Există instituții ale statului a căror importanță devine vizibilă abia în ziua în care se opresc. Agenția Națională de Cadastru și Publicitate Imobiliară este una dintre ele. Atacul cibernetic care a paralizat sistemele ANCPI începând din 14 iulie 2026 a blocat extrasele de carte funciară, intabulările, creditele ipotecare și mii de tranzacții. În câteva ore, o piață de miliarde de euro a fost împinsă într-o criză economică, juridică și politică. Întrebarea esențială este cine răspunde atunci când vulnerabilitatea digitală a statului produce pierderi cetățenilor care și-au respectat toate obligațiile.
O bază de date s-a oprit, o piață întreagă a înghețat
La momentul redactării acestui articol, autoritățile nu au făcut publice concluziile anchetei tehnice și nici nu au atribuit oficial atacul unei anumite grupări.
Piața imobiliară depinde de un lanț în care fiecare verigă este legată de datele ANCPI. Fără extrasul de carte funciară pentru autentificare, notarul nu poate verifica situația juridică a proprietății. Fără contract, banca nu eliberează creditul. Fără finanțare, dezvoltatorul sau vânzătorul nu încasează prețul. O singură infrastructură informatică a oprit simultan vânzări, ipoteci, intabulări și livrări de locuințe noi.
Consecințele se propagă rapid. Dezvoltatorii își întârzie plățile către constructori, furnizorii așteaptă facturile, agențiile pierd comisioane, notariatele acumulează programări, iar cumpărătorii continuă să plătească chirii, dobânzi și taxe. Piața funcționează temporar prin amânări și acte adiționale, însă după două sau trei săptămâni amânarea începe să se transforme în pierdere.
Mii de familii pot plăti până la 14.000 de euro în plus
Cea mai gravă miză privește locuințele noi cumpărate cu TVA de 9%. Legea nr. 141/2025 permite unei persoane fizice să cumpere o singură locuință cu această cotă, dacă transferul proprietății are loc până la 31 iulie 2026. De la 1 august, cota urcă la 21%. Pentru cumpărătorii care au semnat antecontracte și și-au calculat bugetul la TVA redus, diferența poate ajunge la aproximativ 14.000 de euro.
Pentru o familie care și-a consumat economiile pentru avans și a ajuns la limita de îndatorare, această sumă poate face imposibilă achiziția. Notariatele nu vor putea procesa într-o singură zi toate tranzacțiile acumulate, chiar dacă sistemul revine înainte de termen. Mii de oameni riscă astfel să piardă facilitatea fiscală dintr-un motiv care nu le aparține. Unii vor apela la credite de consum, alții vor renunța la locuință, iar în cazurile cu clauze dure pot pierde avansurile sau pot plăti penalități.
Dezvoltatorii și antecontractele, următoarele verigi vulnerabile
Riscul depășește situația cumpărătorilor. Dezvoltatorii își construiesc fluxurile financiare pe baza unui calendar exact al vânzărilor. Banii încasați la predarea apartamentelor sunt folosiți pentru rambursarea creditelor, plata constructorilor și continuarea altor proiecte. Când zeci sau sute de contracte rămân nesemnate, fluxul de numerar se întrerupe. O companie solidă poate suporta câteva săptămâni, însă un dezvoltator foarte îndatorat sau o firmă mică poate intra rapid în incapacitate de plată.
Un val de rezilieri provocat de majorarea TVA ar readuce apartamentele pe piață, ar bloca avansuri și ar deschide litigii. Numeroase antecontracte prevăd termene fixe, pierderea avansului sau restituirea dublului acestuia. Instanțele ar putea fi chemate să stabilească dacă atacul reprezintă forță majoră, caz fortuit ori imposibilitate temporară de executare. Până la o hotărâre, economiile cumpărătorilor rămân blocate, iar firmele rămân fără lichidități.
Poate fi salvat termenul pentru TVA de 9%?
O soluție care ar răspunde preocupărilor de echitate fiscală ar fi prelungirea termenului de 31 iulie cu o perioadă care să acopere indisponibilitatea sistemelor. Termenul fiind stabilit prin lege, modificarea are nevoie de un act cu aceeași forță juridică, probabil prin intervenția Parlamentului într-o sesiune extraordinară.
Ministrul Economiei și Digitalizării, Irineu Darău, a recunoscut că perioada de blocaj nu poate fi ignorată. Măsura trebuie pregătită înainte de expirarea termenului și trebuie să protejeze cumpărătorii care pot demonstra că aveau antecontract valabil, documente pregătite și finanțare aprobată. Din perspectiva echității fiscale, este dificil de justificat ca statul să încaseze diferența de TVA de la persoane care nu și-au putut finaliza tranzacțiile din cauza indisponibilității propriilor sisteme.
Cum putea fi limitat atacul
Niciun sistem nu poate fi declarat imposibil de atacat. Diferența dintre un incident gestionabil și paralizarea unei instituții constă în reziliență: actualizări la timp, segmentarea rețelelor, controlul accesului, monitorizare continuă, copii de siguranță izolate și testate, centre alternative și proceduri clare de recuperare.
Oficiul Federal pentru Securitatea Informației din Germania recomandă actualizarea sistemelor, protejarea accesului la distanță, filtrarea e-mailurilor, restricționarea executării programelor și backup-uri care pot fi restaurate. ANCPI a anunțat că dispunea de copii de siguranță în mai multe locații și că bazele de date au rămas intacte. Aceasta protejează informația, însă nu rezolvă problema continuității serviciilor. O arhitectură redundantă și un plan testat de recuperare protejează funcționarea instituției.
