Senatul a adoptat, luni, un proiect de lege prin care statul român va oferi recompense bănești persoanelor care identifică vulnerabilități în sistemele informatice ale instituțiilor publice. Noua propunere legislativă îi conferă Directoratului Național pentru Securitate Cibernetică (DNSC) capacitatea de a iniția și de a gestiona programe dedicate identificării și raportării acestor breșe de securitate. Măsura vizează protejarea rețelelor și a sistemelor informatice utilizate de autorități și de alte entități de drept public din spațiul cibernetic național civil.
Conform textului proiectului, DNSC va putea gestiona aceste programe de recompensare atât pentru rețelele și sistemele informatice proprii, cât și pentru cele deținute, administrate sau utilizate de instituțiile publice. Procesul de identificare a vulnerabilităților va fi desfășurat în limitele domeniului de aplicare și va respecta excluderile și regimurile speciale prevăzute de lege. Totodată, activitatea va trebui să țină cont de competențele și drepturile deținătorilor de rețele și de sisteme informatice care sunt vizate de aceste teste de securitate.
Includerea unui sistem informatic sau a unei rețele în cadrul acestui program de testare este condiționată de obținerea unui acord prealabil, expres și scris. Acest document trebuie să fie semnat de toți titularii care au dreptul de a autoriza testarea asupra componentelor vizate. Acordul respectiv are rolul de a identifica clar rețeaua sau sistemul informatic respectiv și de a stabili limitele precise în cadrul cărora se poate efectua procesul de testare a securității cibernetice.
În cadrul programelor de identificare a vulnerabilităților sunt interzise anumite acțiuni, precum accesarea, copierea, ștergerea sau modificarea neautorizată a datelor. De asemenea, sunt interzise atacurile de tip brute-force, tehnicile de phishing sau orice alte forme de inginerie socială. Sunt excluse utilizarea programelor de tip malware care pot afecta integritatea sau funcționarea sistemelor, precum și menținerea accesului la rețele după încetarea autorizării sau divulgarea publică a vulnerabilităților fără respectarea legii.
Nerespectarea condițiilor stabilite sau depășirea limitelor de autorizare va atrage încetarea imediată a activităților și pierderea dreptului la recompensa bănească pentru vulnerabilitatea respectivă. Această sancție administrativă nu elimină răspunderea civilă, contravențională sau penală a persoanei în cazul în care faptele comise încadrează în aceste categorii juridice. Senatul este primul for sesizat în acest proces legislativ, urmând ca proiectul să fie trimis la Camera Deputaților, care va acționa ca for decizional.
Această inițiativă legislativă vine ca o completare la Ordonanța de urgență a Guvernului nr. 155/2024, care a instituit cadrul pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil. Această ordonanță a fost ulterior aprobată cu modificări și completări prin Legea nr. 124/2025, formând astfel cadrul juridic actual pentru gestionarea riscurilor digitale în cadrul administrației publice din România.