Hackerii care descoperă breșe în sistemele instituțiilor publice vor fi recompensați financiar. Senatul a adoptat proiectul

Senatul a adoptat, luni, un proiect de lege care permite Directoratului Național pentru Securitate Cibernetică (DNSC) să organizeze programe prin care specialiști în securitate informatică să caute și să raporteze vulnerabilitățile din rețelele și sistemele informatice ale autorităților și instituțiilor publice. Cei care descoperă probleme reale, confirmate, vor fi răsplătiți cu bani.

Este vorba despre mecanismul cunoscut în domeniul tehnologiei drept „bug bounty”, prin care o organizație își invită, în mod legal și controlat, experții să-i testeze sistemele, pentru a afla unde sunt punctele slabe înainte ca acestea să fie descoperite și exploatate de atacatori.

Noua propunere legislativă completează Ordonanța de urgență a Guvernului nr. 155/2024, care stabilește cadrul pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil și care a fost aprobată, cu modificări și completări, prin Legea nr. 124/2025.

Potrivit proiectului adoptat, DNSC poate iniția și gestiona programe de identificare și raportare a vulnerabilităților, cu acordarea de recompense bănești pentru vulnerabilitățile validate, atât pentru rețelele și sistemele informatice proprii, cât și pentru cele deținute, administrate sau utilizate de autorități și instituții publice ori de alte entități de drept public din spațiul cibernetic național civil. Programele se derulează cu respectarea domeniului de aplicare, a excluderilor și a regimurilor speciale prevăzute, precum și a competențelor și drepturilor titularilor rețelelor și sistemelor informatice vizate.

Condiții stricte pentru testare

Testările nu vor putea fi făcute oricum și oriunde. O rețea sau un sistem informatic poate intra într-un astfel de program doar dacă toți cei care au dreptul să autorizeze testarea își dau acordul în prealabil, în mod expres și în scris. Acest acord trebuie să precizeze clar ce anume poate fi testat, fie că este vorba despre o rețea, un sistem sau doar anumite componente, dar și care sunt limitele până la care se poate merge.

Legea stabilește și o listă de lucruri interzise celor care participă la aceste programe. Ei nu vor avea voie să acceseze, să copieze, să șteargă sau să modifice datele fără autorizare și nici să folosească atacuri de tip brute-force, adică încercarea repetată a unor parole până la găsirea celei corecte. De asemenea, este interzisă recurgerea la phishing sau la alte metode de inginerie socială prin care oamenii sunt păcăliți să ofere informații.

Participanții nu vor putea folosi programe malware sau orice alte tehnici care ar putea afecta funcționarea, integritatea sau disponibilitatea sistemelor. Totodată, nu vor putea păstra accesul la sisteme după ce autorizarea le-a expirat și nu vor putea pătrunde în alte rețele, sisteme, componente ori conturi care nu fac parte din program.

Reguli privind divulgarea și sancțiuni

Vulnerabilitățile descoperite nu vor putea fi făcute publice decât cu respectarea regulilor stabilite pentru așa-numita divulgare coordonată, iar orice altă activitate care depășește limitele autorizării sau încalcă legea este, la rândul ei, interzisă.

Cei care nu respectă condițiile programului sau trec dincolo de limitele stabilite vor pierde atât autorizarea pentru activitățile respective, cât și dreptul la recompensă pentru vulnerabilitatea găsită. Aceștia nu vor fi scutiți nici de eventuala răspundere civilă, contravențională sau penală, în funcție de gravitatea faptelor.

Proiectul merge acum la Camera Deputaților, care este for decizional, după ce Senatul a fost prima cameră sesizată.