România adoptă o lege care protejează cercetătorii în securitate cibernetică şi încurajează raportarea vulnerabilităţilor

România are, începând de acum, un cadru legislativ dedicat specialiştilor în securitate cibernetică care identifică şi raportează vulnerabilităţi informatice cu bună-credinţă. Noua lege, recent promulgată, stabileşte pentru prima dată o delimitare clară între activităţile legitime de cercetare în domeniul securităţii IT şi atacurile informatice desfăşurate în scop infracţional.

Scopul actului normativ este de a oferi protecţie juridică experţilor care testează sisteme informatice pentru a descoperi probleme de securitate şi de a încuraja raportarea responsabilă a acestora, fără riscul unor consecinţe penale, atât timp cât sunt respectate condiţiile prevăzute de lege.

Potrivit noilor prevederi, anumite fapte care, în mod normal, sunt considerate infracţiuni informatice, precum accesarea unui sistem informatic, interceptarea transmisiilor de date sau transferul unor date informatice, nu vor mai atrage răspunderea penală dacă sunt realizate exclusiv în scopul identificării şi raportării vulnerabilităţilor şi respectă procedurile legale.

Protecţia nu este acordată automat oricărei persoane, ci doar celor care acţionează cu bună-credinţă, desfăşoară activităţi de cercetare sau testare şi urmează principiile raportării responsabile a vulnerabilităţilor. Astfel, legea elimină situaţiile în care specialiştii în securitate cibernetică puteau fi trataţi similar autorilor unor atacuri informatice, deşi scopul lor era consolidarea securităţii sistemelor digitale.

Iniţiatorii legii susţin că România dispune de numeroşi specialişti capabili să descopere vulnerabilităţi complexe înainte ca acestea să fie exploatate de infractori cibernetici, iar noul cadru legal ar trebui să încurajeze valorificarea acestor competenţe în beneficiul instituţiilor publice, al companiilor şi al cetăţenilor.

Autorităţile subliniază însă că legea nu relaxează legislaţia privind criminalitatea informatică şi nu legalizează atacurile cibernetice. Persoanele care exploatează vulnerabilităţi pentru a obţine beneficii personale, fură sau divulgă date, compromit funcţionarea unor sisteme informatice, întrerup servicii digitale sau folosesc programe malware nu beneficiază de protecţia oferită de acest act normativ şi vor răspunde în continuare conform legislaţiei penale.

Legea nr. 123/2026 urmăreşte şi consolidarea colaborării dintre instituţiile responsabile de securitatea cibernetică. În acest scop, Directoratul Naţional de Securitate Cibernetică (DNSC) va colabora cu un comitet alcătuit din reprezentanţi ai autorităţilor relevante pentru a facilita schimbul rapid de informaţii privind incidentele informatice şi pentru a îmbunătăţi coordonarea răspunsului la nivel naţional.

Prin adoptarea acestui cadru legislativ, România se aliniază practicilor implementate în tot mai multe state care promovează raportarea responsabilă a vulnerabilităţilor şi colaborarea dintre autorităţi, companii şi comunitatea de cercetători în securitate cibernetică. În contextul în care atacurile informatice devin tot mai sofisticate, identificarea şi remedierea vulnerabilităţilor înainte ca acestea să fie exploatate este considerată una dintre cele mai eficiente metode de prevenire a incidentelor majore.