OANA GHEORGHIU A COMIS-O IAR? UN E-MAIL CĂTRE TOT STATUL ȘI UN TERMEN DE 15 ZILE FĂRĂ TEMEI INDICAT

Vicepremierul Oana Gheorghiu a confirmat că a trimis un mesaj electronic către aproximativ 150 de instituții centrale și către toate cele peste 3.000 de primării din România, solicitându-le să verifice și să implementeze măsuri de securitate cibernetică.

Demersul a fost declanșat după atacul ransomware care a paralizat sistemul informatic e-Terra al Agenției Naționale de Cadastru și Publicitate Imobiliară.

Necesitatea securizării sistemelor statului nu poate fi contestată. Atacul asupra ANCPI a fost real, grav și confirmat oficial. Problema care trebuie însă lămurită este alta:

În baza cărei competențe legale a stabilit cabinetul unui viceprim-ministru un termen de 15 zile pentru mii de instituții și autorități locale care nu se află în coordonarea sa?

Atacul asupra ANCPI este confirmat oficial

La 14 iulie 2026, ANCPI a constatat un acces neautorizat în infrastructura sa informatică. Investigația tehnică a confirmat existența unui atac de tip ransomware, în urma căruia atacatorii au criptat și au șters o parte din infrastructura de virtualizare care găzduia aplicațiile agenției.

Potrivit comunicării oficiale, baza centrală de date cadastrale nu ar fi fost afectată, însă sistemul e-Terra a rămas indisponibil mai multe zile, fiind necesară reconstruirea infrastructurii și migrarea aplicației în cloudul guvernamental. DNSC, STS și structurile Cyberint au fost implicate în intervenție și testare.

Prin urmare, transmiterea unor recomandări urgente către administrația publică era nu doar justificată, ci necesară.

Dar necesitatea unei măsuri nu înlocuiește obligația respectării competențelor legale.

Ce a cerut, concret, cabinetul vicepremierului

Mesajul atribuit cabinetului Oanei Gheorghiu și relatat în presa centrală le solicita conducătorilor instituțiilor:

• să verifice imediat implementarea recomandărilor STS și DNSC;

• să se înregistreze în registrul entităților esențiale sau importante administrat de DNSC;

• să desemneze un responsabil NIS;

• să transmită autoevaluarea anuală privind maturitatea măsurilor de securitate;

• să asigure instruirea conducerii și a personalului;

• să inițieze sau să finalizeze toate aceste acțiuni în termen de 15 zile calendaristice;

• să comunice stadiul implementării către DNSC.

Mesajul avertiza și că neconformarea ar putea atrage sancțiuni și, potrivit unei formulări gramatical incomplete reproduse de publicația inițială, „după caz, personală a conducerii”.

Oana Gheorghiu a confirmat ulterior chiar ea amploarea acțiunii:

„Am transmis un e-mail către 150 de instituții centrale și către toate cele peste 3.000 de primării din toată țara.”

Vicepremierul a precizat că a transmis măsurile descrise de STS și DNSC și că „întreg demersul a fost realizat cu sprijinul lor”.

Autenticitatea demersului nu mai este, așadar, în discuție.

Obligațiile există în lege. Termenul de 15 zile trebuie însă explicat

Legea nr. 124/2025 a aprobat, cu modificări, OUG nr. 155/2024, actul prin care România a instituit cadrul de securitate cibernetică aplicabil rețelelor și sistemelor informatice din spațiul civil.

Actul stabilește obligații pentru entitățile considerate esențiale sau importante, mecanisme de identificare și înregistrare, măsuri de gestionare a riscurilor, raportarea incidentelor și un sistem de sancțiuni.

Așadar, cabinetul vicepremierului nu a inventat obligația generală de conformare.

Ceea ce nu este indicat în mesaj este însă articolul de lege din care ar rezulta că toate cele peste 3.000 de primării trebuie să finalizeze simultan acțiunile enumerate într-un termen suplimentar de exact 15 zile, calculat de la primirea e-mailului.

Există o diferență juridică fundamentală între:

„Vă reamintim obligațiile legale și vă recomandăm să acționați urgent”

și:

„Vă solicit ca acțiunile să fie finalizate în termen de 15 zile.”

