NIS2 în fabrica alimentară: când incidentul IT devine oprire de producție

Într-o fabrică alimentară, un incident cibernetic nu începe neapărat cu un ecran negru.

Poate începe cu o imprimantă care nu mai primește datele corecte, cu un lot care nu se poate reconcilia, cu o stație de lucru blocată, cu un furnizor care nu mai intră de la distanță sau cu două sisteme care afișează stări diferite pentru același produs.

În acel moment, întrebarea nu este numai dacă serverul poate fi repornit. Întrebarea este dacă fabrica poate continua fără să piardă controlul asupra produsului, procesului și dovezii.

NIS2 aduce securitatea cibernetică în răspunderea conducerii și cere continuitate, raportare, control asupra furnizorilor și măsuri proporționale cu riscul. Pentru industria alimentară, utilitatea cadrului nu se măsoară prin numărul politicilor scrise. Se măsoară prin ceea ce rămâne controlabil când sistemele nu mai răspund.

Industria alimentară este în anexă; compania concretă trebuie încadrată

Întreprinderile mari și mijlocii din anexele nr. 1 și 2, care nu sunt identificate drept esențiale, sunt considerate entități importante. Dimensiunea nu este însă singurul criteriu. Legea și Ordinul DNSC nr. 2/2025 prevăd și evaluarea impactului perturbării; în anumite situații, o entitate poate fi identificată indiferent de dimensiune. [1, 4]

Articolul nu concluzionează că Carmolimp este entitate importantă sau esențială.

Înregistrarea nu este același lucru cu reziliența

După identificare, conducerea trebuie să asigure resurse, contacte permanente și desemnarea responsabililor cu securitatea rețelelor și sistemelor informatice. Organele de conducere aprobă și supraveghează măsurile, iar membrii lor au obligații de formare. [1]

Fabrica are două lumi care trebuie tratate împreună

IT gestionează de regulă e-mailul, identitățile, fișierele, ERP-ul, comenzile și o parte din trasabilitate. Tehnologia operațională — OT — include sistemele programabile și echipamentele care monitorizează ori produc schimbări în procesul fizic.

În practică, granița nu este curată. Datele de producție intră în rapoarte; comenzile generează etichete; mentenanța se conectează de la distanță; scanerele și imprimantele schimbă informații cu aplicațiile centrale. O vulnerabilitate poate trece printr-un furnizor, un laptop de service, o parolă reutilizată sau un echipament vechi care nu poate fi actualizat fără oprire.

NIST SP 800-82 Rev. 3 recomandă protejarea OT ținând seama de cerințele sale specifice de performanță, fiabilitate și siguranță. Este un ghid american, voluntar, nu o normă juridică românească. Valoarea lui operațională este avertismentul că măsurile obișnuite din birou nu pot fi copiate orbește pe linie. [8]

Ce cere cadrul — și ce înseamnă în fabrică

OUG nr. 155/2024 cere măsuri proporționale și adecvate. Lista legală include cel puțin analiza riscurilor, evaluarea eficacității, criptografia, securitatea lanțului de aprovizionare, securitatea achiziției și întreținerii sistemelor, gestionarea vulnerabilităților, securitatea resurselor umane, controlul accesului, gestionarea incidentelor, continuitatea, copiile de rezervă, recuperarea, managementul crizelor, igiena cibernetică și formarea. [1]

În fabrica alimentară, aceste categorii trebuie traduse în obiecte și decizii verificabile.

Documentația nu trebuie să descrie o fabrică imaginară, complet modernizată. Trebuie să descrie fabrica existentă, inclusiv echipamentele vechi, soluțiile temporare și excepțiile.

Planul manual nu poate suspenda siguranța alimentară

Un formular pe hârtie poate înlocui temporar o înregistrare digitală. Nu poate înlocui automat validarea procesului, trasabilitatea completă sau starea de eliberare.

