Detecție și raportare NIS2 pentru operatorii cu sisteme industriale (OT)

1. Cui se adresează ghidul și ce s-a schimbat la 27 august 2026

Ghidul este pentru cei care conduc, protejează sau răspund pentru o organizație ce operează un proces fizic: o centrală electrică, o cascadă hidro, o stație de tratare a apei cu stațiile ei de pompare, o rețea de termoficare, o rețea de distribuție a gazelor sau o linie de producție. În aceste organizații rețeaua de birou (IT) și rețeaua industrială (OT) au de regulă proprietari diferiți. NIS2 nu recunoaște această graniță. Vede o singură entitate, o singură conducere și un singur set de obligații de raportare.

Dacă ești managerul IT sau de securitate, inginerul de automatizări, responsabilul de conformitate sau directorul general al unui operator cu 50 sau mai mulți angajați dintr-unul din cele 18 sectoare acoperite, citește mai departe. Majoritatea operatorilor cu peste 250 de angajați din sectoarele energie, apă și industrie din Anexa I sunt entități „esențiale”. Categoria aceasta vine cu audituri planificate și cu obligația explicită de a depune un plan de remediere.

Ce s-a schimbat. La 27 august 2026, Directoratul Național de Securitate Cibernetică (DNSC) a publicat Ordinul nr. 1/2026 în Monitorul Oficial, Partea I, nr. 712 și 712 bis. Ordinul stabilește măsurile de gestionare a riscurilor de securitate cibernetică și metoda prin care fiecare entitate înregistrată își calculează propriul nivel de maturitate. Vine cu trei instrumente de autoevaluare, unul pentru fiecare nivel de asigurare: EVAL_MMS_B (de bază), EVAL_MMS_I (important) și EVAL_MMS_E (esențial). Entitățile al căror scor general de risc a fost validat depun autoevaluarea prin platforma NIS2@RO.

Urmează trei consecințe.

1. Autoevaluarea este obligatorie și are un termen. Se depune în 60 de zile de la evaluarea nivelului de risc pe care ai transmis-o conform Ordinului nr. 2/2025. Mulți operatori sunt acum exact în acea fereastră.
2. Un scor mic devine un angajament depus la autoritate. Lipsurile constatate în autoevaluare intră într-un plan de remediere cu termene. Sursele secundare descriu planul ca fiind datorat în 30 de zile de la autoevaluare și cerut explicit entităților esențiale; confirmă termenul pentru categoria ta cu consilierul juridic.
3. Aplicarea sancțiunilor a început. Gabriel Dinu, director adjunct al DNSC, a confirmat în septembrie 2026 că se emit primele amenzi: întâi pentru entitățile care nu s-au înregistrat deloc, apoi pentru cele care s-au înregistrat, dar nu și-au îndeplinit obligațiile. Primele amenzi sunt la minimul scalei.

Unde va fi scorul cel mai mic? La detecție, monitorizare și tratarea incidentelor. Studiul FORT Cyber, realizat pe 211 organizații din România (mai–iulie 2026), a găsit că 84% au antivirus sau firewall pe toate dispozitivele, 82% folosesc autentificare cu mai mulți factori și 81% fac și testează copii de siguranță. Și totuși doar 27% pot răspunde concret unui atac cibernetic, iar 15% au opt sau nouă din nouă măsuri tehnice implementate și nu și-au testat niciodată planul de răspuns la incidente. Prevenția a fost, în mare, cumpărată. Detecția și dovezile, nu. Studiul precizează că nu este reprezentativ statistic, așa că citește cifrele ca pe o indicație, nu ca pe un recensământ.

2. Obligațiile, în cuvinte simple

NIS2 este Directiva (UE) 2022/2555. România a transpus-o prin Ordonanța de urgență a Guvernului (OUG) nr. 155/2024, aprobată și modificată prin Legea nr. 124/2025. DNSC este autoritatea competentă. Secțiunea de față folosește numerele de articol din directivă, care sunt stabile.

Articolul 21: măsurile care privesc detecția și monitorizarea

Articolul 21 cere entităților esențiale și importante să ia măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru a gestiona riscurile la adresa rețelelor și sistemelor lor informatice. Măsurile acoperă întreaga entitate, atât rețeaua de birou, cât și rețeaua industrială. Patru puncte din lista minimă de la articolul 21 alineatul (2) privesc direct detecția.

