Senatul a adoptat, luni, un proiect de lege care îi permite Directoratului Național pentru Securitate Cibernetică (DNSC) să organizeze programe prin care specialiști în securitate informatică să caute și să raporteze vulnerabilitățile din rețelele și sistemele informatice ale autorităților și instituțiilor publice, urmând ca cei care descoperă probleme reale, confirmate, să fie răsplătiți cu bani, notează Agerpres.
Este vorba despre ceea ce în domeniul tehnologiei se numește „bug bounty”, adică un mecanism prin care o organizație își invită, în mod legal și controlat, experții să-i testeze sistemele, pentru a afla unde sunt punctele slabe înainte ca acestea să fie descoperite și exploatate de atacatori.
Noua propunere legislativă completează Ordonanța de urgență a Guvernului nr. 155/2024, care stabilește cadrul pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil și care a fost aprobată, cu modificări și completări, prin Legea nr. 124/2025.
„DNSC poate iniţia şi gestiona programe de identificare şi raportare a vulnerabilităţilor, cu acordarea de recompense băneşti pentru vulnerabilităţile validate, pentru reţelele şi sistemele informatice proprii, precum şi pentru cele deţinute, administrate sau utilizate de autorităţi şi instituţii publice de alte entităţi de drept public din spaţiul cibernetic naţional civil, cu respectarea domeniului de aplicare, a excluderilor şi a regimurilor speciale prevăzute (...), precum şi a competenţelor şi drepturilor titularilor reţelelor şi sistemelor informatice vizate”, se arată în proiectul adoptat.
Testările nu vor putea fi făcute oricum și oriunde, pentru că o rețea sau un sistem informatic poate intra într-un astfel de program doar dacă toți cei care au dreptul să autorizeze testarea își dau acordul în prealabil, în mod expres și în scris.
Acest acord trebuie să precizeze clar ce anume poate fi testat, fie că este vorba despre o rețea, un sistem sau doar anumite componente, dar și care sunt limitele până la care se poate merge.
Legea stabilește și o listă de lucruri interzise celor care participă la aceste programe. Ei nu vor avea voie să acceseze, să copieze, să șteargă sau să modifice datele fără autorizare, să folosească atacuri de tip brute-force, adică încercarea repetată a unor parole până la găsirea celei corecte, să recurgă la phishing sau la alte metode de inginerie socială prin care oamenii sunt păcăliți să ofere informații.
De asemenea, este interzisă folosirea programelor malware sau a oricăror tehnici care ar putea afecta funcționarea, integritatea sau disponibilitatea sistemelor.
Participanții nu vor putea nici să păstreze accesul la sisteme după ce autorizarea le-a expirat sau să pătrundă în alte rețele, sisteme, componente ori conturi care nu fac parte din program.
Totodată, vulnerabilitățile descoperite nu vor putea fi făcute publice decât cu respectarea regulilor stabilite pentru așa-numita divulgare coordonată, iar orice altă activitate care depășește limitele autorizării sau încalcă legea este, la rândul ei, interzisă.
Cei care nu respectă condițiile programului sau trec dincolo de limitele stabilite vor pierde atât autorizarea pentru activitățile respective, cât și dreptul la recompensă pentru vulnerabilitatea găsită, iar asta fără a fi scutiți de eventuala răspundere civilă, contravențională sau penală, în funcție de gravitatea faptelor.
Proiectul merge acum la Camera Deputaților, care este for decizional, după ce Senatul a fost prima cameră sesizată.
