Starea NIS2 în sectorul apelor uzate: unde e sectorul în 2026

01Cine intră sub NIS2

Anexa I include operatorii de colectare și tratare a apelor uzate. Mulți operatori acoperă ambele servicii (apă și canal) — încadrarea se face pe entitate, deci obligațiile se implementează o singură dată, pe toate sistemele critice ale organizației. Detaliile sunt în ghidul complet al sectorului.

02Starea aplicării în 2026

Starea sectorului e împletită cu cea a apei potabile — aceiași operatori, aceleași echipe, aceeași infrastructură de telegestiune — dar cu o consecință juridică proprie: incidentul cibernetic care produce o deversare declanșează simultan obligațiile de mediu și raportarea NIS2 (art. 15). În 2026, puțini operatori au procedura de incident scrisă pentru ambele planuri, cu responsabili numiți pentru fiecare notificare — aceasta e lacuna procedurală specifică a sectorului.

Pe partea tehnică, tabloul e cel clasic al utilităților cu OT: automatizări ale stațiilor de epurare și pompare extinse constant, acces de mentenanță de la distanță configurat pragmatic, separare IT/OT mai degrabă declarată decât reală. Diferența față de acum câțiva ani e că aceste lacune au încetat să fie doar „datorie tehnică” — sunt neconformități față de măsurile art. 13, verificabile la control și sancționabile pe art. 60.

Cadrul comun e același pentru toate sectoarele: OUG nr. 155/2024 e în vigoare, aprobată cu modificări prin Legea nr. 124/2025, cu DNSC ca autoritate de supraveghere. Termenul inițial de înregistrare în NIS2@RO (art. 18) a expirat în 2025 — cine e în scop și nu s-a înregistrat e în întârziere, iar neînregistrarea se sancționează separat. Obligațiile curg indiferent de stadiul fiecăruia: măsurile art. 13, guvernanța și răspunderea conducerii (art. 14), raportarea incidentelor pe termenele art. 15 și autoevaluarea anuală de maturitate (art. 12 (4)).

03Tabloul de amenințări

Tabloul de mai jos e calitativ — scenariile care definesc riscul sectorului acum, așa cum apar în evaluări și în practica de securitate, nu o statistică de incidente:

• Oprirea sau comanda greșită a proceselor stației de epurare — de la deversări de ape netratate până la avarierea echipamentelor — rămâne scenariul dimensionant.
• Ransomware-ul pe telegestiunea stațiilor de pompare produce reflux și inundații locale în punctele joase ale rețelei: impact fizic, imediat, vizibil public.
• Manipularea telemetriei de proces (nivel, debit, calitate) lasă procesele să meargă „pe orb” sau pe date false — cu efecte care se văd târziu și se explică greu.
• Accesul de mentenanță de la distanță compromis la automatizările stației rămâne calea clasică de intrare în sistemele industriale.

04Cele 3 măsuri cu cel mai mare impact

Toate cele zece măsuri din art. 13 lit. a)–j) sunt obligatorii — dar nu mută riscul în mod egal. Dacă sectorul ar închide doar trei lacune în lunile următoare, analiza noastră le indică pe acestea:

• Gestionarea incidentelor pe două planuri (art. 13 lit. g) · Directiva art. 21(2)(b)) — procedura trebuie să prevadă și notificarea NIS2 (termenele art. 15), și obligațiile de mediu la deversări; două regimuri, responsabili numiți pentru fiecare.
• MFA pe accesul de la distanță (art. 13 lit. j) · Art. 21(2)(j)) — conexiunile furnizorilor de automatizări către stații sunt vectorul de intrare cel mai frecvent; al doilea factor le transformă din ușă deschisă în semnal de alarmă.
• Continuitate și operare manuală (art. 13 lit. h) · Art. 21(2)(c)) — pentru epurare, continuitatea înseamnă capacitatea de a aduce procesul în stare sigură fără sistemul central: documentată, testată, cu roluri clare.

05Ce urmează

Ce urmează seamănă cu apa potabilă — autoevaluarea anuală art. 12 (4), dosarul de dovezi, ritmul verificabil al măsurilor art. 13 — cu accentul propriu pe interfața cu legislația de mediu: operatorii care își aliniază acum procedurile de incident pe ambele regimuri de raportare închid ieftin o lacună care, descoperită după o deversare, ar costa scump pe ambele planuri. Iar pentru operatorii integrați apă-canal, vestea bună rămâne: un singur program de conformare acoperă ambele servicii.

06Metodologie și limite

Vrei imaginea completă? Raportul-pilon „Starea NIS2 în România 2026” leagă toate cele 18 mini-rapoarte sectoriale. Iar pentru propria organizație, încadrarea pornește de la sector, mărime și servicii — esențială, importantă sau în afara legii, plus pașii următori. Instrument de suport, nu garanție de conformitate — dar drumul devine clar.