitate verificată a coborât de la 45% la 27%.

Delia Necula, CEO FORT Cyber, a avertizat că securitatea nu poate fi cumpărată o singură dată şi apoi bifată într-un raport de conformitate: „Securitatea cibernetică nu este un proiect pe care îl implementezi şi îl consideri încheiat, ci o capacitate a organizaţiei care trebuie permanent verificată şi îmbunătăţită. Observăm şi în rândul clienţilor noştri o preocupare din ce în ce mai pronunţată pentru securitate cibernetică, însă e nevoie să trecem de la ideea de protecţie statică prin achiziţia de soluţii la o formă dinamică şi matură, respectiv o pregătire continuă pentru momentul în care un incident chiar se produce”.

• Securitatea cibernetică, izolată în departamentul IT - eroarea companiilor româneşti

Studiul arată că măsurile tehnice de bază sunt răspândite în majoritatea organizaţiilor participante. 84% folosesc antivirus sau firewall pe toate dispozitivele, 82% au implementat autentificarea multifactor, iar 81% realizează periodic copii de siguranţă şi le testează. Totuşi, 15% dintre organizaţii au implementat opt sau nouă dintre cele nouă măsuri tehnice analizate, dar nu şi-au testat niciodată planul de răspuns. Ele deţin instrumente de protecţie, însă nu ştiu cu certitudine dacă oamenii, procedurile şi sistemele vor funcţiona împreună în momentul declanşării unei crize.

„A avea soluţia tehnică nu este egal cu a fi pregătit”, a subliniat Delia Necula la lansarea raportului. CEO-ul FORT Cyber a explicat că maturitatea nu se opreşte la antivirus, proceduri şi sisteme de monitorizare, ci presupune existenţa unei culturi care porneşte de la conducerea companiei şi ajunge la fiecare angajat: „Asta pleacă de la vârf, dar nu rămâne în biroul şefului sau în camera de board, ci se duce până la nivelul de bază din organizaţie şi fiecare persoană ştie ce şi cum are de făcut, iar compania investeşte în educaţie”.

Datele arată însă că securitatea cibernetică rămâne, în multe cazuri, izolată în departamentul IT. Deşi 77% dintre respondenţi consideră că securitatea este responsabilitatea fiecărui angajat, numai 56% spun că managementul este implicat vizibil, iar doar 31% dintre organizaţii au desemnat persoane din echipe diferite care să susţină practicile de securitate.

• Cele mai multe incidente, raportate de firmele mature din punct de vedere al securităţii cibernetice

Din studiul citat mai reţinem că entităţile mai mature din punct de vedere al securităţii cibernetice sunt cele care raportează mai multe incidente. În 2025, 22% dintre organizaţiile din categoria cu cel mai ridicat nivel de pregătire au identificat cel puţin un incident de securitate, comparativ cu numai 4% dintre cele vulnerabile. Diferenţa nu arată că organizaţiile mature sunt atacate de 5,5 ori mai des, ci că detectează şi raportează de 5,5 ori mai multe incidente. În segmentul vulnerabil, 36% dintre organizaţii nu pot estima nici măcar în cât timp ar descoperi un atac.

„Mai puţine incidente nu este egal cu a fi mai în siguranţă”, a avertizat Delia Necula, care a adăugat: „Faptul că nu raportăm incidente înseamnă doar că nu ştim sau că nu ni s-a întâmplat încă, dar de cele mai multe ori înseamnă că nu ştim că le-am avut”.

În acest context, procentul general de 15% dintre respondenţi care declară că organizaţia lor a suferit cel puţin un incident în 2025 trebuie interpretat cu prudenţă. O rată redusă a incidentelor raportate poate ascunde nu o securitate mai bună, ci incapacitatea de a observa compromiterea sistemelor.

Aceeaşi relaţie apare în cazul phishingului. Organizaţiile care organizează instruiri de securitate cel puţin trimestrial raportează incidente de phishing în proporţie de 14,6%, în timp ce procentul scade la 1,9% în cazul celor care nu fac asemenea traininguri. Studiul nu demonstrează că instruirea produce incidente, ci sugerează că angajaţii pregătiţi recunosc mai uşor tentativele şi le raportează. Nu întâmplător, instruirea angajaţilor este principala prioritate de securitate cibernetică pentru 2026, indicată de 52% dintre respondenţi, înaintea monitorizării continue, menţionată de 44%, securităţii inteligenţei artificiale, cu 41%, securităţii cloud, cu 35%, şi modernizării tehnologiei, cu 30%.

Încrederea declarată de companii este, în unele cazuri, contrazisă direct de măsurile existente. Aproximativ 53% dintre respondenţi cred că organizaţia lor poate detecta un incident semnificativ în mai puţin de 24 de ore, dar 9% dintre aceştia nu au niciun sistem de monitorizare. În acelaşi timp, 55% consideră că pot răspunde eficient într-un interval mai mic de 24 de ore, deşi 16% dintre organizaţiile respective nu au niciun plan de răspuns.

• Companiile cu un singur angajat IT, fără raportări de incidente cibernetice

Riscul este şi mai mare în cazul aplicaţiilor critice, de care depinde direct funcţionarea unei afaceri. Astfel de aplicaţii sunt folosite de 72% dintre organizaţiile participante, însă 34% dintre acestea nu beneficiază de monitorizare permanentă, iar 49% nu au un plan de răspuns testat. Un singur incident poate opri activitatea, bloca accesul la date, compromite relaţia cu partenerii şi clienţii şi produce pierderi care depăşesc cu mult costul măsurilor preventive. „Nu putem vorbi suficient de mult despre cât de importantă este securitatea cibernetică într-un context în care un atac îţi poate bloca activitatea timp de trei zile”, a declarat Delia Necula.

