Pentru companiile din energie, gaze, termoficare, apă potabilă și apă uzată din România, NIS 2 nu mai este un subiect de plan pe anul viitor. Directiva (UE) 2022/2555 a fost transpusă prin OUG nr. 155/2024, în vigoare din 30 decembrie 2024 și modificată prin Legea nr. 124/2025. Înregistrarea entităților esențiale și importante la DNSC s-a făcut în septembrie 2025, prin platforma NIS2@RO, iar Ordinele DNSC nr. 1/2025 și 2/2025 (Monitorul Oficial nr. 776 din 20 august 2025) au fixat regulile de notificare și metodologia de evaluare a riscului, cu trei niveluri de măsuri: de bază, important și esențial.
Cu alte cuvinte, faza de înrolare s-a încheiat. Urmează faza în care ți se cere să dovedești că măsurile funcționează — iar pentru entitățile esențiale, sancțiunile ajung la 10 milioane de euro sau 2% din cifra de afaceri globală, oricare e mai mare, cu răspundere directă a conducerii.
De ce energia și utilitățile sunt un caz aparte
În majoritatea sectoarelor, un pentest înseamnă aplicații web, Active Directory și perimetru. În energie și utilități apare un al doilea univers: tehnologia operațională (OT) — SCADA, RTU-uri, PLC-uri, sisteme de telecontrol, historian-e, stații de lucru de inginerie. Aici, indisponibilitatea nu e un incident IT, ci un serviciu esențial întrerupt.
Diferența practică e că nu poți testa OT-ul așa cum testezi IT-ul. Un scan agresiv de porturi pe un PLC vechi îl poate opri. O tentativă de fuzzing pe IEC 60870-5-104 poate declanșa protecții. Un test „standard" copiat din mediul corporate este, într-o stație electrică, un risc operațional real — și un motiv perfect ca inginerii să refuze orice testare pe viitor.
Un furnizor serios spune asta din prima. Dacă cineva îți propune același scope și aceeași metodologie pentru rețeaua de birou și pentru rețeaua de proces, ai găsit deja o problemă.
Ce se testează, concret
1. Granița IT–OT. Este cea mai valoroasă țintă a unui atacator și cel mai frecvent punct slab pe care îl găsim. Se verifică: dacă segmentarea chiar există sau e doar desenată; ce reguli de firewall există între zone și de ce; dacă există căi de ocolire prin VLAN-uri de management, rețele de backup sau sisteme de monitorizare care „văd" ambele părți; dacă un cont compromis din IT ajunge la un historian, iar de acolo mai departe.
2. Accesul de la distanță al furnizorilor. Integratorii și producătorii de echipamente au aproape întotdeauna acces pentru mentenanță. Se testează cum e implementat: VPN dedicat sau tunel permanent, MFA sau parolă partajată, cont nominal sau cont generic, sesiuni înregistrate sau nu, acces just-in-time sau permanent. Articolul 21(2)(d) din NIS 2 cere explicit securitatea lanțului de aprovizionare, iar accesul furnizorilor este forma cea mai concretă a acestui risc.
3. Stațiile de lucru de inginerie și jump host-urile. Sunt calculatoarele care au dreptul să scrie configurație în echipamentele de proces. Dacă unul e pe același domeniu cu laptopurile de birou, ai un singur pas între phishing și proces.
4. Interfețele de management ale infrastructurii. Consolele out-of-band — IPMI, iDRAC, iLO — sunt exact genul de strat pe care nimeni nu-l trece în inventar. O cercetare publicată pe 28 iulie 2026 a găsit peste 36.000 de interfețe BMC expuse direct în internet, dintre care aproape 25.000 divulgă hash-uri de parolă înainte de autentificare, printr-un defect al specificației IPMI v2.0 vechi de peste un deceniu. Într-o companie de utilități, o consolă de management expusă înseamnă acces la nivel de hardware, indiferent ce sistem de operare rulează deasupra.
