Doar 27% dintre organizațiile analizate într-un studiu privind securitatea cibernetică din România îndeplinesc simultan trei condiții esențiale pentru a demonstra că sunt pregătite în cazul unui atac: monitorizare permanentă, un plan de răspuns testat și exerciții regulate de securitate. Procentul este semnificativ mai mic decât cel rezultat din evaluarea generală a maturității cibernetice, unde 45% dintre participanți au fost incluși în categoria organizațiilor „Mature”.
Diferența arată că dotarea cu soluții tehnice nu este suficientă pentru a garanta reziliența unei companii. Potrivit studiului „Radiografia Securității Cibernetice în România în 2026”, realizat de FORT Cyber împreună cu Promocrat și DataDiggers, 39 de organizații clasificate inițial în segmentul cu cel mai ridicat nivel de maturitate nu îndeplinesc toate cele trei criterii practice analizate.
Cercetarea a fost derulată în perioada mai-iulie 2026, pe baza unui chestionar cu 32 de întrebări, la care au răspuns peste 200 de persoane din 211 organizații. Cei mai mulți respondenți au fost implicați direct în conducerea companiilor sau în luarea deciziilor privind securitatea cibernetică.
Indicele utilizat în studiu, calculat pe o scară de la 0 la 100, a evaluat cinci dimensiuni cu ponderi egale: guvernanța securității cibernetice, monitorizarea sistemelor, capacitatea de răspuns la incidente, igiena tehnică și cultura de securitate. 45% dintre organizații au fost încadrate în categoria „Matur”, 21% în categoria „Gestionat”, iar restul de 34% în segmentele „Vulnerabil” și „Bazic”.
Tehnologia este prezentă, dar reacția la incidente rămâne neverificată
Măsurile tehnice de bază sunt răspândite în rândul organizațiilor participante. Antivirusul sau firewall-ul sunt utilizate pe toate dispozitivele de 84% dintre acestea, 82% folosesc autentificarea multifactor, iar 81% realizează periodic copii de siguranță ale datelor și verifică dacă acestea pot fi restaurate.
Pregătirea operațională este însă mai puțin consistentă. Un procent de 15% dintre organizații au implementat opt sau chiar toate cele nouă măsuri tehnice analizate, dar nu și-au testat niciodată planul de răspuns la incidente. În cazul unui atac, existența unor instrumente de protecție nu spune, prin urmare, cât de repede poate compania să detecteze problema, să limiteze efectele și să-și reia activitatea.
Datele despre incidentele raportate ilustrează aceeași diferență. În 2025, 22% dintre organizațiile din categoria cu cel mai ridicat nivel de maturitate au declarat că au trecut prin cel puțin un incident de securitate, față de numai 4% dintre organizațiile vulnerabile. Raportarea de 5,5 ori mai mare nu indică neapărat o expunere superioară la atacuri, ci poate reflecta capacitatea mai bună a organizațiilor mature de a identifica și documenta incidentele.
În segmentul vulnerabil, 36% dintre organizații nu pot estima nici măcar intervalul în care ar putea detecta un incident. Un număr redus de incidente raportate nu este, astfel, o dovadă automată a unui nivel mai bun de securitate. În unele cazuri, poate însemna că evenimentele nu sunt observate.
Un tipar similar apare în cazul atacurilor de tip phishing. Organizațiile care organizează cel puțin trimestrial sesiuni de instruire în domeniul securității au raportat incidente de phishing în proporție de 14,6%, comparativ cu 1,9% în cazul celor care nu derulează astfel de programe. Rezultatul poate părea paradoxal, dar este compatibil cu o capacitate mai bună de identificare și raportare a incidentelor în companiile care își instruiesc angajații.
Aplicațiile critice nu sunt întotdeauna susținute de proceduri de răspuns
Diferența dintre percepție și capacitatea efectivă de reacție apare și în autoevaluările respondenților. 53% consideră că organizația lor ar putea detecta un incident cibernetic semnificativ în mai puțin de 24 de ore, iar 55% cred că ar putea răspunde eficient într-un interval similar.
În practică, 9% dintre cei care estimează că pot detecta rapid un incident nu au niciun sistem de monitorizare, iar 16% dintre cei care cred că pot răspunde în aceeași perioadă nu dispun de un plan de răspuns la incidente.
