INFORMATIC. Persoanele care identifică vulnerabilități în sistemele informatice ale instituțiilor publice ar putea primi recompense în bani din partea statului. Senatul a adoptat luni, 2 noiembrie, un proiect legislativ care îi oferă Directoratului Național de Securitate Cibernetică (DNSC) posibilitatea de a organiza programe prin care specialiștii în securitate informatică să descopere și să raporteze problemele de securitate ale infrastructurilor digitale publice.
Inițiativa urmărește să consolideze protecția sistemelor informatice utilizate de autoritățile și instituțiile publice, prin implicarea voluntară a cercetătorilor în domeniul securității cibernetice. Aceștia vor putea testa, în condiții clar stabilite și cu autorizare prealabilă, rețelele și platformele digitale vizate, iar pentru vulnerabilitățile descoperite și confirmate vor putea primi recompense financiare.
Proiectul completează cadrul legislativ privind securitatea cibernetică, reglementat prin OUG nr. 155/2024, aprobată cu modificări și completări prin Legea nr. 124/2025.
Cum vor funcționa programele de recompensare
Potrivit proiectului adoptat de Senat, DNSC va putea iniția și coordona programe de identificare și raportare recompensată a vulnerabilităților, cunoscute la nivel internațional sub denumirea de Bug Bounty.
Acestea vor putea viza atât propriile rețele și sisteme informatice ale instituției, cât și infrastructurile digitale deținute, administrate sau utilizate de ministere, autorități, instituții publice și alte entități de drept public din spațiul cibernetic național civil.
Participarea va fi condiționată de existența unui acord prealabil, expres și scris din partea tuturor titularilor care au dreptul să autorizeze testarea. Documentul va trebui să identifice exact sistemele sau componentele care pot fi verificate și să stabilească limitele în care se pot desfășura aceste activități.
Recompensele vor fi acordate exclusiv pentru vulnerabilitățile raportate și validate, în conformitate cu regulile fiecărui program. Prin urmare, simpla identificare a unei posibile probleme nu garantează automat obținerea unei plăți.
Ce nu vor avea voie să facă participanții
Proiectul stabilește și o serie de restricții pentru persoanele care vor lua parte la aceste programe. Testarea trebuie să se desfășoare exclusiv în limitele autorizate, fără afectarea funcționării sistemelor sau compromiterea datelor gestionate de instituțiile publice.
Printre activitățile interzise se numără:
-accesarea, copierea, ștergerea sau modificarea neautorizată a datelor;
-utilizarea atacurilor de tip brute-force;
-folosirea tehnicilor de phishing sau a altor metode de inginerie socială;
-introducerea de programe malware ori utilizarea unor tehnici care pot afecta funcționarea sistemelor informatice;
-păstrarea accesului la infrastructurile testate după expirarea autorizației;
-extinderea verificărilor către alte sisteme, conturi sau componente care nu sunt incluse în program;
-publicarea vulnerabilităților cu încălcarea regulilor privind divulgarea coordonată.
Cei care nu respectă condițiile stabilite riscă să piardă autorizația de testare și dreptul de a primi recompensa financiară. În funcție de gravitatea faptelor, aceștia pot răspunde inclusiv civil, contravențional sau penal.
Proiectul trebuie să treacă și de Camera Deputaților
Adoptarea de către Senat reprezintă doar prima etapă a procesului legislativ. Camera Deputaților este forul decizional, astfel că proiectul trebuie să parcurgă și această etapă înainte de a putea deveni lege.
Deocamdată, nu a fost comunicată o valoare fixă a recompenselor care ar putea fi acordate pentru descoperirea vulnerabilităților. Acestea urmează să fie stabilite în cadrul programelor, iar mecanismele de organizare, participare, verificare și plată vor fi reglementate printr-o hotărâre a Guvernului, la propunerea DNSC.
Prin această inițiativă, statul urmărește să identifice din timp punctele slabe ale infrastructurii sale digitale, apelând la expertiza specialiștilor în securitate cibernetică, înainte ca eventualele breșe să fie exploatate de persoane rău intenționate.