Nivelul de pregătire este strâns legat şi de resursele IT disponibile. Organizaţiile cu echipe IT interne au obţinut un scor mediu de maturitate de 80 de puncte, cele care folosesc un model mixt, cu personal intern şi suport extern, au ajuns la 73, iar organizaţiile care şi-au externalizat integral serviciile IT au obţinut 64 de puncte. Scorul coboară la 52 pentru companiile care depind de un singur angajat IT şi la numai 33 pentru cele fără personal IT dedicat.

Niciuna dintre cele 22 de organizaţii care se bazează pe un singur angajat IT nu a raportat vreun incident. Rezultatul ar putea părea ideal, dar, pus lângă scorul redus de maturitate, poate indica o capacitate slabă de detectare. Studiul nu stabileşte însă o relaţie automată de cauzalitate între existenţa unei echipe interne şi nivelul securităţii, deoarece dimensiunea organizaţiei, bugetul şi complexitatea infrastructurii influenţează atât resursele IT, cât şi pregătirea.

Studiul citat mai arată că aroximativ 54% dintre organizaţiile mature intenţionează să îşi majoreze bugetul de securitate cibernetică în 2026. În segmentul vulnerabil, doar 4% anticipau o creştere, iar 56% nu aveau bugetul stabilit la momentul cercetării. „Companiile mai mature au tendinţa să investească în securitate, iar cele care au investit până acum sunt mai predispuse să investească în continuare”, a explicat Delia Necula, care a adăugat: „Îngrijorător este însă că cele care nu au investit până acum nici nu au de gând să o facă”.

Inteligenţa artificială deschide un nou front de vulnerabilitate. Nu mai puţin de 94% dintre organizaţiile participante folosesc instrumente AI într-o formă sau alta. În 49% dintre cazuri, acestea sunt utilizate oficial pentru anumite sarcini, fără o integrare extinsă, 30% dintre organizaţii le-au integrat deja pe scară largă în procese, iar în 15% dintre cazuri angajaţii folosesc instrumente AI pe cont propriu, fără o implementare oficială. Regulile au rămas mult în urma adopţiei: numai 37% dintre organizaţii au politici scrise, comunicate angajaţilor, 25% funcţionează pe baza unor reguli informale, 21% nu au nicio regulă, iar 15% se află în proces de elaborare a acestora. Totodată, 36% dintre respondenţi spun că organizaţia lor exercită un control limitat asupra instrumentelor AI folosite de angajaţi, iar 12% recunosc că nu există niciun control. Aproape 70% se tem că angajaţii ar putea introduce informaţii sensibile ale companiei în asemenea sisteme, 58% sunt preocupaţi de deciziile luate pe baza unor răspunsuri incorecte generate de AI, iar 38% semnalează riscuri juridice.

• Pregătirea pentru implementarea NIS2 şi DORA, deficitară

Aproximativ 41% dintre organizaţiile din eşantion consideră că intră sub incidenţa uneia dintre cele două reglementări europene, arată studiul citat. Dintre acestea, numai 29% afirmă că îndeplinesc toate cerinţele, 14% se declară aproape pregătite, 31% se află în proces de implementare, iar 14% sunt încă în etapa de analiză. Costurile tehnologiei şi consultanţei reprezintă principala dificultate pentru 48% dintre organizaţiile vizate, urmate de documentaţie şi proceduri, indicate de 47%, stabilirea responsabilităţilor, cu 34%, şi lipsa personalului specializat, cu 24%.

Chiar şi printre cele 25 de organizaţii care se consideră complet pregătite există fisuri: şase nu fac exerciţii regulate de rezilienţă, iar cinci nu au un plan de răspuns testat. În acelaşi timp, dintre respondenţii care susţin că NIS2 sau DORA nu li se aplică, cel puţin 15 organizaţii par să îşi fi evaluat greşit obligaţiile, între acestea numărându-se entităţi din domeniul financiar-bancar, sănătate, transport şi energie.

Gabriel Dinu, driector adjunct al Directoratului Naţional de Securitate Cibernetică, a afirmat ieri că supraevaluarea apare fie din necunoaşterea cerinţelor, fie din încercarea unor organizaţii de a ascunde realitatea. El a menţionat că DNSC nu se aşteaptă ca toate entităţile să atingă conformitatea completă încă de la prima autoevaluare şi le-a oferit timp pentru adaptare, înaintea declanşării auditurilor. Toleranţa faţă de perioada de acomodare nu trebuie confundată însă cu acceptarea unor declaraţii false, a avertizat reprezentantul DNSC, care a menţionat că instituţia din care face parte va analiza legăturile şi contradicţiile dintre controalele raportate, va păstra datele pentru comparaţii ulterioare şi va putea reveni asupra autoevaluărilor atunci când apar incidente.

„O organizaţie serioasă nu ar trebui să mizeze pe o autoevaluare fals optimistă, deoarece nesinceritatea în relaţia cu autoritatea constituie o circumstanţă agravantă la stabilirea sancţiunilor”, a avertizat Gabriel Dinu. Potrivit acestuia, au început deja să fie emise note de constatare şi vor urma decizii de sancţionare pentru neaplicarea cerinţelor NIS, iar auditurile concrete vor începe după finalizarea ordinului care va reglementa această procedură.