Înaintea oricărui mod degradat trebuie stabilit:

• ce date se înregistrează și cine le reconciliază ulterior;
• cum sunt generate și controlate codurile de lot;
• cum se evită reutilizarea unui identificator;
• cum sunt verificate eticheta, alergenii și versiunea;
• cum este separată marfa blocată de cea eliberată;
• cine poate opri producția sau livrarea;
• ce volum maxim poate fi gestionat fără sistem;
• cât timp poate funcționa metoda alternativă;
• ce dovadă trebuie să existe înaintea reluării.

Backupul există abia după restaurare

O confirmare zilnică „backup reușit” arată că un proces a scris niște date. Nu arată că datele sunt complete, curate, accesibile, compatibile și suficient de rapide pentru revenire.

Un test relevant trebuie să răspundă la patru întrebări:

• Care este ultima stare recuperabilă și câtă informație se pierde?
• Cât durează restaurarea până la un serviciu utilizabil, nu doar până la pornirea serverului?
• Cum verificăm că atacatorul sau configurația defectă nu sunt restaurați împreună cu datele?
• Cine validează operațional informațiile după revenire?

Pentru fiecare serviciu se definesc două repere:

• obiectivul de timp pentru recuperare: intervalul maxim acceptat până la revenire;
• obiectivul punctului de recuperare: cantitatea maximă de date care poate fi pierdută, exprimată în timp.

Aceste repere nu se aleg numai de IT. Comercialul explică comenzile și angajamentele, producția capacitatea de recuperare, QA dovezile care nu pot lipsi, financiarul costul opririi, iar managementul acceptă riscul rezidual.

Furnizorul care poate repara poate deveni și cale de acces

Liniile și sistemele industriale depind frecvent de integratori, mentenanță, suport software, cloud și echipamente proprietare. O clauză generică de confidențialitate nu controlează accesul tehnic.

ENISA tratează securitatea furnizorilor direcți drept parte a riscului lanțului ICT/OT. Ghidul său din 2023 a combinat rezultatele unui studiu european din 2022 cu practici și standarde internaționale și a organizat măsurile în jurul guvernanței, relației cu furnizorii, vulnerabilităților și calității produselor și practicilor acestora. [7]

Contractul și configurația ar trebui să răspundă la întrebări concrete:

• accesul este permanent sau deschis numai pentru o intervenție aprobată;
• se folosește un cont individual și autentificare multifactor;
• sesiunea este jurnalizată și, unde este justificat, supravegheată;
• furnizorul declară subcontractanții;
• există termene pentru notificarea vulnerabilităților și incidentelor;
• compania poate revoca accesul fără a pierde suportul esențial;
• configurațiile și copiile necesare recuperării pot fi exportate;
• încetarea contractului include predarea acceselor și datelor.

Raportarea începe înainte să știm tot

Pentru un incident semnificativ, OUG nr. 155/2024 prevede avertizarea timpurie în maximum 24 de ore de la luarea la cunoștință, raportarea în maximum 72 de ore și raportul final în maximum o lună de la notificarea de 72 de ore. Informațiile care permit constatarea unui impact transfrontalier au termenul special de maximum șase ore de la luarea la cunoștință a acelor informații. Pentru un incident încă în desfășurare la termenul raportului final se transmite un raport de progres, apoi un raport final în cel mult o lună de la gestionarea incidentului. [1]

Nu orice eroare, alarmă sau întrerupere este automat incident semnificativ. Legea leagă semnificația, între altele, de perturbări operaționale grave, pierderi financiare și prejudicii considerabile pentru alte persoane. Aplicarea la un caz concret trebuie făcută după criteriile și metodologia în vigoare.

Echipa nu poate aștepta analiza criminalistică finală înainte să înceapă procesul de notificare. De aceea, planul trebuie să conțină dinainte:

• cine constată momentul luării la cunoștință;
• cine clasifică provizoriu incidentul;
• cine păstrează jurnalul deciziilor și probele;
• cine completează PNRISC;
• cine aprobă comunicarea către clienți și parteneri;
• cine coordonează obligațiile paralele, inclusiv protecția datelor, contractele și siguranța alimentară.

