Starea NIS2 în sectorul apei potabile: unde e sectorul în 2026

01Cine intră sub NIS2

Anexa I include furnizorii și distribuitorii de apă potabilă. Operatorii regionali depășesc aproape întotdeauna pragul de mărime (50 de angajați sau 10 milioane de euro), deci intră în scop pe regula generală. Încadrarea detaliată și primii pași sunt în ghidul complet al sectorului.

02Starea aplicării în 2026

Operatorii regionali de apă sunt companii de utilitate publică obișnuite cu reglementarea tehnică — dar NIS2 le-a adus prima obligație legală explicită de securitate cibernetică pe sistemele industriale. Starea tipică în 2026: telegestiune și SCADA extinse în ultimul deceniu din rațiuni de eficiență, cu securitatea rămasă în urma conectivității — acces de la distanță configurat pragmatic („să meargă”), rețele de birou și de proces insuficient separate, furnizori de automatizări cu conexiuni permanente.

Partea plină a paharului: riscul fizic face prioritizarea evidentă. Spre deosebire de sectoarele în care „impactul” cere explicații, aici toată lumea înțelege ce înseamnă comanda greșită a unei stații de tratare. Măsurile art. 13 se aplică proporțional cu riscul — iar pentru apă, primele două lacune de închis sunt aproape întotdeauna aceleași: accesul de la distanță nesecurizat și lipsa separării IT/OT.

Cadrul comun e același pentru toate sectoarele: OUG nr. 155/2024 e în vigoare, aprobată cu modificări prin Legea nr. 124/2025, cu DNSC ca autoritate de supraveghere. Termenul inițial de înregistrare în NIS2@RO (art. 18) a expirat în 2025 — cine e în scop și nu s-a înregistrat e în întârziere, iar neînregistrarea se sancționează separat. Obligațiile curg indiferent de stadiul fiecăruia: măsurile art. 13, guvernanța și răspunderea conducerii (art. 14), raportarea incidentelor pe termenele art. 15 și autoevaluarea anuală de maturitate (art. 12 (4)).

03Tabloul de amenințări

Tabloul de mai jos e calitativ — scenariile care definesc riscul sectorului acum, așa cum apar în evaluări și în practica de securitate, nu o statistică de incidente:

• Accesul neautorizat la SCADA stațiilor de tratare — inclusiv la comenzile de dozare — rămâne scenariul cu cel mai direct risc pentru sănătatea publică.
• Ransomware-ul pe telegestiunea pompelor și rezervoarelor taie vizibilitatea și comanda de la distanță asupra întregii rețele — operare pe orb, la propriu.
• Manipularea sau căderea telemetriei (senzori, debitmetre) înseamnă decizii pe date false sau lipsa oricărei decizii.
• Conexiunile de mentenanță ale furnizorilor de automatizări — calea de intrare cel mai des întâlnită în sistemele industriale — sunt rar inventariate complet și încă mai rar protejate cu MFA.

04Cele 3 măsuri cu cel mai mare impact

Toate cele zece măsuri din art. 13 lit. a)–j) sunt obligatorii — dar nu mută riscul în mod egal. Dacă sectorul ar închide doar trei lacune în lunile următoare, analiza noastră le indică pe acestea:

• MFA pe accesul de la distanță (art. 13 lit. j) · Directiva art. 21(2)(j)) — conexiunile „temporare” devenite permanente, fără al doilea factor, sunt lacuna numărul unu a sectorului; închiderea ei costă puțin și mută mult.
• Continuitate și operare manuală (art. 13 lit. h) · Art. 21(2)(c)) — planul de continuitate trebuie să răspundă la întrebarea incomodă: putem opera stațiile manual, și cât timp? Răspunsul documentat și exersat e diferența dintre avarie și criză de sănătate publică.
• Securitatea lanțului de aprovizionare (art. 13 lit. d) · art. 21 alin. (2) lit. d)) — furnizorii de automatizări și mentenanță cu acces în SCADA sunt perimetrul real al operatorului; inventarul și regulile de acces ale terților vin înaintea oricărei tehnologii noi.

05Ce urmează

Sectorul intră în perioada în care obligațiile devin rutină verificabilă: autoevaluarea anuală de maturitate (art. 12 (4)), dovezile pentru măsurile art. 13, procedura de raportare pe termenele art. 15 pregătită înainte de incident. Pentru operatorii regionali — de regulă entități esențiale prin mărime — supravegherea proactivă a DNSC și expunerea la sancțiunile art. 60 fac din dosarul de dovezi o poliță de asigurare: progresul documentat e cea mai bună poziție posibilă în fața autorității și singura apărare credibilă după un incident.

06Metodologie și limite

Vrei imaginea completă? Raportul-pilon „Starea NIS2 în România 2026” leagă toate cele 18 mini-rapoarte sectoriale. Iar pentru propria organizație, încadrarea pornește de la sector, mărime și servicii — esențială, importantă sau în afara legii, plus pașii următori. Instrument de suport, nu garanție de conformitate — dar drumul devine clar.