Senatul a adoptat luni, 2 noiembrie, propunerea legislativă L593/2026, prin care Directoratul Național de Securitate Cibernetică va putea plăti recompense celor care găsesc vulnerabilități în sistemele informatice ale instituțiilor publice. Votul a fost 94 pentru, 2 contra și 2 abțineri, în procedură de urgență cerută de inițiatori, un grup de deputați PNL.
Ideea e bună și întârziată. Proiectul a trecut însă peste avizele a trei instituții, iar motivul pentru care au spus nu nu a fost reparat.
Cine a avizat negativ
Consiliul Legislativ a dat aviz negativ pe 5 octombrie. Consiliul Economic și Social a avizat nefavorabil pe 23 septembrie. Ministerul Finanțelor nu susține adoptarea, pentru că ar genera presiuni suplimentare asupra deficitului bugetar. Consiliul Fiscal a constatat că textul nu întrunește cerințele din legea responsabilității fiscal-bugetare.
Niciunul dintre aceste avize nu e obligatoriu. Toate sunt însă publice, în dosarul de la Senat, și niciunul nu a ajuns în relatările despre vot.
Partea juridică a fost reparată
Trebuie spus și ce a funcționat. Comisia pentru comunicații a admis, în unanimitate, nouă amendamente care răspund obiecțiilor Consiliului Legislativ.
Acordul pentru testare trebuie să vină de la cine are dreptul efectiv de a autoriza, nu doar de la cel care administrează sistemul. Programele devin explicit un mecanism complementar procedurii de divulgare coordonată deja existente. Iar un alineat nou prevede că activitățile se desfășoară cu respectarea condițiilor din ordonanța de bază, tocmai pentru că de ele depinde cauza care înlătură caracterul penal al faptei, introdusă anul acesta în Codul penal.
Pe scurt, cercetătorul care participă nu rămâne descoperit penal. Era cea mai gravă obiecție și a fost rezolvată.
Ce nu s-a rezolvat
Banii. Proiectul nu identifică nicio sursă de finanțare și nu fundamentează impactul financiar. CES a invocat chiar articolul 138 alineatul 5 din Constituție, care interzice aprobarea unei cheltuieli fără stabilirea sursei. Amendamentele nu pot repara asta, pentru că aici e nevoie de bani, nu de o reformulare.
Al doilea gol: participarea rămâne opțională pentru fiecare instituție. Primăria sau spitalul cu cele mai multe probleme e și cel care are cel mai puțin interes să le afle. Nu există o listă de sisteme critice pentru care testarea să fie obligatorie.
Al treilea: lista activităților interzise include explicit phishingul și ingineria socială. Interdicția are o rațiune reală, pentru că un test pe angajați fără acordul lor ridică probleme de protecția datelor și de dreptul muncii. Numai că atacurile reale asupra instituțiilor încep aproape întotdeauna cu un email sau un apel, nu cu o vulnerabilitate tehnică. Se va testa codul, nu omul.
În fine, legea prevede 90 de zile pentru normele de aplicare, dar niciun termen în care instituția să fie obligată să repare vulnerabilitatea care i-a fost raportată.
Ce urmează
Senatul a fost prima cameră sesizată. Decizia aparține Camerei Deputaților, care mai poate adăuga un fond minim, o listă de sisteme obligatorii și un termen de remediere.
Până atunci, rămâne o lege care obligă statul să plătească, fără să spună din ce.
