De ce contează NIS2? Lecțiile atacului asupra ANCPI

Bun venit la „NIS2 pe înțelesul tuturor”, seria de videoclipuri Certudo despre securitatea cibernetică și noile obligații legale din România. Acesta este primul episod: De ce contează NIS2? Lecțiile atacului asupra ANCPI. Informațiile prezentate reflectă cadrul legal din octombrie 2026.

În acest episod pornim de la un caz real, recent și foarte aproape de noi. Vom vedea trei lucruri. Primul: ce s-a întâmplat la ANCPI în vara lui 2026 și cât a costat. Al doilea: cum a fost posibil atacul, pas cu pas. Și al treilea, poate cel mai important: de ce fiecare greșeală din acest caz corespunde unei măsuri pe care NIS2 și cadrul CyFun le cer astăzi organizațiilor din România. La final veți vedea de ce conformitatea nu este birocrație, ci exact acele măsuri de bază care fac diferența între un incident limitat și o lună de blocaj.

Pe 14 iulie 2026, Agenția Națională de Cadastru și Publicitate Imobiliară, ANCPI, a fost lovită de un atac ransomware. Un ransomware este un program care criptează datele și sistemele unei organizații, iar atacatorii cer apoi bani pentru deblocare. Efectul a fost imediat. Un singur incident a paralizat circuitul juridic al proprietăților din România. Tranzacțiile imobiliare, creditele ipotecare și operațiunile administrative au fost blocate. Sistemele au rămas indisponibile aproximativ o lună. Cazul este public și a fost relatat pe larg în presă, în iulie și în august. Îl folosim pentru că arată foarte clar cât de dependente sunt economia și cetățenii de câteva sisteme informatice critice.

Să vedem ce înseamnă concret această indisponibilitate. Gândiți-vă la lanțul unei tranzacții imobiliare: cumpărătorul, banca, notarul, cadastrul și cartea funciară, ANCPI, apoi vânzătorul sau dezvoltatorul. Toate verigile depind de același sistem informatic, e-Terra. Când el s-a oprit, s-a oprit tot lanțul. Tranzacțiile, finanțările ipotecare și operațiunile administrative conexe au fost amânate. Cifrele arată presiunea acumulată. La reluarea activității, aproape 94.000 de cereri așteptau să fie soluționate. În prima zi după repornirea e-Terra au intrat 24.695 de cereri. Iar în primele 9 zile după repornire s-au înregistrat peste 329.000 de cereri. Un incident informatic a devenit, foarte repede, o problemă pentru mii de familii și de firme.

Cât costă o zi de blocaj? Nu există date oficiale privind impactul. Avem însă o estimare publicată de Forbes România pe 30 iulie, construită pe date istorice ale ANCPI. Potrivit acestei analize, fiecare zi de blocaj a imobilizat temporar aproximativ 60,75 milioane de euro în activitate economică. A amânat aproximativ 2 milioane de euro în încasări fiscale și parafiscale. Și a generat pierderi economice definitive de aproximativ 220.000 de euro. Pe zi. Subliniez: sunt estimări, nu date oficiale. Dar ordinul de mărime spune destul. Costul unei singure zile de nefuncționare depășește cu mult costul măsurilor care ar fi putut preveni incidentul.

Cea mai importantă întrebare este: cum s-a ajuns aici? Răspunsul este incomod tocmai pentru că este banal. Atacatorii nu au avut nevoie de o vulnerabilitate zero-day, adică de o breșă necunoscută, pentru care nu există încă o corecție. Au folosit o vulnerabilitate cunoscută din 2021, într-un serviciu de autentificare expus public. Să luăm pașii pe rând. Primul: accesul inițial. Un server de autentificare OpenAM, de la ForgeRock, expus pe internet și neactualizat. Al doilea: un sistem ieșit din suport. Un vCenter 6.0, din care atacatorii au putut lista 1.083 de mașini virtuale, direct din baza de date. Al treilea: zero segmentare. O mașină de producție era autentificată pe rețeaua de administrare, cu un cont de administrator de domeniu. Al patrulea: aceeași parolă peste tot. O parolă a fost spartă offline și era valabilă pe Kerberos și pe zeci de echipamente. Al cincilea: trafic necriptat. Datele de autentificare au putut fi capturate direct din rețea. Și al șaselea: loguri păstrate doar 7 minute. Când a sosit echipa de răspuns, dovezile nu mai existau. Rezultatul: aproximativ 100 de mașini virtuale șterse, backup-uri distruse, cod sursă exfiltrat, iar ransomware-ul era încă activ la sosirea echipei de răspuns. Iar atacul a fost detectat abia după 86 de ore.