5. Partea IT care susține serviciul. Portalurile de client, sistemele de facturare, platformele de citire a contoarelor inteligente, integrările cu piața de energie. Aici se aplică testarea clasică — evaluare de securitate web și testare de penetrare pe infrastructură — plus verificarea datelor cu caracter personal ale consumatorilor.
6. Factorul uman. Dispecerii și personalul de teren sunt ținte de social engineering, cu un context specific: apeluri „de la furnizorul de echipamente", cereri urgente în afara programului, memory stick-uri livrate pe șantier. O simulare de phishing calibrată pe realitatea din teren spune mai mult decât un training generic.
Cum se testează OT-ul fără să oprești nimic
Regula de bază: producția nu se atinge activ decât cu acordul explicit al operațiunilor și într-o fereastră agreată. În practică, un program sănătos de testare de penetrare OT și ICS combină:
- Analiză pasivă de trafic în rețeaua de proces — arată protocoale, echipamente, comunicații neașteptate, fără să trimită un singur pachet.
- Review de arhitectură și configurație — reguli de firewall, ACL-uri, conturi, versiuni de firmware, împerecheate cu diagramele reale, nu cu cele din documentație.
- Testare activă pe stand sau pe mediul de rezervă, unde există echipamente identice, pentru tot ce implică risc.
- Testare activă completă pe IT și pe graniță, unde riscul este gestionabil.
- Ferestre de mentenanță pentru orice test invaziv, cu plan de oprire, persoană de contact din operațiuni și criterii clare de abort.
Ce trebuie să conțină raportul ca să folosească la audit
DNSC nu evaluează frumusețea raportului, ci dacă poți demonstra eficacitatea măsurilor. Un raport util conține:
- Constatări mapate pe măsurile din Articolul 21 pe care le dovedesc sau le infirmă — nu doar o listă de CVE-uri.
- Scope declarat explicit, inclusiv ce a fost exclus și de ce. Un scope care ocolește tot OT-ul și nu spune asta e o problemă de audit, nu o economie.
- Evaluare CVSS plus context operațional — impactul real asupra serviciului esențial, nu doar scorul.
- Roadmap de remediere prioritizat, cu efort estimat.
- Retest documentat care confirmă că remedierile au funcționat.
- Sumar executiv pe care conducerea îl poate citi și aproba, pentru că Articolul 20 o face responsabilă personal.
Adaugă legătura cu Articolul 23: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final într-o lună. Nu poți raporta în 24 de ore despre sisteme pe care nu le-ai cartografiat niciodată. Testarea alimentează direct capacitatea de raportare.
Cât de des
Directiva nu dă un număr. Baza de apărat pentru o entitate esențială din energie sau utilități este: cel puțin anual pentru sistemele care susțin serviciul esențial, după orice schimbare majoră — un SCADA nou, o migrare, un integrator nou, o achiziție — și mai des pentru ce este expus în internet. Dacă intri și sub cerințe sectoriale suplimentare, ține un singur program de testare care produce dovezi pentru toate, în loc să dublezi efortul.
De unde începi
Dacă nu ai făcut încă niciun test în zona OT, primul pas nu este un pentest — este un inventar și o discuție de scope între securitate, IT și operațiuni. Fără acordul oamenilor care răspund de proces, orice program de testare se blochează la prima obiecție.
Checklist-ul nostru NIS 2 & DORA acoperă toate cele zece măsuri din Articolul 21 și arată unde intră testarea. Când ești gata să treci la dovezi, testarea de penetrare și auditul de securitate și conformitate mapează fiecare constatare înapoi la obligațiile tale. Dacă vrei să discutăm cum se face asta fără să pui în pericol producția, scrie-ne.
Acest articol este informație generală, nu consultanță juridică. Obligațiile tale concrete depind de sector, dimensiune și clasificarea ca entitate esențială sau importantă. Surse: Directiva (UE) 2022/2555 (NIS 2), Articolele 20, 21 și 23; OUG nr. 155/2024; Legea nr. 124/2025; Ordinele DNSC nr. 1/2025 și 2/2025 (M. Of. nr. 776 din 20 august 2025); raportare publică The Hacker News privind interfețele IPMI expuse (28 iulie 2026).