Dacă și site-ul DNSC poate fi perturbat, cine mai garantează funcționarea sistemelor digitale ale statului?

Cristian Radu | News Connect

Site-ul Directoratului Național de Securitate Cibernetică a întâmpinat, pe 8 septembrie 2026, dificultăți temporare de accesare. Potrivit instituției, un volum neobișnuit de solicitări venite simultan din surse multiple indică posibilitatea unui atac de tip DDoS.

DNSC a aplicat măsuri suplimentare de protecție și optimizare, iar funcționarea site-ului a fost stabilizată. Infrastructura a rămas sub monitorizare.

Incidentul produce însă o întrebare legitimă: dacă poate fi perturbat chiar site-ul instituției care coordonează răspunsul național la amenințările cibernetice, cine ne mai garantează funcționarea platformelor publice care gestionează date medicale, fiscale, sociale sau de identitate?

Răspunsul sincer este că nimeni nu poate garanta securitatea și disponibilitatea absolută a unui sistem conectat la internet. Instituțiile pot însă — și trebuie — să garanteze un nivel verificabil de protecție, continuitate și recuperare.

Un site indisponibil nu înseamnă automat date compromise

Un atac DDoS urmărește, de regulă, să facă un serviciu indisponibil prin transmiterea unui număr foarte mare de solicitări. Este comparabil cu blocarea intrării într-o instituție printr-o mulțime care nu mai permite accesul utilizatorilor legitimi.

Un asemenea incident afectează în primul rând disponibilitatea serviciului. Nu demonstrează automat că atacatorii au pătruns în sistem, au modificat informații sau au sustras date.

În securitatea cibernetică trebuie separate trei componente:

• disponibilitatea — serviciul poate fi accesat;
• integritatea — datele nu sunt modificate neautorizat;
• confidențialitatea — datele nu sunt văzute sau extrase de persoane neautorizate.

Din comunicarea publică a DNSC rezultă că site-ul a avut temporar probleme de disponibilitate. Nu au fost comunicate indicii privind compromiterea datelor. Absența unei asemenea informații nu trebuie înlocuită nici cu panică, nici cu presupunerea că totul a fost perfect protejat. Este necesar un bilanț tehnic ulterior.

DNSC poate fi atacat fără ca sistemul național să se fi prăbușit

Site-ul public al DNSC nu trebuie confundat cu întreaga infrastructură operațională a instituției și nici cu sistemele informatice ale celorlalte autorități.

Faptul că pagina publică a fost temporar dificil de accesat nu înseamnă că au fost afectate automat canalele de raportare a incidentelor, bazele de date, sistemele interne sau platformele altor instituții. Pentru acestea este necesară o confirmare distinctă.

Totuși, tocmai poziția DNSC ridică standardul de transparență. Instituția care le cere altora să raporteze incidente și să-și consolideze infrastructura trebuie să arate, prin propriul exemplu, cum este gestionată o asemenea situație.

Cine răspunde pentru sistemele digitale publice?

Responsabilitatea nu aparține unei singure instituții.

În primul rând, fiecare autoritate publică răspunde pentru platformele și datele pe care le administrează. Conducerea instituției nu poate transfera integral această răspundere către firma care a construit aplicația sau asigură mentenanța.

Furnizorii tehnici răspund în limitele contractelor, nivelurilor de servicii și obligațiilor de securitate asumate.

DNSC are rolul de coordonare, prevenire, avertizare și răspuns la incidente la nivel național, dar nu operează toate sistemele informatice ale statului.

STS, Autoritatea pentru Digitalizarea României și alte structuri specializate au atribuții diferite, în funcție de infrastructură. În cazul datelor personale intervine și cadrul supravegheat de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.

Prin urmare, nu există un singur „garant”. Există un lanț de responsabilități. Iar un lanț este atât de sigur cât este cea mai slabă instituție conectată la el.

Ce ar trebui să garanteze statul

Cetățeanului nu i se poate promite că niciun atac nu va reuși vreodată. I se poate garanta însă că statul a construit sisteme reziliente și că poate demonstra acest lucru.

