Peste 48.000 de vulnerabilități software au fost identificate la nivel mondial în 2025, cu 22% mai multe decât în anul precedent, potrivit datelor Agenției Uniunii Europene pentru Securitate Cibernetică (ENISA). În România, industria IT avertizează că firmele și instituțiile publice riscă să rămână în urma amenințărilor informatice și propune modificarea regulilor privind achizițiile de software, raportarea incidentelor și verificarea securității produselor digitale.
Asociația Patronală a Industriei de Software și Servicii (ANIS) atrage atenția că ritmul în care evoluează amenințările cibernetice depășește capacitatea multor organizații de a-și moderniza infrastructura digitală.
Într-o analiză publicată luni, 2 noiembrie 2026, Corina Vasile, directorul executiv al ANIS, arată că vulnerabilitățile informatice nu mai reprezintă doar o problemă tehnică, ci pot afecta direct activitatea companiilor, serviciile publice și economia.
Un exemplu recent îl reprezintă cele două vulnerabilități critice descoperite în limbajul de programare PHP, utilizat de milioane de site-uri și aplicații web. Acestea au primit un scor de severitate de 9,2 din 10, ceea ce indică un risc foarte ridicat.
StartupCafe a relatat anterior despre vulnerabilitățile PHP care au determinat întreruperea unor servicii online în Europa.
Potrivit datelor ENISA citate de ANIS, în peste 60% dintre incidentele pentru care a fost identificată metoda de intrare, atacatorii au exploatat vulnerabilități software. Aproape trei sferturi dintre organizațiile afectate furnizează servicii esențiale sau importante, iar instituțiile publice reprezintă aproape o treime dintre ținte.
În România, atacurile asupra sistemului informatic Hipocrate, utilizat de spitale, în februarie 2024, și asupra Agenției Naționale de Cadastru și Publicitate Imobiliară (ANCPI), în iulie 2026, au demonstrat că incidentele informatice pot bloca servicii esențiale și pot perturba activități economice.
„Decalajul dintre viteza tehnologiei și ritmul în care se modernizează infrastructura devine el însuși o vulnerabilitate. Securitatea gândită încă din proiectare (secure-by-design) și sistemele care pot fi actualizate ușor trebuie să facă parte din investițiile de astăzi”, spune Corina Vasile, director executiv al ANIS.
ANIS cere reguli noi pentru programele informatice cumpărate de stat
Una dintre principalele propuneri ale industriei IT vizează introducerea unei liste standardizate a componentelor software pentru programele achiziționate de instituțiile publice.
Documentul, cunoscut sub denumirea de Software Bill of Materials (SBOM), ar permite identificarea rapidă a componentelor vulnerabile și stabilirea priorităților pentru actualizările de securitate.
În prezent, aplicațiile informatice sunt dezvoltate prin combinarea unor componente provenite de la furnizori diferiți, inclusiv din proiecte open-source. O singură vulnerabilitate poate afecta astfel numeroase sisteme.
ANIS propune ca furnizarea unei asemenea liste să devină obligatorie în achizițiile publice de software, într-un format standardizat.
O altă problemă semnalată este dependența instituțiilor de un singur furnizor de tehnologie, fenomen cunoscut sub denumirea de vendor lock-in.
Potrivit asociației, utilizarea standardelor deschise și posibilitatea transferării datelor la încheierea contractelor ar permite înlocuirea mai ușoară a componentelor informatice și ar stimula concurența în proiectele publice, inclusiv în beneficiul companiilor românești.
Firmele ar putea raporta atacurile cibernetice printr-o singură platformă
ANIS atrage atenția și asupra obligațiilor multiple de raportare a incidentelor informatice, introduse prin reglementările europene.
Directiva NIS2, regulamentul DORA și Cyber Resilience Act stabilesc cerințe pentru diferite categorii de organizații și produse digitale.
În funcție de domeniul de activitate, o companie poate avea obligația să transmită informații despre același incident către mai multe autorități, în termene și formate diferite.
Industria IT propune introducerea unei platforme naționale unice, conectată la mecanismele europene, prin care companiile să raporteze un incident o singură dată.
Informațiile ar urma să fie distribuite automat instituțiilor competente.
Comisia Europeană a propus un mecanism similar și estimează că acesta ar putea reduce cu aproximativ 50% costurile administrative asociate raportării incidentelor.
Propunerea europeană se află încă în dezbatere, iar ANIS solicită ca România să înceapă pregătirea unui sistem compatibil.
Problema obligațiilor de securitate cibernetică pentru companiile românești a fost abordată anterior și de StartupCafe, care a relatat că DNSC a început procedurile pentru primele sancțiuni, amenzile putând ajunge la 10 milioane de euro.
Companiile IT românești riscă să suporte costuri suplimentare pentru certificarea produselor
O altă propunere ANIS privește dezvoltarea în România a capacităților de evaluare și testare a securității produselor digitale.
Noile reglementări europene prevăd că anumite categorii de produse vor trebui evaluate de organisme specializate înainte de introducerea pe piața Uniunii Europene.
În absența unor astfel de organisme în România, producătorii locali ar putea fi obligați să apeleze la servicii de testare din alte state membre, suportând costuri suplimentare și întârzieri.
ANIS indică modelele utilizate în Germania, Franța și Spania, unde autoritățile publice supraveghează procesul, iar evaluările sunt realizate de organisme private acreditate.
Asociația consideră că un asemenea sistem ar putea fi dezvoltat și în România.
În cazul firmelor mici, care nu dispun de departamente specializate în securitate cibernetică, ANIS propune și dezvoltarea unor ghiduri practice și mecanisme de sprijin.
Inteligența artificială și calculatoarele cuantice aduc noi riscuri
Analiza ANIS abordează și amenințările asociate dezvoltării inteligenței artificiale și tehnologiilor cuantice.
Inteligența artificială permite detectarea mai rapidă a atacurilor, dar poate fi utilizată și de infractorii cibernetici pentru automatizarea operațiunilor și crearea unor mesaje frauduloase mai convingătoare.
Pe termen lung, dezvoltarea calculatoarelor cuantice ar putea compromite unele dintre metodele de criptare utilizate în prezent pentru protejarea datelor.
Un risc semnalat de ANIS este că informațiile sustrase astăzi ar putea fi decriptate în viitor, odată cu apariția unor capacități de calcul suficient de avansate.
În acest context, asociația propune ca organizațiile din sectoare esențiale, precum sistemul financiar, telecomunicațiile, energia și sănătatea, să își inventarieze până în 2028 sistemele de criptare utilizate.
Strategia de securitate cibernetică 2027–2032: ce solicită industria IT
Propunerile ANIS au fost formulate în cadrul contribuției asociației la viitoarea Strategie Națională de Securitate Cibernetică a României pentru perioada 2027–2032.
Industria IT solicită introducerea unor mecanisme de finanțare multianuală, stabilirea unor obiective măsurabile și publicarea rezultatelor, alături de o colaborare mai strânsă între autorități și companiile de tehnologie.
ANIS consideră că securitatea informatică trebuie integrată încă din etapa de proiectare a sistemelor, nu tratată exclusiv prin actualizări și măsuri adoptate după apariția incidentelor.
În opinia asociației, modernizarea infrastructurii digitale și capacitatea de reacție la amenințări vor influența tot mai mult competitivitatea economiei românești.
Documentul integral cu propunerile ANIS pentru Strategia Națională de Securitate Cibernetică 2027–2032 poate fi consultat AICI.