O propunere de mecanism național prin care protecția datelor cetățenilor și a serviciilor digitale ale statului devine obligatorie, supravegheată continuu și verificată independent — nu doar promisă.
-
Despre ce este vorba
În 14 iulie 2026, un atac cibernetic a oprit cadastrul României — iar la data redactării acestui material, o săptămână mai târziu, serviciile nu reveniseră: sistemele sunt migrate în Cloudul Guvernamental sub coordonarea STS, fără un termen confirmat de repornire, în timp ce un atacator oferea spre vânzare date și cod-sursă din sistemele instituției. În decembrie 2025, circa 1.000 de sisteme ale Apelor Române au fost afectate. În 2024, un ransomware a paralizat 26 de spitale. Acest document nu este însă despre un incident. Este despre o cultură: cea în care instituțiile cărora le încredințăm datele și serviciile noastre pot eșua repetat, fără consecințe — și despre mecanismul prin care încetăm să mai acceptăm asta.
Nu legile lipsesc. Datele personale sunt protejate juridic din 2018 (GDPR), iar din decembrie 2024 entitățile esențiale au obligații legale de securitate cibernetică (OUG nr. 155/2024). Ce lipsește este mecanismul care transformă obligațiile de pe hârtie în protecție reală: obligațiile nu sunt traduse într-un corp unic de controale verificabile, nimeni nu verifică sistematic și independent implementarea lor, autoritățile de supraveghere fie nu au instrumentele de a impune, fie nu le folosesc — iar o parte a statului însuși (sectorul de apărare, ordine publică și securitate națională) este exceptată chiar de la regulile cerute celorlalți.
Nicio țară nu a „rezolvat” problema cibernetică — atacurile continuă peste tot și se vor înmulți. Dar statele care o tratează sistemic, din Uniunea Europeană până în America de Nord și Pacific, au construit toate același schelet: o regulă clară despre ce se protejează, un set unic de controale obligatorii și o verificare independentă a implementării. Diferența nu este absența incidentelor, ci arhitectura care le vede devreme, le limitează și obligă pe cineva să răspundă. Această propunere aduce acel schelet în România, adaptat instituțiilor existente: un mecanism în trei componente cu puteri separate.
Mecanismul, dintr-o privire
Ce propune, concret
Ce se schimbă pentru cetățean
- Serviciile nu mai cad la nesfârșit. Sistemele care eliberează acte, plătesc pensii sau programează operații au ținte obligatorii de disponibilitate și planuri de continuitate verificate — nu promisiuni.
- Datele au un păzitor cu nume. Pentru fiecare categorie de date există o clasificare, controale obligatorii și o instituție care răspunde când ceva merge prost — în locul pasării responsabilității între agenții.
- Dovada, permanent — nu o dată pe an. Controalele sunt monitorizate continuu, abaterile se văd când apar, iar auditul anual confirmă și face public rezultatul, într-un raport prezentat Parlamentului.
- Nimic critic fără aprobare. Proiectele IT noi pe sisteme esențiale și orice abatere de la controalele obligatorii trec printr-o poartă de avizare — sfârșitul sistemelor construite „pe repede înainte” și securizate ulterior.
Cât ar dura
90 de zile — statul își inventariază sistemele de importanță națională și impune controale minime pe cele mai expuse cinci, fiecare păzind o categorie de date a cetățeanului: cadastrul și cartea funciară (datele de proprietate), sistemele informatice medicale (dosarele de sănătate), evidența persoanelor (identitatea și starea civilă), fiscul și sistemele de plăți (datele financiare), instanțele (datele judiciare). 12 luni — legea-cadru în vigoare; cele trei componente funcționale; manualul de controale publicat; monitorizarea continuă pornită pe sistemele prioritare. 24 de luni — primul ciclu anual de asigurare încheiat, cu raport public. Apoi, extinderea către restul domeniilor din anexă și către custozii privați ai datelor: sănătate privată, bănci, telecom.
Un stat care își clasifică datele cetățenilor și sistemele de importanță națională, care își vede abaterile când apar — nu la auditul anual, și cu atât mai puțin de la un hacker — și care dovedește public, an de an, că protecția este reală.
Cum facem asta — cu atâtea priorități și atâtea costuri?
