STUDIU FORT CYBER: Companiile din România tind să îşi supraestimeze pregătirea pentru atacuri cibernetice

Companiile au făcut progrese în adoptarea soluţiilor de securitate cibernetică, dar existenţa tehnologiei nu înseamnă automat că o organizaţie este pregătită să facă faţă unui atac. Studiul „Radiografia Securităţii Cibernetice în România în 2026”, iniţiat de FORT SA, arată că diferenţa o fac capacitatea de a identifica rapid un incident, existenţa unui plan clar de răspuns şi testarea periodică a modului în care organizaţia poate reacţiona.

Studiul realizat de FORT, companie specializată în securitate cibernetică listată pe piaţa AeRO a Bursei de Valori Bucureşti, împreună cu Data Diggers şi Promocrat în perioada mai-iulie 2026, în rândul a 211 organizaţii, analizează nivelul de pregătire pentru riscurile cibernetice din perspectiva guvernanţei, monitorizării, capacităţii de răspuns la incidente, măsurilor tehnice şi culturii de securitate.

Măsurile tehnice de bază sunt deja larg răspândite dar nu neapărat sofisticate: peste 80% dintre organizaţiile participante folosesc antivirus şi firewall, autentificare multifactor şi soluţii de backup. Datele arată însă că un nivel ridicat de protecţie tehnică nu înseamnă automat şi pregătire pentru un incident. 15% dintre organizaţii au implementat opt sau nouă dintre cele nouă măsuri tehnice analizate, dar nu şi-au testat niciodată planul de răspuns pentru a vedea cum ar reacţiona în cazul unui atac.

„Securitatea cibernetică nu este un proiect pe care îl implementezi şi îl consideri încheiat, ci o capacitate a organizaţiei care trebuie permanent verificată şi îmbunătăţită. Observăm şi în rândul clienţilor noştri o preocupare din ce în ce mai pronunţată pentru securitate cibernetică, însă e nevoie să trecem de la ideea de protecţie statică prin achiziţia de soluţii la o formă dinamică şi matură, respectiv o pregătire continuă pentru momentul în care un incident chiar se produce”, declară Delia Necula, CEO FORT Cyber.

FORT Cyber furnizează servicii de securitate cibernetică pentru companii, de la identificarea şi testarea vulnerabilităţilor până la monitorizare continuă şi pregătirea pentru răspuns la incidente.

Un rezultat aparent paradoxal al studiului arată că organizaţiile mai bine pregătite raportează mai multe incidente de securitate. 22% dintre organizaţiile din categoria cu cel mai ridicat nivel de pregătire au raportat cel puţin un incident în 2025, faţă de doar 4% dintre cele din categoria cu cel mai scăzut nivel.

Diferenţa nu înseamnă că organizaţiile mature sunt atacate mai des. Datele sugerează că acestea au o capacitate mai bună de a identifica şi raporta incidentele. Un număr redus de incidente raportate nu este neapărat un semn al unei securităţi mai bune.

Diferenţa dintre cele două categorii se vede în planurile de investiţii. 54% dintre organizaţiile cu nivel ridicat de maturitate intenţionează să crească bugetele de securitate cibernetică în 2026, faţă de 4% dintre organizaţiile vulnerabile. Datele indică riscul ca decalajul dintre organizaţiile mai bine şi mai slab pregătite să se accentueze.

Capacitatea de a identifica incidentele nu depinde doar de tehnologie, ci şi de pregătirea angajaţilor. Organizaţiile care fac periodic training raportează incidente de phishing în proporţie de 14,6%, faţă de 1,9% în cazul celor care nu îşi instruiesc periodic angajaţii. Datele sugerează că pregătirea oamenilor contribuie la o mai bună identificare şi raportare a tentativelor de phishing.

Importanţa componentei umane este recunoscută de companii: instruirea angajaţilor este cea mai frecvent menţionată prioritate de securitate cibernetică pentru 2026, indicată de 52% dintre respondenţi.

O altă componentă urmărită de studiu este legată de adoptarea inteligenţei artificiale şi de măsurile de securitate luate în paralel de companii. AI este prezentă în aproape toate organizaţiile participante la cercetare: 94% o folosesc într-o formă sau alta. Însă doar 37% au politici scrise privind utilizarea acestei tehnologii, comunicate angajaţilor.

Diferenţa este relevantă şi din perspectiva riscurilor: circa 70% dintre respondenţi sunt preocupaţi de posibilitatea ca angajaţii să introducă informaţii sensibile ale companiei în instrumente AI.