Statele UE au obținut în medie 71,53 puncte din 100 la evaluarea maturității cibernetice, însă capacitatea echipelor de răspuns la incidente diferă considerabil de la o țară la alta, potrivit raportului bienal publicat de ENISA la 10 noiembrie. În aceeași zi, directorul executiv al agenției, Juhan Lepassaar, le-a spus eurodeputaților din Comisia pentru industrie, cercetare și energie (ITRE) că incidentele asupra sistemelor frigorifice comerciale au scos la iveală dificultăți în transmiterea avertismentelor către operatori, chiar și atunci când autoritățile fac schimb activ de informații.
Pe scurt
-
Indicele ENISA pentru 2026 măsoară maturitatea capacităților și resurselor de securitate cibernetică. Media UE este de 71,53 puncte din 100. Agenția a revizuit metodologia, astfel că scorurile nu se pot compara direct cu ediția precedentă.
-
Dintre cele 27 de state membre, 22 se află la nivel matur, două la nivel avansat și trei la nivelul anterior celui matur. Echipele de răspuns la incidente (CSIRT) au obținut în medie 54,76 puncte, cu diferențe mari între țări.
-
După incidentele frigorifice, Lepassaar a semnalat o problemă de comunicare între sectoare. Același tip de echipament era folosit în distribuția alimentară și în servicii medicale, iar avertismentele trebuiau să ajungă la ambele.
-
Producătorii aflați sub incidența Regulamentului privind reziliența cibernetică au obligații de raportare din 11 septembrie 2026. Principalele cerințe de securitate pentru produse se aplică de la 11 decembrie 2027.
ENISA, Agenția Uniunii Europene pentru Securitate Cibernetică, elaborează raportul o dată la doi ani, în cooperare cu Comisia Europeană și Grupul de cooperare NIS, în temeiul Directivei NIS2. Pentru indicele din ediția 2026, agenția a colectat date la sfârșitul lui 2025. Evaluarea urmărește, între altele, aplicarea politicilor, capacitatea de a detecta amenințări și pregătirea pentru a răspunde la incidente.
Dintre cele 27 de state, 22 au avut un scor cuprins între 60 și 79,99 puncte, intervalul definit de ENISA ca nivel matur. Două au atins nivelul avansat, de la 80 de puncte în sus, iar trei s-au situat între 40 și 59,99 puncte, la nivelul anterior celui matur. Raportul prezintă distribuția pe categorii, fără a identifica statele din fiecare grup. În ansamblu, ENISA constată o îmbunătățire a pregătirii față de perioada evaluată anterior. Schimbarea metodologiei împiedică însă măsurarea acestui progres prin diferența dintre scorurile celor două ediții.
Scorurile pe indicatori arată unde persistă decalajele. Maturitatea echipelor de răspuns la incidente, cunoscute drept CSIRT, a fost evaluată la 54,76 puncte. ENISA precizează că, în mai multe state, maturitatea medie a acestor echipe este scăzută sau nu a fost evaluată. Practicile de gestionare a lanțurilor de aprovizionare adoptate de entitățile esențiale și importante au obținut 89,91 puncte, iar participarea acestor entități la schimburi de informații cu organizații similare a primit 26,30 puncte.
Raportul consemnează, de asemenea, 79,24 puncte pentru prioritățile și inițiativele de cercetare și dezvoltare, 66,72 pentru acoperirea și aplicarea obiectivelor din strategiile naționale și 55,56 pentru ecosistemele naționale de certificare. Prezența securității cibernetice în educație a fost evaluată la 73,59 puncte în învățământul superior și la 54,44 în cel primar și secundar, potrivit raportului integral.
ENISA evaluează nivelul amenințărilor la adresa Uniunii drept „substanțial”. Lepassaar a atras atenția că modelele avansate de inteligență artificială pot accelera descoperirea vulnerabilităților, în timp ce echipele de apărare trebuie să verifice că remediile păstrează serviciile funcționale. Agenția recomandă consolidarea capacității de răspuns la crize, cooperarea transfrontalieră, reducerea riscurilor din lanțurile de aprovizionare și investițiile în competențe.
Incidentele asupra sistemelor frigorifice comerciale au fost semnalate în mai multe state membre începând din 11 octombrie, cu un nou val la 1 și 2 noiembrie. La 4 noiembrie, Comisia, ENISA, centrul Europol de combatere a criminalității informatice și rețelele europene de răspuns au îndemnat organizațiile să ia măsuri pentru reducerea expunerii. Anchetele erau conduse de autoritățile naționale.
Lepassaar a explicat în ITRE că autoritățile naționale au făcut schimb activ de informații, dar că au apărut dificultăți când avertismentele trebuiau să ajungă la firme și să fie transformate în măsuri de protecție. El a dat exemplul unui produs folosit atât în supermarketuri și distribuția alimentară, cât și în spitale și la alți furnizori medicali. Utilizarea în sănătate extinde cercul operatorilor care au nevoie de avertismente. Declarația comună nu identifică spitale printre organizațiile afectate.
Directorul ENISA a indicat probleme de securitate ale produselor și de suport pentru echipamentele mai vechi. Regulamentul privind reziliența cibernetică impune producătorilor vizați să raporteze vulnerabilitățile exploatate activ și incidentele grave de care iau cunoștință, începând cu 11 septembrie 2026. Raportarea poate acoperi și produse introduse anterior pe piața UE. Principalele cerințe de securitate se aplică de la 11 decembrie 2027, iar produsele introduse pe piață înainte de acea dată intră sub incidența lor dacă sunt modificate substanțial ulterior. În paralel, organizațiile care intră sub incidența NIS2 trebuie să gestioneze riscurile proprii și să raporteze incidentele semnificative autorităților competente.