Pentru platformele esențiale ar trebui să existe:

• infrastructură redundantă, distribuită în mai multe centre de date;
• protecție specializată împotriva atacurilor DDoS;
• copii de siguranță testate periodic;
• centre alternative pentru continuarea activității;
• proceduri clare de recuperare după incidente;
• sisteme separate pentru serviciile publice și bazele de date sensibile;
• autentificare puternică și control strict al accesului;
• audituri tehnice independente;
• exerciții periodice de atac și recuperare;
• canale alternative pentru serviciile care nu pot fi întrerupte;
• termene maxime de restabilire prevăzute contractual;
• informarea rapidă a utilizatorilor.

Directiva europeană NIS2 cere organizațiilor vizate măsuri privind gestionarea incidentelor, continuitatea activității, recuperarea în caz de dezastru, copiile de siguranță și securitatea furnizorilor. Obligația nu este, așadar, doar instalarea unui antivirus, ci menținerea serviciilor și limitarea consecințelor unui atac. Directiva europeană NIS2

Cloudul guvernamental este o parte a răspunsului, nu o garanție absolută

Cloudul Privat Guvernamental este construit pe centre de date distribuite geografic, cu sisteme redundante, copii automate și soluții pentru continuitatea activității și recuperarea după dezastre.

ADR arată că infrastructura implică centre de date în București, Timișoara, Brașov și Sibiu, iar responsabilitățile sunt împărțite între ADR, STS și Centrul Național Cyberint din cadrul SRI. Autoritatea pentru Digitalizarea României — Cloudul Privat Guvernamental

Această arhitectură poate reduce riscul ca defectarea sau atacarea unui singur punct să blocheze întregul sistem. Centralizarea creează însă și o concentrare a riscului. Tocmai de aceea sunt necesare segmentarea infrastructurii, testele independente și posibilitatea continuării serviciilor prin centre alternative.

Nu este suficient ca instituțiile să anunțe că sistemele sunt „sigure”. Siguranța trebuie demonstrată.

Ce trebuie să comunice DNSC după incident

Un bilanț public nu trebuie să dezvăluie informații tehnice care i-ar ajuta pe atacatori. Poate însă răspunde la întrebările esențiale:

• Cât timp a fost afectat site-ul?
• A fost vorba despre un atac DDoS confirmat sau numai despre o ipoteză?
• Au fost afectate și alte servicii decât pagina publică?
• Au existat indicii privind accesarea ori extragerea unor date?
• Ce volum de trafic a fost înregistrat?
• Protecția existentă a funcționat sau a fost necesară activarea unor resurse suplimentare?
• Au funcționat canalele alternative de comunicare și raportare?
• Ce măsuri permanente au fost adoptate după incident?
• Va fi realizat un audit tehnic independent?

Fără aceste răspunsuri, comunicarea rămâne liniștitoare, dar incompletă.

Continuitatea trebuie măsurată

Pentru fiecare platformă publică importantă ar trebui publicat anual un bilanț de reziliență care să conțină, în limite compatibile cu securitatea:

• disponibilitatea serviciului, exprimată procentual;
• numărul incidentelor importante;
• durata totală a întreruperilor;
• timpul mediu de detectare;
• timpul mediu de restabilire;
• numărul exercițiilor de recuperare;
• confirmarea testării copiilor de siguranță;
• rezultatele generale ale auditurilor;
• măsurile aplicate după incidente.

Un sistem nu este rezilient pentru că apare această afirmație într-un comunicat. Este rezilient dacă poate fi atacat, poate limita efectele, își continuă funcțiile esențiale și revine rapid la normal fără pierderea sau compromiterea datelor.

Dincolo de incident

Atacul posibil asupra site-ului DNSC nu demonstrează că sistemele digitale ale României sunt lipsite de apărare. Demonstrează însă că nici măcar instituția specializată nu este în afara razei atacatorilor.

Întrebarea nu este dacă vor mai exista atacuri. Vor exista.

Întrebarea este dacă statul poate menține serviciile esențiale, dacă poate proteja datele și dacă le poate explica cetățenilor, cu dovezi, ce s-a întâmplat.

Încrederea digitală nu se construiește prin promisiunea imposibilă că nimic nu va cădea vreodată. Se construiește prin prevenție, redundanță, reacție rapidă și transparență după fiecare incident.

Surse: AGERPRES — comunicarea DNSC despre incidentul din 8 septembrie, Directoratul Național de Securitate Cibernetică, Autoritatea pentru Digitalizarea României — infrastructura Cloudului Privat Guvernamental, Directiva europeană NIS2.

Foto: IA