Sectorul energetic traversează o transformare fundamentală în care securitatea cibernetică nu mai este doar o chestiune de IT, ci devine o obligație juridică și de guvernanță. Rețelele energetice, fiind astăzi infrastructuri fizice controlate digital, sunt expuse unor riscuri crescute pe măsură ce procesele de automatizare și conectare avansează. O vulnerabilitate într-un server sau un software furnizat de un terț poate declanșa întreruperi care afectează întreaga economie și societatea.
Analiza realizată de ENISA asupra a 4.875 de incidente raportate în Uniunea Europeană între iulie 2024 și iunie 2025 evidențiază amploarea amenințărilor. Atacurile de tip DDoS au reprezentat 77% din aceste incidente, în timp ce ransomware-ul rămâne principala amenințare cu impact major. Phishing-ul și exploatarea vulnerabilităților sunt identificate ca fiind principalele căi de acces utilizate de atacatori pentru a compromite infrastructurile critice.
Directiva 2022/2555, cunoscută sub numele de NIS2, include energia printre sectoarele cu importanță critică ridicată. Aceasta extinde aria de aplicare asupra unei game largi de actori, de la producători și operatori de transport sau distribuție, până la furnizori, operatori de stocare, LNG și sectorul hidrogenului. În România, acest cadru este transpus prin OUG nr. 155/2024, ulterior modificată prin Legea nr. 124/2025, impunând obligații stricte de gestionare a riscului.
O schimbare majoră adusă de NIS2 este integrarea securității cibernetice în sala de consiliu a companiilor. Organismele de conducere sunt acum responsabile pentru aprobarea măsurilor de gestionare a riscului și pentru supravegherea implementării acestora. Consiliile de administrație trebuie să înțeleagă activele critice, costurile remedierea vulnerabilităților și dependențele față de furnizori, asumându-și responsabilitatea juridică în cazul neîndeplinirii obligațiilor de protecție.
Riscul provenit din lanțul de aprovizionare reprezintă o altă preocupare centrală pentru organizațiile europene. O companie poate fi vulnerabilă chiar dacă are sisteme interne securizate, prin intermediul unui furnizor de software sau de mentenanță. Contractele comerciale trebuie acum să includă prevederi juridice clare privind standardele de securitate, drepturile de audit și responsabilitatea în cazul unei breșe de securitate produse de un terț.
Legislația națională impune termene foarte scurte pentru raportarea incidentelor semnificative către autorități. O avertizare timpurie trebuie transmisă în maximum 24 de ore, iar notificarea completă a incidentului trebuie realizată în maximum 72 de ore de la momentul cunoașterii acestuia. Această structură de raportare obligă companiile să își construiască procedurile juridice și planurile de răspuns înainte de producerea unui atac cibernetic.
În cadrul european, reziliența infrastructurilor critice este gestionată prin două instrumente complementare: NIS2 și Directiva CER. În timp ce NIS2 se concentrează pe protecția digitală a infrastructurii critice, Directiva CER vizează reziliența în fața amenințărilor fizice, sabotajelor sau dezastrelor naturale. Împreună, cele două cadre reglementează capacitatea operatorilor de energie de a preveni, rezista și de a se reface rapid în urma unor incidente care pot întrerupe serviciile esențiale.