INVESTIGAȚIE Directoratul Național de Nesecuritate Cibernetică
Atacul cibernetic de la Cadastru a dezvăluit că autoritatea care are în grijă securitatea cibernetică civilă în România n-a controlat nici Cadastrul și nici alte zeci de instituții importante din țară, scrie site-ul de investigații Snoop.
- Peste 50 de instituții au transmis pentru Snoop că DNSC nu le-a verificat. Dintre ele, din 43 de spitale, unul a fost verificat.
- Aceste verificări nu s-au făcut nici de când a devenit evident, conform CSAT, că ne aflăm în plin război hibrid. State precum Rusia și China au desfășurat în România, în ultimii ani, mai multe atacuri cibernetice, conform instituțiilor publice.
- Întrebat câte funcții de conducere sunt ocupate la DNSC, Dan Cîmpean, directorul instituției, a declarat pentru jurnaliștii Snoop: „Nu vrem să știe Iranul, Coreea (de Nord, n.r.), Rusia sau alți neprieteni ai noștri”.
- Puteți susține cu o donație jurnalismul independent. Redacția Snoop vă mulțumește!
Directoratul Național de Securitate Cibernetică (DNSC) e responsabil să verifice ce măsuri de protecție au luat companiile de stat și instituțiile publice din România. E vorba, printre altele, de spitalele de urgență, ministerele și autoritățile ca Agenția de Cadastru și Apele Române. Acestea n-au fost controlate până acum, arată site-ul de investigații Snoop.
Cadastrul nici nu era înscris în Registrul DNSC. A fost înscris după, rapid
Înființat în 2021, DNSC gestionează incidentele și coordonează la nivel național „aplicarea planului de management al crizelor de securitate cibernetică”. DNSC e condus de către Dan Cîmpean.
Instituția este subordonată Guvernului. DNSC are atribuții să controleze dacă instituții ca Agenția Națională de Cadastru și Publicitate Imobiliară (ANCPI) au implementat măsuri de securitate cibernetică. În cazul ANCPI nu a verificat niciodată, a confirmat ANCPI pentru Snoop. La fel cum n-a verificat nici alte instituții publice de mare importanță.
La momentul atacului din iulie 2026, Cadastrul (ANCPI) nici nu era inclus într-un registru al DNSC cu instituțiile avute sub supraveghere, deși termenul limită a fost toamna anului trecut. A fost înscris abia pe 22 iulie, la peste o săptămână după incident, a răspuns Cadastrul.
Cazul Cadastrului ridică o întrebare care depășește incidentul din iulie: cum verifică DNSC dacă instituțiile aflate sub supravegherea sa respectă cerințele de securitate?
Zeci de instituții spun că nu au fost controlate
Snoop a trimis solicitări către 60 de spitale: toate spitalele județene și o parte dintre cele afectate de un atac cibernetic în februarie 2024.
Au răspuns 43 de spitale, dintre care doar Institutul Clinic Fundeni a spus că Directoratul face verificări periodic, dar n-a oferit detaliile solicitate. Restul au transmis că n-au fost controlate de către DNSC în cei cinci ani de la înființarea instituției. Directoratul a acordat, însă, sprijin tehnic când au existat atacuri, au mai răspuns unele spitale. Altele au spus că au plătit firme autorizate de Directorat pentru audituri de securitate cibernetică.
Director DNSC: „Primăriile au aceeași obligație ca o cârciumă”
Snoop a mai întrebat 17 ministere, companii de stat și instituții din sectoare precum transport, energie și administrație publică centrală dacă au fost supuse unui control din partea Directoratului.
Nouă dintre ele au spus că n-au fost verificate, printre care CFR, Transgaz, Autoritatea Navală Română, Complexul Energetic Oltenia, Ministerul Sănătății, Apele Române și ANCPI.
Altele n-au răspuns la întrebare. De exemplu, Compania Națională „Aeroporturi București”, din motive de securitate. Administrația Fondului pentru Mediu a transmis că a existat un control.
Primăriile, de exemplu, care dețin date importante despre cetățeni, nu pot fi verificate de DNSC dacă și-au luat măsuri de securitate, pentru că legea nu le obligă să o facă.
