Securitatea cibernetică se află an de an în top cinci ameninţări la adresa evoluţiei companiilor, semnalate de directorii executivi atât de la nivel global, cât şi din România în cadrul sondajelor CEO Survey realizate de PwC. Însă, în pofida conştientizării riscurilor, persistă încă deficienţe semnificative în creşterea rezilienţei cibernetice.
Având în vedere extinderea ţintelor pentru atacuri cibernetice, o dată cu progresul inteligenţei artificiale generative, a dispozitivelor conectate şi tehnologiei cloud, investiţiile în prevenirea incidentelor de securitate şi răspunsul rapid la potenţiale atacuri au devenit esenţiale. Potrivit unui raport efectuat de ENISA (Agenţia Uniunii Europene pentru Securitate Cibernetică), în ultima parte a anului 2023 şi în prima jumătate a anului 2024, a avut loc o escaladare notabilă a atacurilor de securitate cibernetică. Conflictele regionale în curs de desfăşurare rămân în continuare un factor semnificativ care modelează peisajul securităţii cibernetice, dar şi rundele de alegeri care au avut loc sau sunt programate în acest an. De asemenea, s-a observat un număr mare de evenimente care vizează organizaţii din sectoarele administraţiei publice (19%), transporturilor (11%) şi financiar (9%).
Reglementările de securitate cibernetică accelerează investiţiile şi determină schimbări pozitive la nivelul organizaţiilor
Reglementările cibernetice se dovedesc a fi un motor important pentru investiţiile în securitatea cibernetică, 96% dintre directorii executivi de la nivel global care au răspuns la cel mai recent sondaj PwC Digital Trust Insights 2025 recunoscând că cerinţele de reglementare i-au determinat să îşi îmbunătăţească măsurile de securitate cibernetică.
În plus, 78% consideră că reglementările au contribuit la testarea, îmbunătăţirea sau creşterea poziţiei lor de securitate cibernetică. Acest lucru indică faptul că, în ciuda dificultăţilor generate de conformitate, reglementările contribuie la maturizarea capacităţilor de securitate cibernetică în toate industriile.
Noul val de reglementări ale Uniunii Europene - NIS 2, DORA, Cyber Resilience Act, AI Act - subliniază urgenţa cu care organizaţiile trebuie să-şi alinieze practicile la aceste cerinţe. Organizaţiile vizate şi care acceptă cerinţele de reglementare vor beneficia de cadre de securitate mai pternice şi de o poziţie mai solidă împotriva ameninţărilor emergente.
Anul 2025 este anul intrării în vigoare a Directivei NIS 2 care impune o serie de măsuri de gestionare a riscurilor de securitate cibernetică pentru entităţile din sectoarele critice, precum continuitatea activităţii, gestionarea incidentelor sau securitatea lanţului de aprovizionare. Aceasta impune, de asemenea, acestor entităţi să raporteze autorităţilor competente incidentele care au un impact semnificativ asupra activităţii lor.
Ce mai presupune NIS2?
Statele membre ale UE sunt obligate să transpună NIS2 în legislaţia lor naţională şi să înceapă să o pună în aplicare începând cu 18 octombrie 2024. În România, intrarea în vigoare a NIS-2 este programată pentru anul 2025. Cu toate acestea, cerinţele care decurg din actul de punere în aplicare pe care Comisia Europeană îl va adopta se vor aplica entităţilor relevante direct de la 18 octombrie, fără a fi nevoie ca statele membre să le transpună în legislaţia naţională. Entităţile care fac obiectul NIS2 ar trebui să aibă în vedere îmbunătăţirea atât a măsurilor lor de gestionare a riscurilor de securitate cibernetică, cât şi a programelor de raportare a incidentelor, pentru a se conforma cerinţelor impuse. Nerespectarea NIS2 poate conduce la amenzi semnificative din partea autorităţilor, dar şi la costuri semnificative din partea organizaţiilor. Spre exemplu, în cazul unui atac cibernetic care afectează operaţiunile din cauza unui proces de gestionare a riscurilor insuficient monitorizat la o entitate extrem de critică, printre consecinţe se regăsesc cheltuieli precum plăţi de răscumpărare, costuri pentru furnizorii externi de servicii, amenzi pentru încălcarea GDPR şi a cerinţelor DNSC, dar si răspunderea directorilor generali şi executivi pentru prejudiciile suferite ca urmare a încălcării obligaţiilor de monitorizare (cu excepţia sectorului administraţiei publice).
Pentru a se pregăti, entităţile vizate de NIS 2 ar trebui să ia în considerare: stabilirea unor politici cuprinzătoare de securitate cibernetică care să acopere toate aspectele gestionării riscurilor, actualizarea periodică a acestor politici, implementarea unor controale stricte referitoare la accesul la date, microsegmentarea, adoptarea unor tehnologii (avansate) de detecţie şi răspuns aliniate la obiectivele şi principalele zone de risc ale business-ului, proceduri clare de raportare a incidentelor, detectare şi monitorizare automatizată în timp real sau periodic, formarea continuă a personalului, înregistrarea detaliată a incidentelor de securitate cibernetică, evaluări regulate ale riscurilor şi audituri. Implementarea acestor măsuri va sprijini un management integrat al riscurilor la nivelul companiei.
Măsurarea riscului cibernetic este esenţială, dar puţin aplicată
Pe măsură ce ameninţările cibernetice evoluează rapid ca amploare şi grad de sofisticare, cuantificarea riscurilor cibernetice a devenit un instrument esenţial pe care organizaţiile nu îşi pot permite să îl ignore. Cu toate acestea, în ciuda beneficiilor sale recunoscute pe scară largă, mai multe provocări (probleme legate de calitatea datelor, fiabilitatea rezultatelor etc.) au împiedicat adoptarea pe scară largă.
Deşi directorii sunt în mare măsură de acord că măsurarea riscului cibernetic este esenţială pentru prioritizarea investiţiilor în domeniul riscului cibernetic (88%) şi alocarea resurselor către zonele cu cel mai mare risc (87%), doar 15% dintre organizaţii fac acest lucru într-o măsură semnificativă (de exemplu, cuantificarea extinsă a riscului cibernetic cu automatizare şi raportare extinsă).
Pe măsură ce securitatea cibernetică continuă să evolueze către o prioritate critică de afaceri, organizaţiile încep să vadă potenţialul acesteia ca un diferenţiator cheie şi o modalitate de a-şi îmbunătăţi reputaţia şi fiabilitatea. În următoarele 12 luni, organizaţiile acordă prioritate protecţiei/încrederii datelor şi securităţii în cloud faţă de alte investiţii cibernetice, arată raportul PwC Digital Trust Insights 2025. Ele înţeleg că securizarea informaţiilor sensibile este vitală pentru menţinerea încrederii părţilor interesate şi a integrităţii mărcii.
