Site-urile primăriilor din Covasna au revenit. Cine răspunde însă pentru securitate și informarea cetățenilor?

Site-urile mai multor primării din județul Covasna, afectate la începutul lunii iulie de un posibil atac cibernetic, au fost repuse în funcțiune. La peste două săptămâni de la incident, nu există însă o informare publică centralizată privind rezultatul verificărilor, eventuala compromitere a datelor, notificarea instituțiilor competente și măsurile adoptate pentru prevenirea unui nou atac.

Incidentul tehnic pare depășit. Incidentul de securitate nu poate fi considerat însă închis numai pentru că paginile sunt din nou accesibile.

Mai rămâne o întrebare: cine trebuia să coordoneze răspunsul instituțional atunci când aceeași problemă a afectat simultan mai multe administrații locale?

Câte primării au fost afectate: nouă sau zece?

Informațiile publicate inițial nu sunt unitare nici măcar în privința numărului instituțiilor afectate.

În 10 iulie, Inspectoratul de Poliție Județean Covasna a enumerat primăriile Zăbala, Zagon, Micfalău, Boroșneu Mare, Brăduț, Comandău, Ghidfalău, Malnaș și Mereni — nouă administrații locale.

În aceeași perioadă fusese anunțată separat compromiterea site-ului Primăriei Baraolt. Un material difuzat ulterior de TVR a indicat că au fost afectate site-urile a zece primării. Bilanțul public cunoscut este, prin urmare, de cel puțin zece administrații locale, dacă Baraolt este adăugat celor nouă instituții menționate de Poliție. Informarea inițială transmisă de IPJ Covasna

Diferența ar fi trebuit clarificată printr-o situație oficială centralizată.

Site-urile au redevenit accesibile

Potrivit informațiilor difuzate de TVR, paginile primăriilor au fost nefuncționale timp de aproape o săptămână și au redevenit accesibile începând din 13 iulie. Reprezentanții administrațiilor locale au afirmat că dețin copii de siguranță pentru fișierele publicate și că paginile puteau fi reconstruite. Situația prezentată de TVR

Verificarea realizată de News Connect în 26 iulie a confirmat că mai multe dintre site-uri furnizau din nou conținut public. În cazul altora, accesul automat era întâmpinat de filtre de verificare sau de restricții ale serverului.

Aceste răspunsuri nu înseamnă neapărat că paginile sunt inaccesibile utilizatorilor obișnuiți, dar nici nu permit certificarea uniformă a funcționării tuturor platformelor.

Faptul că se deschide prima pagină nu demonstrează că toate documentele, bazele de date și funcțiile anterioare au fost recuperate. Trebuie verificate individual secțiunile dedicate hotărârilor de consiliu local, dispozițiilor, achizițiilor, anunțurilor și formularelor electronice.

Poliția s-a autosesizat. Primăriile nu depuseseră plângeri

În 10 iulie, IPJ Covasna anunța că desfășoară verificări preliminare pentru stabilirea situației și identificarea împrejurărilor în care s-au produs incidentele.

Până la acel moment, nicio instituție afectată nu depusese o sesizare oficială la Poliție. Unele primării anunțaseră că informaseră sau urmau să informeze Directoratul Național de Securitate Cibernetică.

După mai mult de două săptămâni, News Connect nu a identificat în spațiul public o actualizare privind stadiul verificărilor. Nu se cunoaște dacă a fost deschis un dosar penal, dacă toate incidentele au avut aceeași sursă sau dacă a fost identificată vulnerabilitatea exploatată.

Primăriile trebuiau să depună plângeri penale?

În această situație, termenul juridic mai exact este sesizarea organelor de urmărire penală, nu neapărat „plângerea penală”.

Articolul 291 din Codul de procedură penală prevede că persoanele cu funcții de conducere din cadrul unei autorități publice, care află despre săvârșirea unei infracțiuni urmărite din oficiu, trebuie să sesizeze de îndată organul de urmărire penală. Tot ele trebuie să ia măsuri pentru conservarea probelor.

Dacă reprezentanții unei primării au primit un raport tehnic din care rezultă un acces neautorizat, modificarea sau ștergerea unor date ori compromiterea sistemului informatic, sesizarea nu mai este doar o opțiune administrativă.

Codul penal sancționează, în anumite condiții, omisiunea funcționarului public de a sesiza o faptă penală despre care a luat cunoștință în legătură cu serviciul. Aplicarea acestei prevederi nu poate fi însă presupusă automat. Trebuie demonstrat ce știa persoana respectivă, când a aflat și ce obligație concretă avea.

În cazul incidentului din Covasna, Poliția s-a sesizat deja din oficiu. Cercetarea nu mai depinde, așadar, de depunerea unor plângeri separate de către fiecare primărie.

Întrebarea decisivă este dacă administrațiile au predat rapoartele tehnice și jurnalele informatice, au conservat probele înainte de restaurarea site-urilor și au cooperat cu instituțiile competente.

Consiliul Județean nu este superiorul primăriilor

Consiliul Județean Covasna nu poate ordona primarilor să depună plângeri penale și nici nu poate conduce o anchetă informatică.

Codul administrativ stabilește că între autoritățile comunale, orășenești și municipale și autoritățile județene nu există raporturi de subordonare. Relația este una de colaborare.

Fiecare primărie răspunde pentru administrarea propriului site, securitatea sistemelor folosite, publicarea documentelor obligatorii și informarea cetățenilor.

Consiliul Județean răspunde direct pentru propriile sisteme informatice și pentru instituțiile aflate în subordinea sa. Nu poate prelua automat răspunderea juridică a primăriilor.