• Litera (a), politici de analiză a riscurilor și de securitate a sistemelor informatice. Nu poți analiza riscul unei rețele pe care nu o vezi. Un inventar al sistemelor și al jurnalelor (logurilor) pe care le produc este primul pas practic.
• Litera (b), gestionarea incidentelor. Gestionare înseamnă detecție, analiză, izolare și recuperare, plus capacitatea de a spune ulterior ce s-a întâmplat, în ce ordine și cu ce dovezi.
• Litera (d), securitatea lanțului de aprovizionare. Furnizorii de echipamente care se conectează de la distanță la automatele tale fac parte din suprafața ta de atac. Sesiunile lor trebuie să fie vizibile.
• Litera (f), evaluarea eficacității măsurilor. O capacitate de detecție care nu a fost niciodată testată nu este încă o măsură.

Articolul 20 pune aprobarea acestor măsuri și supravegherea implementării lor în sarcina organului de conducere. În transpunerea românească, conducerea răspunde personal, iar măsurile complementare includ dispoziții obligatorii de conformare și interdicția temporară de a ocupa funcții de conducere.

Articolul 23: calendarul de raportare

Articolul 23 cere entității să notifice incidentele semnificative autorității naționale, în România DNSC, în trei pași. Tabelul arată cele trei termene și ce trebuie să conțină fiecare pas.

Despre „luarea la cunoștință”. Ceasul pornește când entitatea ia cunoștință de incident, nu când a început incidentul. Pentru un operator fără detecție în rețeaua industrială, asta poate însemna luni de activitate neobservată, urmate de un sprint de 24 de ore. Raportul final va cere apoi o cauză principală și o cronologie pe care nimeni nu le mai poate reconstitui. De aceea detecția și raportarea aparțin aceleiași discuții.

Două reglementări vecine merită câte o frază. În Regulamentul general privind protecția datelor (GDPR), considerentul 49 recunoaște prelucrarea datelor cu caracter personal strict necesară și proporțională pentru asigurarea securității rețelelor și a informațiilor ca interes legitim, deci jurnalele de securitate care conțin nume de utilizator sau adrese au un temei legal recunoscut, dacă le păstrezi proporționale și documentate. Conform Regulamentului privind reziliența cibernetică, de la 11 septembrie 2026 producătorii de produse cu elemente digitale trebuie să raporteze vulnerabilitățile exploatate activ în 24 de ore; notificarea unui furnizor este una dintre căile prin care „iei la cunoștință”.

3. De ce rețeaua industrială rămâne neacoperită

În rețeaua de birou, detecția este o problemă rezolvată din punct de vedere tehnic: serverele, laptopurile și firewall-urile scriu jurnale, iar un colector le adună. În rețeaua industrială nu este, din patru motive.

Multe echipamente industriale nu produc jurnale de securitate. Un automat programabil (PLC) instalat în 2006, o unitate terminală la o stație de pompare sau un releu de protecție dintr-o stație electrică face ceea ce a fost construit să facă: rulează procesul. Nu înregistrează cine s-a conectat, ce s-a modificat sau când. Cercetarea noastră în instalațiile din România a găsit mereu aceeași situație: echipamente care nu se pot actualiza, furnizori de echipamente care intră prin VPN după propriul program și nicio listă exactă a ceea ce este conectat în rețeaua industrială.

Instrumentele de securitate IT nu înțeleg protocoalele industriale. Modbus, Siemens S7 și celelalte protocoale ale rețelelor industriale arată, pentru un instrument de securitate obișnuit, ca niște octeți necunoscuți pe porturi neobișnuite. Instrumentul nu poate deosebi o modificare legitimă a unei valori de consemn de una rău intenționată, pentru că nu le poate citi.