Ce arată datele — și ce nu arată

Studiul ENISA privind investițiile NIS din 2025 a cuprins 1.080 de organizații publice și private din toate statele membre. Eșantionul a fost format în proporție de 83% din întreprinderi mari și 17% din IMM-uri și a acoperit sectoarele de înaltă criticitate din anexa I NIS2, nu un eșantion reprezentativ al fabricilor alimentare.

Organizațiile au indicat drept dificultăți importante actualizarea sistemelor, continuitatea activității și riscul furnizorilor. Sinteza ENISA raportează un nivel al investițiilor în securitate echivalent cu 9% din bugetele IT și o valoare mediană de 1,5 milioane de euro. Aceste valori nu sunt norme de buget și nu pot fi aplicate unei fabrici prin multiplicare. OT, vechimea echipamentelor, integrarea, nivelul de risc și ceea ce este deja inclus în buget diferă radical. [6]

Un studiu academic publicat în 2024 a combinat o revizuire a literaturii cu un chestionar online trimis către 40 de companii alimentare, predominant mici. Autorii au raportat, între altele, că 25% dintre respondenți efectuau teste de penetrare și 25% confirmau instruirea personalului. Lucrarea recunoaște participarea redusă și eșantionul mic; numărul final al respondenților nu este prezentat transparent în text, iar întrebările sunt auto-raportate. Procentele nu descriu industria alimentară europeană și nu trebuie transformate în benchmark. [9]

Calcul ilustrativ: valoarea recuperării mai rapide

Calculul nu estimează probabilitatea unui atac și nu reprezintă date Carmolimp. Compară numai două durate de întrerupere pentru același incident ipotetic.

Ipoteze

• două linii afectate simultan;
• debit planificat combinat: 1.200 kg/oră;
• marjă de contribuție: 4,50 lei/kg;
• 70% din volumul oprit nu poate fi recuperat ulterior fără deplasarea altor comenzi;
• cost incremental cu personalul inactiv, utilitățile inevitabile și coordonarea reluării: 1.250 lei/oră;
• dacă oprirea depășește opt ore, sunt blocate și eliminate 2.000 kg de produs în curs, la un cost evitabil validat ipotetic de 12 lei/kg;
• costul răspunsului extern la incident este identic în ambele scenarii și este exclus din diferență;
• sunt excluse penalitățile, reclamațiile, reputația, investigația juridică, pierderea de date personale și costul inițial al proiectului;
• pachetul anual care reduce timpul de revenire costă ipotetic 48.000 lei: verificarea copiilor și restaurării 18.000 lei, controlul accesului la distanță 12.000 lei, exercițiu de recuperare 10.000 lei și monitorizare incrementală 8.000 lei.

Cost orar relevant

Marjă de contribuție nerecuperabilă:

1.200 × 4,50 × 70% = 3.780 lei/oră

Cost orar total folosit:

3.780 + 1.250 = 5.030 lei/oră

Diferența dintre revenire în 24 de ore și revenire în 8 ore

Ore evitate:

24 − 8 = 16 ore

Cost operațional evitat:

16 × 5.030 = 80.480 lei

Produs în curs evitat de la eliminare:

2.000 × 12 = 24.000 lei

Valoare totală per incident:

80.480 + 24.000 = 104.480 lei

Pragul anual de rentabilitate al pachetului de 48.000 lei:

48.000 ÷ 104.480 = 0,459 incidente/an

În ipotezele folosite, pachetul se justifică strict prin această pierdere dacă apare aproximativ un incident relevant la 2,2 ani.

Sensibilitate

Dacă întregul volum poate fi recuperat ulterior, marja de contribuție nu mai este pierdere evitabilă. Diferența scade la:

16 × 1.250 + 24.000 = 44.000 lei

În acest caz, costul anual de 48.000 lei nu se justifică printr-un singur incident pe an folosind numai categoriile incluse. Pot exista alte beneficii și pierderi, dar acestea trebuie măsurate, nu presupuse.

