Securitate cibernetică
EDU APPS • DIGITALIZARE ȘI SIGURANȚĂ • OCTOMBRIE 2026
Stimată doamnă primar, stimate domnule primar,
Vineri, 10 iulie, ora 15:23.
În timp ce angajații Cadastrului se pregăteau de weekend, cineva tocmai intrase în sistemele lor. Nimeni nu a observat. Nici sâmbătă, nici duminică, nici luni.
Marți dimineață era deja prea târziu: serverele erau criptate, iar tranzacțiile imobiliare din toată țara s-au oprit pentru aproape o lună.
Vă scriem pentru că ușa prin care a intrat atacatorul nu a fost una sofisticată. A fost o parolă slabă și un server neactualizat, lucruri care pot exista în orice instituție, inclusiv într-o primărie. În paginile următoare găsiți povestea completă, ce vă cere legea și trei pași prin care puteți închide aceeași ușă.
— STUDIU DE CAZ —
Patru zile în care nimeni nu a privit
Reconstituirea prezentată în Parlament de DNSC și SRI arată cât de liniștit poate decurge un atac major. La Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI), totul s-a petrecut în afara programului:
Vineri, 10 iulie ora 15:23 Atacatorul intră printr-o vulnerabilitate cunoscută din 2021. | 11–12 iulie weekend Se extinde în rețea și ajunge la codul sursă al aplicațiilor. | Luni, 13 iulie ora 21:09 Preia consola centrală cu o parolă de administrator refolosită. | Marți, 14 iulie dimineața Atacul este descoperit. Sistemele sunt deja criptate. | 11 august după 4 săptămâni e-Terra revine online. |
Ce a făcut posibil totul? Nimic exotic. Anchetatorii au găsit parole simple, refolosite inclusiv pe conturile de administrator, sisteme neactualizate de ani de zile și reguli de acces prea permisive. Mai mult, platforma e-Terra rămăsese în afara monitorizării de securitate de care instituția beneficia.
„un atac derulat prin exploatarea unor vulnerabilități cunoscute” Andrei Iacoboaiei, director adjunct DNSC, în fața comisiilor parlamentare |
Și la primărie? Registratura, taxele locale, starea civilă și urbanismul rulează pe aceleași tipuri de sisteme. Nu este un scenariu ipotetic: în 2024, primăriile din Timișoara și din Sectorul 5 al Capitalei au trecut prin atacuri ransomware, cu servicii pentru cetățeni blocate. |
— ÎN CIFRE —
Nu este un caz izolat
Cifrele Directoratului Național de Securitate Cibernetică spun aceeași poveste, an după an. Atacurile de tip ransomware (programe care blochează fișierele și cer bani pentru deblocare) se înmulțesc, iar instituțiile publice rămân pe lista victimelor:
20 instituții publice lovite de ransomware în 2024 din cele 101 atacuri gestionate de DNSC | 22 instituții publice lovite în 2025 alături de 119 firme și 115 persoane fizice | +153% creșterea atacurilor ransomware față de 2024 256 de incidente majore gestionate în 2025 |
Sursa: DNSC, rapoartele anuale de activitate pentru 2024 și 2025
— RECOMANDAREA EDIȚIEI —
Trei lucruri pe care le puteți cere chiar de luni
Niciunul nu cere un buget mare și toate se pot discuta cu echipa IT, internă sau externă, într-o singură ședință. Împreună, ar fi închis exact ușile prin care a intrat atacatorul la Cadastru.
1 | Un cont pentru fiecare om, o parolă pentru fiecare sistem Fără conturi de administrator folosite în comun și fără aceeași parolă pe mai multe servere. La ANCPI, o singură parolă refolosită a deschis întreaga infrastructură. |
2 | Autentificare multifactor pentru e-mail și acces de la distanță Pe lângă parolă, un cod primit pe telefon. Chiar dacă parola ajunge la un atacator, contul rămâne închis. |
3 | Actualizări de securitate aplicate la timp Mai ales pentru serverele, routerele și aplicațiile accesibile din internet. O vulnerabilitate nereparată de cinci ani a fost ușa de intrare la Cadastru. |
— CADRU LEGISLATIV —
Ce vă cere legea (și ce nu)
Două acte normative contează pentru o primărie. Unul vi se aplică sigur. Celălalt, doar în anumite condiții, iar diferența dintre cele două merită verificată din timp, nu după un incident.
