Înainte de a aborda acest subiect, mulțumesc domnului Ovidiu Slimac, expert în achiziții publice, pentru studiul de caz care a fundamentat acest articol: „Caietul de sarcini care păzește procedura de … ofertanți”. Analiza sa asupra disfuncțiilor sistemice din achizițiile publice arată de ce rigoarea administrativă și ingineria de securitate trebuie tratate, întotdeauna, împreună, și nu separat.
Subiectul acestui articol s-a conturat în urma unei discuții telefonice purtate într-o seară cu un prieten apropiat, expert în securitate cibernetică și fondator al unei firme de consultanță specializate în evaluări de risc, răspuns la incidente și conformitate. Îl cunosc de mulți ani drept o persoană echilibrată, greu de perturbat de mize comerciale. De data aceasta însă, exasperarea lui era evidentă. Parcursese pentru a treia oară caietul de sarcini al unei licitații și ajunsese la aceeași concluzie inevitabilă: cerințele tehnice formulate de beneficiar erau imposibil de îndeplinit în cadrul arhitecturii descrise în documentație. Nu vorbeam despre o execuție dificilă sau costisitoare, ci despre un absurd tehnic absolut. Rezultatul? A ales să nu mai depună ofertă.
Miezul problemei și sursa principalei sale frustrări a fost un fapt revoltător: caietul de sarcini fusese scris, evident, cu inteligența artificială. Formulările sterile, simetria artificială a cerințelor și aglomerarea de concepte tehnice aruncate la întâmplare, fără vreo arhitectură coerentă, indicau clar lipsa oricărei intervenții umane calificate. Documentul a fost asamblat de cineva care nu înțelegea domeniul. Prietenul meu a tras o concluzie scurtă și radicală: funcționarul respectiv nu a știut ce să ceară algoritmului și nu a putut valida ce i-a generat ecranul. A dat copy-paste, a aranjat pagina și și-a pus semnătura. Prin această practică, responsabilitatea de a descifra un document aberant a fost transferată fără nicio reținere către piață, prin procesul de clarificări.
Am închis telefonul cu o senzație apăsătoare de deja-vu, conștient că povestea era, de fapt, din propria mea curte. Înlocuiți securitatea cibernetică cu securitatea fizică și veți obține exact același scenariu, până la ultima virgulă.
Deși caietul de sarcini este adesea tratat ca o simplă formalitate administrativă, în practică, această abordare reprezintă o eroare strategică fundamentală. Specificațiile tehnice nu pot fi un exercițiu mecanic de copy-paste din proceduri vechi, ci trebuie să rezulte dintr-o analiză riguroasă a riscurilor reale. În securitate, fie că vorbim de paza infrastructurilor critice sau de protecția rețelelor IT, caietul de sarcini este chiar fundația rezilienței organizaționale.
A scrie o documentație superficială nu înseamnă doar risipă de buget, înseamnă expunerea continuității afacerii, vulnerabilizarea datelor și, sub noul cadru legislativ european, punerea în pericol a libertății de decizie a conducerii. Până la urmă, ce cumpărăm când achiziționăm securitate fizică sau cibernetică? Nu ore de pază și nici licențe software generice, ci protecția măsurabilă a oamenilor, activelor și proceselor de business. Când aceste repere lipsesc, îi cerem furnizorului să pună un preț pe o soluție pe care noi înșine nu am știut să o definim. Aici devine esențial rolul unui consultant independent: el este cel care traduce riscurile tehnice în limbajul strategic al conducerii, transformând o cerință vagă într-un plan de protecție real și funcțional.
Capcana ambiguității, „halucinațiile” inteligenței artificiale și valoarea expertizei umane
Trăim o perioadă în care presiunea timpului și lipsa de personal specializat împing adesea departamentele de achiziții să caute scurtături. Una dintre cele mai noi și mai periculoase scurtături este delegarea redactării caietelor de sarcini către instrumente de inteligență artificială (IA) generativă, fără a aplica un filtru tehnic, juridic și operațional riguros. Acest filtru lipsește tocmai din cauza aceleiași deficiențe de personal specializat: personalul care formulează cerințele către IA nu știe întotdeauna precis ce anume trebuie să solicite, iar apoi nu poate evalua critic ceea ce aceasta generează, acceptând rezultatul ca fiind corect fără o verificare tehnică reală.
