Senatul României a adoptat luni un proiect de lege prin care Directoratul Național pentru Securitate Cibernetică (DNSC) capătă competența legală de a organiza și gestiona programe de tip „bug bounty” – un mecanism prin care persoane fizice sau juridice sunt plătite pot fi recompensate financiar pentru identificarea și raportarea responsabilă a vulnerabilităților din rețelele și sistemele informatice publice.
Proiectul nu este încă lege, Camera Deputaților este forul decizional.
Propunerea legislativă completează Ordonanța de urgență a Guvernului nr. 155/2024 privind securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată cu modificări prin Legea nr. 124/2025.
Potrivit textului adoptat de Senat, DNSC poate iniția și gestiona astfel de programe atât pentru propriile sisteme, cât și pentru cele deținute, administrate sau utilizate de autorități și instituții publice ori de alte entități de drept public, cu respectarea excluderilor și regimurilor speciale prevăzute de lege.
Expunerea de motive, semnată de deputatul PNL Octavian Oprea, arată că, deși OUG nr. 155/2024 a desemnat DNSC drept coordonator al procesului de divulgare coordonată a vulnerabilităților, cadrul anterior nu îi conferea competența expresă de a organiza programe publice de identificare recompensată și nici temeiul bugetar necesar plății recompenselor.
Participarea instituțiilor este voluntară, iar recompensele se acordă exclusiv pentru vulnerabilitățile validate, în limita creditelor bugetare aprobate în bugetul DNSC.
Recompensele financiare se acordă doar pentru vulnerabilitățile validate, în limita creditelor aprobate în bugetul DNSC.
Valoarea maximă a recompensei pentru o vulnerabilitate și fondul total trebuie stabilite și comunicate participanților înainte de începerea programului.
Pentru sistemele care nu aparțin DNSC, includerea în program este condiționată de acordul prealabil, expres și scris al tuturor titularilor dreptului de a autoriza testarea.
Autorizarea acordată este expresă, limitată și condiționată, operând exclusiv asupra rețelelor și sistemelor incluse în program, în perioada și prin metodele prevăzute de regulile acestuia.
Legea stabilește și o listă explicită de acțiuni interzise „vânătorilor de vulnerabilități”:
- accesarea, copierea, ștergerea sau modificarea neautorizată a datelor
- utilizarea atacurilor de tip brute-force, a tehnicilor de phishing sau a altor metode de inginerie socială
- folosirea de malware sau tehnici care pot afecta funcționarea sistemelor
- menținerea accesului după expirarea autorizării
- divulgarea publică a vulnerabilităților cu încălcarea condițiilor legale
- orice altă activitate care depășește limitele autorizării
Nerespectarea acestor condiții atrage pierderea dreptului la recompensă și, după caz, răspundere civilă, contravențională sau penală.
Inițiatorii invocă mai multe argumente în favoarea urgenței adoptării, unul fiind raportul ENISA Threat Landscape de anul trecut, potriviti căruia administrația publică a reprezentat 38,2% dintre incidentele analizate la nivelul Uniunii Europene, fiind sectorul cel mai vizat.
Expunerea de motive menționează și atacul cibernetic asupra Agenției Naționale de Cadastru și Publicitate Imobiliară (ANCPI), care a scos din funcțiune sistemul e-Terra și a blocat tranzacții imobiliare, credite și activitatea notarială.
Ca termen de comparație, expunerea citează programul „Hack the Pentagon”, care a costat 150.000 de dolari și a identificat 138 de vulnerabilități, față de o estimare de peste un milion de dolari pentru o testare convențională similară.
„Un program Bug Bounty are un buget plafonat, dar indisponibilitatea unui sistem public produce costuri în lanţ, considerabil mai mari,” se arată în expunere.
„Conflictul armat din proximitatea României a fost însoţit de folosirea atacurilor cibernetice ca instrument de perturbare, presiune şi sabotaj.”
Ca exemple, sunt menționate atacurile cibernetice asupra reţelei KA-SAT, activitatea grupării Killnet împotriva unor infrastructuri din România, şi incidentul care a afectat spitalele românești în februarie 2024 după compromiterea unui furnizor de servicii.
Printre țările care au deja un program bug bounty se numără Franța, Elveția, Polonia, și Singapore.
Proiectul pentru România urmează să fie dezbătut și votat în Camera Deputaților, care are cuvântul final.
