Companiile din România au făcut progrese în adoptarea soluțiilor de securitate cibernetică, dar existența tehnologiei nu înseamnă automat că o organizație este pregătită să facă față unui atac.
Studiul „Radiografia Securității Cibernetice în România în 2026”, realizat de FORT Cyber, companie specializată în securitate cibernetică listată pe piața AeRO a Bursei de Valori București, împreună cu Promocrat și DataDiggers, arată că diferența o fac capacitatea de a identifica rapid un incident, existența unui plan clar de răspuns și testarea periodică a modului în care organizația poate reacționa.
Studiul a fost realizat în perioada mai-iulie 2026, pe baza unui chestionar cu 32 de întrebări, la care au răspuns peste 200 de persoane, reprezentând 211 organizații, în majoritate implicate direct în conducerea organizațiilor sau în deciziile privind securitatea cibernetică. Cercetarea a folosit un Indice de Maturitate Cibernetică, de la 0 la 100, care evaluează cinci componente cu pondere egală: guvernanța securității cibernetice, monitorizarea sistemelor, capacitatea de răspuns la incidente, igiena tehnică și cultura de securitate.
45% dintre organizațiile participante s-au încadrat în categoria cu cel mai ridicat nivel de maturitate cibernetică (segmentul Matur), iar 21% în segmentul Gestionat, restul de 34% fiind împărțit între segmentele Vulnerabil și Bazic. Maturitatea “verificată” scade însă la 27% atunci când se analizează dacă organizațiile îndeplinesc simultan trei măsuri concrete: monitorizare permanentă, un plan de răspuns testat și exerciții regulate de securitate. Practic, 39 de organizații încadrate inițial în segmentul Matur nu îndeplinesc simultan cele trei criterii practice analizate.
Măsurile tehnice de bază sunt deja larg răspândite: 84% dintre organizații folosesc antivirus sau firewall pe toate dispozitivele, 82% folosesc autentificarea multifactor, iar 81% fac periodic copii de siguranță ale datelor și le testează. Totuși, 15% dintre organizațiile participante au implementat opt sau nouă dintre cele nouă măsuri tehnice analizate, dar nu și-au testat niciodată planul de răspuns.
„Securitatea cibernetică nu este un proiect pe care îl implementezi și îl consideri încheiat, ci o capacitate a organizației care trebuie permanent verificată și îmbunătățită. Observăm și în rândul clienților noștri o preocupare din ce în ce mai pronunțată pentru securitate cibernetică, însă e nevoie să trecem de la ideea de protecție statică prin achiziția de soluții la o formă dinamică și matură, respectiv o pregătire continuă pentru momentul în care un incident chiar se produce”, declară Delia Necula, CEO FORT Cyber.
Un rezultat aparent paradoxal al studiului arată că organizațiile mai bine pregătite raportează mai multe incidente de securitate: 22% dintre cele din categoria cu cel mai ridicat nivel de maturitate au raportat cel puțin un incident în 2025, față de doar 4% dintre cele din categoria vulnerabilă, de 5,5 ori mai multe. Diferența nu înseamnă că organizațiile mature sunt atacate mai des, ci că au o capacitate mai bună de a identifica și raporta incidentele. La polul opus, 36% dintre organizațiile din segmentul Vulnerabil nu pot estima nici măcar în cât timp ar detecta un incident. Concluzia practică a studiului: un număr mic de incidente raportate nu înseamnă neapărat că o organizație este mai sigură, poate însemna pur și simplu că o parte dintre incidente trec neobservate.
Același tipar apare și în cazul phishingului: organizațiile care fac traininguri de securitate cel puțin trimestrial raportează incidente de phishing în proporție de 14,6%, față de doar 1,9% în cazul celor care nu fac astfel de traininguri.
Nivelul de pregătire se vede clar în planurile de buget pentru 2026: 54% dintre organizațiile cu un nivel ridicat de maturitate spun că își vor crește bugetul pentru securitate cibernetică, față de doar 4% dintre cele din segmentul Vulnerabil, unde pentru 56% bugetul nu era încă stabilit la momentul cercetării. Organizațiile mature tratează securitatea ca pe o investiție continuă, în timp ce puține dintre cele vulnerabile intenționează să aloce resurse suplimentare, ceea ce riscă să mărească în timp distanța dintre cele două categorii.