Prima formulare reprezintă o informare sau recomandare instituțională.

A doua are aparența unei dispoziții administrative, mai ales atunci când este însoțită de avertismente privind sancțiunile și răspunderea personală a conducerii.

Un cabinet de viceprim-ministru nu poate crea prin e-mail un termen legal nou și nici nu poate extinde regimul sancționator stabilit prin lege.

DNSC este autoritatea competentă, aflată în coordonarea prim-ministrului

Directoratul Național de Securitate Cibernetică este autoritatea națională competentă în materia securității cibernetice civile. DNSC se află în subordinea Guvernului și în coordonarea prim-ministrului, nu în coordonarea automată a oricărui viceprim-ministru.

Constituția stabilește că primul-ministru conduce Guvernul și coordonează activitatea membrilor săi, cu respectarea atribuțiilor acestora. Codul administrativ prevede, de asemenea, că atribuțiile viceprim-miniștrilor și eventuala coordonare a unor ministere sau domenii sunt stabilite în cadrul juridic aplicabil și prin deciziile prim-ministrului.

Prin urmare, dacă Oana Gheorghiu a fost mandatată de prim-ministru să coordoneze această acțiune națională, documentul de delegare sau dispoziția respectivă trebuie prezentată public.

Dacă nu există un asemenea mandat, comunicarea ar fi trebuit transmisă formal de:

• prim-ministru;

• Secretariatul General al Guvernului;

• DNSC, în calitate de autoritate națională competentă;

• sau, după caz, prin prefecți, pentru relația instituțională cu autoritățile administrației publice locale.

Faptul că raportarea solicitată urma să fie făcută către DNSC sugerează că acțiunea ar fi putut fi coordonată tehnic cu Directoratul. Dar această împrejurare nu clarifică cine a stabilit termenul de 15 zile și în ce bază legală.

Atribuțiile oficiale ale Oanei Gheorghiu nu menționează securitatea cibernetică

Prin Decizia prim-ministrului nr. 520 din 18 noiembrie 2025, Oana Gheorghiu a primit atribuția de a coordona procesul de elaborare și de a aviza proiectele de acte normative din domeniul reformei statului și eficientizării activității instituțiilor publice.

Totodată, ea avizează proiectele de acte normative cu impact bugetar elaborate de Ministerul Investițiilor și Proiectelor Europene și de Ministerul Educației și Cercetării și îl informează permanent pe prim-ministru asupra îndeplinirii acestor atribuții.

Decizia nu prevede explicit că vicepremierul:

• coordonează DNSC;

• coordonează STS;

• coordonează autoritățile administrației publice locale;

• poate dispune măsuri obligatorii primarilor;

• poate controla conformarea la legislația privind securitatea cibernetică;

• poate stabili termene administrative suplimentare;

• poate solicita raportări cu caracter obligatoriu din partea tuturor instituțiilor publice.

Este posibil ca securitatea digitală să fie considerată parte a reformei și eficientizării statului. Această interpretare poate justifica implicarea politică a vicepremierului, inițierea unor discuții sau transmiterea unor recomandări.

Nu este însă suficientă, singură, pentru a demonstra existența unei relații de subordonare sau a puterii de a emite ordine obligatorii către toate primăriile României.

Oana Gheorghiu numește dezbaterea „conspirație”, dar nu răspunde întrebării juridice

În reacția publică, vicepremierul a ironizat criticile, afirmând:

„Recunosc, sunt vinovată: am trimis un e-mail.”

Aceasta a susținut că scopul său a fost prevenirea unor atacuri asemănătoare celui care a afectat ANCPI și că întregul demers a fost realizat cu sprijinul STS și DNSC.

Explicația confirmă oportunitatea acțiunii, dar nu lămurește problema competenței.

Nimeni nu contestă dreptul unui vicepremier de a atrage atenția asupra vulnerabilităților informatice. Întrebarea este dacă mesajul a reprezentat:

1. o simplă recomandare politică;

2. o informare redactată împreună cu DNSC și STS;

3. o dispoziție transmisă în baza unui mandat al prim-ministrului;

4. sau o comandă administrativă formulată fără o delegare explicită.

