Sectorul energetic este cel mai interconectat dintre serviciile esențiale: o defecțiune într-un punct al rețelei se propagă în cascadă către transport, sănătate, alimentarea cu apă și comunicații. Digitalizarea producției, transportului și distribuției a adus sistemele SCADA și echipamentele de automatizare industrială în miezul operării, de la dispecerizarea națională și stațiile de transformare, până la contoarele inteligente și punctele de reglaj din centrale. O bună parte dintre aceste sisteme au fost proiectate pentru rețele izolate și au ajuns conectate la infrastructura IT fără să fi fost gândite pentru un mediu ostil.
Pentru a răspunde acestor riscuri, Directiva (UE) 2022/2555 (NIS 2) include energia în Anexa I, printre sectoarele cu criticitate ridicată, și impune obligații ferme privind analiza riscurilor, măsurile tehnice și organizatorice, raportarea incidentelor și continuitatea operațională. Pentru operatorii din energie, cerințele acoperă deopotrivă rețelele informatice de birou și sistemele de control industrial care mențin echilibrul rețelei.
Cadrul legal
La nivel european:
- Directiva (UE) 2022/2555 (NIS 2): Text oficial – EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690: Text oficial – EUR-Lex
La nivel național (România):
- OUG nr. 155/2024: MO nr. 1332/2024
- Legea nr. 124/2025: MO nr. 638/2025
- Ordin DNSC nr. 1/2025 privind notificarea entităților: MO nr. 776/2025
- Ordin privind criteriile de perturbare și evaluarea riscurilor: MO nr. 776/2025
Sectorul Energie – Domeniu critic de interes național
Entități esențiale:
- Electricitate: producere, transport, distribuție, operatori de rețele electrice (TSO/DSO)
- Încălzire centralizată și răcire centralizată
- Petrol: explorare, rafinare, transport prin conducte
- Gaze: furnizori, distribuție, transport și sistem, înmagazinare, sisteme GNL, opertori economici, rafinare și tratare
- Hidrogen: producție, stocare și transport
Obligațiile NIS 2 se aplică în egală măsură infrastructurilor critice publice și private.
Amenințări cibernetice relevante
- Compromiterea sistemelor SCADA și ICS
- Manipularea comenzilor industriale poate cauza opriri de sistem sau explozii
- Atacuri ransomware asupra centrelor de control
- Blocarea telemetriei sau a comenzilor de la distanță
- Breșe de securitate la nivelul rețelelor de distribuție
- Interceptarea comunicațiilor sau perturbarea fluxului energetic
- Atacuri asupra furnizorilor terți (IT, mentenanță, echipamente)
- Exploatarea lanțului de aprovizionare
- Acces neautorizat la sistemele de facturare și contorizare
- Furt de date și fraude financiare
Cerințe NIS 2 pentru sectorul energetic
Măsuri obligatorii:
- Evaluarea riscurilor pentru activele IT și OT critice
- Politici integrate de securitate cibernetică la nivel de grup energetic
- Măsuri de segmentare a rețelelor (IT/OT), protecții firewall și DMZ
- Soluții de detecție a anomaliilor (IDS/IPS, SIEM)
- Planuri de continuitate și scenarii de redresare (BCP/DRP)
- Teste de penetrare, audituri tehnice și evaluări externe
- Securizarea punctelor de acces la distanță (VPN, MFA, control furnizori)
- Instruirea echipelor tehnice OT și dispeceratelor
- Colaborare cu autorități naționale (ANRE, DNSC, DSU)
Interdependențe specifice sectorului
- Integrarea IT/OT în producerea și distribuția energiei
- Necesitatea de sincronizare transfrontalieră în rețelele electrice
- Riscuri asociate surselor regenerabile interconectate (fotovoltaice, eoliene)
Securitatea cibernetică a sectorului energetic este o prioritate strategică. Orice incident sever poate avea efecte sistemice naționale sau regionale. Aplicarea riguroasă a Directivei NIS 2 și consolidarea capacitaților de prevenire, detecție și reacție la atacuri cibernetice reprezintă nu doar o obligație legală, ci un act de protejare a interesului public.
Celelalte sectoare din serie
Directiva NIS 2 acoperă unsprezece sectoare cu criticitate ridicată. Fiecare are propriile entități esențiale, amenințări specifice și măsuri obligatorii.