53% dintre respondenți consideră că organizația lor poate detecta un incident cibernetic semnificativ în mai puțin de 24 de ore, iar 55% cred că poate răspunde eficient într-un interval similar. Măsurile implementate efectiv arată însă o diferență între percepție și nivelul real de pregătire: dintre cei care cred că ar detecta un incident în mai puțin de 24 de ore, 9% nu au niciun sistem de monitorizare, iar dintre cei care consideră că ar putea răspunde în același interval, 16% nu au niciun plan de răspuns la incidente. Diferența este cu atât mai importantă în cazul organizațiilor care folosesc aplicații critice, de care depinde direct funcționarea business-ului, 72% dintre organizațiile participante folosesc astfel de aplicații, iar dintre acestea, 34% nu au monitorizare permanentă și 49% nu au un plan de răspuns testat.
Cu cât o organizație are mai multe resurse IT, cu atât este mai bine pregătită. Cele mai ridicate scoruri de maturitate apar în organizațiile cu echipe IT interne — 80 de puncte în medie —, urmate de cele cu model mixt, personal intern și suport extern (73 de puncte), și de cele cu servicii IT externalizate integral (64 de puncte). Scorul scade la 52 în cazul organizațiilor care se bazează pe un singur angajat IT și la doar 33 în cazul celor fără personal IT dedicat, cele mai mici valori dintre toate modelele analizate. Un rezultat notabil: niciuna dintre cele 22 de organizații care se bazează pe un singur angajat IT nu a raportat incidente, ceea ce, în contextul scorurilor reduse de maturitate ale acestui grup, poate indica mai degrabă o capacitate redusă de a identifica incidentele decât absența lor reală.
Întrebați care sunt prioritățile de securitate cibernetică pentru 2026, respondenții pun pe primul loc instruirea angajaților, menționată de 52%. Urmează monitorizarea continuă (44%), securitatea AI (41%), securitatea cloud (35%), modernizarea tehnologiei (30%), organizarea internă și stabilirea responsabilităților (24%) și pregătirea pentru noile cerințe legislative (23%). Importanța instruirii se confirmă și în răspunsurile libere ale participanților, unde instruirea și conștientizarea angajaților sunt cel mai frecvent menționate, reprezentând 25% dintre răspunsurile valide.
AI, folosită aproape peste tot, dar fără reguli clare
94% dintre organizațiile participante declară că folosesc instrumente AI într-o formă sau alta, utilizarea fiind practic generalizată. Regulile nu au ținut însă pasul: doar 37% dintre organizații au politici scrise privind folosirea AI, comunicate angajaților, iar 48% dintre respondenți spun că organizația lor are un control limitat sau nu are deloc control asupra instrumentelor AI folosite de angajați. Riscul este deja conștientizat: aproape 70% dintre respondenți sunt preocupați de posibilitatea ca angajații să introducă informații sensibile ale companiei în instrumente AI, iar 58% menționează riscul luării unor decizii pe baza unor răspunsuri incorecte generate de AI.
41% dintre organizațiile din eșantion au declarat că sunt vizate de NIS2 sau DORA, cele două reglementări europene care impun cerințe de securitate cibernetică — prima pentru sectoarele considerate esențiale, a doua pentru sectorul financiar. Dintre acestea, doar 29% consideră că îndeplinesc toate cerințele, 14% spun că sunt aproape pregătite, 31% sunt în proces de implementare, iar 14% se află încă în etapa de analiză. Principalele dificultăți menționate sunt costurile cu tehnologia și consultanța (48%) și pregătirea documentației și a procedurilor (47%). Chiar și în rândul celor 25 de organizații care se consideră complet pregătite, șase nu fac exerciții regulate de reziliență, iar cinci nu au un plan de răspuns testat.
„Radiografia Securității Cibernetice în România în 2026” a fost realizat de FORT Cyber, împreună cu Promocrat și DataDiggers, companie românească de cercetare de piață, în perioada mai-iulie 2026, în rândul a 211 organizații. 74% dintre respondenți provin din regiunea București-Ilfov, iar din perspectiva domeniilor de activitate, IT și serviciile digitale reprezintă 35% din eșantion, financiar-bancar și asigurări 14%, producție și industrie 10%, iar energie și utilități 8%. Rezultatele descriu organizațiile participante la cercetare și nu sunt reprezentative statistic pentru totalitatea organizațiilor din România, eșantionul suprareprezintă organizațiile din București, din sectoarele IT și financiar, precum și decidenții deja implicați în securitate, autorii studiului precizând că piața în ansamblu este, cel mai probabil, mai puțin pregătită decât indică aceste rezultate.
Fii la curent cu tot ce contează în business-ul din România și abonează-te la canalul nostru de Whatsapp Forbes Romania.
De asemenea, intră în comunitatea Forbes România de pe Facebook și urmărește cele mai importante știri, analize și noutăți din business-ul local și nu numai.
