Raportul de activitate al DNSC pe 2025, aprobat prin Hotărârea CSAT nr. 117 din 7 august 2026, a fost citit în presă mai ales pentru creșterile spectaculoase: ransomware +153%, phishing +70,6%, compromiterea conturilor +353%. Cifra care spune însă cel mai mult despre unde trebuie alocat bugetul în 2026 este una de distribuție, nu de creștere.
Pe sectoarele analizate, repartiția incidentelor raportate arată astfel:
- sectorul bancar — 71,09%
- servicii poștale și de curierat — 10,8%
- infrastructurile pieței financiare — 6,34%
Aproape nouă din zece incidente raportate se concentrează în trei sectoare care, împreună, formează un singur lanț: banii, mișcarea lor și livrarea bunurilor cumpărate cu ei. În ambele sectoare dominante — bancar și curierat — DNSC arată că au predominat atacurile de tip phishing.
Concentrarea nu înseamnă neglijență
Prima interpretare greșită a acestor procente este că băncile ar fi mai slab protejate. Aproape sigur este invers: sectorul bancar din România este printre cele mai reglementate și mai bine dotate din economie, are echipe de securitate reale, iar raportarea este obligatorie și efectiv exercitată. O parte din cele 71,09% reflectă tocmai faptul că băncile raportează, în timp ce alte sectoare încă nu.
A doua interpretare greșită este că restul economiei ar fi în afara pericolului. Concentrarea descrie unde se raportează incidentele, nu unde se produc.
Interpretarea utilă este a treia: atacatorii aleg ținta după randament, iar în România randamentul este în sectorul financiar și în infrastructura care îl deservește. Asta schimbă natura amenințării. O organizație vizată oportunist se apără cu igienă tehnică. O organizație vizată deliberat, de actori care își aleg victima după profit, se apără cu testare adversarială și cu planuri exersate.
De ce curieratul apare pe locul doi
Cei 10,8% ai serviciilor poștale și de curierat par nepotriviți lângă bănci până când te uiți la modul de operare.
Notificarea de livrare este unul dintre cele mai eficiente pretexte de phishing, pentru că este un mesaj pe care aproape orice persoană îl așteaptă efectiv într-o săptămână dată. Nu cere victimei să creadă ceva improbabil. Iar ținta acestor campanii nu este coletul, ci datele cardului sau credențialele introduse pe o pagină falsă de „reconfirmare a taxei de livrare".
Rezultă două consecințe practice. Pentru operatorii logistici, brandul propriu este activul atacat, chiar și atunci când infrastructura proprie nu este atinsă — iar monitorizarea domeniilor similare și raportarea abuzurilor devin parte din securitate, nu din marketing. Pentru bănci, o parte din fraudele înregistrate pe conturile clienților pornește dintr-un mesaj care imită un curier, nu o bancă — ceea ce explică de ce cele două sectoare apar unul lângă altul în raport, cu phishing-ul ca vector dominant în ambele.
Creșterea de 353% a compromiterii conturilor, de la 248 la 1.125 de incidente, se explică în raport prin campanii desfășurate prin WhatsApp, reutilizarea parolelor și lipsa autentificării multifactor. Este același lanț, văzut din celălalt capăt.
Ce obligații se aplică deja, nu de anul viitor
Entitățile financiare din România se află simultan sub două regimuri, iar termenele lor de raportare nu coincid.
NIS 2, transpusă prin OUG nr. 155/2024 și consolidată prin Legea nr. 124/2025, cu Ordinele DNSC nr. 1/2025 și nr. 2/2025 în vigoare din 20 august 2025. Raportarea incidentelor semnificative se face prin platforma națională PNRISC, cu alertă timpurie în 24 de ore, notificare de incident în 72 de ore și raport final în termen de o lună. Sancțiunile ajung la 10.000.000 euro sau 2% din cifra de afaceri anuală mondială pentru entitățile esențiale și la 7.000.000 euro sau 1,4% pentru cele importante. Răspunderea pentru aprobarea și supravegherea măsurilor de gestionare a riscurilor revine explicit conducerii.
