Inițiativă legislativă privind implementarea unor programer de tip „Bug Bounty” în sistemele informatice publice / Deputatul liberal Octavian Oprea: Dacă statul desfășura astfel de programe probabil atacul de la ANCPI putea fi evitat

Deputatul PNL Octavian Oprea anunță că a depus o inițiativă legislativă care dă Directoratului Național de Securitate Cibernetică (DNSC) posibilitatea de a derula programe de tip „Bug Bounty” pentru sistemele informatice publice. Specialiștii în securitate cibernetică vor putea testa aceste sisteme în cadru legal, cu reguli clare, și vor fi recompensați pentru fiecare vulnerabilitate raportată responsabil. „Dacă statul român ar fi desfășurat programe de tip Bug Bounty (de recompensare a celor care descoperă vulnerabilități cibernetice), probabil atacul de la ANCPI putea fi evitat”, afirmă Oprea.

Acesta mai consideră că atacul la ANCP nu a fost unul sofisticat, pentru că serverele au fost sparte prin breșe semnalate anterior instituției. „Deci vulnerabilitățile erau cunoscute. Ce lipsea era un mecanism prin care astfel de semnale să fie tratate serios, la timp și cu responsabili clari, nu lăsate să zacă până vine cineva să le exploateze”, mai spune liberalul.

Acesta arată că un pas s-a făcut de curând, prin Legea 123/2026 care îi protejează pe cercetătorii care descoperă și raportează cu bună-credință vulnerabilități, fără să mai riște dosare penale. „Numai că protecția, singură, nu umple golul. Statul nu invită pe nimeni să îi testeze sistemele și nu plătește pe nimeni pentru asta, așa că verificarea rămâne la voia întâmplării. Atacatorii, în schimb, caută sistematic și sunt foarte bine motivați”, explică Oprea, arătând că statele și instituțiile care se respectă își iau securitatea în serios. „Pentagonul plătește hackeri etici încă din 2016, Comisia Europeană a derulat propriile programe de recompensare, Elveția își testează astfel sistemele guvernamentale. Nicăieri nu s-a ruinat bugetul pentru că statul a plătit câteva mii de euro unui cercetător care a găsit o problemă. S-au blocat însă instituții întregi acolo unde nimeni nu a căutat breșele înaintea atacatorilor.

„O recompensă pentru o vulnerabilitate descoperită la timp costă infinit mai puțin decât săptămâni în care cadastrul unei țări stă blocat, tranzacții imobiliare sunt oprite și date apar la vânzare pe internet. Asta e alegerea reală: plătim puțin înainte sau plătim scump după. Securitatea cibernetică se face cu oameni pricepuți, motivați să caute problemele înaintea atacatorilor, și cu un stat care nu doar îi tolerează, ci îi cheamă de partea lui”, afirmă Octavian Oprea.

Inițiativa legislativă privind programele de tip „Bug Bounty” a fost depusă la Camera Deputaților pe 29 iulie. În acest moment se află în etapa preliminară. 

Dacă inițiativa va fi adoptată, se creează practic un cadru legal clar pentru organizarea programelor de tip „bug bounty” în sectorul public. Astfel, specialiștii în securitate cibernetică vor putea identifica și raporta responsabil vulnerabilitățile sistemelor informatice incluse în aceste programe. DNSC va putea acorda recompense pentru vulnerabilitățile raportate și validate, în limita sumelor prevăzute cu această destinație în bugetul său de venituri și cheltuieli.

„Legea este urgentă pentru că instituțiile publice administrează tot mai multe servicii digitale și volume tot mai mari de date, iar vulnerabilitățile trebuie descoperite înainte să fie exploatate de atacatori. Este mai sigur și mai puțin costisitor pentru stat să colaboreze legal și controlat cu specialiștii care descoperă problemele decât să intervină după producerea unui atac cibernetic, când serviciile pot fi blocate, datele compromise, iar costurile mult mai mari. Am solicitat dezbaterea în procedură de urgență, însă această solicitare trebuie aprobată de structurile parlamentare”, mai spune deputatul Octavian Oprea.