Statele membre ale UE au obținut o medie de 71,53 puncte din 100 la evaluarea maturității cibernetice în 2026, însă există discrepanțe semnificative în capacitatea echipelor de răspuns la incidente (CSIRT) de la o țară la alta, conform raportului bienal al ENISA publicat la 10 noiembrie. Juhan Lepassaar, directorul executiv al agenției, a informat eurodeputații din Comisia ITRE că incidenteile recente asupra sistemelor de refrigerare comercială au evidențiat dificultăți în transmiterea alertelor către operatori, chiar și în condițiile schimbului activ de informații.
Indicele ENISA pentru 2026 măsoară maturitatea capacităților și resurselor de securitate cibernetică, media UE rămânând la 71,53 puncte. Agenția a revizuit metodologia de calcul, ceea ce face ca scorurile din noua ediție să nu fie direct comparabile cu cele din edițiile precedente.
Dintre cele 27 de state membre ale UE, 22 se clasifică la nivel matur, două la nivel avansat, iar trei la nivelul anterior celui matur. Echipele de răspuns la incidente (CSIRT) au înregistrat o medie de 54,76 puncte, marcând diferențe notabile între state.
Lepassaar a identificat o problemă de comunicare intersectorială generată de incidentele frigorifice. Un tip similar de echipament este utilizat atât în distribuția alimentară, cât și în sectorul medical, fapt care a complicat dispersarea avertismentelor de securitate către ambele categorii de operatori.
Conform Regulamentului privind reziliența cibernetică, producătorii beneficiază de obligații de raportare începând cu 11 septembrie 2026, iar principalele cerințe de securitate pentru produse devin aplicabile din 11 decembrie 2027.
ENISA elaborează raportul bienal în cooperare cu Comisia Europeană și Grupul de cooperare NIS, în conformitate cu Directiva NIS2. Pentru indicele 2026, datele au fost colectate la finalul anului 2025, evaluarea urmărind aplicarea politicilor, detectarea amenințărilor și pregătirea pentru răspunsul la incidente.
Distribuția scorurilor pe categorii arată că 22 de state au obținut între 60 și 79,99 puncte (nivel matur), două state au atins nivelul avansat (peste 80 puncte), iar trei s-au situat între 40 și 59,99 puncte. ENISA constată o îmbunătățire generală a pregătirii față de perioada precedentă, dar schimbarea metodologiei blochează calculele directe ale progresului.
Indicatorii specifici revelează decalaje persistente: maturitatea CSIRT este evaluată la 54,76 puncte, fiind scăzută sau neevaluată în mai multe state. Gestionarea lanțurilor de aprovizionare a obținut 89,91 puncte, în timp ce participarea entităților esențiale și importante la schimburile de informații a primit doar 26,30 puncte.
Raportul înregistrează 79,24 puncte pentru cercetare și dezvoltare, 66,72 pentru aplicarea strategiilor naționale, 55,56 pentru ecosistemele de certificare naționale, 73,59 puncte pentru integrarea securității în învățământul superior și 54,44 pentru cel primar și secundar.
ENISA evaluează nivelul amenințărilor la adresa UE ca fiind „substanțial”. Directorul Lepassaar a atras atenția că inteligența artificială poate accelera descoperirea vulnerabilităților, recomandând consolidarea capacității de răspuns la crize, a cooperării transfrontaliere, reducerea riscurilor din lanțurile de aprovizionare și investiții în competențe.
Incidenteile asupra sistemelor frigorifice comerciale au fost semnalate începând cu 11 octombrie, cu un nou val la începutul lui noiembrie. La 4 noiembrie, Comisia, ENISA, Centrul Europol de combatere a criminalității informatice și rețelele europene de răspuns au îndemnat organizațiile să reducă expunerea, anchetele fiind conduse de autoritățile naționale.
În audierile din ITRE, Lepassaar a explicat că deși autoritățile naționale au partajat activ informații, avertismentele nu au ajuns eficient la firme pentru a fi transformate în măsuri de protecție. El a menționat exemplul unui produs comun pentru supermarketuri și spitale, subliniind complexitatea notificării în sectorul medical. Declarația nu confirmă afectarea directă a spitalelor.
Directorul ENISA a evidențiat probleme de securitate ale produselor și suportul pentru echipamentele vechi. Produsele introduse pe piața UE înainte de decembrie 2027 devin supuse regulilor doar dacă sunt modificate substanțial. Organizațiile din sfera NIS2 rămân responsabile de gestionarea riscurilor și raportarea incidentelor.