Cazul povestit la începutul articolului nu este, din păcate, o excepție nefericită, ci tinde să devină un tipar. Experții companiilor furnizoare de servicii de securitate fizică și/sau cibernetică semnalează tot mai des același lucru: caiete de sarcini care cumulează cerințe complet nerealiste, imposibil de implementat în contextul tehnic pe care documentația însăși îl descrie.
Este adevărat că IA aduce o eficiență remarcabilă în documentare, putând reduce timpul de redactare a unui draft cu 80-90% și oferind structuri și sinteze rapide, dar cu toate acestea, IA nu vizitează obiectivul fizic, nu măsoară unghiurile moarte ale camerelor video, nu înțelege fluxurile de personal dintr-o instituție și nu poate valida fezabilitatea unor sisteme complexe de rețea. Consecința utilizării exclusive a IA este apariția unor documentații care suferă de veritabile „halucinații administrative”.
Spre deosebire de algoritmi sau de simpla copiere a unor specificații vechi, un consultant de securitate independent analizează contextul organizațional, procesele interne și cultura de securitate (sau lipsa ei). Absența acestei analize produce fișe de post care cumulează atribuții incompatibile: sarcini de securitate fizică, precum patrularea perimetrului, monitorizarea permanentă a ecranelor sistemelor de detecție video, verificarea presiunii instalațiilor și controlul accesului auto, alături de sarcini de securitate cibernetică, precum administrarea rețelelor complexe sau intervenția la incidente informatice. Nicio persoană nu poate acoperi simultan, la un nivel profesional adecvat, ambele seturi de competențe.
Efectul în piață: selecția adversă și exilul profesioniștilor
Ce se întâmplă atunci când o astfel de documentație ambiguă și nerealistă ajunge în piață, de exemplu pe platforme precum SEAP/e-licitatie.ro? Reacția firească a unui operator economic serios este să solicite clarificări pentru a înțelege ce se dorește de la el. În situația în care autoritatea oferă răspunsuri evazive, iar cerințele rămân matematic și operațional imposibil, companiile profesioniste se trezesc în fața unei decizii de business extrem de dure: asumarea unui contract dezechilibrat sau retragerea..
Puse în fața unei aberații tehnice, firmele profesioniste au de ales între a-și asuma un proiect falimentar sau a spune pas. Prima variantă înseamnă să includă în preț toate costurile ascunse de stângăcia caietului de sarcini, caz în care vor pierde garantat în fața celor care licitează nesăbuit prețul cel mai scăzut. A doua variantă, pe care o văd tot mai des la operatorii de elită, este retragerea directă.
Acești furnizori refuză să semneze o ficțiune tehnică pentru că au în spate costuri reale, personal angajat legal, audituri de conformitate și un nume în piață. Ei nu își pot permite riscul de a eșua în execuție doar pentru a bifa un contract. Să licitezi pe cerințe despre care știi sigur că sunt irealizabile nu este doar o strategie de business neinspirată, ci o lipsă de etică profesională.
Rolul clarificărilor ar trebui să fie strict explicativ: să detalieze o cerință deja existentă, nu să inventeze, prin răspunsuri succesive, cerința care lipsea de la bun început. În absența unui document fundamentat, însă, clarificările depășesc acest rol și ajung să suplinească informal lipsurile caietului de sarcini inițial.
Această deviere, acumulată prin succesiunea de întrebări și răspunsuri care modifică substanțial soluția tehnică, produce în realitate trei caiete de sarcini distincte: cel publicat inițial, cel rezultat din asamblarea clarificărilor și cel invocat de autoritate în etapa executării, ca fiind “de la sine înțeles”. Ultima variantă este întotdeauna cea mai periculoasă pentru un furnizor, pentru că transformă execuția dintr-un proces tehnic riguros într-o sursă neîntreruptă de litigii și pierderi financiare.
