În episodul anterior al acestei serii am urmărit cum China, Statele Unite și Uniunea Europeană își reconstruiesc, fiecare în felul ei, arhitectura securității fizice în jurul inteligenței artificiale. Acest episod aduce discuția acasă: cum arată, prin comparație, cadrul legal românesc — și, mai important, ce spun incidentele reale din ultimii ani despre distanța dintre lege și teren.

Contrastul este, la o privire lipsită de complezență, brutal.

O lege gândită pentru era centralelor cu fir

Cadrul legal fundamental al evaluării de risc la securitate fizică din România — Legea nr. 333/2003 privind paza obiectivelor, bunurilor, valorilor și protecția persoanelor, alături de Normele metodologice aprobate prin H.G. nr. 301/2012 — a fost gândit într-o epocă în care „sistem electronic de securitate” însemna, în esență, o centrală de alarmă cu fir, câteva detectoare de mișcare și un dispecerat telefonic.

Legea are, la acest moment, peste două decenii. Normele metodologice de aplicare, peste un deceniu. Niciunul dintre cele două acte normative nu menționează, măcar tangențial, inteligența artificială, identitățile non-umane, integrarea cloud sau riscul cibernetic asociat unui sistem electronic de securitate — deși acesta din urmă este, în 2026, arhitectura implicită a oricărui sistem nou instalat.

Nu este doar o chestiune de eleganță legislativă. Este un decalaj practic: evaluatorul de risc este obligat să raporteze la o anexă de cerințe minime gândită pentru o generație tehnologică depășită, în timp ce proiectantul și instalatorul lucrează, în teren, cu echipamente ale căror vulnerabilități reale se află exact în stratul digital pe care legea nu-l reglementează.

O.U.G. nr. 37/2026: recunoaște problema, dar nu o rezolvă

La 4 mai 2026, Guvernul României a adoptat Ordonanța de urgență nr. 37/2026 pentru modificarea și completarea Legii nr. 333/2003, intrată în vigoare la 6 mai 2026. Printre argumentele invocate pentru caracterul de urgență al ordonanței figurează exact temele descrise mai sus: accelerarea tehnologică, apariția inteligenței artificiale și expunerea tot mai mare a infrastructurilor de securitate la riscuri cibernetice.

Este, în sine, un moment de validare — pentru prima dată, un act normativ românesc din domeniul pazei recunoaște explicit, în expunerea de motive, această presiune tehnologică.

Numai că distanța dintre recunoașterea declarativă și conținutul normativ efectiv este considerabilă. O lectură articol cu articol arată o listă de modificări exclusiv organizatorice și procedurale:

• categorii noi de pază cu efective de jandarmi (proximitate, temporară, permanentă);
• restrângerea obligativității avizului de poliție pentru planul de pază, doar la obiectivele cu pază înarmată;
• un registru național de înregistrare a evaluatorilor de risc, cu interdicția de a evalua obiective cu care propria firmă are relații contractuale;
• cazuri noi în care poliția poate anula o analiză de risc întocmită eronat sau fără inspecție efectivă;
• un prag minim de trei agenți de pază (cel puțin unul înarmat) pentru transporturile de valori în interiorul localităților;
• reguli privind uniformele, siglele și interdicția purtării măștii de către personalul de pază.

Ce lipsește complet din ordonanță

În peste 25 de puncte de modificare, niciun articol nu reglementează componenta digitală a sistemelor electronice de securitate: nicio mențiune despre conectivitate cloud, despre securitatea cibernetică a centralelor de alarmă conectate la rețea, despre criteriile de evaluare a riscului asociat AI integrate în camerele video sau despre identitățile non-umane care operează deja o parte semnificativă a echipamentelor instalate.

Interesant este și termenul stabilit prin dispozițiile finale ale ordonanței: Guvernul are obligația ca, până la 4 august 2026, să actualizeze „în mod corespunzător” Normele metodologice din 2012. Formularea sugerează o simplă armonizare structurală cu noile categorii introduse — nu o oportunitate de a introduce o metodologie de evaluare a riscului digital. Coincidența de calendar este greu de ignorat: termenul cade la doar două zile după 2 august 2026, data la care AI Act-ul european devine integral aplicabil pentru sistemele cu risc ridicat.

Consecința practică: evaluatorul de risc rămâne obligat să raporteze la o anexă care nu recunoaște riscul digital ca variabilă de evaluare; proiectantul nu are niciun reper normativ care să-i impună documentarea arhitecturii de rețea sau a dependențelor cloud; instalatorul nu este obligat, prin nicio normă tehnică, să securizeze componentele conectate; iar beneficiarul final rămâne expus unui risc pe care legea încă nu-l denumește — dar pe care îl va suporta integral, în bani și în bunuri, în momentul în care un incident își are originea nu în gard sau lacăt, ci în stratul digital al propriului sistem de protecție.