Acum vine partea care ne interesează cel mai mult. Fiecare dintre aceste constatări corespunde unei măsuri concrete din NIS2 și din cadrul CyFun, pe care DNSC l-a adoptat ca metodologie oficială în România. Vulnerabilitatea cunoscută din 2021, necorectată, ține de gestionarea vulnerabilităților și de actualizările la timp. Funcțiile Identificare și Protecție. Serviciul de autentificare expus public ține de reducerea suprafeței de atac, de controlul accesului și de autentificarea multifactor. Funcția Protecție. Sistemul ieșit din suport ține de inventarul activelor, de ciclul lor de viață și de casarea securizată. Funcția Identificare. Lipsa segmentării, parola comună și traficul necriptat țin de segmentarea rețelei, de separarea accesului privilegiat, de politicile de autentificare și de criptografie. Tot Protecție. Logurile de 7 minute și detecția după 86 de ore țin de monitorizarea continuă și de păstrarea logurilor. Funcția Detecție. Iar backup-urile distruse țin de backup-ul izolat și de testarea planurilor de recuperare. Funcția Recuperare. Concluzia este simplă: incidentul putea fi prevenit sau limitat cu măsuri de securitate cibernetică de bază. Exact cele pe care le cer NIS2 și CyFun. Ca reper, ghidul practic publicat de DNSC recomanda încă din 2021 loguri centralizate, păstrate cel puțin 6 luni, schimbarea parolelor implicite, conturi dedicate pentru administrare și folosirea doar a versiunilor suportate de producător.

De aici ajungem la mesajul central al acestei serii. Securitatea cibernetică nu mai este doar o problemă de IT. A devenit o responsabilitate de management. Articolul 14 din Ordonanța de urgență 155/2024, care transpune NIS2 în România, spune clar că organele de conducere aprobă, supraveghează și răspund pentru măsurile de gestionare a riscurilor de securitate cibernetică. Concret, conducerea aprobă măsurile de gestionare a riscurilor. Supraveghează implementarea lor. Se instruiește și asigură instruirea angajaților. Și răspunde, inclusiv personal, în caz de neconformitate. La control, DNSC poate cere dovada că organul de conducere și-a îndeplinit aceste obligații. Cu alte cuvinte, decizia de a amâna o actualizare, de a păstra un sistem vechi sau de a nu testa un backup nu mai este doar o decizie tehnică. Este o decizie de conducere, cu răspundere de conducere.

Poate vă întrebați: ne privește și pe noi? NIS2 se aplică în România unui număr de aproximativ 15.000 de organizații, din 18 sectoare. Nu doar marilor corporații și instituțiilor publice, ci și multor întreprinderi mijlocii, de la cel puțin 50 de angajați sau cu o cifră de afaceri și un bilanț de peste 10 milioane de euro. Vorbim despre energie, transport, sănătate, apă, infrastructură digitală, curierat, gestionarea deșeurilor, industria alimentară, producție, furnizori digitali, cercetare și multe altele. Există și excepții, în care o organizație intră sub incidență indiferent de mărime. Cum aflați exact dacă organizația dumneavoastră intră sub incidență discutăm pe larg în episodul următor.

Să recapitulăm. 1. incidentele grave exploatează de cele mai multe ori lipsa măsurilor de bază, nu atacuri sofisticate. 2. fiecare cauză a incidentului ANCPI corespunde unei cerințe NIS2 și unui control CyFun. Conformitatea înseamnă exact aceste măsuri. 3. securitatea cibernetică este acum responsabilitatea conducerii, care aprobă, supraveghează, se instruiește și răspunde, inclusiv personal.

Primul pas este să aflați dacă organizația dumneavoastră intră sub incidența NIS2. Puteți face asta gratuit, în platforma Certudo, la adresa app.certudo.com. Acolo obțineți clasificarea organizației, iar platforma vă ajută cu notificarea către DNSC, cu analiza de risc, cu autoevaluarea după cadrul CyFun și cu planul de implementare. În episodul următor răspundem la întrebarea: intru sub incidența NIS2? Vorbim despre sectoare, mărime, excepții și despre ce riscați dacă nu vă înregistrați. Vă mulțumim că ne-ați urmărit.