Atacurile care ajung în OT pornesc de obicei din IT. Cele două incidente românești din decembrie 2025 ilustrează acest lucru. Complexul Energetic Oltenia a pierdut sistemul de planificare a resurselor, gestiunea documentelor, e-mailul și site-ul în urma atacului ransomware „Gentlemen” din noaptea de 26 decembrie 2025. Administrația Națională Apele Române a avut circa 1.000 de sisteme afectate în zece dintre cele unsprezece administrații bazinale și a fost blocată aproape o săptămână; operațiunile critice de apă au fost raportate ca neafectate. În ambele cazuri sistemele afectate erau pe partea de birou. Întrebarea pentru fiecare operator este dacă drumul de la partea de birou la partea industrială este monitorizat. Analiza Deloitte asupra sectorului energetic românesc notează că segmentarea între IT și OT este adesea slabă sau nedocumentată.

Nimeni nu vede ambele rețele în același loc. La operatorii studiați, IT-ul raportează unui director tehnic sau general, iar automatizările raportează producției. Fiecare parte vede jumătate din imagine, iar monitorizarea fiecărei părți, acolo unde există, se oprește la graniță. Când pornește ceasul de 24 de ore, două echipe reconstituie două jumătăți de cronologie, iar responsabilul de conformitate semnează un raport pentru care niciuna nu poate garanta integral.

Ce înseamnă „detecție” pentru o instalație. O definiție realistă pentru un operator industrial are trei părți.

1. Jurnale acolo unde există. Firewall-uri, servere, stații de salt, istorice de proces, stații de inginerie, servere SCADA, porți de acces la distanță, jurnale de evenimente Windows. Colectează-le central.
2. Trafic de rețea acolo unde nu există jurnale. O copie a traficului din rețeaua industrială, citită pasiv și decodată la nivel de protocol, astfel încât dispozitivele noi, conexiunile noi, comenzile noi și activitatea de inginerie în afara programului să devină vizibile.
3. Exclusiv pasiv. Fără programe instalate pe automate, fără scanare activă, fără vreo posibilitate de a trimite comenzi către proces. Un port oglindă (SPAN) sau un TAP de rețea produce o copie a traficului; senzorul de monitorizare doar ascultă și nu transmite niciodată nimic către proces. Scoți senzorul și instalația este exact cum era.

A treia parte este cea care face detecția acceptabilă pentru omul care răspunde ca procesul să nu se oprească. Nimic nu se conectează la o rețea industrială fără acordul inginerului de automatizări, iar colectarea pasivă este de regulă condiția acelui acord.

4. O listă de verificare pentru detecție și raportare, de parcurs într-un trimestru

Un operator cu o echipă IT mică, o echipă de automatizări și, la nevoie, un partener extern poate parcurge cele douăsprezece puncte de mai jos în circa trei luni. Fiecare punct produce un rezultat pe care îl poți anexa la planul de remediere sau îl poți arăta unui auditor. Ordinea contează: primele puncte creează vizibilitatea de care depind cele următoare.