Măsuri precum auditurile independente, testele periodice de penetrare, simulările de restaurare și arhitecturile redundante sunt recomandate în practicile internaționale pentru reducerea impactului unor astfel de incidente. În lipsa concluziilor anchetei tehnice, nu se poate stabili în ce măsură acestea existau sau ar fi limitat efectele atacului la ANCPI. Ministrul Darău a admis că agenția putea desfășura o prevenție mai intensă, motiv pentru care este necesar un audit public care să arate vulnerabilitatea exploatată, recomandările existente și cine trebuia să le aplice.
Europa trăiește de ani de zile aceeași amenințare
Atacul asupra ANCPI face parte dintr-un val mai larg. Pentru intervalul iulie 2024–iunie 2025, ENISA a analizat 4.875 de incidente cibernetice. În administrația publică, atacurile DDoS au fost dominante în 2024, grupările de hackeri generând aproape 63% dintre incidente. Breșele de date au reprezentat 17,4%, iar ransomware a rămas una dintre cele mai periculoase amenințări prin capacitatea de a opri instituții și de a compromite informații sensibile.
Administrația publică a devenit o țintă strategică. Registrele privind proprietățile, taxele, sănătatea sau companiile pot paraliza simultan economia și serviciile publice. Raportul IBM pentru 2024 a estimat costul mediu global al unei breșe de date la 4,88 milioane de dolari, cu 10% mai mult decât în anul precedent, iar pentru ransomware la aproximativ 4,91 milioane. În România, factura va include restaurarea sistemelor, orele pierdute, tranzacțiile suspendate, litigiile, penalitățile și diferențele de TVA. Pierderea încrederii poate costa mai mult decât refacerea serverelor.
Estonia, Marea Britanie și Germania au învățat lecția
Estonia a fost lovită în 2007, timp de 22 de zile, de o campanie care a afectat site-uri guvernamentale, servicii bancare, e-mail și presă. Atacul a devenit un moment de cotitură. Tallinnul și-a revizuit strategia, legislația, cooperarea instituțională și infrastructura de continuitate. Lecția estoniană este simplă: un stat digital trebuie să poată continua să funcționeze chiar în timpul atacului.
Marea Britanie a propus în 2025 interzicerea plății răscumpărărilor de către sectorul public și infrastructurile critice, alături de raportări mai stricte, pentru a reduce atractivitatea financiară a acestor ținte. În Germania, un incident ransomware descris de BSI a afectat aproximativ 20.000 de posturi de lucru din 72 de municipalități. Exemplul arată cât de ușor o infrastructură comună poate paraliza simultan zeci de administrații.
Cloudul Guvernamental și răspunderea ADR
După atac, ANCPI a început migrarea aplicațiilor în Cloudul guvernamental, sub coordonarea Serviciului de Telecomunicații Speciale. Măsura este necesară, însă ridică o întrebare evidentă: de ce o infrastructură critică a fost mutată în regim de urgență abia după incident?
Autoritatea pentru Digitalizarea României (ADR) prezintă implementarea cloudului și migrarea aplicațiilor publice printre principalele sale responsabilități. Cloudul nu securizează automat o aplicație vulnerabilă, dar poate oferi redundanță, monitorizare unitară și recuperare mai rapidă.
Andrei Niculae este vicepreședinte ADR din 30 decembrie 2022. La numire avea 23 de ani și era proaspăt absolvent de Științe Politice, experiența sa anterioară fiind în principal în comunicare publică. Numirea sa a generat întrebări în spațiul public privind experiența profesională necesară pentru exercitarea unei asemenea funcții. Totuși, responsabilitatea directă pentru securitatea și funcționarea sistemelor ANCPI aparține conducerii agenției și structurilor sale tehnice. Nu există temei public pentru atribuirea personală a atacului vicepreședintelui ADR. El are însă responsabilitatea politică și administrativă de a explica, împreună cu conducerea ADR și ministerul de resort, stadiul migrării instituțiilor, criteriile de prioritizare și rezultatele obținute.
Cine răspunde și cine plătește factura
Conducerea ANCPI trebuie să explice starea infrastructurii, auditurile, planul de continuitate și contractele de securitate. Furnizorii trebuie să arate ce au livrat și dacă obligațiile au fost respectate. ADR și ministerul trebuie să explice ritmul migrării sistemelor critice. Ancheta penală va urmări atacatorii, iar ancheta administrativă trebuie să îi identifice pe cei care aveau obligația să pregătească sistemul pentru atac.
Dacă termenul de 31 iulie nu este prelungit, statul, care nu a putut furniza serviciul necesar, va încasa o cotă de TVA mai mare de la persoanele pe care chiar el le-a împiedicat să încheie tranzacția. Aceasta ar fi o nedreptate fiscală evidentă. Cumpărătorilor care dovedesc că îndeplineau condițiile trebuie să li se păstreze dreptul la TVA de 9% pentru o perioadă rezonabilă după reluarea completă a serviciilor.
Lecția pe care România nu își mai permite să o ignore
Atacul asupra ANCPI este radiografia unui stat care a digitalizat procedurile mai repede decât și-a construit apărarea și continuitatea. România a mutat registrele și drepturile cetățenilor în sisteme informatice, dar a rămas în urmă la redundanță, recuperare, audit și asumarea răspunderii.
Adevărata întrebare nu este doar cine a lansat atacul, ci cine avea obligația să se asigure că atacul nu poate paraliza statul. Dacă totul se încheie cu restaurarea datelor și un comunicat, lecția va fi din nou ratată. Dacă mii de familii vor plăti TVA mai mare, își vor pierde avansurile sau vor renunța la locuințe, atacatorii vor fi provocat incidentul tehnic, iar statul român îl va transforma într-o chestiune financiară de importanță majoră. Serverele pot fi reconstruite. Încrederea în registrul proprietății și în capacitatea statului de a-și proteja cetățenii se recuperează mult mai greu.