Auditul de securitate cibernetică în România: piață în creștere, reguli mai stricte și impactul inteligenței artificiale

Auditul de securitate cibernetică devine o componentă esențială pentru organizații

Ce analizează raportul DNSC

Raportul publicat de DNSC arată că auditul de securitate cibernetică din România trece printr-o perioadă de transformare. Documentul acoperă cadrul legislativ, certificările profesionale relevante, certificările emergente în zona de inteligență artificială, tehnologiile noi care schimbă modul de lucru al auditorilor și perspectivele pentru perioada 2026–2030.

Mesajul central este că auditul nu mai poate fi privit doar ca o bifă de conformitate. Într-un mediu digital în care organizațiile folosesc cloud, aplicații interconectate, servicii externalizate, infrastructuri hibride și soluții bazate pe inteligență artificială, evaluarea securității trebuie să devină mai profundă, mai frecventă și mai conectată la riscurile reale.

Pentru companii, instituții și furnizori de servicii digitale, auditul de securitate cibernetică poate ajuta la identificarea vulnerabilităților, verificarea controalelor, evaluarea capacității de răspuns la incidente și susținerea deciziilor de management privind investițiile în securitate.

Diferența dintre audit IT și audit de securitate cibernetică

Raportul face o distincție importantă între auditul IT și auditul de securitate cibernetică. Auditul IT are o arie mai largă și vizează eficiența operațională, conformitatea sistemelor informatice, integritatea datelor și utilizarea corectă a resurselor. Auditul de securitate cibernetică se concentrează mai direct pe nivelul de protecție și reziliență al rețelelor, aplicațiilor, sistemelor informatice și datelor critice în fața amenințărilor cibernetice.

Această diferență contează pentru că multe organizații confundă încă cele două tipuri de evaluare. Un sistem poate fi funcțional și conform din punct de vedere operațional, dar insuficient protejat împotriva atacurilor. În același timp, un audit de securitate cibernetică nu urmărește doar existența unor politici sau proceduri, ci verifică și dacă măsurile de protecție sunt eficiente în fața unor riscuri reale.

În practică, auditul de securitate cibernetică devine un instrument de reziliență. El ar trebui să ajute organizația să înțeleagă cât de bine poate preveni, detecta, limita și recupera în urma unui incident.

NIS2 schimbă presiunea asupra organizațiilor

Raportul arată că auditul de securitate cibernetică este consolidat prin Legea nr. 58/2023 și prin OUG nr. 155/2024, actul normativ care transpune Directiva NIS2 în România. Prin acest cadru sunt extinse obligațiile de securitate și audit pentru entitățile esențiale și importante. DNSC a emis și ordinele nr. 1 și 2/2025, care stabilesc reguli privind înregistrarea entităților, evaluarea riscului și obligațiile de raportare.

Asta înseamnă că securitatea cibernetică devine o responsabilitate mai clară pentru conducerea organizațiilor. Nu mai este un subiect care poate fi lăsat doar în zona tehnică. Managementul trebuie să înțeleagă riscurile, să aloce resurse, să urmărească rezultatele auditurilor și să se asigure că măsurile de remediere sunt implementate.

Pe măsură ce obligațiile de conformitate se extind, cererea pentru audituri va continua să crească. Organizațiile vizate de NIS2 vor avea nevoie nu doar de documente, ci de evaluări reale, făcute de auditori competenți, capabili să înțeleagă atât partea tehnică, cât și partea de risc, conformitate și guvernanță.

Piața de audit din România este în creștere

Potrivit raportului DNSC, piața de audit de securitate cibernetică din România este un segment distinct al industriei de servicii IT și se află într-o fază de creștere susținută. Această evoluție este alimentată de digitalizare, de cerințe de reglementare tot mai stricte și de intensificarea atacurilor cibernetice.

La nivelul lunii martie 2026, în România existau 74 de companii atestate ca auditori de securitate cibernetică de DNSC. În paralel, 33 de companii figurau pe lista de auditori IT gestionată de ADR, iar 23 pe lista de auditori IT gestionată de ASF. Raportul notează că acest nucleu de furnizori are un rol critic în raport cu volumul auditurilor necesare pentru entitățile din România.

