Directoratul Național pentru Securitate Cibernetică (DNSC) ar putea plăti oameni din afara instituțiilor ca să găsească breșe în rețelele statului. Senatul a adoptat luni, 2 noiembrie, un proiect de lege care îi dă această posibilitate: programe de identificare și raportare a vulnerabilităților, cu recompense bănești pentru vulnerabilitățile validate.

Proiectul nu obligă DNSC să lanseze astfel de programe. Textul spune că directoratul „poate” să le inițieze și să le gestioneze, atât pentru sistemele proprii, cât și pentru cele ale autorităților și instituțiilor publice.

„DNSC poate iniția și gestiona programe de identificare și raportare a vulnerabilităților, cu acordarea de recompense bănești pentru vulnerabilitățile validate, pentru rețelele și sistemele informatice proprii, precum și pentru cele deținute, administrate sau utilizate de autorități și instituții publice (...)”, prevede proiectul adoptat.

Ce modifică proiectul

Propunerea completează Ordonanța de urgență a Guvernului nr. 155/2024, care stabilește cadrul pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil. Ordonanța a fost aprobată cu modificări și completări prin Legea nr. 124/2025.

Programele trebuie să respecte domeniul de aplicare, excluderile și regimurile speciale din ordonanță, precum și competențele și drepturile titularilor sistemelor vizate.

Nicio testare fără acord scris

Pentru o primărie sau o instituție centrală, prevederea de interes practic e condiția de acord. Potrivit Agerpres, citată de Digi24, o rețea sau un sistem informatic poate intra într-un astfel de program numai cu acordul prealabil, expres și scris al tuturor titularilor dreptului de a autoriza testarea.

Acordul trebuie să identifice rețeaua, sistemul sau componentele care pot fi testate și să precizeze limitele testării. Altfel spus, instituția decide ce anume se testează.

Ce nu au voie să facă participanții

Proiectul enumeră activitățile interzise în cadrul programelor. Participanții nu au voie să acceseze, să copieze, să șteargă sau să modifice neautorizat date. Sunt interzise atacurile de tip brute-force, phishingul și alte tehnici de inginerie socială, precum și programele malware sau orice tehnici care pot afecta disponibilitatea, integritatea ori funcționarea sistemelor.

Participanții nu pot păstra accesul după încetarea autorizării și nu îl pot extinde la rețele, sisteme, componente sau conturi care nu fac parte din program. Nu pot divulga public vulnerabilitățile cu încălcarea condițiilor legale ale divulgării coordonate. O clauză generală interzice orice altă activitate care depășește limitele autorizării sau contravine legii.

Cine încalcă regulile pierde autorizarea pentru activitățile respective și dreptul la recompensă pentru vulnerabilitatea în cauză. Sancțiunea nu exclude răspunderea civilă, contravențională sau penală, după caz.

Ce nu spune sursa

Textul adoptat, așa cum îl redă sursa, nu precizează cât vor fi recompensele, din ce buget vor fi plătite și cine validează concret o vulnerabilitate. Nu spune nici când ar putea porni primele programe.

Unde se află proiectul

Senatul a fost primul for sesizat. Decizia finală aparține Camerei Deputaților, iar sursa nu menționează un termen pentru votul de acolo.