Lipsa subordonării nu înseamnă însă absența oricărui rol județean.

Ce putea face Consiliul Județean Covasna

Atunci când aceeași problemă afectează simultan mai multe localități, incidentul depășește granițele administrative ale fiecărei comune. Apare o vulnerabilitate cu dimensiune județeană.

Consiliul Județean putea iniția, cu acordul administrațiilor locale, un mecanism comun de sprijin:

• convocarea primarilor și a furnizorilor tehnici pentru stabilirea situației reale;
• inventarierea platformelor, firmelor de mentenanță și componentelor software utilizate;
• verificarea existenței unei vulnerabilități comune;
• facilitarea legăturii cu DNSC, IPJ Covasna și Prefectura;
• organizarea unui audit comun de securitate;
• elaborarea unui protocol județean de reacție și comunicare;
• crearea unui sistem comun de monitorizare, copii de siguranță și intervenție;
• prezentarea unei informări centralizate pentru cetățeni, fără divulgarea unor date care ar putea afecta ancheta.

Consiliul Județean nu poate fi acuzat juridic pentru că site-ul unei primării a fost compromis. Poate fi însă întrebat, legitim, dacă a folosit toate instrumentele de colaborare pe care le are după ce incidentul a afectat simultan numeroase administrații locale.

Cine răspunde pentru comunicarea cu cetățenii

Fiecare primărie are propria obligație de a informa populația și de a asigura accesul la documentele de interes public.

În cazul indisponibilității site-ului, administrația trebuie să ofere canale alternative: afișaj, e-mail, telefon, pagini oficiale de comunicare sau acces direct la sediu.

Consiliul Județean poate armoniza mesajele, centraliza situația și propune un model comun de comunicare. Nu poate însă comunica în numele tuturor primăriilor fără cooperarea acestora.

La Baraolt, indisponibilitatea site-ului a împiedicat publicarea hotărârilor, dispozițiilor, anunțurilor și altor documente. Chiar dacă activitatea internă a administrației nu a fost blocată, relația cu cetățeanul a fost afectată.

Site-ul unei primării nu este un instrument de imagine. Este parte a serviciului public și a obligației de transparență.

„Nu avem date secrete” nu înseamnă că nu există date de protejat

Unele administrații au susținut că site-urile nu conțineau informații confidențiale sau „date secrete”. Această precizare nu stabilește impactul real al incidentului.

Un site public poate conține conturi de administrare, adrese de e-mail, date de contact, jurnale de acces, formulare transmise de cetățeni, documente încărcate temporar și legături către alte sisteme. Compromiterea poate însemna modificarea conținutului, introducerea unor fișiere malițioase, folosirea serverului pentru alte atacuri sau obținerea unor parole reutilizate.

Restaurarea unei copii de siguranță readuce conținutul vizibil. Nu identifică automat vulnerabilitatea și nu demonstrează că atacatorul nu mai are acces.

Dacă incidentul intră sub incidența cadrului instituit prin OUG nr. 155/2024, pot exista și obligații distincte de raportare către DNSC. Aplicabilitatea trebuie stabilită pentru fiecare instituție, în funcție de încadrarea juridică și de sistemele afectate.

Cine poate interveni dacă o primărie nu sesizează incidentul

Consiliul Județean nu poate obliga primăria să formuleze o sesizare. Instrumentele sunt altele.

Prefectul poate solicita informații și documente și poate verifica respectarea legalității, fără a se substitui primarului sau organelor judiciare.

Poliția și Parchetul pot solicita rapoartele tehnice, contractele de mentenanță, copiile de siguranță și jurnalele de acces. Întrucât Poliția s-a autosesizat, poate desfășura verificările independent de existența unei plângeri formulate de primării.

Dacă apar indicii că reprezentanții unei instituții au cunoscut caracterul posibil penal al incidentului și nu au informat organele competente, poate fi solicitată verificarea respectării obligațiilor legale. Formularea corectă este solicitarea unei verificări, nu acuzația că a fost deja comisă o infracțiune.

Dincolo de știre: o problemă comună nu poate primi zece răspunsuri izolate

Incidentul din Covasna arată cât de dependente sunt administrațiile mici de firmele externe care le construiesc și întrețin infrastructura digitală.

Nu este clar dacă există monitorizare permanentă, personal cu responsabilități în securitatea cibernetică, proceduri de reacție sau contracte care obligă furnizorii să raporteze imediat incidentele.

Fiecare primărie pare să fi gestionat situația prin propria firmă de mentenanță. Aceasta poate fi o soluție pentru repunerea site-ului online. Nu reprezintă, singură, o politică de securitate.

Autonomia locală nu trebuie confundată cu izolarea instituțională. Consiliul Județean nu este superiorul primăriilor, dar poate deveni platforma prin care administrațiile mici își reunesc resursele, standardele și capacitatea de reacție.

În același timp, revenirea site-urilor nu înlocuiește obligația de informare. Cetățenii trebuie să afle ce servicii au fost afectate, dacă datele au fost expuse și ce s-a schimbat pentru ca incidentul să nu se repete.

Revenirea paginilor în mediul online este numai prima etapă. Fără un bilanț public, fără conservarea probelor și fără un mecanism comun de prevenție, administrațiile nu pot ști dacă vulnerabilitatea a fost eliminată sau doar ascunsă în spatele unor site-uri restaurate.

Cristian Radu | News Connect

Articol realizat pe baza informațiilor comunicate de IPJ Covasna, a declarațiilor administrațiilor locale, a verificării paginilor publice și a legislației privind administrația publică, sesizarea organelor judiciare și securitatea cibernetică. Situația va fi actualizată după răspunsurile instituțiilor solicitate.