Senatul a adoptat luni, cu 94 de voturi pentru, două împotrivă și două abțineri, proiectul care îi permite Directoratului Național de Securitate Cibernetică (DNSC) să organizeze programe de tip „bug bounty”. Persoanele fizice și firmele ar putea primi bani pentru vulnerabilitățile descoperite și validate în rețelele și sistemele informatice ale instituțiilor publice.
Proiectul L593/2026 nu este încă lege. Senatul a fost prima Cameră sesizată, iar inițiativa a fost trimisă Camerei Deputaților pentru dezbatere.
Proiectul nu stabilește o sumă fixă pentru recompense. Valoarea maximă care poate fi acordată pentru o vulnerabilitate și fondul total alocat unui program ar urma să fie anunțate înainte de începerea acestuia. Plățile ar fi limitate la creditele bugetare aprobate cu această destinație.
Programul ar putea viza sistemele proprii ale DNSC, dar și pe cele deținute, administrate sau utilizate de autorități, instituții publice ori alte entități de drept public din spațiul cibernetic național civil. Pentru includerea unui sistem ar fi necesar acordul prealabil, expres și scris al tuturor titularilor care au dreptul să autorizeze testarea.
Aprobarea DNSC, acordurile titularilor și acceptarea expresă a regulilor programului ar constitui autorizarea pentru testare. Aceasta ar acoperi numai sistemele și componentele identificate, metodele permise și perioada stabilită. Regulile ar trebui să precizeze obiectul și limitele testării, durata și modul de raportare a vulnerabilităților.
Proiectul interzice, între altele, accesarea, copierea, ștergerea sau modificarea neautorizată a datelor, atacurile de tip brute-force, phishingul și folosirea programelor malware. Sunt interzise și menținerea accesului după expirarea autorizării, extinderea testării la sisteme neincluse în program și divulgarea publică a vulnerabilităților cu încălcarea regulilor aplicabile.
Autorizarea ar proteja testarea numai în limitele stabilite de program. Depășirea lor poate duce la încetarea autorizării și pierderea dreptului la recompensă pentru vulnerabilitatea respectivă, fără să înlăture răspunderea civilă, contravențională sau penală, după caz. Așadar, simpla participare la un program nu ar oferi imunitate pentru acțiuni care depășesc permisiunile acordate.
În termen de 90 de zile de la intrarea legii în vigoare, Guvernul ar urma să aprobe normele metodologice. Acestea ar detalia, între altele, criteriile de participare și validare a vulnerabilităților, modul de stabilire și acordare a recompenselor și măsurile privind protecția datelor și confidențialitatea.
Proiectul a primit avize negative de la Consiliul Legislativ și Consiliul Economic și Social, care au semnalat probleme de claritate, limite insuficient definite și lipsa unei fundamentări financiare. Ministerul Finanțelor nu a susținut inițiativa, invocând presiuni suplimentare asupra deficitului. DNSC a susținut adoptarea proiectului.