1. Inventariază sursele de jurnale pe care le ai. Listează fiecare sistem din partea de birou și din partea industrială, dacă produce jurnale, în ce format și unde ajung ele astăzi. Marchează sistemele care nu produc nimic. Rezultat: un inventar al jurnalelor, datat.
2. Centralizează colectarea. Trimite toate jurnalele existente către un singur colector sub controlul tău, în rețeaua ta. Sincronizează ceasurile surselor; o cronologie construită din ceasuri nesincronizate nu este dovadă. Rezultat: o listă a surselor conectate, cu data conectării fiecăreia.
3. Obține o vedere pasivă asupra rețelei industriale. Configurează un port oglindă (SPAN) pe switch-ul rețelei industriale sau instalează un TAP de rețea și conectează un senzor care doar ascultă. Începe cu o linie sau o stație necritică, în prezența inginerului de automatizări. Rezultat: o declarație scrisă că senzorul nu poate trimite nimic către proces.
4. Construiește lista echipamentelor din ce vezi. Vederea pasivă va arăta dispozitive pe care inventarul le-a ratat: laptopuri ale furnizorilor, standuri de test uitate, o cale de acces la distanță neașteptată. Reconciliază lista cu echipa de automatizări. Rezultat: o listă a echipamentelor din rețeaua industrială, semnată de ambele echipe.
5. Stabilește cum arată funcționarea normală. După două până la patru săptămâni de observare, notează ce este normal: care dispozitive vorbesc cu care, pe ce protocoale, la ce ore. Rezultat: un document de referință pentru fiecare locație.
6. Definește alerte pentru abaterile de la referință. Un dispozitiv nou, o conexiune nouă între zone, comenzi de inginerie în afara ferestrelor de mentenanță, acces la distanță dintr-o sursă necunoscută. Începe cu puține alerte și adaugă. Rezultat: un catalog de alerte cu motivarea fiecărei reguli.
7. Analizează alertele pe baza dovezilor. Fiecare alertă investigată se încheie cu o decizie scrisă (atac real, alarmă falsă sau informații insuficiente), iar decizia citează liniile de jurnal sau înregistrările de trafic pe care se sprijină. Rezultat: un registru al alertelor analizate.
8. Exersează reconstituirea cronologiei. Ia un eveniment trecut, real sau simulat, și reconstituie-l de la un capăt la altul: primul semn, punctul de intrare, deplasarea, impactul, izolarea. Cronometrează. Dacă durează două zile manual, aceasta este o constatare pentru planul de remediere. Rezultat: o cronologie reconstituită, cu dovezi citate.
9. Scrie fluxul de raportare. Cine declară un incident semnificativ. Cine redactează avertizarea timpurie de 24 de ore, din ce model, cu ce fapte. Cine revizuiește. Cine semnează. Cum se construiesc notificarea de 72 de ore și raportul de o lună pe baza primei. Dacă consilierul juridic confirmă o obligație națională de șase ore, adaugă-o. Rezultat: un flux de o pagină, cu nume.
10. Atribuie roluri și înlocuitori. Persoana responsabilă NIS2, coordonatorul incidentului, persoana de contact OT, persoana de contact pentru conformitate și semnatarul din conducere, fiecare cu un înlocuitor numit, pentru că incidentele nu țin cont de concedii. Rezultat: un tabel de roluri.
11. Stabilește păstrarea. Decide cât timp păstrezi jurnalele brute, înregistrările de trafic, alertele, deciziile despre alerte și rapoartele, și unde. Consemnează temeiul legal pentru datele personale din jurnale conform considerentului 49 din GDPR și păstrează volumul proporțional. Rezultat: un calendar de păstrare.
12. Testează întregul lanț. Organizează un exercițiu de simulare (tabletop) care începe cu o alertă și se încheie cu o ciornă de avertizare timpurie de 24 de ore în mâinile responsabilului de conformitate. Consemnează ce nu a funcționat. Repetă la fiecare șase luni. Rezultat: un raport de exercițiu cu date și participanți.

Fiecare dintre aceste rezultate este ceva ce un auditor poate cere.

5. Ce va cere un auditor sau DNSC și cum păstrezi dovezile

În cadrul românesc, entitățile esențiale au audituri planificate cel puțin o dată la doi ani, cu preaviz de 30 de zile, și audituri neanunțate cu preaviz de cel puțin 24 de ore. Entitățile importante sunt auditate după incidente, sesizări sau semnale de risc sectorial. Sursele secundare descriu aceste reguli; confirmă detaliile pentru categoria ta cu consilierul juridic.

Un auditor nu verifică dacă ai un instrument. Verifică dacă poți dovedi că măsurile declarate în autoevaluare există, funcționează și au fost respectate. Dovezile cerute se împart în patru grupe.

Cronologii cu citări. Pentru fiecare incident și fiecare exercițiu: ce s-a întâmplat, în ce ordine și care înregistrare dovedește fiecare pas. O cronologie este dovadă doar când fiecare intrare trimite la o linie de jurnal, la o înregistrare de trafic sau la o captură de ecran cu marcaj de timp.

Jurnalele de audit ale monitorizării înseși. Cine a configurat ce alertă, cine a schimbat o regulă, cine a accesat ce înregistrare și când. Dacă sistemul de monitorizare nu își consemnează propria funcționare, nu poți arăta că dovezile nu au fost modificate.

Decizii și aprobări. Deciziile despre alerte de la punctul 7, declarațiile de incident de la punctul 9, aprobarea măsurilor de risc de către conducere conform articolului 20 și semnăturile de pe fiecare raport trimis la DNSC. Păstrează și ciornele, nu doar versiunile finale. Ciornele arată că raportul de 24 de ore a fost scris cu informațiile disponibile la ora 24, nu rescris ulterior.