Întrebarea corectă nu este dacă ne permitem mecanismul, ci ce alegem între cele două variante pe care le avem de fapt: permitem abordarea „mingii scăpate” — fiecare guvern reia de la zero, fiecare criză se plătește separat, iar registrele căzute și datele vândute rămân costul implicit — sau planificăm succesul: un mecanism construit deliberat să supraviețuiască schimbărilor de guvern, de miniștri și de voință politică. Statele care au reușit nu au avut mai puține priorități decât România. Au avut un plan care nu depindea de o singură legislatură.
Aceasta este diferența dintre un program și o instituție: programele mor cu guvernele care le-au lansat; instituțiile bine ancorate — în lege, în finanțare multianuală, în raportare publică — își continuă lucrul. Propunerea de față este construită, articol cu articol, ca instituție.
Ce puteți face cu acest document
Materialul este conceput pentru dezbatere: poate fi preluat, citat, criticat și îmbunătățit. Anexele care urmează detaliază ce date și ce sisteme sunt protejate, cum arată manualul de controale și cum funcționează asigurarea continuă. Pentru decidenți există o versiune tehnică completă — nota pentru decizie cu proiectul de act, schema instituțională detaliată și sinteza cercetării comparative pe state din Uniunea Europeană, Europa și Five Eyes (SUA, Canada, Regatul Unit, Australia, Noua Zeelandă).
ANEXA A · CE PROTEJĂM
Datele cetățeanului — 11 categorii protejate
Fiecare categorie primește un nivel obligatoriu de protecție pe trei dimensiuni: confidențialitate (cine are voie să vadă), integritate (nimeni nu poate altera pe ascuns) și disponibilitate (serviciul funcționează când ai nevoie de el). Enumerarea nu este limitativă — categoriile noi de date se adaugă prin clasificare, fără a rescrie legea.
Sistemele de importanță națională — 15 domenii
Lista pornește de la sectoarele deja recunoscute ca esențiale în legislația europeană și română (NIS2 / OUG nr. 155/2024) și se completează cu registrele care poartă datele cetățeanului. Primele cinci, prioritare din cauza expunerii dovedite: cadastrul, sistemele medicale, evidența persoanelor, fiscul, instanțele.
ANEXA B · CUM PROTEJĂM ȘI CUM VERIFICĂM
Asigurarea nu este un eveniment, ci o stare: controalele sunt monitorizate permanent și abaterile se văd când apar; sistemele critice primesc autorizare de funcționare înainte de a porni și la modificări majore; auditul anual — independent, la Curtea de Conturi, cu evaluatori acreditați — confirmă rezultatul pe întregul ciclu de viață; iar raportul public prezentat Parlamentului închide bucla. La nevoie se adaugă audituri tematice și post-incident.
Risc, maturitate și îmbunătățire continuă
Mecanismul nu cere tuturor totul, dintr-odată — cere fiecăruia proporțional cu riscul și cere, an de an, mai mult decât anul trecut. Fiecare entitate își evaluează riscurile și primește o țintă de maturitate corelată cu clasificarea datelor și importanța sistemelor pe care le operează: nivelul de bază este obligatoriu pentru toți, nivelurile superioare pentru sistemele critice. Ciclul anual de asigurare măsoară maturitatea atinsă față de țintă, iar rezultatul devine o foaie de parcurs de îmbunătățire — cu responsabili și termene — verificată la ciclul următor. Manualul de controale evoluează în același ritm: se actualizează continuu la amenințările reale, iar constatările auditului se întorc în standard. Este modelul verificat al statelor de referință — și contrariul culturii în care problemele se descoperă la incident, nu la evaluare.
Cine a mai construit asta
Uniunea Europeană a fixat regulile de interoperabilitate și supraveghere (EUCI, NIS2). Franța, Germania și Spania operează fiecare un corp unic de controale cu verificare acreditată — Franța condiționează funcționarea sistemelor statului de o autorizare de securitate (homologare). Statele Five Eyes — SUA, Canada, Regatul Unit, Australia, Noua Zeelandă — rulează de ani buni combinația propusă aici: manual unic, evaluatori acreditați, asigurare cu raportare centrală. România nu inventează nimic: adoptă și adaptează.
Notă. Incidentele menționate sunt documentate public (presa națională și DNSC, 2024–2026); situația ANCPI reflectă stadiul la data redactării, 21 iulie 2026 — serviciile nereluate integral, fără termen confirmat. Analiza comparativă a fost realizată pe sursele oficiale ale statelor citate, verificate în iulie 2026. Documentul este ilustrativ, nu emană de la o autoritate publică și nu angajează nicio instituție.
| Știri BVB