„Cultura culpabilizării” (blame culture) apare atunci când o organizație se teme mai mult de reacția publică (”Vaaaiiii, ce o să zică lumea?”) decît de consecințele lipsei de transparență. În cazul unui incident de securitate cibernetică, această teamă conduce adesea la comunicări vagi, defensive sau întârziate. În loc să explice clar ce s-a întâmplat, ce sisteme au fost afectate și ce riscuri există, instituția încearcă să protejeze imaginea publică și să evite întrebarea incomodă: „Cine este responsabil?”

O asemenea cultură transformă incidentul dintr-o problemă tehnică și operațională într-o amenințare reputațională. Recunoașterea unei breșe este percepută ca o dovadă de slăbiciune, incompetență sau eșec managerial (Situational Crisis Communication Theory (SCCT)). De aceea, mesajele publice tind să minimalizeze impactul, să folosească expresii impersonale și să ofere certitudini premature. Se comunică mai degrabă pentru a limita critica decât pentru a informa corect persoanele afectate.

Paradoxal, această strategie produce tocmai efectul pe care încearcă să îl evite: atunci când informațiile sunt incomplete, contradictorii sau excesiv de optimiste, spațiul rămas liber este ocupat de speculații.

Publicul nu își pierde încrederea pentru că a avut loc un incident, ci mai degrabă pentru că instituția pare să ascundă informații, să evite responsabilitatea sau să controleze narațiunea.

O cultură matură a securității nu se bazează pe rușine și culpabilizare, ci pe responsabilitate, învățare și comunicare verificabilă.

O instituție credibilă spune ce știe, ce nu știe încă, ce măsuri a luat și când va reveni cu informații. Recunoașterea incertitudinii nu slăbește autoritatea; dimpotrivă, arată că organizația tratează incidentul cu seriozitate și respectă dreptul publicului de a fi informat.

F5, F5, F5….https://www.ancpi.ro

Comunicatul oficial din 20.07.2026 este încă pe site. Este un comunicat cu probleme de coerență, credibilitate și utilitate pentru public, care poate fi folosit pentru a exemplifica ”cultura culpabilizării”.

Avem o comunicare publică, scrisă cu voce pasivă, fără responsabilitate asumată: „a început procesul”, „va fi finalizat”, „vor fi verificate”. Afost ștearsă orice urmă de ”responsabilitate/accountability”: cine decide, cine răspunde, cine coordonează efectiv (în afară de menționarea STS în cazul migrării în cloud)

1. Afirmă că bazele de date „nu au fost afectate”

Textul spune: „bazele de date tehnice și juridice ale instituției nu au fost afectate” Dar ulterior precizează că ”aplicațiile și datele vor fi verificate” de instituțiile abilitate.

Ce înseamnă „nu au fost afectate”: nu au fost șterse, modificate, accesate neautorizat sau exfiltrate? Confidențialitatea, integritatea și disponibilitatea sînt lucruri diferite.

Formularea „în urma tuturor verificărilor” e o garanție prea fermă pentru o anchetă încă în desfășurare. Comunicatul însuși recunoaște mai jos că „investigațiile” sînt în curs. Dacă ulterior se descoperă că totuși au fost accesate date, această propoziție devine dovada că instituția a mințit sau a subestimat problema. Asta este cea mai periculoasă greșeală posibilă în comunicarea de criză.

2. Pune reasigurarea înaintea faptelor și nu explică suficient ce s-a întâmplat

Comunicatul începe cu vestea bună („nu au fost afectate”) înainte de a spune ce se întâmplă de fapt. În comunicarea de criză, ordinea corectă este: fapt – context – implicație – reasigurare, nu invers. Așa cum e scris, pare optimizat pentru percepție, nu pentru informare.

Nu există nici o propoziție despre natura incidentului, data lui, sau tipul de atac. Publicul primește doar consecințe administrative (migrare cloud), nu și cauza. Asta lasă impresia de evitare deliberată a subiectului central.