Piața este formată din furnizori specializați în soluții de securitate, companii de testare a vulnerabilităților și de penetrare, firme de consultanță, furnizori de training, echipe de răspuns la incidente și criminalistică digitală. Auditul poate fi livrat separat sau integrat în servicii mai ample de securitate gestionată, consultanță sau management al riscului.

București, Cluj, Timiș, Iași și Brașov concentrează piața IT relevantă

Raportul analizează și distribuția companiilor cu codurile CAEN 6220 și 6290, relevante pentru consultanță și servicii IT. La nivel național, au fost identificate 11.452 de societăți comerciale cu aceste coduri CAEN, iar distribuția geografică arată o concentrare în București, Cluj, Ilfov, Iași, Brașov și Timiș. Zona București–Ilfov deține 48,32%, urmată de Cluj cu 7,14%, Timiș cu 5,47%, Iași cu 4,06% și Brașov cu 3,63%.

Această concentrare arată că auditul de securitate cibernetică este legat de hub-urile IT, de accesul la specialiști, de universități tehnice și de maturitatea infrastructurii digitale locale. Pentru județele cu prezență redusă a companiilor IT, raportul sugerează o posibilă polarizare între marile centre urbane și zonele mai puțin dezvoltate, cu mențiunea că datele trebuie interpretate cu prudență deoarece reflectă codurile CAEN declarate, nu neapărat activitatea economică reală.

Pentru Timiș, poziția în top confirmă rolul județului ca hub IT relevant, cu potențial în zona de servicii digitale, securitate cibernetică și audit.

Prețurile auditurilor au crescut semnificativ

O parte importantă a raportului se referă la prețurile serviciilor de audit în achizițiile publice. Pe baza datelor din SEAP, raportul arată o creștere a prețului minim de la 1.500 RON în 2022 la 7.000 RON în 2025, ceea ce reprezintă o creștere de 367%. Prețul maxim a crescut de la 130.000 RON la 240.000 RON, adică 84,6%.

Această creștere nu reflectă doar inflația, ci și complexitatea tot mai mare a auditurilor. Mandatele devin mai ample, cerințele de conformitate sunt mai extinse, iar amenințările cibernetice obligă auditorii să analizeze mai multe zone: infrastructură, aplicații, cloud, furnizori, politici, răspuns la incidente, continuitate, protecția datelor și guvernanță.

Raportul arată și diferențe între marile companii de consultanță și furnizorii specializați. Marile firme oferă acoperire largă, portofolii integrate și avantaj reputațional în proiecte complexe, în timp ce furnizorii mai mici pot aduce expertiză nișată, flexibilitate și tarife competitive pentru mandate tehnice specifice.

Certificările rămân esențiale pentru credibilitatea auditorilor

Raportul subliniază importanța certificărilor profesionale în activitatea de audit. Acestea validează competențele tehnice, de audit, de management al riscului și de guvernanță. În același timp, standardele internaționale precum ISO, NIST și alte cadre de bune practici oferă structura necesară pentru planificarea, desfășurarea și raportarea auditurilor.

Printre certificările internaționale relevante se numără CISA, CISM, CRISC, CISSP, CEH, OSCP și alte certificări tehnice sau de guvernanță. Analiza DNSC asupra auditorilor atestați la nivel național arată că cele mai frecvente acreditări sunt CISA, CEH, OSCP, CISSP și CISM, acoperind zone complementare precum auditul, securitatea ofensivă și guvernanța.

Pentru beneficiarii serviciilor de audit, certificările nu sunt doar „titluri” trecute într-un CV. Ele pot indica nivelul de pregătire, metodologia de lucru și capacitatea auditorului de a evalua sisteme complexe după standarde recunoscute.

Inteligența artificială schimbă auditul de securitate cibernetică

Unul dintre cele mai importante puncte ale raportului este impactul inteligenței artificiale asupra auditului. DNSC arată că adoptarea tehnologiilor bazate pe IA transformă procesele de audit atât prin beneficii operaționale, cât și prin riscuri noi. Auditul tradițional, periodic și bazat pe chestionare manuale, este înlocuit treptat de un model de evaluare continuă, automatizată și integrată în operațiunile zilnice.

Platformele GRC și soluțiile de audit asistate de IA pot ajuta la evaluarea automată a riscului, generarea rapoartelor de conformitate, monitorizarea continuă a controalelor, urmărirea vulnerabilităților și prioritizarea zonelor cu risc ridicat. Pentru organizațiile cu echipe reduse de securitate, automatizarea poate extinde capacitatea de evaluare fără o creștere proporțională a personalului.

