Punct de vedere elaborat de Corina Vasile, Director Executiv, ANIS – Asociația Patronală a Industriei de Software și Servicii

Dacă ar fi fost un cutremur, alerta anunțată pe 21 octombrie de echipa care dezvoltă PHP ar fi putut declanșa tsunamiuri și redesena harta unor regiuni întregi. PHP este limbajul de programare din spatele a milioane de site-uri și aplicații web, de la magazine online la portaluri ale instituțiilor. În plină Lună Europeană a Securității Cibernetice, au fost semnalate două vulnerabilități critice, notate fiecare cu 9,2 din 10 pe scala de severitate. Pe scurt, un atacator putea prelua controlul unui server de la distanță, fără cont și fără parolă. După doar câteva zile, breșele erau deja folosite în atacuri reale.

Nu este un caz izolat. Potrivit agenției europene pentru securitate cibernetică (ENISA), în 2025 au fost descoperite peste 48.000 de vulnerabilități software, cu 22% mai multe decât cu un an înainte. Acolo unde s-a putut afla pe unde au intrat atacatorii, în peste 60% din cazuri au folosit tocmai o astfel de breșă. Aproape trei sferturi dintre organizațiile atacate furnizează servicii esențiale sau importante, iar instituțiile publice sunt cele mai vizate, cu aproape o treime din cazuri.

Pentru fiecare dintre noi, un atac cibernetic poate însemna o programare la medic care nu se mai poate face, un tren care întârzie sau un serviciu online care nu mai funcționează. România a simțit asta în februarie 2024, când atacul ransomware asupra sistemului informatic Hipocrate, folosit de zeci de spitale, le-a afectat activitatea, iar în iulie 2026, un atac ransomware asupra Agenției Naționale de Cadastru și Publicitate Imobiliară (ANCPI) a blocat platforma e-Terra și a perturbat tranzacțiile imobiliare timp de aproape o lună.

Securitatea cibernetică a devenit o responsabilitate a întregii organizații, de la specialiștii IT până la conducere. Pentru companiile de software și servicii IT, care construiesc și administrează o mare parte din această infrastructură, ea ține direct de calitatea serviciilor și de încrederea clienților. 

Știm ce conține software-ul pe care îl folosim?

Alerta PHP ridică o întrebare simplă: cât de repede poate o organizație să afle unde folosește componenta vulnerabilă? Aplicațiile de astăzi sunt construite din multe piese, de la furnizori diferiți, iar o problemă într-una singură se poate propaga în multe sisteme.

Soluția seamănă cu eticheta unui produs alimentar. O listă a tuturor componentelor unui program, numită SBOM (Software Bill of Materials), arată imediat dacă un sistem conține piesa vulnerabilă și ce trebuie actualizat mai întâi. ANIS propune ca o astfel de listă, într-un format standard, să fie obligatorie pentru programele cumpărate de instituțiile publice. Multe dintre aceste componente sunt dezvoltate de comunități open-source, adesea de voluntari, așa că regulile trebuie gândite astfel încât să nu îi descurajeze.

La fel de important este ca statul să nu ajungă dependent de un singur furnizor (vendor lock-in). Când un sistem public folosește standarde deschise și permite mutarea datelor la final de contract, o componentă poate fi actualizată sau înlocuită fără să se blocheze totul. Asta înseamnă sisteme mai sigure pentru cetățeni și mai multă concurență în proiectele publice, inclusiv pentru companiile românești. 

Un incident. Mai multe raportări. Mai puțin timp pentru răspuns.

Uniunea Europeană a introdus în ultimii ani reguli mai stricte: NIS2 pentru organizațiile care furnizează servicii esențiale, DORA pentru bănci și sectorul financiar și Cyber Resilience Act pentru produsele digitale, de la aplicații la dispozitive conectate. Din 11 septembrie 2026, producătorii trebuie să anunțe în 24 de ore vulnerabilitățile exploatate activ în produsele lor.