3. Nu oferă un termen clar pentru reluarea serviciilor

Este indicat doar termenul estimativ al migrării (22.07.2026), nu și cel al revenirii serviciilor:

„ANCPI va putea comunica termenul estimat pentru reluarea funcționării aplicațiilor.” condiționează un angajament de altul, care depinde de un raport, care depinde de finalizarea migrării. Sînt trei niveluri succesive de amînare, fără nicio dată fixă la care publicul poate reveni pentru claritate.

Pentru cetățeni, informația de bază este cînd vor putea folosi din nou serviciile!

4. Tonul față de presă și spațiul public este defensiv

Afirmația că „informațiile vehiculate în spațiul public (…) nu reflectă realitatea” și că „afecta încrederea publicului în instituțiile statului” sună ca o mustrare adresată presei sau cetățenilor. Într-o criză, încrederea se protejează mai ales prin transparență, precizie și actualizări regulate, nu prin descurajarea relatărilor neoficiale. Adică de la directorul DNSC (https://youtu.be/RDqKFhrtfFE?si=Kfs5xXxJ4qwjozDE) pînă la numele cunoscute din industrie nimeni nu are voie să spună nimic pentru că ANCPI nu comunică nimic? Să scrie ceva și în engleză pentru ”băiatul care a dat cu piatra”….

5. Folosește formulări absolute și greu de susținut

”eliminarea tuturor vulnerabilităților identificate”, „în condiții de deplină siguranță”

În securitate cibernetică, garanțiile absolute reduc credibilitatea. Nici o instituție nu poate promite „deplină siguranță”.

6. Conține explicații generale în locul informațiilor despre cazul concret

Paragraful „În cazul unui incident de securitate cibernetică, obiectivul principal este…”are un ton didactic, școlăresc și generic. El explică (puțin incorect dacă ne raportăm la ce spune ”buchea cărții” despre managementul incidentelor) publicului ce se face, în general, într-un incident, dar nu spune exact ce a făcut ANCPI.
Paragrafele „obiectivul principal este protejarea integrității…”, „Deși această măsură a generat un disconfort temporar...” sînt practic identice cu formulările din comunicatul inițial. Aceasta este o dovadă că nu s-a scris un mesaj nou adaptat stadiului actual, ci s-a reutilizat un șablon, ceea ce scade credibilitatea la a treia-a patra actualizare a aceleiași crize.

7. Nu oferă instrucțiuni practice persoanelor afectate

Absență totală a oricărei referiri la impactul asupra datelor cetățenilor, la obligațiile GDPR sau la notificarea persoanelor afectate. Chiar dacă bazele de date „tehnice și juridice” ar fi neafectate, nu se clarifică dacă alte categorii de date (conturi, credențiale, date de contact) au fost sau nu vizate.

8. „Instituțiile abilitate” este o formulare prea vagă

STS este menționat explicit, însă celelalte entități sînt descrise doar drept „instituțiile abilitate”. Această formulare poate transmite lipsă de transparență. Dacă informația poate fi făcută publică, ar trebui precizate instituțiile implicate și rolul lor: investigație tehnică, răspuns la incident, analiză criminalistică sau protecția datelor.

9. Lipsește asumarea impactului asupra cetățenilor

Formularea „a generat un disconfort temporar” minimalizează consecințele asupra principalilor beneficiari. Indisponibilitatea serviciilor cadastrale a produs și produce de peste 7 zile întârzieri dovedite în tranzacții, credite, proceduri notariale sau administrative.

Concluzie

Problema principală este că textul încearcă simultan să liniștească publicul, să respingă speculațiile și să recunoască faptul că verificările nu sînt finalizate. O șaormă cu de toate…..

Rezultatul este o comunicare contradictorie: oferă certitudini unde încă există incertitudine și rămâne vagă exact în privința informațiilor de care publicul are nevoie.

……

Arc peste timp, 10 ani în urmă. Este septembrie 2016. ING are parte de un incident care afectează timp de 8 ore disponibilitatea tranzacțiilor cu carduri pentru toți clienții băncii. Să vedem cum și ce s-a comunicat (Sursa):