Starea NIS2 în organizațiile de cercetare: unde e sectorul în 2026

01Cine intră sub NIS2

Organizațiile de cercetare sunt în Anexa II. Peste pragul de mărime (50 de angajați sau 10 milioane de euro) ești de regulă în scop ca entitate importantă — aceleași obligații de fond ca esențialele, supraveghere de regulă reactivă. Detaliile de încadrare sunt în ghidul complet al sectorului.

02Starea aplicării în 2026

Cercetarea a intrat în NIS2 cu o cultură construită pe exact opusul instinctului de securitate: deschidere, colaborare, schimb de date și de acces între instituții și peste granițe. Starea din 2026 reflectă această tensiune — infrastructuri de calcul serioase (HPC, clustere) și rețele de colaborare internațională, administrate adesea cu resurse IT modeste și cu o toleranță academică la accesul larg pe care legea o pune acum sub disciplină: cine are acces la ce date, pe ce temei, cu ce jurnalizare.

Amenințarea principală rămâne cea care nu se vede: exfiltrarea rezultatelor și a proprietății intelectuale, plus deturnarea puterii de calcul. Spre deosebire de ransomware, spionajul nu își anunță prezența — motiv pentru care măsurile art. 13 privind controlul accesului și clasificarea datelor contează aici mai mult decât apărarea de perimetru, iar aplicarea lor trebuie calibrată proporțional cu sensibilitatea reală a fiecărui set de date, ca să protejeze cercetarea fără să o sufoce.

Cadrul comun e același pentru toate sectoarele: OUG nr. 155/2024 e în vigoare, aprobată cu modificări prin Legea nr. 124/2025, cu DNSC ca autoritate de supraveghere. Termenul inițial de înregistrare în NIS2@RO (art. 18) a expirat în 2025 — cine e în scop și nu s-a înregistrat e în întârziere, iar neînregistrarea se sancționează separat. Obligațiile curg indiferent de stadiul fiecăruia: măsurile art. 13, guvernanța și răspunderea conducerii (art. 14), raportarea incidentelor pe termenele art. 15 și autoevaluarea anuală de maturitate (art. 12 (4)).

03Tabloul de amenințări

Tabloul de mai jos e calitativ — scenariile care definesc riscul sectorului acum, așa cum apar în evaluări și în practica de securitate, nu o statistică de incidente:

• Exfiltrarea datelor de cercetare și a proprietății intelectuale — ținta spionajului academic și industrial — se desfășoară tăcut, fără criptare, și se descoperă târziu sau deloc.
• Compromiterea infrastructurii HPC și a clusterelor servește fie furtului de rezultate, fie deturnării puterii de calcul (criptominare, atacuri către terți) — ambele consumă resursa cea mai scumpă a instituției.
• Colaborările internaționale și rețelele partajate conectează multe instituții cu niveluri de securitate inegale: veriga cea mai slabă definește securitatea tuturor.
• Sistemele cu granturi și date ale participanților la studii adaugă componenta GDPR — inclusiv categorii speciale de date (art. 9), cu propriul regim de breșă.

04Cele 3 măsuri cu cel mai mare impact

Toate cele zece măsuri din art. 13 lit. a)–j) sunt obligatorii — dar nu mută riscul în mod egal. Dacă sectorul ar închide doar trei lacune în lunile următoare, analiza noastră le indică pe acestea:

• Controlul accesului și clasificarea datelor (art. 13 lit. f) · Directiva art. 21(2)(i)) — nu toate datele de cercetare sunt egale; clasificarea pe sensibilitate și accesul pe temei real, cu jurnalizare, protejează exact ce merită protejat fără a închide colaborarea.
• Instruirea și igiena cibernetică (art. 13 lit. i) · Art. 21(2)(g)) — phishing-ul țintit pe cercetători e vectorul de elecție al spionajului; o comunitate care rotește studenți, doctoranzi și colaboratori are nevoie de instruire recurentă, nu de un curs unic.
• Securitatea colaborărilor și a lanțului (art. 13 lit. d) · art. 21 alin. (2) lit. d)) — accesul partenerilor externi la sisteme și date e perimetrul real al institutului; acorduri cu cerințe de securitate și acces limitat în timp, nu conturi „de curtoazie” permanente.

05Ce urmează

Pentru institutele aflate în scop, calendarul comun se aplică integral: autoevaluarea anuală art. 12 (4), dovezile măsurilor art. 13, raportarea incidentelor pe termenele art. 15 — cu particularitatea că incidentul tipic al sectorului, exfiltrarea tăcută, e cel mai greu de detectat și deci de raportat la timp. Presiunea externă vine din colaborări: partenerii internaționali și finanțatorii de granturi își înăspresc cerințele de securitate, iar instituțiile care pot răspunde cu dovezi rămân eligibile pentru consorțiile mari — încă un caz în care dosarul de conformitate se transformă în acces, nu doar în obligație.

06Metodologie și limite

Vrei imaginea completă? Raportul-pilon „Starea NIS2 în România 2026” leagă toate cele 18 mini-rapoarte sectoriale. Iar pentru propria organizație, încadrarea pornește de la sector, mărime și servicii — esențială, importantă sau în afara legii, plus pașii următori. Instrument de suport, nu garanție de conformitate — dar drumul devine clar.