Dovada testării. Rapoarte de exercițiu cu date, participanți și constatări: răspunsul la articolul 21 alineatul (2) litera (f). Amintește-ți constatarea FORT Cyber că 15% dintre organizațiile din România au aproape toate măsurile tehnice și nu și-au testat niciodată planul. Un auditor va căuta exact această lipsă.

Cum păstrezi dovezile. Trei reguli acoperă majoritatea cazurilor. Păstrează dovezile în rețeaua ta, pe sisteme pe care le controlezi, cu accesul consemnat. Păstrează-le într-o formă care poate fi exportată și citită fără instrumentul care le-a creat. Păstrează-le pe o perioadă definită, scrisă în calendarul de păstrare, și păstrează și calendarul.

6. Unde ajută AI și unde nu

Inteligența artificială este utilă în monitorizarea securității în trei situații și trebuie ținută sub control într-una.

Explicații pe înțeles, cu dovezile alături. Un analist nu poate citi fiecare linie de jurnal din spatele a 4.000 de alerte. Un agent AI bine construit poate grupa alertele, poate explica ce s-a întâmplat („acest cont s-a autentificat de la o adresă nouă, apoi s-a conectat la stația de inginerie, apoi a trimis o comandă de scriere către automatul 14”) și poate atașa înregistrările exacte pentru fiecare pas. Explicația te ajută să înțelegi ce s-a întâmplat și ce ai de făcut. Trimiterile la dovezi îți arată că nimic nu a fost inventat. O explicație fără dovezi rămâne o părere.

Reconstituirea campaniei. Un atac care trece de la birou la instalație lasă urme în sisteme diferite, cu formate și ceasuri diferite. Corelarea lor manuală este acel „două zile, manual, din fișiere” pe care îl descriu managerii IT din România. Un agent AI care interoghează toate sursele și asamblează cronologia scurtează acea muncă de la zile la ore, iar cronologia este exact ce cer notificarea de 72 de ore și raportul de o lună.

Redactarea rapoartelor. Având o cronologie reconstituită și citată, redactarea documentelor de 24 de ore, 72 de ore și o lună este o sarcină de scriere structurată. Inteligența artificială redactează bine; oamenii decid ce se trimite. Ciorna trebuie să aibă dovezile atașate, ca responsabilul de conformitate să poată verifica fiecare afirmație înainte de a semna.

Nicio acțiune autonomă asupra procesului. Un agent AI într-un mediu industrial nu trebuie niciodată să trimită comenzi către automate, să blocheze trafic în rețeaua industrială sau să izoleze un dispozitiv fără ca o persoană numită să confirme acțiunea. Agentul propune, un om confirmă. Regulamentul european privind inteligența artificială nu clasifică instrumentele de detecție în securitate cibernetică drept sisteme cu grad ridicat de risc, datorită unei excepții explicite pentru componentele folosite exclusiv în scopuri de securitate cibernetică, dar articolele lui despre supravegherea umană și păstrarea înregistrărilor (articolele 14 și 12) rămân un standard de proiectare rezonabil.

Niciun fapt inventat. Un sistem care poate spune deschis „nu am destule informații” este mai sigur decât unul care produce mereu un răspuns. Cere oricărui furnizor să îți arate ce spune sistemul când dovezile sunt incomplete.

Niciun transfer de răspundere. Rapoartele către DNSC sunt semnate de oameni care răspund personal. Inteligența artificială îi poate face pe acești oameni mai bine informați și mai rapizi. Nu poate semna în locul lor, și niciun produs nu poate garanta conformitatea.

7. Surse și data verificării

Toate sursele au fost accesate la 21 septembrie 2026 pentru cercetarea din spatele acestui ghid. Textele legale se schimbă: înainte să te bazezi pe un termen sau pe un număr de articol, verifică textul consolidat sau întreabă consilierul juridic. Punctele marcate „în verificare juridică” mai sus sunt cele în care sursele diferă sau în care au fost disponibile doar surse secundare.