Mulți respondenți se consideră deja pregătiți avansat!
Conformitatea cu reglementările europene NIS2 și DORA nu se limitează la simpla achiziție a unor instrumente digitale, ci impune o transformare structurală profundă în modul în care organizațiile abordează protecția datelor. Acest demers complex cere alocarea de resurse financiare pentru infrastructură, definirea clară a rolurilor și atribuțiilor, precum și capacitatea demonstrabilă de a reacționa prompt la evenimente nedorite.
Cu toate acestea, o cercetare recentă efectuată de FORT Cyber pune în lumină o discrepanță semnificativă între percepția generală a companiilor și realitatea operativă, chiar și în rândul entităților care se declară gata să respecte noile standarde.
Investigația intitulată „Radiografia Securității Cibernetice în România în 2026” a fost realizată de către FORT Cyber, în parteneriat cu Data Diggers și Promocrat. Perioada de colectare a datelor s-a desfășurat între luna mai și luna iulie a anului 2026. Eșantionul studiului a cuprinis un total de 211 de entități din piața românească. Din acest grup, 86 de organizații au confirmat explicit faptul că sunt supuse cerințelor impuse de directivele NIS2 sau DORA.
Este important de menționat că analiza se sprijină exclusiv pe declarațiile participanților, iar rezultatele nu au valoare de reprezentativitate statistică pentru întregul sector de companii din țară.
Totuși, datele obținute oferă o imagine valoroasă asupra obstacolelor specifice pe care instituțiile le întâmpină în drumul spre conformare, precum și asupra modului în care aceste entități își judecă propriul grad de maturitate cibernetică.
O porțiune importantă a respondentelor și-a asumat un statut avansat de pregătire. Printre cele 86 de organizații afectate de reglementările menționate, 29% susțin că respectă integral toate obligațiile legale aplicabile, în timp ce încă 14% indică că rămân de finalizat doar câteva aspecte minore.
În paralel, 31% din acest segment se află în plină fază de implementare a măsurilor, iar 14% se află încă în stadiul de evaluare și analiză inițială.
O examinare detaliată a Dintre cele 25 de entități care au afirmat că îndeplinesc toate condițiile, șase nu organizau exerciții periodice de testare a securității, iar alte cinci nu dispuneau de un plan de Deși aceste constatări nu constituie o dovadă juridică de neconformitate, studiul neavând inclus o auditare independentă a obligațiilor legale, ele sugerează că anumite organizații exagerează nivelul lor de gatație, ignorând absența sau netestarea unor mecanisme critice pentru gestionarea crizelor.
Delia Necula, directorul general al FORT Cyber, comentează rezultatele subliniind că, chiar și în grupul organizațiilor care se consideră imune la riscurile cibernetice, există cazuri în care planurile de intervenție nu au fost validate prin simulări. Ea susține că o provocare majoră constă în abordarea securității dintr-o perspectivă strict de conformare burocratică, ignorând impactul real al unui atac.
Consecințele unui incident cibernetic pot depăși cu mult simpla respectare a normelor legale, putând paraliza activitatea comercială, genera pierderi financiare substanțiale, expune date confidențiale și atrage sancțiuni juridice sau daune de imagine.
Din acest motiv, FORT Cyber insistă pe o pregătire practică, centrată pe identificarea vulnerabilităților și validarea capacității de gestionare a incidentelor.
Alinierea la NIS2 și DORA depășește aspectele tehnice?
Dificultățile majore în procesul de aliniere la NIS2 și DORA nu privesc doar aspectele tehnice, ci și structura internă a organizațiilor.
Dintre cele 86 de entități vizate de reglementări, 48% au identificat costurile asociate achiziției de tehnologie și servicii de consultanță ca principală barieră. La un nivel foarte apropiat, 47% dintre respondenți au semnalat probleme în redactarea documentației și a procedurilor formale. Stabilirea clară a responsabilităților, inclusiv identificarea persoanelor cu atribuții de decizie, a fost o piedică pentru 34% dintre organizații.
Lipsa forței de muncă specializate a fost menționată de 24% din eșantion, iar aproximativ 23% au raportat dificultăți în monitorizarea continuă a amenințărilor sau în capacitatea de Aceste date indică faptul că, dincolo de investițiile financiare, conformarea necesită o reorganizare internă substantială.
Crearea procedurilor și delimitarea rolurilor implică o colaborare strânsă între departamentele IT, conducerea executivă și specialiștii din juristică sau compliance.
Această sinergie este vitală și pentru controlul riscurilor cibernetice. În situația producerii unui incident, viteză mobilizării responsabililor și claritatea deciziilor determină succesul intervenției.
Ambiguitățile privind atribuțiile sau procedurile vag definite pot întârzia reacția, factorul timp fiind crucial pentru minimizarea daunelor cauzate de un atac.
Analiza a extins orizontul dincolo de companiile direct vizate de NIS2/DORA, evaluând nivelul general de maturitate cibernetică al tuturor celor 211 participanți la studiu. Conform indicelui elaborat de cercetători, bazat pe practicile declarate, 45% din organizații se situază în cea mai înaltă categorie de maturitate.
Totuși, doar 27% dintre aceștia declară că aplică simultan monitorizare permanentă, dispun de un plan de O altă observație remarcabilă vizează entitățile cu un grad ridicat de implementare tehnică: 15% dintre participanți au instalat opt sau nouă dintre cele nouă măsuri analizate, dar niciuna dintre acestea nu și-a testat niciodată planul de Aceste cifre subliniază importanța pregătirii operaționale; soluțiile de protecție pot atenua riscurile, dar gestionarea efectivă a unei crize depinde de existența unor protocoale clare, de antrenamentul echipelor și de coordonarea acțiunilor.
Testele periodice permit descoperirea deficiențelor ascunse în fluxul normal de lucru, cum ar fi întârzierile în detectare sau blocajele de comunicare.
Deși implementarea tehnologică este necesară, capacitatea de a gestiona un incident trebuie verificată constant.
În final, eficiența strategiilor adoptate va determina nu doar limitarea impactului operațional și financiar al unui atac, ci și capacitatea companiei de a-și proteja statutul juridic și reputația în fața pieței.