Instalația s-a declanșat accidental și a distrus mare parte din echipamentele IT ale instituției. Pierderea nu a fost înregistrată în documentele contabile mai bine de un an, iar incidentul a deschis ușa pentru contracte atribuite pe repede-nainte, fără licitație.
"La data de 21.11.2024, la nivelul RAR - R.A. s-a produs un incident care a determinat deteriorarea unor echipamente în valoare de 14.634.373,50 RON, incident care nu a fost consemnat la momentul producerii, iar cuantumul pagubei nu s-a înregistrat în contabilitate, consemnarea și înregistrarea consecințelor urmând a fi efectuate după începerea controlului Corpului de control al M.T.I.(Ministerul Transporturilor și Infrastructurii - n.r.), respectiv, începând cu luna noiembrie 2025, la peste un an de la producerea evenimentului", se arată în documentul intrat în posesia News.ro.
Raportul explică și lungul șir de factori care au dus la producerea evenimentului. Mai întâi, documentul punctează că, în conformitate cu Ordonanța de Urgență nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil și Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, instituția avea obligația de a implementa "măsuri tehnice, operaționale și organizatorice proporționale și adecvate pentru a identifica, evalua și gestiona riscurile aferente securității rețelelor și a sistemelor informatice". Concret, soluțiile tehnice pe care societatea le alegea trebuiau să "nu primejduiască viața, bunurile și mediul". Raportul notează că s-a ales soluția utilizării unui sistem cu aerosoli despre care experții au concluzionat ulterior că "nu este adecvat pentru utilizare într-un data center". Constatările tehnice au relevat "o conduită administrativă defectuoasă" în amenajarea noului Centru de Date.
Decizia de a utiliza un sistem de stingere cu aerosoli a ignorat avertismentele specialiștilor și recomandările anterioare.
"În Nota de relații dată de D.B. (...) acesta a făcut mențiunea că, încă din 2015, "fostul manager IT, U.L. a întocmit un document prin care s-a propus un sistem de stingere cu gaz inert (...) dar nu s-a optat pentru această soluție, deoarece costul sistemului bazat pe gaz inert este mult mai mare". Deși cerințele tehnice inițiale solicitau agenți de stingere "curați și ecologici", conducerea a acceptat varianta cu aerosoli, deși "aerosolul nu este definit ca "agent curat"" și, în final, sistemul "nu a fost în măsură să asigure siguranța echipamentelor și evitarea producerii evenimentului din 21.11.2024".
Cronologia defecțiunilor și lipsa mentenanței, alte cauze ale incidentului
Investigația a stabilit că, timp de un an și opt luni, viciile instalației de climatizare au fost ignorate, fapt ce a contribuit direct la vulnerabilitatea Centrului de Date.
Astfel, la data de 23 februarie 2023, prin notificarea nr. 2632, conducerea RAR (Alina-Mihaela NIȚĂ) a solicitat societății Daclim HVAC SRL "remedierea în termen de 3 zile a instalației de climatizare defectă", după ce se constatase că există ventilatoare defecte și filtre colmatate. Patru zile mai târziu, la 27 Februarie 2023, este din nou consemnat oficial că "ventilatorul nr. 1 al instalației de climatizare [este] în continuare defect" și că instalația funcționează cu protecțiile de aer anulate.
Pe 24 Septembrie 2024, societatea Amteh M.R.S. constată că și "compresorul nr. 2 este defect", fiind necesară instalarea unor piese critice ("trape oil"), iar, pentru achiziția pieselor, este declanșată procedura de achiziție pe 15 Octombrie 2024. "În baza referatului, la data de 15.10.2024 a fost demarată procedura de achiziție directă din catalogul electronic, cod unic de achiziție DA36715232 - "înlocuire compresor echipament climatizare server, execuție trapă ulei și test aciditate" (anexa nr. 56), cu valoarea de 39.996 lei, fără TVA", se arată în document.
Pe 19 Noiembrie 2024 au loc lucrările de înlocuire a compresorului, într-un context de vulnerabilitate tehnică maximă.
Apoi, subliniază raportul, de la constatarea din februarie 2023 și până la data de 19.11.2024, "timp de un an și opt luni nu au fost identificate măsuri concrete de remediere și nici efectuarea mentenanței instalației de climatizare".
Declanșarea accidentală și impactul asupra echipamentelor IT
Raportul tehnic evidențiază o eroare de proiectare și mentenanță care a dus la compromiterea hardware-ului.
