Senatul a adoptat un proiect de lege prin care Directoratul Național pentru Securitate Cibernetică va putea iniția și gestiona programe de identificare a vulnerabilităților. Această inițiativă legislativă permite acordarea de recompense bănești experților care reușesc să valideze breșe de securitate în rețelele și sistemele informatice ale autorităților și instituțiilor publice. Măsura vizează consolidarea protecției digitală în cadrul spațiului cibernetic național civil, oferind un stimul financiar pentru raportarea erorilor de sistem.
Noua prevedere legislativă vine sub forma unei completări la Ordonanța de urgență a Guvernului nr. 155/2024, care stabilește cadrul pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul național civil. Proiectul este actualizat prin Legea nr. 124/2025 și oferă DNSC capacitatea de a coordona aceste programe de tip „bug bounty”. Recompensele vor fi aplicate exclusiv pentru vulnerabilitățile care sunt validate oficial, acoperind atât sistemele proprii ale directoratului, cât și cele administrate de alte entități de drept public.
Includerea unui sistem informatic sau a unei rețele în aceste programe de testare este strict condiționată de obținerea unui acord prealabil, expres și scris. Acest document de autorizare trebuie să identifice clar componentele asupra cărora se poate efectua testarea și să stabilească limitele precise ale activității de vânătoare a vulnerabilităților. Toți titularii drepturilor de a autoriza testarea asupra rețelelor sau componentelor vizate trebuie să își exprime acordul înainte ca procesul de identificare a breșelor să înceapă.
Pentru a preveni abuzurile, cadrul legal impune o serie de interdicții stricte în cadrul programelor de identificare. Experții nu au voie să acceseze, să copieze, să șteargă sau să modifice datele în mod neautorizat și sunt interzise utilizarea atacurilor de tip brute-force sau a tehnicilor de phishing. De asemenea, este interzisă utilizarea programelor de tip malware care pot afecta integritatea sistemelor sau menținerea accesului după încetarea autorizării, precum și divulgarea publică a vulnerabilităților fără respectarea procedurilor legale.
Nerespectarea oricărei condiții sau depășirea limitelor de autorizare acordate implică pierderea imediată a dreptului la recompensa financiară pentru vulnerabilitatea respectivă. Această sancție administrativă nu elimină răspunderea civilă, contravențională sau penală a persoanei în cazul în care activitățile au încălcat legea. Senatul a fost primul for sesizat în acest proces legislativ, urmând ca Camera Deputaților să acționeze ca instituție decizională pentru finalizarea procesului de adoptare a legii.
Această mișcare legislativă se înscrie într-un context de creștere a riscurilor digitale, în care securitatea infrastructurilor critice devine o prioritate de stat. Implementarea unor mecanisme de recompensare pentru cercetătorii de securitate este o practică internațională utilizată pentru a transforma vulnerabilitățile potențiale în oportunități de întărire a apărării cibernetice, înainte ca acestea să fie exploatate de actori rău intenționați.