Totuși, raportul subliniază că automatizarea nu înlocuiește judecata profesională a auditorilor. Ea poate reduce sarcinile repetitive și poate ajuta la analiza unor volume mari de date, dar concluziile trebuie să rămână documentate, verificabile și asumate de specialiști.

AI washing, dependența de automatizare și lipsa verificabilității

Pe lângă beneficii, raportul identifică și riscuri importante asociate soluțiilor de securitate bazate pe IA. Unul dintre acestea este AI washing, adică promovarea falsă sau exagerată a utilizării inteligenței artificiale într-un produs, fără capabilități tehnice verificabile. Organizațiile trebuie să ceară dovezi concrete înainte să adopte astfel de soluții.

Un alt risc este dependența excesivă de automatizare. Dacă auditorii sau analiștii se bazează doar pe rezultatele generate de sisteme IA, pot pierde capacitatea de evaluare independentă. În cazurile complexe, unde modelele automate nu surprind toate nuanțele, această dependență poate deveni periculoasă.

Raportul menționează și lipsa verificabilității. În audit, trasabilitatea este esențială. Dacă un sistem IA nu poate explica raționamentul din spatele unei evaluări de risc sau al unei recomandări, rezultatul devine dificil de folosit într-un audit profesionist.

Principalele provocări pentru România în 2026

Raportul DNSC identifică mai multe provocări pentru auditul de securitate cibernetică în România. Prima este deficitul de competențe digitale și de specialiști în securitate cibernetică. România continuă să se situeze sub media UE în ceea ce privește competențele digitale, iar această realitate afectează capacitatea de implementare și evaluare a măsurilor de securitate.

O altă problemă este riscul ca auditul să fie tratat ca un exercițiu formal de conformitate, nu ca un instrument real de îmbunătățire. Dacă organizațiile fac audit doar pentru a bifa o obligație, fără să implementeze măsurile recomandate, valoarea practică a procesului scade.

Raportul atrage atenția și asupra nevoii de integrare între audit, politicile publice emergente, inteligența artificială și cadrul european de reglementare. Pe măsură ce AI Act și alte reglementări europene devin relevante, auditul va trebui să acopere și guvernanța, transparența și controlul sistemelor automate.

Direcția 2026–2030: audit continuu și reziliență organizațională

Pe termen mediu și lung, DNSC estimează că auditul de securitate cibernetică va evolua de la un proces periodic, orientat pe conformitate, către un mecanism integrat de evaluare continuă a rezilienței organizaționale.

Această schimbare înseamnă că organizațiile nu vor mai putea privi auditul ca pe o fotografie făcută o dată pe an. Într-un mediu în care amenințările se schimbă rapid, auditul trebuie să devină mai apropiat de monitorizare, testare, validare continuă și management strategic al riscului.

Raportul vorbește și despre extinderea auditului către testare adversarială, red teaming și simulări de incidente. Aceste practici oferă o imagine mai realistă asupra capacității organizației de a preveni, detecta și răspunde la atacuri reale.

Auditul de securitate cibernetică în România se află într-un moment de maturizare accelerată. Reglementările devin mai clare, cererea crește, prețurile reflectă complexitatea mai mare a mandatelor, iar inteligența artificială începe să schimbe modul în care sunt colectate, analizate și interpretate datele de audit.

Pentru organizații, mesajul este simplu: auditul nu ar trebui tratat ca o obligație birocratică. Un audit făcut corect poate arăta unde există vulnerabilități, cât de pregătită este organizația în fața unui incident, ce procese trebuie îmbunătățite și unde trebuie investit pentru creșterea rezilienței.

În perioada 2026–2030, diferența nu va fi făcută doar de tehnologia folosită, ci de maturitatea organizațiilor, competența auditorilor și capacitatea managementului de a transforma rezultatele auditului în măsuri reale de securitate.

Sursă

Articol realizat pe baza documentului „Raport privind auditul de securitate cibernetică în România”, publicat de Directoratul Național de Securitate Cibernetică (DNSC), în mai 2026. Documentul menționează că reutilizarea este permisă sub licența Creative Commons Attribution 4.0 International (CC BY 4.0), cu menționarea corespunzătoare a sursei.