Un caiet de sarcini conceput prost funcționează ca un filtru invers: îndepărtează experții și lasă calea liberă oportuniștilor dispuși să liciteze fără o evaluare tehnică riguroasă, bazându-se pe o toleranță extremă la ambiguitate și risc. Implicarea consultanței de specialitate înainte de lansarea achiziției elimină această problemă. Când specificațiile tehnice sunt ancorate în evaluări de risc reale, piața răspunde cu soluții serioase, transparente și comparabile. O organizație responsabilă își definește clar cerințele de la început, în loc să transforme licitația într-un experiment scump pe banii și pe siguranța propriilor active.
Noua paradigmă a securității: abordarea „All-Hazards” și reziliența mediului construit
Astăzi, securitatea fizică și cea cibernetică nu mai pot fi tratate ca domenii izolate, într-o manieră compartimentată. Convergența amenințărilor impune adoptarea unei abordări de tip „All-Hazards” (multi-risc), în care o vulnerabilitate din planul fizic poate fi exploatată direct printr-un atac cibernetic, la fel cum o breșă cibernetică se poate traduce rapid în consecințe fizice directe.
Această filozofie operațională este ancorată ferm în aplicarea complementară a directivelor europene: Directiva CER (Critical Entities Resilience) pentru reziliența infrastructurilor fizice și Directiva NIS2 pentru spațiul digital. Un atac cibernetic asupra sistemelor operaționale (OT), care controlează climatizarea, supapele sau accesul fizic, poate avea consecințe catastrofale în lumea fizică, de la distrugeri de echipamente până la poluare accidentală sau chiar vătămarea persoanelor.
Securitatea fizică, CPTED și soluțiile integrate
Pentru a construi un caiet de sarcini valid în securitatea fizică, punctul de plecare legal este analiza de risc la securitate fizică, realizată de un evaluator înregistrat în Registrul Național al Evaluatorilor de Risc Securitate Fizică (RNERSF) și care, uneori se recomandă ca fiind independent. În practică, această independență este, de regulă, doar declarativă: mulți dintre acești evaluatori sunt angajați sau acționari în companii care prestează servicii de securitate fizică, exact domeniul pe care ar trebui să îl evalueze fără niciun conflict de interese.
Independența reală rămâne, în acest context, apanajul consultantului de securitate, singurul actor care poate și trebuie să o garanteze, tocmai pentru a evita conflictul de interese descris mai sus. Rolul consultantului nu se oprește, așadar, la simpla bifare a unei obligații legale: dacă o companie se confruntă cu creșterea furturilor, abordarea tradițională, lipsită de viziune, ar fi doar instalarea mai multor camere și angajarea mai multor agenți.
În practică, cerințele unui caiet de sarcini pentru securitatea fizică se opresc, de cele mai multe ori, la concluziile unei analize de risc la securitate fizică realizate strict conform prevederilor legale. Un consultant profesionist depășește acest nivel: va examina sistemele de motivare a angajaților, va studia designul spațiului și iluminatul și va dezvolta o soluție integrată, ancorată în principiile CPTED (Crime Prevention Through Environmental Design): proiectarea mediului înconjurător, gestionarea amplasamentelor și utilizarea inteligentă a mediului construit reduc criminalitatea și sentimentul de nesiguranță.
O proiectare sau o modificare arhitecturală corectă descurajează natural comportamentele infracționale, reducând dependența exclusivă de agenți și camere suplimentare. Aceeași abordare mută securitatea dintr-un șir de reacții punctuale într-o strategie proactivă, cu beneficii financiare pe termen lung, atât pentru sectorul public, cât și pentru cel privat. CPTED devine astfel un subset critic al întregului ansamblu de măsuri preventive, care integrează arhitectura, evaluarea riscului și ingineria securității într-un singur demers coerent.
