ANRE: investițiile justificate în securitatea cibernetică a rețelelor electrice pot fi recunoscute în tarife — NRG-IA

În rețelele electrice, investițiile se văd de obicei în kilometri de linii, transformatoare și stații modernizate. Securitatea cibernetică este mult mai puțin vizibilă, dar poate deveni decisivă pentru capacitatea operatorului de a controla și menține în funcțiune infrastructura în timpul unui atac. Președintele Autorității Naționale de Reglementare în Domeniul Energiei, George-Sergiu Niculescu, a transmis operatorilor un mesaj direct după conferința RO 3.0 dedicată securității energetice: „ Nu există motiv pentru ca un operator să amâne o investiție necesară de cybersecurity invocând teama că ANRE nu îi va recunoaște costurile, atât timp cât acestea sunt necesare, corect fundamentate și documentate. ” Poziția mută securitatea cibernetică din zona unei cheltuieli tehnice secundare în cea a investițiilor necesare pentru funcționarea sigură a infrastructurii energetice. Pentru operatorii de transport și distribuție, ale căror venituri sunt reglementate, posibilitatea recuperării costurilor prin tarife este un element direct al deciziei de investiție. Securitatea cibernetică intră în mecanismul investițiilor reglementate Metodologiile ANRE pentru actuala perioadă de reglementare permit luarea în calcul a costurilor justificate asociate activității de transport și distribuție și stabilesc mecanismele prin care investițiile eligibile intră în baza reglementată a activelor. Pentru distribuție, cadrul este stabilit prin Ordinul ANRE nr. 67/2024. Pentru transport, Ordinul nr. 68/2024 prevede că un cost recunoscut trebuie să fie necesar, oportun, eficient și să reflecte condițiile pieței. Această filtrare rămâne valabilă și pentru cybersecurity. Declarația președintelui ANRE nu înseamnă recunoașterea automată a oricărei achiziții sau cheltuieli informatice. Operatorul trebuie să demonstreze necesitatea investiției, să o fundamenteze și să o documenteze conform regulilor de reglementare. Mesajul instituțional este însă lipsit de ambiguitate: teama că o investiție justificată în protecția cibernetică nu va fi recunoscută nu trebuie folosită drept motiv pentru amânarea acesteia. Niculescu sintetizează poziția Autorității în termeni și mai direcți: „ Am creat cadrul de reglementare. Operatorii trebuie să investească și să își protejeze infrastructura. ” Atacul cibernetic poate trece din IT în funcționarea fizică a rețelei Riscul nu privește doar calculatoarele și sistemele administrative. Rețelele electrice moderne folosesc sisteme digitale pentru supraveghere, comunicații, automatizare și control. Un atac care ajunge la sistemele operaționale poate afecta capacitatea operatorului de a controla echipamente și procese fizice. Agenția Internațională pentru Energie arată că incidentele cibernetice grave din sectorul electric pot duce la pierderea controlului unor dispozitive și procese, la deteriorarea echipamentelor și la întreruperi ale serviciului. Precedentul cel mai cunoscut rămâne Ucraina. În decembrie 2015, un atac coordonat asupra unor companii de distribuție a scos din funcțiune cel puțin 27 de stații și a lăsat aproximativ 225.000 de consumatori fără electricitate între una și șase ore . Atacatorii au pătruns în sistemele de control și au operat de la distanță echipamentele rețelei. Exemplul demonstrează că riscul cibernetic din energie poate produce o consecință fizică măsurabilă: întreruperea alimentării. DNSC spune că presiunea asupra sectorului energetic crește România nu pornește de la un risc pur teoretic. Directorul general al Directoratului Național de Securitate Cibernetică, Dan Cîmpean, declara în 2026 că atacurile și tentativele de atac asupra sectorului energetic cresc constant și că au existat companii energetice din România afectate de incidente. Nu există în documentarea publică actuală un atac cibernetic confirmat care să fi produs o întrerupere națională a alimentării cu energie electrică în România. Există însă suficientă activitate ostilă pentru ca protecția infrastructurii energetice să fie tratată ca obligație operațională, nu ca investiție opțională. Cadrul legal merge în aceeași direcție. OUG nr. 155/2024, prin care România a transpus regimul european NIS2, obligă entitățile vizate să adopte măsuri tehnice, operaționale și organizatorice proporționale pentru gestionarea riscurilor cibernetice. Sectorul electric are în plus un cadru european dedicat. Regulamentul delegat (UE) 2024/1366 stabilește cerințe privind securitatea cibernetică a fluxurilor transfrontaliere de electricitate, evaluarea riscurilor, monitorizarea și gestionarea incidentelor. Incidentul ANCPI arată cât poate costa indisponibilitatea unui sistem critic Niculescu a invocat și atacul cibernetic asupra Agenției Naționale de Cadastru și Publicitate Imobiliară ca exemplu al efectelor produse atunci când o infrastructură digitală critică devine indisponibilă. La 14 iulie 2026, ANCPI a constatat acces neautorizat în infrastructura sa. Investigația tehnică a confirmat ulterior un atac ransomware care a criptat și a șters o parte…