Recompense în bani pentru cei care descoperă vulnerabilități în sistemele informatice ale autorităților. Proiect, adoptat de Senat

Persoanele care identifică și raportează vulnerabilități de securitate cibernetică în sistemele informatice ale instituțiilor publice ar putea primi recompense financiare. O propunere legislativă adoptată luni de Senat prevede că Directoratul Național de Securitate Cibernetică (DNSC) va putea organiza programe speciale prin care problemele de securitate să fie descoperite și remediate înainte de a fi exploatate de atacatori. Testarea sistemelor va fi permisă numai cu autorizare, iar încălcarea regulilor poate atrage inclusiv răspunderea penală.

Propunerea legislativă completează Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată cu modificări și completări prin Legea nr. 124/2025.

În cazul acestui proiect Senatul este primul for sesizat, Camera Deputaților fiind decizională.

Cum ar putea fi acordate recompensele pentru descoperirea vulnerabilităților informatice

Proiectul legislativ permite DNSC să inițieze și să gestioneze programe de identificare și raportare a vulnerabilităților, în care descoperirile confirmate să poată fi recompensate financiar.

Aceste programe ar putea viza atât sistemele informatice proprii ale DNSC, cât și rețelele și aplicațiile deținute, administrate sau utilizate de autorități, instituții publice și alte entități de drept public.

Publicitate

„DNSC poate iniţia şi gestiona programe de identificare şi raportare recompensată a vulnerabilităţilor pentru reţelele şi sistemele informatice proprii, precum şi pentru cele deţinute, administrate ori utilizate de autorităţi şi instituţii publice sau de alte entităţi de drept public din spaţiul cibemetic naţional civil, cu respectarea excluderilor şi regimurilor speciale”, prevede proiectul.

Mecanismul este cunoscut în domeniul securității informatice sub denumirea de bug bounty. Prin astfel de programe, specialiștii în securitate cibernetică identifică și raportează deficiențe tehnice, respectând regulile stabilite de organizația care autorizează testarea.

Recompensarea ar urma să fie condiționată de validarea vulnerabilității raportate și de respectarea cerințelor programului.

Testarea sistemelor informatice ale statului, permisă doar cu acord scris

Una dintre principalele condiții prevăzute de propunerea legislativă este obținerea autorizării înainte de efectuarea testelor de securitate.

„Pentru reţelele şi sistemele informatice care nu sunt deţinute sau administrate de DNSC, programul se organizează numai cu acordul prealabil, expres şi scris al entităţii în cauză
şi, după caz, al oricărui alt titular al dreptului de a autoriza testarea.

Includerea unui sistem informatic într-un program de identificare a vulnerabilităților va necesita acordul prealabil, expres și scris al tuturor titularilor care au dreptul să autorizeze testarea.

Documentul de autorizare trebuie să identifice exact rețeaua, sistemul informatic sau componentele care pot fi testate și să stabilească limitele activităților permise.

Astfel, participanții nu vor putea verifica orice sistem informatic al unei instituții publice, ci exclusiv infrastructura inclusă în program și în condițiile autorizate.

Ce activități vor fi interzise în programele de identificare a vulnerabilităților

Proiectul prevede reguli stricte pentru persoanele care participă la programele de recompensare.

Printre activitățile interzise se numără:

• Accesarea, copierea, ștergerea sau modificarea neautorizată a datelor.
• Utilizarea atacurilor de tip brute-force, a tehnicilor de phishing sau a altor metode de inginerie socială.
• Folosirea programelor malware sau a tehnicilor care pot afecta funcționarea sistemelor informatice.
• Menținerea accesului la sisteme după expirarea autorizării.
• Extinderea testării către rețele, conturi sau componente care nu au fost incluse în program.
• Publicarea informațiilor despre vulnerabilități cu încălcarea regulilor de divulgare coordonată.
• Orice activitate care depășește limitele autorizării sau încalcă legislația aplicabilă.

Regulile urmăresc să permită identificarea problemelor de securitate fără compromiterea datelor și fără întreruperea serviciilor oferite de instituțiile publice.

Ce se întâmplă dacă participanții nu respectă regulile

Potrivit proiectului legislativ, persoanele care încalcă regulile programului sau depășesc limitele autorizării își pierd dreptul de a continua activitățile respective.

De asemenea, acestea nu vor mai putea primi recompensa pentru vulnerabilitatea în cauză.

În funcție de gravitatea faptelor, pot interveni și alte consecințe juridice, inclusiv răspunderea civilă, contravențională sau penală.