Regulile mai stricte sunt necesare. Problema apare în aplicare. În plin atac, o companie poate fi nevoită să trimită aceleași informații către mai multe instituții, fiecare cu formularul și termenul ei: Directoratul Național de Securitate Cibernetică, ASF sau BNR, agenția europeană ENISA. Timpul petrecut cu formularele este timp pierdut pentru oprirea atacului.

Riscul cibernetic nu scade prin mai multe formulare. Companiile au nevoie de reguli clare, armonizate și proporționale cu riscul, care să le permită să se concentreze pe protecția efectivă a sistemelor și serviciilor.

Principiul ar trebui să fie simplu: un incident se raportează o singură dată, iar informația ajunge automat la toate instituțiile care au nevoie de ea. Pentru asta, România are nevoie de o platformă națională unică, legată direct de cea europeană.

Comisia Europeană a propus deja un astfel de punct unic de raportare și estimează că ar putea reduce la jumătate costurile de raportare. Propunerea este încă în dezbatere la nivel european, iar ANIS a cerut, în contribuția la Strategia Națională de Securitate Cibernetică 2027–2032, ca România să pregătească din timp un sistem compatibil. Resursele economisite pot merge spre prevenție, detecție și intervenție.

O provocare asemănătoare apare la produsele digitale. Unele dintre ele vor trebui verificate de organisme specializate înainte de a fi vândute în Uniunea Europeană. Dacă astfel de organisme nu există în România, companiile românești vor fi nevoite să își testeze produsele în alte țări, cu costuri și întârzieri în plus. Germania, Franța sau Spania au ales un model în care statul supraveghează, iar firme private acreditate fac evaluarea și testarea. Firmele mici, care nu au specialiști dedicați, au nevoie în plus de ghiduri practice și de sprijin pentru primii pași. 

Securitatea, o cursă contra cronometru

Inteligența artificială ajută la detectarea mai rapidă a atacurilor, dar îi ajută și pe atacatori, de la mesaje înșelătoare mai credibile la operațiuni automatizate. ENISA observă că AI este folosită tot mai des în atacuri. Pentru dezvoltarea unor sisteme AI sigure, cele mai utile sunt ghidurile practice, nu sancțiunile care descurajează inovația.

Calculatoarele cuantice aduc o provocare pe termen lung: în viitor, ar putea sparge metodele de criptare care protejează astăzi datele bancare, medicale sau ale statului. Datele furate acum ar putea fi decriptate peste câțiva ani. Noile standarde de criptare, rezistente la această amenințare, au fost publicate încă din 2024. Un prim pas concret ar fi ca organizațiile din sectoare esențiale, precum finanțele, telecomunicațiile, energia și sănătatea, să își inventarieze până în 2028 sistemele de criptare pe care le folosesc.

Decalajul dintre viteza tehnologiei și ritmul în care se modernizează infrastructura devine el însuși o vulnerabilitate. Securitatea gândită încă din proiectare (secure-by-design) și sistemele care pot fi actualizate ușor trebuie să facă parte din investițiile de astăzi.

Industria IT poate dezvolta astfel de soluții, dar are nevoie de un stat care ține pasul. Noua Strategie Națională de Securitate Cibernetică 2027 – 2032 este momentul potrivit: finanțare pe mai mulți ani, rezultate măsurabile și publice și o colaborare reală, de lucru, între stat și industrie.

Luna Europeană a Securității Cibernetice s-a încheiat, dar riscurile nu au sezon. Nu putem ști când va apărea următoarea vulnerabilitate. Putem însă decide cât de pregătiți suntem. De asta depind tot mai mult serviciile pe care le folosim zilnic, încrederea în mediul digital și competitivitatea României.

Pentru detalii privind propunerile ANIS la Strategia Națională de Securitate Cibernetică 2027–2032, documentul integral poate fi consultat aici:

https://anis.ro/wp-content/uploads/Contributie_ANIS_Strategia_Cibernetica_2027-2032.pdf