Statul român va plăti hackerii care descoperă breșe de securitate în sistemele instituțiilor publice. Ce condiții trebuie respectate pentru a primi bani

Inițiativa oferă Directoratului Național pentru Securitate Cibernetică (DNSC) posibilitatea de a organiza programe prin care specialiștii în securitate informatică să identifice și să raporteze vulnerabilități în rețelele autorităților publice. Recompensele vor fi acordate doar pentru problemele confirmate, iar testarea sistemelor va trebui să respecte reguli stricte.

Cum vor putea fi câștigați bani din descoperirea vulnerabilităților informatice

Proiectul introduce posibilitatea organizării unor programe de tip „bug bounty”, o practică deja utilizată de numeroase companii internaționale din industria tehnologică. Prin astfel de inițiative, specialiștii în securitate cibernetică, cunoscuți și drept hackeri etici, sunt recompensați pentru identificarea și raportarea responsabilă a unor probleme care ar putea compromite aplicații, servere sau alte componente informatice.

În România, aceste programe vor putea fi gestionate de DNSC și vor viza atât infrastructura proprie a instituției, cât și sistemele deținute, administrate sau utilizate de alte autorități și entități publice.

Un element esențial este că participarea unui sistem informatic la program nu va putea fi decisă unilateral. Pentru fiecare rețea sau componentă testată va fi necesar acordul prealabil, explicit și în scris al tuturor titularilor care au dreptul să autorizeze verificările.

Documentul de autorizare va stabili exact ce sisteme pot fi analizate și care sunt limitele testării. Astfel, descoperirea unei vulnerabilități nu va justifica accesarea altor servere sau baze de date care nu sunt incluse în program.

Această abordare urmărește să încurajeze activitatea hackerilor etici, delimitând-o clar de atacurile informatice ilegale. Deocamdată, proiectul nu stabilește sumele concrete care vor putea fi câștigate pentru fiecare vulnerabilitate descoperită.

Ce activități sunt interzise și când se pierde dreptul la recompensă

Deși noul mecanism ar urma să ofere recompense pentru descoperirea problemelor de securitate, acesta nu reprezintă o autorizație generală de a încerca accesarea sistemelor statului.

Proiectul legislativ stabilește o serie de interdicții pentru participanții la programele organizate de DNSC. Printre acestea se numără:

• Accesarea, copierea, modificarea sau ștergerea neautorizată a datelor.

• Utilizarea atacurilor de tip brute-force, prin care sunt încercate automat numeroase combinații de parole.

• Folosirea tehnicilor de phishing sau a altor metode de manipulare a utilizatorilor.

• Introducerea de programe malware sau utilizarea unor instrumente care ar putea afecta funcționarea sistemelor.

• Păstrarea accesului după expirarea autorizației sau extinderea testelor către alte sisteme și conturi.

• Publicarea vulnerabilităților fără respectarea regulilor privind divulgarea coordonată a acestora.

În cazul încălcării condițiilor, participantul își va pierde autorizația pentru activitățile respective, dar și dreptul la recompensa asociată vulnerabilității descoperite.

Mai mult, nerespectarea regulilor nu exclude eventualele consecințe juridice. În funcție de gravitatea faptelor, persoanele implicate ar putea răspunde civil, contravențional sau penal.

Prin aceste restricții, autoritățile încearcă să evite situațiile în care o activitate prezentată drept cercetare de securitate ajunge să afecteze datele cetățenilor sau funcționarea serviciilor publice.

De ce are nevoie România de astfel de programe și când ar putea intra în vigoare legea

Inițiativa apare într-un context în care amenințările informatice devin tot mai complexe, iar instituțiile publice gestionează cantități importante de informații, inclusiv date personale și documente sensibile.

Anterior, reprezentanții DNSC au atras atenția asupra nivelului ridicat al amenințărilor cibernetice din România, subliniind necesitatea consolidării mecanismelor de apărare.

Prin implicarea specialiștilor externi, instituțiile ar putea identifica mai rapid probleme care nu au fost observate în timpul verificărilor interne. De exemplu, o eroare de configurare a unui server, o vulnerabilitate într-o aplicație sau o problemă de autentificare ar putea fi raportată și remediată înainte de a provoca un incident major.

Măsura completează Ordonanța de urgență nr. 155/2024, referitoare la cadrul național de securitate cibernetică, aprobată ulterior prin Legea nr. 124/2025. Aceasta face parte din eforturile de consolidare a protecției infrastructurii digitale, în contextul aplicării cerințelor europene NIS2.

De altfel, DNSC a introdus deja noi instrumente pentru evaluarea securității cibernetice, destinate organizațiilor care trebuie să își analizeze riscurile și capacitatea de protecție.

Important este că noua lege nu a intrat încă în vigoare. Senatul a adoptat proiectul la 2 noiembrie 2026, însă acesta trebuie să treacă și de Camera Deputaților, care are rol decizional. Ulterior, pentru a produce efecte juridice, legea trebuie promulgată și publicată în Monitorul Oficial.

Dacă va fi adoptată în forma propusă, România va avea un cadru legal explicit pentru recompensarea descoperirii vulnerabilităților în sistemele informatice publice. Succesul mecanismului va depinde însă de modul în care vor fi organizate programele, de valoarea recompenselor și de rapiditatea cu care instituțiile vor remedia problemele raportate.