Statul plătește hackeri care descoperă breșe de securitate în sistemele publice

Senatul a aprobat programe de tip „bug bounty” pentru instituțiile publice

Senatul a adoptat un proiect de lege care permite Directoratului Național pentru Securitate Cibernetică să organizeze programe prin care specialiștii în securitate informatică să caute și să raporteze vulnerabilitățile din rețelele și sistemele informatice ale autorităților și instituțiilor publice. Cei care descoperă probleme reale, confirmate, vor fi răsplătiți cu bani.

Este vorba despre ceea ce în domeniul tehnologiei se numește „bug bounty”, adică un mecanism prin care o organizație își invită, în mod legal și controlat, experții să-i testeze sistemele, pentru a afla unde sunt punctele slabe înainte ca acestea să fie descoperite și exploatate de atacatori.

Ce prevede proiectul de lege

Noua propunere legislativă completează Ordonanța de urgență a Guvernului nr. 155/2024, care stabilește cadrul pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil și care a fost aprobată, cu modificări și completări, prin Legea nr. 124/2025.

„DNSC poate iniția și gestiona programe de identificare și raportare a vulnerabilităților, cu acordarea de recompense bănești pentru vulnerabilitățile validate, pentru rețelele și sistemele informatice proprii, precum și pentru cele deținute, administrate sau utilizate de autorități și instituții publice de alte entități de drept public din spațiul cibernetic național civil, cu respectarea domeniului de aplicare, a excluderilor și a regimurilor speciale prevăzute (…), precum și a competențelor și drepturilor titularilor rețelelor și sistemelor informatice vizate”, se arată în proiectul adoptat.

Testările, permise doar cu acord scris

Testările nu vor putea fi făcute oricum și oriunde, pentru că o rețea sau un sistem informatic poate intra într-un astfel de program doar dacă toți cei care au dreptul să autorizeze testarea își dau acordul în prealabil, în mod expres și în scris. Acest acord trebuie să precizeze clar ce anume poate fi testat, fie că este vorba despre o rețea, un sistem sau doar anumite componente, dar și care sunt limitele până la care se poate merge.

Lista activităților interzise participanților

Legea stabilește și o listă de lucruri interzise celor care participă la aceste programe. Ei nu vor avea voie să acceseze, să copieze, să șteargă sau să modifice datele fără autorizare, să folosească atacuri de tip brute-force, adică încercarea repetată a unor parole până la găsirea celei corecte, să recurgă la phishing sau la alte metode de inginerie socială prin care oamenii sunt păcăliți să ofere informații.

De asemenea, este interzisă folosirea programelor malware sau a oricăror tehnici care ar putea afecta funcționarea, integritatea sau disponibilitatea sistemelor. Participanții nu vor putea nici să păstreze accesul la sisteme după ce autorizarea le-a expirat sau să pătrundă în alte rețele, sisteme, componente ori conturi care nu fac parte din program.

Totodată, vulnerabilitățile descoperite nu vor putea fi făcute publice decât cu respectarea regulilor stabilite pentru așa-numita divulgare coordonată, iar orice altă activitate care depășește limitele autorizării sau încalcă legea este, la rândul ei, interzisă.

Sancțiuni pentru nerespectarea condițiilor

Cei care nu respectă condițiile programului sau trec dincolo de limitele stabilite vor pierde atât autorizarea pentru activitățile respective, cât și dreptul la recompensă pentru vulnerabilitatea găsită, iar asta fără a fi scutiți de eventuala răspundere civilă, contravențională sau penală, în funcție de gravitatea faptelor.

Proiectul merge acum la Camera Deputaților, care este for decizional, după ce Senatul a fost prima cameră sesizată.