Apa potabilă este serviciul esențial cu cel mai scurt drum către populație: între o comandă dintr-un sistem de automatizare și paharul de la robinet nu există niciun intermediar care să corecteze o eroare. Stațiile de tratare, stațiile de pompare și rețelele de distribuție sunt conduse astăzi de sisteme SCADA și de echipamente de dozare automată, legate prin telemetrie pe distanțe mari, adesea prin infrastructuri de comunicații publice. Manipularea unui proces de dezinfecție, oprirea pompelor sau falsificarea datelor de monitorizare a calității pot avea consecințe sanitare imediate, într-un serviciu care nu poate fi suspendat până la remediere.
Directiva (UE) 2022/2555 (NIS 2) include apa potabilă în Anexa I, printre sectoarele cu criticitate ridicată, separat de apele uzate. Obligațiile privesc analiza riscurilor, măsurile tehnice și organizatorice, raportarea incidentelor și continuitatea operațională, și se aplică deopotrivă rețelelor informatice administrative și sistemelor de control industrial care mențin serviciul în funcțiune.
Cadrul legal
La nivel european:
- Directiva (UE) 2022/2555 (NIS 2): Text oficial – EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690: Text oficial – EUR-Lex
La nivel național (România):
- OUG nr. 155/2024: MO nr. 1332/2024
- Legea nr. 124/2025: MO nr. 638/2025
- Ordin DNSC nr. 1/2025 privind notificarea entităților: MO nr. 776/2025
- Ordin privind criteriile de perturbare și evaluarea riscurilor: MO nr. 776/2025
Sectorul Apă Potabilă
Entități esențiale:
Furnizorii și distribuitorii de apă destinată consumului uman, cu excepția distribuitorilor pentru care distribuția de apă destinată consumului uman reprezintă o parte neesențială a activității lor generale de distribuție a altor produse și mărfuri.
- Operatorii regionali și locali de apă și canalizare, pentru partea de captare, tratare și distribuție a apei potabile
- Stațiile de tratare a apei destinate consumului uman
- Operatorii rețelelor de aducțiune, ai rezervoarelor de înmagazinare și ai stațiilor de pompare
- Entitățile care asigură monitorizarea calității apei și raportarea către autoritățile de sănătate publică
Amenințări cibernetice specifice
- Acces neautorizat la sistemele SCADA ale stațiilor de tratare și de pompare
- Manipularea proceselor de dezinfecție și de dozare a reactivilor
- Perturbarea telemetriei dintre punctele de captare, rezervoare și rețeaua de distribuție
- Ransomware asupra sistemelor de monitorizare a calității apei și de raportare
- Falsificarea datelor de măsurare, care întârzie detectarea unei probleme reale
- Atacuri asupra sistemelor de facturare și de relații cu clienții, cu expunerea datelor personale
Cerințe NIS 2 pentru sectorul apei potabile
Măsuri obligatorii:
- Inventarierea și clasificarea activelor IT și OT critice
- Politici de securitate aprobate la nivel de conducere, cu responsabilități explicite
- Segmentarea rețelelor și separarea canalelor de comunicare OT/IT
- Soluții de monitorizare a traficului și de detectare a anomaliilor (IDS/IPS)
- Controlul accesului și autentificare multifactorială, inclusiv pentru accesul de la distanță al furnizorilor
- Planuri de răspuns la incidente și de continuitate operațională, testate anual
- Proceduri de operare manuală, ca variantă de rezervă la indisponibilitatea sistemelor automate
- Instruirea echipelor de exploatare și mentenanță în securitate cibernetică
- Audituri externe de securitate și simulări de atac
- Monitorizarea furnizorilor de echipamente și servicii IT/SCADA
Interdependențe critice
- Dependența totală de alimentarea cu energie electrică a stațiilor de pompare și de tratare
- Legături directe cu infrastructura de ape uzate și cu rețelele urbane
- Impact imediat asupra sistemului sanitar în cazul unui incident de contaminare
- Dependența de rețelele de comunicații pentru telemetrie și pentru raportarea reglementată
Securizarea sistemelor de alimentare cu apă potabilă este, în ultimă instanță, o măsură de sănătate publică. Directiva NIS 2 cere operatorilor o abordare proactivă a riscurilor cibernetice, iar pentru un serviciu care nu poate fi întrerupt, capacitatea de a opera în siguranță și fără sistemele automate rămâne la fel de importantă ca protecția lor.
Celelalte sectoare din serie
Directiva NIS 2 acoperă unsprezece sectoare cu criticitate ridicată. Fiecare are propriile entități esențiale, amenințări specifice și măsuri obligatorii.