Tsunami-ul legislativ: Directiva NIS2
La nivelul securității cibernetice, cadrul de reglementare din România a trecut printr-o transformare profundă odată cu transpunerea Directivei NIS2 prin OUG 155/2024, reglementare consolidată și extinsă ulterior prin Legea 124/2025. Vorbim despre câteva mii de companii din domenii critice precum energia, sănătatea, transporturile, sectorul financiar și administrația publică, entități care au acum obligația legală de a implementa măsuri stricte de securitate cibernetică. Pentru aceste organizații, securitatea informatică nu mai este un proiect opțional gestionat de departamentul IT, ci o condiție directă de funcționare și de conformitate.
Cum ne asigurăm că un furnizor de servicii IT nu devine cea mai mare vulnerabilitate de securitate a organizației noastre? Răspunsul stă în modul în care proiectăm achizițiile de la bun început. Noul cadru legal obligă companiile să evalueze riguros securitatea întregului lanț de aprovizionare, de la codul software achiziționat până la platformele cloud partenere.
Prețul neobișnuit de scăzut: declarațiile nu țin loc de probe
Mecanismul de formare a prețului în achizițiile de securitate, și nu numai, este locul unde se văd cel mai repede consecințele unei documentații prost scrise. Criteriul „prețul cel mai scăzut” este valid numai atunci când concurenții ofertează exact aceeași soluție tehnică, pe baza unui caiet de sarcini riguros redactat și lipsit de ambiguități. Când caietul de sarcini este ambiguu, prețul cel mai mic nu reflectă o eficiență operațională a furnizorului, ci doar nivelul de risc pe care acesta a ales să îl ignore în faza de licitație pentru a câștiga contractul.
Pragul de 80% din valoarea estimată, sub care se declanșează mecanismul de investigare a prețului neobișnuit de scăzut, este fixat de art. 136 alin. (4) din HG nr. 395/2016, iar obligația autorității de a solicita clarificări decurge din art. 210 din Legea nr. 98/2016. O analiză a firmei de consultanță juridică Elvetic asupra a 656 de decizii CNSC și hotărâri ale curților de apel, pronunțate în principal între 2021 și 2026, confirmă o regulă de aur consecventă în această jurisprudență: declarațiile nu țin loc de probe.
Aceeași analiză scoate la iveală două nuanțe mai puțin cunoscute ale pragului de 80%. Pe de o parte, pragul este interpretat strict: o ofertă la 79,99% din valoarea estimată nu declanșează regimul prețului neobișnuit de scăzut, potrivit unei decizii din 2026 a Curții de Apel Galați. Pe de altă parte, verificarea elementelor individuale de preț, întemeiată pe art. 136 alin. (1) din aceeași hotărâre de guvern, operează autonom, independent de acest prag: chiar o ofertă la 95% din valoarea estimată poate fi respinsă pentru un singur element nesustenabil, iar depășirea pragului de 80% nu scutește autoritatea de obligația de a analiza acele elemente atunci când există indicii concrete de subevaluare.
Convingerea autorității contractante cu privire la sustenabilitatea unui preț ofertat trebuie să se bazeze pe documente obiective și calcule matematice demonstrabile, nu pe simple angajamente. Un consultant de securitate independent oferă instrumentele de pre-calculație și auditare necesare comisiei de evaluare pentru a depista imediat justificările neconforme, cum ar fi:
- Prezentarea costurilor manoperei într-o manieră generică, ascunzând cotarea ilegală la valoarea zero a sporului de noapte.
- Fundamentarea prețului pe posibile viitoare subvenții de stat incerte.
- Cotarea transportului sau a logisticii cu valori derizorii.
Corectitudinea aritmetică a unui tabel de costuri este o condiție necesară, dar nu suficientă, pentru validarea unei oferte de servicii de securitate. Fiecare dintre neregulile enumerate mai sus (manopera subevaluată, subvenția incertă, transportul cotat derizoriu) poate produce, prin simplă însumare, un total corect din punct de vedere matematic. A accepta, însă, o ofertă doar pentru că acest total „se închide” este, prin urmare, o invitație la dezastru.