Auditorii notează că "montarea generatoarelor de aerosoli... a fost realizată sub podeaua flotantă care oprește circulația aerului", generând scoaterea din funcțiune a protecțiilor climei.
Așa că, la 21.11.2024, în urma declanșării accidentale, "praful alb eliberat din capsule ar fi pătruns în servere, în switch-urile de rețea și în componentele hardware". Aerosolul nu este un "agent curat" și poate "coroda componentele electronice în timp", compromițând funcționalitatea întregului Data Center.
Deși personalul a încercat să acționeze butoanele de oprire a sistemului, din cele 26 de capsule s-a eliberat o pulbere albă (praf) care a pătruns în servere, switch-uri de rețea și componente hardware, compromițând funcționalitatea întregului Data Center.
Incidentul a survenit în condițiile în care, la nivelul RAR, "nu a existat/identificat până la data de 21.11.2024... o analiză de risc/plan de securitate IT", ultima analiză fiind din anul 2020.
Consecințe financiare, contabile și administrative
Prejudiciul cauzat de incident este, conform auditului, de 14.634.373,50 RON (valoare de inventar) și ar fi fost gestionat cu încălcarea normelor legale de raportare - "paguba produsă... nu a fost înregistrată în contabilitatea regiei".
Raportul susține că, prin neconsemnarea în contabilitate a pagubei, la 31.12.2024, valoarea patrimoniului Registrului Auto Român a devenit nereală. Prin neînregistrarea pierderii, s-a raportat un profit artificial, ceea ce a dus la "diminuarea cuantumului profitului (vărsământului) cuvenit statului (90% din profitul regiei)".
consemnarea a început abia în noiembrie 2025, după demararea controlului ministerial.
Justificarea unor achiziții netransparente
Ulterior, conducerea RAR ar fi folosit acest incident - "generat de propria neglijență în asigurarea mentenanței"(după cum precizează raportul) - pentru a justifica o stare de "extremă urgență". Sub acest pretext, s-a apelat la o procedură de negociere directă, fără publicarea unui anunț de participare, pentru închirierea unei noi infrastructuri IT de la firma Aegeria Business Consulting S.R.L., valoarea totală a contractelor atribuite fiind de peste 10,6 milioane RON (fără TVA).
Responsabili și măsuri
Raportul arată și principalii responsabili pentru "neconformarea cu legislația în vigoare, neremedierea viciilor și neefectuarea unor lucrări de mentenanță" - conducerea executivă, reprezentată de Mihai ALECU, în calitate de Director General, și Alina NIȚĂ, în calitate de Director Economic. Lor li se impută că nu au respectat obligația de diligență și prudență a "unui bun proprietar" plus încălcarea art. 6 din Legea contabilității nr. 82/1991, care arată că pentru orice operațiune economico-financiară (...) se impunea a fi consemnată în momentul efectuării/producerii ei într-un document.
Raportul stabilește necesitatea recuperării prejudiciului și informarea autorităților statului.
"Situația reală permitea stabilirea vinovăției și identificarea persoanelor vinovate, astfel încât ar fi trebuit să se angajeze răspunderea", mai precizează documentul, iar RAR "ar fi trebuit să solicite recuperarea de la societatea Daclim HVAC S.R.L. a costului lucrărilor de remediere", subliniază documentul.
Nota a fost înaintată Ministerului Finanțelor Publice, pentru analiza constatărilor cu impact asupra vărsămintelor cuvenite statului și luarea măsurilor ce se impun și Agenției Naționale de Administrare Fiscală, pentru analiza constatărilor cu impact asupra impozitelor cuvenite bugetului statului.
REACȚIA DIRECTORULUI REGISTRULUI AUTO ROMÂN
Într-un răspuns la solicitarea News.ro privind oferirea unui punct de vedere legat de acuzațiile aduse conducerii Registrului Auto Român, directorul instituției, Mihai Alecu, precizează: "Raportul la care faceți referirea nu este un document public, iar ministerul nu a realizat o sinteză a acestui raport. Conducerea instituției analizează constatările primite prin Nota privind controlul tematic efectuat la RAR și formulează puncte de vedere justificate prin documente pentru fiecare aspect menționat în Raport. Documentul cu punctele de vedere ale Registrului Auto Român va fi înaintat către MTI și vă asigurăm că ulterior vom colabora cu toate instituțiile care au atribuții în clarificarea constatărilor făcute de Corpul de Control în acel document".