„Primăriile nu au nicio obligație, au aceeași obligație ca o cârciumă”, a spus, pentru Snoop, Dan Cîmpean, directorul DNSC.
DNSC invocă deficitul de personal și implementarea noii legislații
DNSC controlează instituțiile de stat, cu excepția structurilor de securitate și apărare, care își gestionează singure securitatea cibernetică. Potrivit legii, însă, cooperează cu acestea.
Directoratul pune lipsa controalelor pe seama deficitului de personal, dar și a atribuțiilor numeroase, printre care acordarea de asistență de specialitate instituțiilor publice și private și gestionarea incidentelor de securitate.
Într-un interviu la sediul DNSC, Dan Cîmpean și adjunctul său, Gabriel Dinu, fost șef de departament la Centrul Cyberint din SRI, au ținut să explice dificultățile „birocratice” cu care se confruntă instituția.
Una dintre ele este crearea registrului cu entitățile obligate să implementeze măsuri de securitate cibernetică. „Cu resursa actuală, numai înregistrarea entităților o să ne mai ia încă un an sau doi”, a spus Dinu. „DNSC va avea nevoie de personal specializat pentru realizarea controalelor.”
Conducerea a susținut că se află la începutul implementării noilor acte normative și că instituțiilor trebuie să li se lase timp pentru aplicarea măsurilor.
DNSC avea ocupate doar 19% dintre posturile prevăzute în organigramă, potrivit unui document din toamna acestui an.
„Motivul este dificultatea de a găsi în piață oameni specializați. Concurăm cu sectorul privat”, a spus directorul Cîmpean pentru Snoop. Ca să rezolve problema, vor investi în special în tineri. „O să începem să ni-i creștem”, a adăugat el.
Numărul șefilor, „secret de serviciu”
Jurnaliștii Snoop au întrebat numărul angajaților și al șefilor de la fiecare dintre cele șase direcții generale ale DNSC. Directoratul a refuzat însă, invocând că informațiile sunt „secret de serviciu”, pentru că se regăsesc într-un document aprobat printr-o hotărâre a Consiliului Suprem de Apărare a Țării (CSAT).
Nu vrem să știe Iranul, Coreea (de Nord, n.r.), Rusia sau alți neprieteni ai noștri.
Dan Cîmpean, director DNSC
Cine lucrează la Directorat
Pentru a acoperi deficitul de personal, DNSC a adus specialiști din MAI, MApN și SRI. Dar au fost recrutați și angajați cu experiență în alte domenii și care lucrează în prezent în politici de securitate cibernetică sau în implementarea proiectelor.
Printre expertele care elaborează politici de securitate cibernetică se numără o persoană care, înainte de angajarea la DNSC, a lucrat în marketing pentru firme chinezești, potrivit CV-ului, și o persoană care anterior lucrase peste șapte ani în calitate de consilier juridic la firma producătoare de sicrie a familiei sale.
Mihaela Curcă, cunoscută public, a contribuit la un ghid despre tranziția la criptografia post-cuantică în cadrul DNSC. Din profilul său online nu rezultă însă expertiza în securitate cibernetică. A lucrat, între altele, în organizare de evenimente pentru copii, în marketing și a fost mai puțin de doi ani cercetător junior la un centru pentru prevenirea conflictelor.
În 2023, a trecut de la poziția de internă la MAE la accesarea de fonduri europene și implementare de proiecte în cadrul DNSC.
Tot în Directorat și-a găsit un post de manager și Mihai Constantinescu, fost șef al Auditului Intern din Ministerul Sănătății. Libertatea a arătat că s-a angajat în DNSC chiar în perioada în care nu mai avea voie să ocupe funcții publice, fiind declarat incompatibil de Agenția Națională de Integritate (ANI). Redacția nu a obținut confirmarea că acesta este în continuare la DNSC, unde încă lucra în 2025.
Directoratul nu a răspuns la întrebările Snoop despre angajați până la publicarea articolului. Nici angajații contactați nu au transmis un punct de vedere.