Statul român îi va plăti pe cei care vor descoperi breșe de securitate în sistemele informatice ale instituțiilor publice

Senatul a adoptat, luni, un proiect de lege care prevede că Directoratul Naţional pentru Securitate Cibernetică (DNSC) va putea iniţia şi gestiona programe de identificare şi raportare a vulnerabilităţilor, cu acordarea de recompense băneşti pentru vulnerabilităţile validate, pentru reţelele şi sistemele informatice ale autorităţilor şi instituţiilor publice.

Propunerea legislativă completează Ordonanţa de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil, aprobată cu modificări şi completări prin Legea nr. 124/2025.

„DNSC poate iniţia şi gestiona programe de identificare şi raportare a vulnerabilităţilor, cu acordarea de recompense băneşti pentru vulnerabilităţile validate, pentru reţelele şi sistemele informatice proprii, precum şi pentru cele deţinute, administrate sau utilizate de autorităţi şi instituţii publice de alte entităţi de drept public din spaţiul cibernetic naţional civil, cu respectarea domeniului de aplicare, a excluderilor şi a regimurilor speciale prevăzute (...), precum şi a competenţelor şi drepturilor titularilor reţelelor şi sistemelor informatice vizate", prevede proiectul adoptat.

Potrivit Agerpres, includerea unei reţele sau a unui sistem informatic într-un astfel de program este condiţionată de acordul prealabil, expres şi scris al tuturor titularilor dreptului de a autoriza testarea asupra reţelei, sistemului informatic sau componentelor vizate. Acordul identifică reţeaua, sistemul informatic sau componentele asupra cărora se poate efectua testarea şi precizează limitele acesteia.

În cadrul acestor programe sunt interzise: a) accesarea, copierea, ştergerea sau modificarea neautorizată a datelor; b) utilizarea atacurilor de tip brute-force, a tehnicilor de phishing a altor tehnici de inginerie socială; c) utilizarea de programe de tip malware sau a altor tehnici care pot afecta disponibilitatea, integritatea sau funcţionarea reţelelor şi sistemelor informatice; d) menţinerea accesului la reţelele şi sistemele informatice după încetarea autorizării sau extinderea accesului la alte reţele, sisteme, componente conturi care nu sunt incluse în program; e) divulgarea publică a vulnerabilităţilor cu încălcarea condiţiilor legale aplicabile procesului de divulgare coordonată; f) orice altă activitate care depăşeşte limitele autorizării sau contravine prevederilor legale aplicabile.

Nerespectarea condiţiilor programului sau depăşirea limitelor autorizării atrage încetarea autorizării pentru activităţile respective şi pierderea dreptului la recompensă pentru vulnerabilitatea în cauză, fără a aduce atingere răspunderii civile, contravenţionale sau penale, după caz.

Senatul este primul for sesizat, Camera Deputaţilor fiind decizională.

Editor : A.P.