Responsabilitatea organelor de conducere: limitele delegării
Una dintre cele mai mari iluzii în managementul instituțional este ideea externalizării sau dispersiei responsabilității. Afirmații precum „s-a folosit un draft de anul trecut” sau „textul a fost generat de IA pentru eficiență” nu funcționează ca declarații de exonerare în fața unui audit sau a autorităților de reglementare, din două motive distincte. Din punct de vedere legal, Legea 98/2016 tratează asumarea răspunderii ca principiu nedelegabil: sursa materialului (un draft vechi sau un instrument de IA) nu schimbă cine răspunde pentru conținutul final. Din punct de vedere procedural, lipsa trasabilității și a verificării profesionale constituie ea însăși constatarea de audit, indiferent de modul în care a fost produs documentul.
Legea 98/2016 stabilește principiul răspunderii în achiziții; OUG 155/2024 și Legea 124/2025 (pachetul legislativ NIS2) îl duc, pentru top management, o treaptă mai departe. OUG 155/2024 instituie o paradigmă de „C-Suite Liability” (răspundere la cel mai înalt nivel de conducere), prin care organele de conducere aprobă și supraveghează măsurile de securitate cibernetică și răspund direct pentru încălcarea acestor obligații.
Sancțiunile posibile sunt substanțiale: amenzi de până la 10 milioane de euro sau 2% din cifra de afaceri pentru entitățile esențiale, respectiv 7 milioane de euro sau 1,4% pentru cele importante, la care se pot adăuga măsuri complementare precum interdicția temporară de a ocupa funcții de conducere, atunci când executivul eșuează în implementarea corectă a măsurilor de securitate cibernetică.
În acest context, colaborarea cu un consultant de securitate calificat (Cod COR: 242113) nu este o simplă opțiune de eficientizare a procedurilor de achiziție, ci un mijloc concret de protecție a conducerii față de riscurile tocmai descrise, amenzile de milioane de euro și interdicția de a ocupa funcții de conducere. Consultantul preia sarcina complexă a evaluării riscurilor, consiliază în alegerea și implementarea măsurilor de control și redactează rapoarte profesionale de securitate care protejează juridic și operațional conducerea organizației.
Recomandări practice
Caietul de sarcini este documentul fundamental al oricărei colaborări comerciale solide, fie ea între companii private, adică de tip B2B (business-to-business), fie între o companie și o autoritate publică, adică de tip B2G (business-to-government). Anularea procedurilor, contestațiile prelungite, exilul ofertanților calificați, răspunderea personală a conducerii sub pachetul legislativ NIS2 și colapsul operațional dintr-o vulnerabilitate fizică sau cibernetică netratată pornesc, toate, din același loc: un caiet de sarcini insuficient fundamentat. Prevenirea lor cere un singur lucru: integrarea expertizei profesionale independente încă din faza de pregătire a achiziției, nu ca o corecție ulterioară.
Iată câteva recomandări esențiale:
- Independența consultantului contează: Un consultant cu specializare de “consultant de securitate” recunoscută național (cod COR: 242113) și european (ESCO, Code: 5414.1.9) evită improvizațiile și propune soluții ancorate în realitatea operațională a organizației dumneavoastră, nu soluții generice.
- Analiza de risc precedă achiziția, nu invers: Caietul de sarcini este instrumentul juridic prin care se implementează măsurile unei analize de risc la securitate fizică și ale unui audit de securitate cibernetică, nu punctul lor de plecare.
- IA structurează textul, nu judecata: Responsabilitatea cerințelor rămâne a experților umani care le validează. În fața unui control, a unei instanțe sau a DNSC, răspunde persoana care a semnat documentul, nu instrumentul folosit pentru redactare.
- CPTED reduce dependența de paza umană: Remodelarea inteligentă a mediului construit reduce oportunitățile infracționale și, odată cu ele, nevoia costisitoare de personal de pază suplimentar.