Act normativ | Se aplică primăriei? | Ce presupune | Sancțiuni |
GDPR Regulamentul (UE) 2016/679 și Legea nr. 190/2018 | DA, întotdeauna orice primărie prelucrează date personale ale cetățenilor | Măsuri tehnice și organizatorice adecvate pentru protecția datelor. Notificarea ANSPDCP în cel mult 72 de ore de la aflarea unei breșe. | Întâi avertisment cu plan de remediere. Dacă planul nu e respectat: amendă între 10.000 și 200.000 lei. |
NIS2 OUG nr. 155/2024, aprobată prin Legea nr. 124/2025 | DEPINDE nu automat; se verifică încadrarea | Înregistrare la DNSC (platforma NIS2@RO), gestionarea riscurilor, formarea conducerii. Raportarea incidentelor: avertizare în 24 de ore, notificare în 72 de ore, raport final în 30 de zile. | Amenzi aplicate de DNSC. Prima amendă: 50.000 lei, unei instituții centrale, pentru neînregistrare (septembrie 2026). |
Atenție la entitățile din subordine OUG nr. 155/2024 vizează în mod direct administrația publică centrală, iar o primărie nu intră automat sub incidența ei doar pe baza statutului administrativ. Totuși, DNSC poate identifica și autorități locale pe baza unor criterii de impact, iar serviciile din subordinea sau coordonarea primăriei (de exemplu apă, canalizare sau transport public) pot avea obligații proprii. Încadrarea trebuie verificată și documentată. |
Iar „doar un avertisment” nu înseamnă scăpare. Primăria Sectorului 1 a fost amendată de ANSPDCP cu 159.000 lei pentru că nu a respectat planul de remediere primit.
Când apare un incident, ceasul pornește
Pentru entitățile care intră sub NIS2, termenele de raportare sunt stricte. Ele arată, de fapt, de ce detectarea rapidă contează: nu puteți raporta un atac pe care nu l-ați observat.
24 h AVERTIZARE TIMPURIE Primul semnal către DNSC, de la aflarea incidentului | 72 h NOTIFICARE Evaluarea inițială a incidentului; tot 72 h are și ANSPDCP pentru breșele de date | 30 zile RAPORT FINAL Cauze, impact și măsurile luate |
— CUM VĂ PUTEM AJUTA —
Doi paznici, pentru două tipuri de risc
Nu aveți nevoie de o echipă IT mare. Aveți nevoie de cineva care să caute golurile înaintea atacatorilor și de cineva care să vegheze atunci când biroul e închis. Cele două servicii pot fi contractate separat sau împreună:
1 Analiza de securitate Aflăm unde sunteți vulnerabili, înaintea atacatorilor | 2 Paza digitală 24/7 Monitorizare non-stop și intervenție rapidă | |
✓ Specialiști certificați simulează un atac real, controlat și sigur ✓ Verificăm site-ul, portalurile pentru cetățeni, rețeaua internă, conturile și parolele ✓ Primiți un raport pe înțelesul conducerii și o listă de remedieri, în ordinea priorității ✓ Retestare gratuită după ce problemele sunt rezolvate | ✓ Analiști care urmăresc rețeaua în fiecare oră, inclusiv noaptea și în weekend ✓ Fiecare alertă este verificată de un om, ca să nu fiți deranjați de alarme false ✓ Calculatorul sau serverul atacat este izolat în câteva minute, după proceduri aprobate de dumneavoastră ✓ Raport oficial pentru fiecare incident, util pentru audit și pentru raportările NIS2 | |
Ce primiți: o imagine clară a riscurilor și un plan concret de remediere. | Ce primiți: liniște în afara programului și dovezi pentru autorități. |
Cine veghează sistemele primăriei vineri seara?
Dacă răspunsul nu vine imediat, merită o discuție. Într-o întâlnire confidențială evaluăm împreună situația actuală, verificăm încadrarea în obligațiile legale și stabilim măsurile cu cel mai mare impact pentru bugetul disponibil.
Fără costuri și fără nicio obligație.
Cu respect,
Echipa Edu Apps
Surse: DNSC, rapoartele anuale de activitate 2024 și 2025; audierea DNSC și SRI în comisiile parlamentare privind atacul asupra ANCPI (septembrie 2026); OUG nr. 155/2024; Legea nr. 124/2025; Regulamentul (UE) 2016/679; Legea nr. 190/2018. Informațiile privind cadrul legislativ au caracter general și nu reprezintă consultanță juridică.