Toate valorile financiare din exemplu sunt exprimate fără TVA și în lei, pentru un incident și pentru un an al pachetului de măsuri. Costul inițial exclus trebuie adăugat într-o evaluare investițională. Cheltuiala orară incrementală se verifică separat de costurile deja incluse în marja de contribuție pentru a evita dubla numărare. Respectarea obligațiilor legale nu depinde de atingerea pragului de rentabilitate din exemplu.

Un pilot care poate produce o decizie

În locul unui program general, fabrica poate începe cu un singur flux:

• Se selectează un serviciu critic și un proces pe care îl susține.
• Se desenează dependențele dintre oameni, date, aplicații, OT, furnizori și energie.
• Se stabilește ce trebuie oprit și ce poate continua manual.
• Se restaurează o copie într-un mediu izolat, fără intervenție asupra producției live.
• Se cronometrează revenirea până la un rezultat utilizabil și verificat.
• QA reconciliază identitățile, loturile, stările și înregistrările.
• Se simulează notificarea și comunicarea, fără raportare fictivă către autorități.
• Se calculează costul diferenței dintre timpul țintă și timpul demonstrat.
• Managementul aprobă măsurile, proprietarii și termenul următorului test.

Testarea agresivă, scanarea sau modificarea sistemelor de producție se efectuează numai de persoane autorizate, într-un domeniu aprobat și fără risc pentru proces.

Concluzie

NIS2 nu transformă IT-ul în proprietarul fabricii. Transformă securitatea sistemelor într-o responsabilitate comună a conducerii și a operațiunilor.

În producția alimentară, un sistem disponibil dar cu date necredibile nu este recuperat. O linie pornită fără trasabilitate, controlul etichetei ori starea de eliberare nu reprezintă continuitate. Iar un backup netestat nu reprezintă revenire.

Ordinea corectă este mai puțin spectaculoasă:

• știm ce avem;
• știm de ce depindem;
• limităm accesul;
• păstrăm copii care nu dispar odată cu sistemul;
• exersăm restaurarea;
• păstrăm limitele QA;
• raportăm la timp;
• măsurăm costul real al opririi și al reducerii ei.

Un incident cibernetic devine incident operațional în clipa în care fabrica nu mai poate avea încredere în comenzile, loturile, etichetele sau comenzile date echipamentelor.

În acel moment, securitatea nu mai este despre calculatoare. Este despre capacitatea de a opri corect, de a reveni controlat și de a demonstra ce s-a întâmplat.

Limitele analizei

• Nu a fost evaluată încadrarea juridică a Carmolimp sau a vreunei entități din grup.
• Nu au fost analizate rețele, active, sisteme, furnizori, contracte, incidente ori controale interne Carmolimp.
• Nu sunt atribuite companiei vulnerabilități, întreruperi, termene de recuperare sau niveluri de maturitate.
• Calculul financiar este integral ipotetic și exclude costurile inițiale, multe efecte juridice și reputaționale și probabilitatea incidentului.
• Valorile de marjă, volum, cost orar și produs la risc nu provin din companie.
• Reducerea timpului de recuperare nu este garantată de simpla achiziție a instrumentelor; trebuie demonstrată prin test.
• Datele ENISA provin predominant din companii mari și sectoare din anexa I.
• Studiul academic alimentar are eșantion mic, participare redusă și raportare metodologică incompletă.
• Ghidurile ENISA, NIST și CISA nu sunt legislație românească.
• Securitatea cibernetică nu validează siguranța alimentară și nu autorizează eliberarea produsului.
• Calendarul, ordinele DNSC și forma consolidată a legii trebuie reverificate în ziua publicării.

Articol de informare generală, verificat documentar la 8 octombrie 2026. Verificarea surselor și a aritmeticii nu reprezintă aviz juridic, audit de conformitate sau validare QA a unei situații concrete.