- Guvernanța securității revine conducerii: Responsabilitatea finală în caz de criză revine direct conducerii, potrivit noilor reglementări NIS2.Procesele de achiziție trebuie să vizeze conformitate reală, cu standarde atestate precum ISO/IEC 27001 în lanțul de aprovizionare.
Într-un mediu în care riscurile fizice și cele cibernetice converg inevitabil, iar răspunderea juridică și operațională revine direct conducerii, un sistem de securitate eficient nu începe odată cu montarea echipamentelor. El se construiește mult mai devreme, prin gândirea riguroasă a profesionistului care redactează primul paragraf din caietul de sarcini. Integritatea și succesul unei achiziții depind direct de competența și etica factorului uman.
Indiferent dacă procesele dumneavoastră de securitate sau documentațiile de atribuire au nevoie de o revizuire la standarde de excelență, sau dacă vă pregătiți pentru alinierea la cerințele riguroase ale ISO/IEC 27001 și ale OUG 155/2024 (NIS2), expertiza unui consultant de securitate independent rămâne elementul care face diferența.
Vă invit să explorăm împreună soluții integrate de consultanță, auditare și proiectare a sistemelor de securitate fizică și cibernetică, perfect calibrate pe realitatea operațională a organizației dumneavoastră. În calitate de consultant independent, ofer o perspectivă obiectivă, neafectată de interese comerciale de furnizor, orientată exclusiv spre protejarea activelor și optimizarea investițiilor. Mă puteți contacta direct la adresa ion@ioniordache.com.
Surse de informare
- Caietul de sarcini care păzește procedura de … ofertanți, by Ovidiu Slimac
- Inteligența Artificială în Achizițiile Publice: Revoluția Documentației Costul Ascuns al Inovării și Conexiunea cu Noul Cadru de Reglementare Digital al UE – Revista Patronatului Roman, https://revistapatronatuluiroman.ro/inteligenta-artificiala-in-achizitiile-publice-revolutia-documentatiei-costul-ascuns-al-inovarii-si-conexiunea-cu-noul-cadru-de-reglementare-digital-al-ue/
- ENDURANCE – DNSC, https://www.dnsc.ro/pages/proiect-endurance
- DECIZIE pentru aprobarea standardului de pregătire a membrilor organelor de conducere ale entităţilor esenţiale şi importan – DNSC, https://www.dnsc.ro/vezi/document/proiect-decizie-dnsc-certificari-de-securitate-cibernetica
- UNIVERSITATEA ALEXANDRU IOAN CUZA din IASI, https://www.uaic.ro/wp-content/uploads/2017/12/caiet-de-sarcini-revizuire-analiza-risc.pdf
- Securitate Preventivă – Prevenirea Criminalității prin Proiectarea Mediului Înconjurător (I),https://ioniordache.com/securitate-preventiva-prevenirea-criminalitatii-prin-proiectarea-mediului-inconjurator-i/
- Legea 124/2025 pentru aprobarea Ordonanţei de urgenţă a Guvernului nr. 155/2024, https://www.dnsc.ro/pagini/legislatie-nis2
- Securitatea cibernetică: cadru național consolidat – Voicu & Asociații SCA, https://www.vf.ro/ro/legal-alert-july-2025/
- Prețul neobișnuit de scăzut: ce înseamnă o justificare „concludentă”? | Blog Elvetic, https://www.elvetic.ro/ro/blog/pretul-neobisnuit-de-scazut-justificare-concludenta
- NIS2 în România (OUG 155/2024): ghidul complet pentru 2026, https://clearsecurity.vision/ro/blog/2026-07-08-nis2-romania-ghid-complet/
- Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune, de modificare a Regulamentului (UE) nr. 910/2014 și a Directivei (UE) 2018/1972 și de abrogare a Directivei (UE) 2016/1148 (Directiva NIS 2) (Text cu relevanță pentru SEE), https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=ro
- Security Consultant for ISO Systems, https://ioniordache.com/