În administrația publică, diferența nu este semantică. Ea stabilește dacă instituțiile erau doar îndrumate sau obligate juridic să respecte termenul de 15 zile.

Afirmația privind „rumoarea în sistem” nu este documentată

Publicația care a dezvăluit mesajul susține că acesta ar fi provocat „rumoare în sistem”.

În articol nu este însă identificat niciun conducător de instituție, primar, prefect, responsabil IT sau reprezentant DNSC care să confirme această reacție.

Nu este publicat niciun răspuns oficial de contestare a competenței vicepremierului și niciun document prin care o instituție să fi refuzat executarea solicitării.

În lipsa unor asemenea dovezi, „rumoarea” rămâne o caracterizare jurnalistică, nu un fapt verificat.

Episodul Schwarz Digits este real, dar nu dovedește automat o faptă ilegală

Articolul inițial readuce în discuție mesajele trimise în februarie 2026 către ADR și STS în legătură cu soluțiile oferite de compania Schwarz Digits.

Existența acelor mesaje a fost recunoscută de Oana Gheorghiu. Vicepremierul a susținut că a solicitat doar concluziile unor întâlniri exploratorii și că nu a recomandat atribuirea unui contract.

Purtătorul de cuvânt al Guvernului a declarat că întâlnirile fuseseră înscrise în Registrul Unic al Transparenței Intereselor și că în mesajele analizate nu era solicitată încheierea unui contract sau acordarea unui beneficiu companiei.

Prin urmare, formularea potrivit căreia Oana Gheorghiu „promova interesele unei firme private” reprezintă o interpretare jurnalistică și o acuzație contestată, nu un fapt stabilit definitiv de o autoritate judiciară.

Episodul ridică întrebări legitime privind conduita instituțională și neutralitatea în raport cu operatorii economici, dar nu poate fi folosit ca dovadă automată că și mesajul privind securitatea cibernetică ar fi fost nelegal.

Întrebările la care Guvernul trebuie să răspundă

Pentru închiderea corectă a subiectului, Guvernul, DNSC și cabinetul vicepremierului trebuie să comunice public:

1. Cine a redactat mesajul transmis celor peste 3.000 de primării?

2. DNSC și STS au avizat conținutul integral sau au furnizat numai ghidurile tehnice?

3. Cine a stabilit termenul de 15 zile calendaristice?

4. Care este temeiul juridic exact al acestui termen?

5. A existat o dispoziție sau o delegare din partea prim-ministrului?

6. Mesajul are caracter obligatoriu sau reprezintă doar o recomandare?

7. Ce instituție va verifica respectarea termenului?

8. Ce se întâmplă cu instituțiile care nu finalizează acțiunile în cele 15 zile?

9. Care sunt sancțiunile concrete și articolele de lege la care face referire mesajul?

10. De ce comunicarea nu a fost transmisă direct de DNSC, autoritatea națională competentă?

Scop legitim, procedură care trebuie clarificată

Oana Gheorghiu a intervenit într-o problemă reală și extrem de gravă. Statul român are sisteme informatice vulnerabile, copii de siguranță insuficient testate și instituții care tratează securitatea cibernetică drept o formalitate.

Transmiterea urgentă a unor recomandări nu este un abuz în sine.

Problema apare în momentul în care recomandarea capătă limbajul unui ordin: „vă solicit”, „în termen de 15 zile”, „neconformarea poate atrage sancțiuni” și „răspunderea personală a conducerii”.

În administrația publică, autoritatea nu se dobândește prin urgența situației și nici prin buna intenție a celui care intervine. Ea trebuie să rezulte din lege, dintr-o decizie a prim-ministrului sau dintr-o delegare explicită.

Până la publicarea unui asemenea mandat, concluzia corectă este următoarea:

Mesajul Oanei Gheorghiu urmărește un obiectiv legitim și invocă obligații legale reale, dar forma imperativă, termenul de 15 zile și transmiterea către autorități pe care vicepremierul nu le coordonează explicit ridică o problemă serioasă de competență administrativă.

Nu avem încă dovada unui abuz. Avem însă suficiente motive pentru a cere Guvernului să explice cine a dat ordinul, în baza cărei legi și cu ce consecințe juridice.