DORA, Regulamentul (UE) 2022/2554, aplicabil de la 17 ianuarie 2025 entităților financiare — bănci, firme de investiții, instituții de plată, asigurători, administratori de fonduri, furnizori de servicii de cripto-active. Pentru un incident major legat de TIC, notificarea inițială se transmite în 4 ore de la clasificarea incidentului ca major și în cel mult 24 de ore de la momentul luării la cunoștință, raportul intermediar în 72 de ore, iar cel final într-o lună.
Diferența dintre 24 de ore sub NIS 2 și 4 ore sub DORA nu este o subtilitate juridică. Este diferența dintre un proces care poate fi improvizat și unul care trebuie exersat înainte. Fereastra de patru ore se consumă aproape integral cu decizia de clasificare, dacă nimeni nu a stabilit dinainte cine o ia și pe ce criterii.
DORA introduce și testarea avansată de tip TLPT — threat-led penetration testing, construită pe cadrul TIBER-EU — obligatorie cel puțin o dată la trei ani pentru entitățile desemnate de autoritatea competentă. În România, autoritățile competente sunt Banca Națională a României și Autoritatea de Supraveghere Financiară, în funcție de tipul entității. TLPT nu este un pentest mai lung: presupune scenarii construite pe informații de amenințare reale, pe funcții critice în producție, cu o echipă albastră care nu știe că testul are loc.
Patru priorități care rezultă direct din cifre
1. Testează canalele expuse, nu doar perimetrul teoretic. Aplicația de internet banking, aplicația mobilă, API-urile de plată, portalul de self-service al clienților și interfețele expuse către procesatori sunt suprafața pe care o exploatează cineva care a ales să te atace. Un test de penetrare pe aceste componente și pe API-urile care le susțin răspunde la o întrebare pe care un audit documentar nu o atinge: ce se întâmplă efectiv dacă cineva încearcă.
2. Calibrează simulările de phishing pe sectorul real. DNSC notează explicit că mesajele sunt redactate corect în limba română și reproduc fidel identitatea vizuală a organizațiilor legitime. Dacă șabloanele tale conțin încă greșeli gramaticale ca reglaj de dificultate, măsori un indiciu care nu mai există. Scenariile care contează pentru acest sector sunt notificarea de curier, confirmarea de plată, mesajul de la „departamentul antifraudă" și livrarea pe WhatsApp — nu doar pe email. Un program de simulări construit pe aceste tipare măsoară riscul real, iar gestionarea riscului uman transformă rezultatul într-o intervenție, nu într-un raport.
3. Testează planurile de continuitate, nu doar backup-urile. Atacul asupra Administrației Naționale Apele Române a blocat aproape întreaga activitate a instituției și a structurilor teritoriale timp de aproximativ o săptămână. Întrebarea utilă nu este dacă ai backup, ci dacă ai restaurat vreodată din el, sub presiune de timp, cu persoana de serviciu, într-o zi de vineri.
4. Exersează raportarea înainte de a avea nevoie de ea. Cine clasifică incidentul, pe ce criterii, cine semnează notificarea, cine o transmite în PNRISC și cine vorbește cu BNR sau ASF. Un exercițiu de tip tabletop cu conducerea, o dată pe an, este singura modalitate rezonabilă de a afla răspunsurile înainte de ora patru.
Concentrarea din raportul DNSC este, în fond, un mesaj simplu: dacă ești în sectorul financiar din România, nu ești ținta unei campanii de volum. Ești ținta cuiva care a făcut un calcul. Auditul de securitate și evaluarea de conformitate sunt utile ca structură, dar cifrele din 2025 arată că partea care lipsește cel mai des este verificarea prin testare efectivă.
Acest articol are caracter general informativ și nu constituie consultanță juridică sau de reglementare. Pentru încadrarea concretă a entității tale sub NIS 2 sau DORA, consultă autoritatea competentă și consilierul juridic.
Surse: Raportul de activitate DNSC pe 2025, aprobat prin Hotărârea CSAT nr. 117 din 7 august 2026 — sinteză Economedia; DNSC; Regulamentul (UE) 2022/2554 — DORA; Directiva (UE) 2022/2555 — NIS 2. Procentele pe sectoare și cifrele de incidente provin din versiunea publică a raportului DNSC, așa cum a fost prezentată de presa economică; documentul integral rămâne referința pentru orice utilizare formală.