Implementarea directivei NIS2 schimbă radical modul în care companiile din sectorul energetic trebuie să își gestioneze riscurile digitale. Această reglementare europeană impune ca protecția sistemelor informatice să nu mai fie considerată doar o sarcină tehnică a departamentelor de IT, ci o obligație juridică și de guvernanță. În contextul actual, rețelele energetice sunt infrastructuri fizice controlate digital, iar automatizarea și conectivitatea crescută extind suprafața de atac pentru entități malițioase.
Analiza realizată de ENISA arată o situație critică în Uniunea Europeană, examinând 4.875 de incidente între iulie 2024 și iunie 2025. Atacurile de tip DDoS au reprezentat 77% din totalul incidentelor raportate, însă ransomware-ul rămâne cea mai periculoasă amenințare prin impactul său. Phishing-ul și exploatarea vulnerabilităților sunt utilizate preponderent ca metode de acces, riscând să afecteze infrastructurile operaționale și, prin efect de cascadă, întreaga economie și societate.
În România, cadrul legislativ pentru NIS2 este asigurat prin OUG nr. 155/2024, care a fost ulterior modificată prin Legea nr. 124/2025. Directiva 2022/2555 include energia printre sectoarele cu importanță critică ridicată, vizând producători, operatori de transport, distribuție, stocare, furnizori de LNG și operatori din sectorul hidrogenului. Entitățile esențiale și importante au acum obligații stricte de gestionare a riscului și de raportare rapidă a incidentelor de securitate.
O schimbare majoră vizează responsabilitatea organelor de conducere, care trebuie să aprobe măsurile de gestionare a riscului și să supravegheze implementarea acestora. Securitatea cibernetică ajunge direct în sala de consiliu, obligând consiliile de administrație să înțeleagă vulnerabilitățile, costurile de remediere și dependențele față de furnizori. Nu mai este suficientă simpla conformitate cu procedurile; directorii trebuie să poată răspunde juridic în cazul în care vulnerabilitățile cunoscute nu sunt tratate.
Riscul este amplificat de vulnerabilitățile din lanțul de aprovizionare, unde o companie poate fi expusă prin intermediul unui furnizor de software sau mentenanță. Contractele comerciale trebuie acum să includă detalii juridice despre drepturile de audit, conservarea probelor și responsabilitatea pentru breșe produse de terți. Legislația românească impune termene foarte scurte pentru raportare: o avertizare timpurie în maximum 24 de ore și o notificare completă în maximum 72 de ore de la identificarea incidentului.
Protecția infrastructurilor critice implică și integrarea cu Directiva CER, care se concentrează pe reziliența în fața riscurilor fizice, precum sabotajul sau dezastrele naturale. În timp ce NIS2 întărește apărarea digitală, CER obligă operatorii să fie pregătiți să reziste și să se refacă rapid după orice perturbare. Într-un peisaj energetic tot mai digitalizat, protejarea codului care controlează energia devine parte integrantă din obligația de continuitate a afacerii.