Cinci incidente care arată exact unde se rupe lanțul

Cazuistica ultimilor ani din România oferă exemple concrete în care fisura nu a fost în perimetrul fizic, ci în operarea sau proiectarea sistemului de securitate — exact zona pe care o analiză de risc actualizată ar trebui să o acopere.

1. Iași, septembrie 2024. Într-o sucursală bancară, un atacator mascat, având asupra sa un obiect asemănător unei arme, a amenințat angajații și a cerut bani. Alerta la 112 a fost transmisă abia la 40 de minute după incident, iar butonul de panică nu a fost acționat. Un eșec de procedură operațională a beneficiarului, nu de echipament.

2. Călărași, decembrie 2024. Un jaf armat asupra unei sucursale bancare a durat, potrivit imaginilor de supraveghere, aproximativ 40 de secunde — interval în care autorul a amenințat angajații și a părăsit incinta cu o sumă importantă de bani. Durata extrem de scurtă pune sub semnul întrebării eficiența reală a măsurilor de temporizare.

3. Cluj-Napoca — jaful de la Banca Transilvania. Un incident de referință în istoria securității bancare românești. Autoritățile au criticat public absența unui sistem dublu de uși („mantrap”) la unitatea vizată. Banca a susținut că nivelul de securitate implementat era standard pentru sector — un argument care expune, el însuși, o problemă structurală: „standardul de sector” poate fi sistemic insuficient dacă analiza de risc individuală a fiecărui obiectiv nu îl corectează.

4. Sibiu, noiembrie 2023. Un antreprenor a fost atacat în propria locuință de trei persoane mascate, care au recurs la violență fizică și au amenințat cu o armă membrii familiei acestuia. Cazul arată limitele unei analize de risc reziduale care nu a anticipat un profil de amenințare personalizat.

5. Poșta Mare Timișoara, mai 2025 — primul caz de bruiaj RF confirmat în România. Trei persoane au pătruns prin efracție în sediul central al Poștei Române din Timișoara și au sustras aproape 9,47 milioane de lei destinați plății pensiilor. Pentru a neutraliza alarma, infractorii au folosit un dispozitiv de bruiaj RF cu 16 antene, de proveniență chineză, cumpărat online — deși importul, deținerea și utilizarea unor astfel de dispozitive sunt interzise în România prin H.G. nr. 740/2016.

Bruiajul a funcționat tehnic impecabil: alarma nu s-a declanșat. Autorii au fost prinși totuși la scurt timp — nu printr-o breșă a planului lor tehnic, ci printr-un control de rutină al Poliției Rutiere, complet independent de sistemul electronic de securitate al obiectivului. O anchetă ulterioară a stabilit și complicitatea unei angajate a Poștei.

Este primul caz public din România în care bruiajul RF, folosit ca instrument de neutralizare a alarmelor pe piețele americană și britanică, este confirmat, cu succes tehnic, pe teritoriul național.

Ce ne spun, împreună, aceste cazuri

Primele patru incidente nu au fost cauzate de o tehnologie AI sau de o breșă tehnică sofisticată — sunt eșecuri de procedură, de instruire și ale unei metodologii de evaluare care nu a privit încă dincolo de gard. Al cincilea caz schimbă radical premisa: arată că tehnica de vârf documentată deja pe piețele occidentale — bruiajul RF — nu mai este un scenariu de import ipotetic pentru România, ci un eveniment deja produs, anchetat și sancționat definitiv.

Tocmai de aceea, decalajul normativ descris în acest articol este cu atât mai periculos: sistemele electronice instalate în ultimii ani integrează tot mai frecvent componente cloud și analiză video inteligentă, fără ca metodologia de evaluare a riscului, formarea profesională a evaluatorilor sau procedurile de operare ale beneficiarilor să fi fost actualizate pentru a acoperi această nouă suprafață de expunere — o suprafață care, în România, nu mai este teoretică.

Episodul următor al seriei va detalia mecanismele concrete de atac documentate pe plan internațional și implicațiile juridice ale acestui decalaj pentru profesia de evaluator de risc.

Autor: Lăzău Angelo — evaluator de risc la securitate fizică, World Class LA-INT&SECRSK Consultancy, înscris în Registrul Național al Evaluatorilor de Risc la Securitate Fizică (R.N.E.R.S.F.); fost Head of Security al unei entități NATO din România.