SMIS, PNRR REPowerEU și POCIDIF: de ce securitatea cibernetică decide soarta fondurilor europene ale României

Acum câteva luni am fost contactat de o companie din Ardeal care tocmai depusese un proiect prin POCIDIF, în valoare de aproape două milioane de euro, pentru digitalizarea liniei de producție. Cu o zi înainte de termenul limită de raportare, contul de acces la platforma de management a fost blocat brusc, iar administratorul IT al firmei a primit un e-mail care părea să vină chiar de la autoritatea de management, cerându-i să retrimită parola printr-un formular „de verificare”. Nu era o coincidență și nu era prima dată când vedeam așa ceva. Era o încercare de phishing extrem de bine țintită, construită special în jurul unui termen birocratic real, cu miză financiară reală.

Povestea asta rezumă, cred, exact motivul pentru care am decis să scriu despre SMIS, PNRR – componenta REPowerEU – și POCIDIF nu din perspectivă economică sau administrativă, ci din perspectiva mea, cea de consultant în securitate cibernetică. Pentru că, oricât de tehnice ar suna aceste acronime, în spatele lor stau bani reali, proiecte reale și, din păcate, riscuri reale.

Ce este SMIS și de ce este o țintă atractivă pentru atacatori

SMIS, sau Sistemul Informatic Unic de Management, este practic coloana vertebrală digitală prin care România gestionează absorbția fondurilor europene. Prin acest sistem trec cererile de finanțare, rapoartele de progres, documentele justificative și, nu în ultimul rând, datele financiare ale a zeci de mii de beneficiari, de la primării mici din mediul rural până la companii mari din industrie. Este genul de platformă care, dacă ar fi compromisă, nu ar afecta doar o organizație, ci un întreg ecosistem de proiecte aflate în derulare.

Tocmai această centralizare face din SMIS o țintă cu adevărat atractivă. Nu mai vorbim despre un singur atac izolat asupra unei companii, ci despre un punct unic prin care un actor rău intenționat ar putea accesa informații sensibile despre mii de beneficiari simultan, de la conturi bancare la planuri de investiții confidențiale.

REPowerEU: fonduri pentru energie, dar și riscuri cibernetice noi

Capitolul REPowerEU a fost adăugat Planului Național de Redresare și Reziliență ca reacție directă la criza energetică declanșată de războiul din Ucraina și de dependența Europei de gazul rusesc. Practic, banii alocați prin acest capitol finanțează proiecte de infrastructură energetică, eficiență energetică și producție de energie regenerabilă, cu scopul declarat de a reduce vulnerabilitatea energetică a statelor membre.

Aici intervine o dimensiune pe care puțini o discută public: proiectele finanțate prin REPowerEU nu sunt doar investiții economice, ci și infrastructură critică, în sensul strict al cuvântului. Rețele electrice inteligente, sisteme SCADA pentru gestionarea energiei, platforme de monitorizare a consumului – toate acestea devin, odată digitalizate, sisteme informatice care pot fi atacate. Iar când vorbim despre infrastructură energetică într-un context geopolitic tensionat, nu mai discutăm despre un simplu grup de escroci care vor bani rapizi, ci, uneori, despre actori sponsorizați de state, interesați să submineze exact independența energetică pe care aceste fonduri încearcă să o construiască.

POCIDIF: digitalizare accelerată, expunere accelerată

Programul Operațional Creștere Inteligentă, Digitalizare și Instrumente Financiare finanțează, printre altele, exact ceea ce lipsește multor companii și instituții românești: infrastructură IT modernă, soluții de cloud, automatizare industrială și instrumente digitale pentru administrația publică. Ironia este că multe dintre organizațiile care primesc astfel de finanțări pornesc de la un nivel de maturitate în securitate cibernetică destul de scăzut. Ele investesc, prin proiect, în tehnologie nouă, dar rareori alocă un buget comparabil pentru protejarea acelei tehnologii.

Am văzut asta direct: beneficiari care instalează servere noi, aplicații noi, sisteme ERP noi, finanțate integral prin POCIDIF, dar care lasă aceste sisteme cu parole implicite, fără autentificare multifactor și fără niciun plan de răspuns la incidente. Practic, banii europeni ajung să finanțeze ținte noi și strălucitoare pentru atacatori, nu neapărat organizații mai sigure.

Trei elemente se combină aici într-un mod care ar trebui să ne dea de gândit. În primul rând, sumele vehiculate sunt uriașe, iar fraudele financiare legate de fonduri europene au deja un istoric bine documentat în România. În al doilea rând, numărul mare de beneficiari, de la firme mici la instituții publice, înseamnă un nivel foarte variabil de maturitate în securitate, ceea ce oferă atacatorilor multe puncte slabe posibile. Iar în al treilea rând, componenta geopolitică a proiectelor precum REPowerEU le transformă, pe lângă ținte financiare, și în ținte strategice pentru actori interesați să încetinească adaptarea energetică a Europei.

Cum protejezi practic un proiect finanțat din fonduri europene

Din experiența mea, protecția reală a acestor proiecte nu ține de un singur produs software minune, ci de câteva obiceiuri consecvente. Autentificarea multifactor pe toate conturile care au acces la platformele de raportare ar trebui să fie o condiție obligatorie, nu o recomandare. Criptarea documentelor justificative transmise către autoritățile de management, mai ales atunci când conțin date financiare sau personale, reduce drastic impactul unei eventuale interceptări. Testarea periodică de penetrare a sistemelor nou implementate prin fonduri europene, înainte ca ele să fie puse efectiv în producție, ar prinde din timp exact genul de vulnerabilități pe care le văd, din păcate, abia după ce au fost exploatate.

Nu în ultimul rând, instruirea angajaților rămâne, la fel ca în cazul instituțiilor publice, cea mai ieftină și totuși cea mai neglijată măsură. Cazul companiei din Ardeal, pe care l-am menționat la început, s-a încheiat relativ bine, pentru că administratorul IT a sunat direct la autoritatea de management înainte să introducă orice date, în loc să dea click pe link. Diferența dintre un incident evitat și unul care ajunge în presă se reduce, de multe ori, la un singur telefon dat la timp.

Concluzie

SMIS, PNRR – REPowerEU și POCIDIF nu sunt doar niște acronime birocratice, ci reprezintă, împreună, una dintre cele mai mari investiții digitale din istoria recentă a României. Tocmai de aceea, securitatea cibernetică nu mai poate fi tratată ca o cheltuială secundară în aceste proiecte, ci ca o condiție de bază pentru ca banii europeni să ajungă acolo unde au fost gândiți să ajungă, și nu în conturile unor infractori care au învățat, la fel de bine ca oricine altcineva, cum funcționează birocrația fondurilor europene.