Stațiile de epurare și rețelele de canalizare au fost automatizate treptat, fără ca securitatea cibernetică să fie parte din proiectare. Astăzi, procesele de aerare, dozare și filtrare, stațiile de pompare și raportarea de mediu depind de sisteme SCADA și de legături de comunicație care traversează teritorii întinse, adesea prin infrastructuri publice. Un atac care oprește sau falsifică aceste procese are consecințe care nu se opresc la operator: deversări necontrolate, contaminarea emisarilor și efecte directe asupra sănătății publice și a ecosistemelor.
Directiva (UE) 2022/2555 (NIS 2) tratează apele uzate ca sector cu criticitate ridicată în Anexa I, separat de apa potabilă, și impune obligații privind analiza riscurilor, măsurile tehnice și organizatorice, raportarea incidentelor și continuitatea operațională, pentru sistemele de control industrial la fel ca pentru rețelele informatice administrative.
Cadrul legal
La nivel european:
- Directiva (UE) 2022/2555 (NIS 2): Text oficial – EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690: Text oficial – EUR-Lex
La nivel național (România):
- OUG nr. 155/2024: MO nr. 1332/2024
- Legea nr. 124/2025: MO nr. 638/2025
- Ordin DNSC nr. 1/2025 privind notificarea entităților: MO nr. 776/2025
- Ordin privind criteriile de perturbare și evaluarea riscurilor: MO nr. 776/2025
Sectorul Ape Uzate
Entități esențiale:
Întreprinderile care colectează, evacuează sau tratează ape uzate urbane, ape uzate menajere sau ape uzate
industriale, astfel cum acestea sunt definite la art. 2 pct. 1,2 și respectiv 3 din Anexa 1 – Norme Tehnice
din 28 februarie 2002 privind colectarea, epurarea şi evacuarea apelor uzate urbane, NTPA-011 la
Hotărârea nr. 188 din 28 februarie 2002 pentru aprobarea unor norme privind condițiile de descărcare în
mediul acvatic a apelor uzate, cu excepția întreprinderilor pentru care colectarea, evacuarea sau tratarea
apelor uzate urbane, a apelor uzate menajere sau a apelor uzate industriale reprezintă o parte neesențială a
activității lor generale
- Operatorii regionali sau locali de apă și canalizare care gestionează infrastructuri de tratare a apelor uzate
- Stațiile de epurare urbane și industriale
- Companiile publice sau private care operează rețele de canalizare interconectate cu rețele municipale
Amenințări cibernetice specifice
- Acces neautorizat la sistemele SCADA ale stațiilor de epurare
- Perturbarea automatizării proceselor de tratare (aerație, dozaj, filtrare)
- Ransomware care afectează sistemele de monitorizare sau raportare
- Atacuri asupra rețelelor de comunicații dintre stațiile de pompare
- Furt de date tehnice și operaționale (volum, calitate, descărcări)
Cerințe NIS 2 pentru sectorul apelor uzate
Măsuri obligatorii:
- Inventarierea și clasificarea activelor IT și OT critice
- Politici de securitate IT aprobate la nivel de conducere
- Segmentarea rețelelor și separarea canalelor de comunicare OT/IT
- Soluții de monitorizare a traficului și detectare a anomaliilor (IDS/IPS)
- Planuri de răspuns la incidente și continuitate operațională testate anual
- Controlul accesului și autentificare multifactorială (MFA)
- Instruirea echipelor de mentenanță și exploatare în securitate cibernetică
- Audituri externe de securitate cibernetică și simulări de atac
- Monitorizarea furnizorilor de echipamente și servicii IT/SCADA
Interdependențe critice
- Legături directe cu rețelele de apă potabilă și infrastructura urbană
- Dependența de sisteme digitale pentru raportarea conform reglementărilor de mediu
- Posibile efecte asupra ecosistemelor în cazul unor disfuncționalități operaționale
Securizarea sistemelor de gestionare a apelor uzate este esențială pentru protecția mediului și sănătății publice. Directiva NIS 2 impune operatorilor o abordare proactivă a riscurilor cibernetice, iar implementarea integrală a cerințelor legale este o condiție esențială pentru prevenirea incidentelor cu impact major asupra comunităților și ecosistemelor.
Celelalte sectoare din serie
Directiva NIS 2 acoperă unsprezece sectoare cu criticitate ridicată. Fiecare are propriile entități esențiale, amenințări specifice și măsuri obligatorii.