Peste 48.000 de vulnerabilități software au fost identificate la nivel mondial în 2025, cu 22% mai multe decât în anul precedent, potrivit datelor Agenției Uniunii Europene pentru Securitate Cibernetică (ENISA). Cifra a fost citată de Asociația Patronală a Industriei de Software și Servicii (ANIS) într-o analiză publicată luni, 2 noiembrie 2026, potrivit StartupCafe.ro.

Asociația, care reprezintă companiile de software din România, avertizează că ritmul amenințărilor cibernetice depășește capacitatea multor organizații de a-și moderniza infrastructura digitală. Un exemplu recent îl constituie două vulnerabilități critice descoperite în limbajul de programare PHP, utilizat de milioane de site-uri și aplicații web, care au primit un scor de severitate de 9,2 din 10.

Potrivit datelor ENISA citate de ANIS, în peste 60% dintre incidentele pentru care a fost identificată metoda de intrare, atacatorii au exploatat vulnerabilități software. Aproape trei sferturi dintre organizațiile afectate furnizează servicii esențiale sau importante, iar instituțiile publice reprezintă aproape o treime dintre ținte.

În România, atacurile asupra sistemului informatic Hipocrate, utilizat de spitale, din februarie 2024, și asupra Agenției Naționale de Cadastru și Publicitate Imobiliară, din iulie 2026, au arătat că astfel de incidente pot bloca servicii esențiale și pot perturba activități economice.

„Decalajul dintre viteza tehnologiei și ritmul în care se modernizează infrastructura devine el însuși o vulnerabilitate. Securitatea gândită încă din proiectare trebuie să facă parte din investițiile de astăzi”, spune Corina Vasile, directorul executiv al ANIS.

Liste obligatorii ale componentelor software, pentru achizițiile statului

Una dintre principalele propuneri ale industriei IT vizează introducerea unei liste standardizate a componentelor software pentru programele achiziționate de instituțiile publice. Documentul, cunoscut sub denumirea de Software Bill of Materials (SBOM), ar permite identificarea rapidă a componentelor vulnerabile și stabilirea priorităților pentru actualizările de securitate.

În prezent, aplicațiile informatice sunt dezvoltate prin combinarea unor componente provenite de la furnizori diferiți, inclusiv din proiecte open-source. O singură vulnerabilitate poate afecta astfel numeroase sisteme care o folosesc, fără ca beneficiarul final să știe acest lucru. ANIS propune ca furnizarea unei asemenea liste să devină obligatorie în achizițiile publice de software, într-un format standardizat, astfel încât instituțiile să poată reacționa rapid atunci când o componentă se dovedește vulnerabilă.

Această propunere nu e nouă pentru asociație. ANIS a mai colaborat cu Guvernul, la inițiativa acestuia, la un ghid de achiziții software pentru instituțiile publice, aflat acum la a doua versiune, menit să standardizeze modul în care sunt redactate caietele de sarcini pentru soluțiile IT cumpărate de stat.

O altă problemă semnalată este dependența instituțiilor publice de un singur furnizor de tehnologie, fenomen cunoscut drept vendor lock-in. Potrivit ANIS, utilizarea standardelor deschise și posibilitatea transferării datelor la încheierea contractelor ar permite înlocuirea mai ușoară a componentelor informatice. Asociația susține că acest lucru ar stimula concurența în proiectele publice, inclusiv în beneficiul companiilor românești care concurează cu furnizori mari, internaționali.

O singură raportare pentru fiecare incident cibernetic

ANIS atrage atenția și asupra obligațiilor multiple de raportare a incidentelor informatice, introduse prin reglementările europene. Directiva NIS2, regulamentul DORA și Cyber Resilience Act stabilesc cerințe diferite pentru categorii distincte de organizații și produse digitale.

În funcție de domeniul de activitate, o companie poate avea obligația să transmită informații despre același incident către mai multe autorități, în termene și formate diferite. Industria IT propune introducerea unei platforme naționale unice, conectată la mecanismele europene, prin care companiile să raporteze un incident o singură dată.

Comisia Europeană a propus deja un mecanism similar la nivel european și estimează că acesta ar putea reduce cu aproximativ 50% costurile administrative asociate raportării incidentelor. Propunerea europeană se află încă în dezbatere, iar ANIS solicită ca România să înceapă pregătirea unui sistem compatibil, inclusiv prin contribuția la viitoarea Strategie Națională de Securitate Cibernetică pentru perioada 2027-2032.

Subiectul obligațiilor de securitate cibernetică pentru companiile românești a mai fost abordat de StartupCafe, care a relatat că Directoratul Național de Securitate Cibernetică a început procedurile pentru primele sancțiuni, amenzile putând ajunge la 10 milioane de euro.

O altă propunere ANIS privește dezvoltarea în România a unor capacități proprii de evaluare și testare a securității produselor digitale. Noile reglementări europene prevăd că anumite categorii de produse vor trebui evaluate de organisme specializate înainte de a fi introduse pe piața Uniunii Europene.

În absența unor astfel de organisme în România, producătorii locali ar putea fi nevoiți să apeleze la servicii de testare din alte state membre, cu costuri suplimentare și întârzieri. ANIS indică modelele folosite în Germania, Franța și Spania, unde autoritățile publice supraveghează procesul, iar evaluările sunt realizate de organisme private acreditate. Pentru firmele mici, care nu au departamente specializate în securitate cibernetică, asociația propune și dezvoltarea unor ghiduri practice și mecanisme de sprijin.

Analiza ANIS abordează, pe lângă problemele imediate de reglementare, și amenințările asociate dezvoltării inteligenței artificiale și tehnologiilor cuantice. Inteligența artificială permite detectarea mai rapidă a atacurilor, dar poate fi folosită și de infractorii cibernetici pentru automatizarea operațiunilor și crearea unor mesaje frauduloase mai convingătoare.