Ce trebuia să mai fi făcut ANCPI pînă să discutăm despre NIS2? Raportat la incidentul ANCPI din 14.07 2026, există două întrebări: 

1. ce trebuia să facă ANCPI înainte de atac;
2. ce trebuia să facă ANCPI după ce a constatat incidentul.

Scurtă recapitulare.

ANCPI confirmă oficial că la 14.07.2026 a constatat acces neautorizat la infrastructura informatică, iar analiza tehnică realizată de DNSC a confirmat un atac ransomware prin care a fost criptată și ștearsă o parte din infrastructura de virtualizare care găzduia aplicațiile agenției. ANCPI afirmă totodată că baza centrală cadastrală nu a fost afectată. Într-un anunț anterior, ANCPI arăta că e-Terra, e-mailul și celelalte servicii informatice erau indisponibile și că, fiind complet digitalizat fluxul de lucru, nu puteau fi nici înregistrate cereri noi, nici soluționate cele existente.

ANCPI funcționează cu structuri județene, fiecare Oficiu de Cadastru și Publicitate Imobiliară (OCPI) județean are propriul Responsabil cu protecția datelor și adrese de e-mail dedicate pentru solicitări sau sesizări GDPR.

La noi, dincolo de ”ofertele de pe emag”, GDPR este……(completați cu ce doriți)

Art. 5 alin. (1) lit. f) GDPR – integritate și confidențialitate

ANCPI trebuia să prelucreze datele într-un mod care să asigure securitatea adecvată a acestora, inclusiv protecția împotriva prelucrării neautorizate și împotriva pierderii sau distrugerii accidentale. Un ransomware care a permis acces neautorizat și a produs criptarea/ștergerea infrastructurii este, prin natura lui, un eveniment care pune în discuție acest principiu.

Art. 5 alin. (2) și art. 24 – ANCPI trebuie să poată demonstra conformitatea

Nu este suficient ca ANCPI să susțină că „avea măsuri de securitate”. Operatorul trebuie să poată demonstra respectarea GDPR. Absența unei documentații adecvate și a soluțiilor tehnice constituie o problemă de conformitate distinctă de faptul că atacul a reușit.

Art. 32 alin. (1) lit. c) 

GDPR cere măsuri tehnice și organizatorice adecvate riscului. EDPB explică expres că analiza riscurilor trebuie să acopere riscurile privind confidențialitatea, integritatea și disponibilitatea datelor și recomandă identificarea măsurilor existente, estimarea probabilității și gravității riscurilor și verificarea periodică a măsurilor.  Aici art. 32 alin. (1) lit. c) este relevant: operatorul trebuie să aibă capacitatea de a restabili disponibilitatea datelor și accesul la acestea în timp util în cazul unui incident fizic sau tehnic.

Avea ANCPI, înainte de 14.07.2026, capacitatea tehnică și organizatorică adecvată riscului pentru restabilirea disponibilității sistemului într-un timp corespunzător?

EDPB tratează expres pierderea accesului la date, inclusiv prin ransomware, drept problemă de disponibilitate a datelor.

Art. 32 alin. (1) lit. d)

ANCPI trebuia să aibă un proces pentru testarea, evaluarea și aprecierea periodică a eficacității măsurilor tehnice și organizatorice. Prin urmare, nu numai existența unui plan de backup/DR a fost obligatorie, ci dovada că acesta fusese testat înainte de atac. Există vreun pen test realizat la ANCPI?

Cînd s-a făcut ultimul test de restaurare? Cît a durat? Ce sisteme au fost restaurate? Au existat probleme? Au fost remediate? Exista un RTO (Recovery Time Objective)? Exista un RPO (Recovery Point Objective)? Backupurile erau separate suficient de infrastructura compromisă? Ce s-a testat dacă mașinile pentru backup erau în AD?

EDPB recomandă explicit realizarea și testarea periodică a backupurilor, alături de alte măsuri preventive împotriva incidentelor. 

Art. 33 alin. (5)

După constatarea incidentului apare o nouă evaluare a riscului. ANCPI trebuia să determine dacă incidentul reprezintă o încălcare a securității datelor cu caracter personal și care este riscul pentru persoanele vizate.

Dacă incidentul constituia o încălcare a securității datelor personale, ANCPI trebuia să îl documenteze în conformitate cu art. 33 alin. (5), indiferent dacă ajungea sau nu la concluzia că trebuie notificată autoritatea de supraveghere. EDPB confirmă expres această obligație de documentare. 

Dacă incidentul nu era improbabil să genereze un risc pentru persoane, notificarea autorității de supraveghere trebuia făcută, în principiu, în maximum 72 de ore de la momentul luării la cunoștință.

Art. 34 — trebuiau informați cetățenii?

Art. 34 intervine dacă încălcarea securității este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor. Tocmai de aceea trebuie să existe o evaluare documentată a riscului post-incident.

Dacă ANCPI a concluzionat că art. 34 nu este aplicabil, ar trebui să poată explica și documenta de ce riscul pentru persoanele vizate nu era ridicat. EDPB confirmă că informarea persoanelor este necesară atunci când breșa este susceptibilă să producă un risc ridicat.

Analiza tehnică a DNSC indică exfiltrarea datelor conturilor utilizatorilor. ANCPI a informat acești utilizatori?

Concluzii

Sistemele cadastrale sunt indisponibile de mult timp. Consecințe pentru persoanele vizate:

• imposibilitatea înscrierii dreptului de proprietate;
• imposibilitatea radierii unei ipoteci;
• imposibilitatea autentificării unor acte notariale care depind de extrasul de carte funciară;
• imposibilitatea obținerii unor credite garantate cu ipotecă;
• imposibilitatea executării unor hotărâri judecătorești privind drepturile reale;
• întârzieri în succesiuni, partaje, executări silite sau investiții.

Aceste consecințe au afectat exercitarea unor drepturi patrimoniale și accesul la servicii? Este acesta un „risc pentru drepturile și libertățile persoanelor”? Este acest risc mai mare decît, să spunem, că DPO de la firma X nu a răspuns la o solicitare sau că s-au transmis greșit 10 emailuri după ce s-a făcut migrarea unei noi aplicații?

Durata de indisponibilitate de peste 3 săptămîni face inevitabilă întrebarea: a avut ANCPI într-adevăr capacitatea prevăzută de art. 32 alin. (1) lit. c) GDPR de a „restabili disponibilitatea datelor cu caracter personal și accesul la acestea în timp util”?

Dar cum am scris la început, rîndurile și întrebările mele sînt retorice…..GPDR este….despre hîrtii…

Avem o lege națională care face distincție între sectorul privat și cel public…deși Regulamentul european impunea ca ”în cazul unor încălcări grave ale prezentului regulament, statele membre ar trebui să pună în aplicare un sistem care să prevadă sancțiuni eficace, proporționale și disuasive”…Care or fi sancțiunile disuasive pentru insituțiile publice?

Atît putem în acest moment. Speranța este în viitor.