Riscul este mai relevant pentru companiile care folosesc aplicații critice, de care depinde direct funcționarea afacerii. Astfel de aplicații sunt utilizate de 72% dintre organizațiile participante. Dintre acestea, 34% nu au monitorizare permanentă, iar 49% nu au un plan de răspuns testat.
Nivelul de maturitate este influențat și de resursele IT disponibile. Organizațiile cu echipe IT interne au obținut un scor mediu de 80 de puncte, urmate de cele cu un model mixt, care combină personalul intern cu suportul extern, cu 73 de puncte. Organizațiile care externalizează integral serviciile IT au înregistrat un scor mediu de 64 de puncte.
Scorul coboară la 52 de puncte în cazul companiilor care se bazează pe un singur angajat IT și la 33 de puncte pentru cele fără personal IT dedicat. Niciuna dintre cele 22 de organizații care au un singur angajat IT nu a raportat incidente. În contextul scorurilor reduse ale acestui grup, rezultatul poate indica mai degrabă dificultăți de identificare decât absența efectivă a incidentelor.
Bugetele și instruirea angajaților, priorități pentru 2026
Diferențele dintre organizații se reflectă și în planurile de cheltuieli. 54% dintre organizațiile cu un nivel ridicat de maturitate intenționează să își majoreze bugetul pentru securitate cibernetică în 2026. În segmentul vulnerabil, doar 4% au planuri similare, iar pentru 56% bugetul nu era stabilit la momentul cercetării.
Respondenții au indicat instruirea angajaților drept principala prioritate de securitate pentru 2026, menționată de 52% dintre aceștia. Urmează monitorizarea continuă, cu 44%, securitatea soluțiilor de inteligență artificială, cu 41%, securitatea cloud, cu 35%, modernizarea tehnologiei, cu 30%, organizarea internă și clarificarea responsabilităților, cu 24%, precum și pregătirea pentru noile cerințe legislative, cu 23%.
În răspunsurile deschise, instruirea și conștientizarea angajaților au fost cele mai frecvent menționate priorități, reprezentând 25% din răspunsurile valide.
Inteligența artificială este utilizată pe scară largă, dar regulile sunt încă puține
Instrumentele de inteligență artificială sunt folosite de 94% dintre organizațiile participante, însă politicile interne nu au ținut pasul cu ritmul de adopție. Doar 37% dintre companii au reguli scrise privind utilizarea AI și le-au comunicat angajaților.
48% dintre respondenți spun că organizația lor exercită un control limitat sau nu exercită deloc control asupra instrumentelor AI folosite de angajați. Aproape 70% sunt preocupați de posibilitatea ca informații sensibile ale companiei să fie introduse în astfel de instrumente, iar 58% indică riscul ca decizii să fie luate pe baza unor răspunsuri incorecte generate de AI.
Adoptarea rapidă a tehnologiei fără reguli clare creează o nouă zonă de expunere pentru companii, în special în ceea ce privește datele confidențiale și procesele decizionale.
Pregătirea pentru NIS2 și DORA rămâne incompletă
41% dintre organizațiile incluse în eșantion au declarat că intră sub incidența NIS2 sau DORA, reglementări europene care introduc cerințe suplimentare de securitate și reziliență cibernetică pentru sectoarele esențiale și pentru industria financiară.
Dintre acestea, numai 29% consideră că au îndeplinit toate cerințele. Alte 14% se consideră aproape pregătite, 31% se află în proces de implementare, iar 14% sunt încă în etapa de analiză. Costurile cu tehnologia și consultanța au fost indicate drept principal obstacol de 48% dintre respondenți, în timp ce 47% au menționat dificultățile legate de documentație și proceduri.
Chiar și în rândul celor 25 de organizații care se consideră complet pregătite există lacune: șase nu organizează exerciții regulate de reziliență, iar cinci nu au un plan de răspuns testat.
Rezultatele nu sunt reprezentative statistic pentru toate organizațiile din România. 74% dintre respondenți provin din București-Ilfov, iar sectoarele IT și servicii digitale reprezintă 35% din eșantion. Sectorul financiar-bancar și asigurările au o pondere de 14%, producția și industria de 10%, iar energia și utilitățile de 8%. Eșantionul include, de asemenea, într-o proporție ridicată, persoane deja implicate în deciziile de securitate. Autorii studiului estimează că nivelul de pregătire al pieței în ansamblu este probabil mai scăzut decât cel indicat de datele cercetării.
