Hackerii etici scapă de Codul penal. Noua lege care protejează tinerii cercetători de securitate

Acum ceva ani, un adolescent pasionat de programare a descoperit o breșă uriașă într-un sistem al statului. Și-a făcut curaj, a notificat autoritatea și… în loc de mulțumiri, s-a trezit cu o plângere penală pentru acces neautorizat. Curiozitatea lui constructivă a fost citită ca o infracțiune. Astăzi, povestea s-ar fi putut termina altfel.

Camera Deputaților a adoptat o lege care schimbă radical regulile jocului: cine testează sistemele informatice cu bună-credință și din dorința de a preveni un dezastru nu mai poate fi acuzat de aceleași fapte ca un infractor cibernetic. Adoptarea s-a făcut în Camera Deputaților, camera decizională; pentru a produce efecte, legea mai trebuie promulgată de Președinte și publicată în Monitorul Oficial. Legea a fost coinițiată de Cristina Prună și Eduard Mititelu și a pornit tocmai de la cazurile unor tineri talentați, uneori adolescenți de 16-17 ani, capabili să vadă fisurile pe care sistemele întregi le ignoră. Protecția nu se oprește însă la ei: se aplică oricui cercetează securitatea cu bună-credință, indiferent de vârstă.

Pe scurt

• Nu se mai aplică anumite articole din Codul Penal pentru acces la un sistem informatic, interceptarea sau transferul de date informatice, dacă fapta este făcută cu bună-credință, în scop de cercetare sau testare de securitate, iar vulnerabilitatea este raportată responsabil.

• Legea consacră diferența dintre infractorul cibernetic și cercetătorul de securitate care acționează cu bună-credință („ethical hacker”).

• Se creează un comitet consultativ pe lângă DNSC, care să informeze în timp util celelalte autorități despre incidente – un pas de la reactiv la proactiv.

• Măsura sprijină cultura de cyber defense și îi încurajează pe cei care identifică vulnerabilități să le raporteze, nu să se teamă de repercusiuni.

Ce schimbă, concret, noua lege

Modificarea legislativă elimină aplicarea sancțiunilor penale pentru fapte care, în mod obișnuit, ar constitui infracțiuni informatice. Mai exact, vorbim despre accesul la un sistem informatic, interceptarea unei transmisii de date și transferul neautorizat de date – toate regăsite în Capitolul VI, Titlul VII din Codul Penal, dedicat infracțiunilor contra siguranței și integrității sistemelor și datelor informatice: accesul la un sistem informatic (art. 360), interceptarea unei transmisii de date informatice (art. 361) și transferul neautorizat de date informatice (art. 364).

Condiția esențială nu este un contract semnat dinainte, ci ca activitatea să fie făcută cu bună-credință, în scopul cercetării ori testării securității cibernetice, fără a produce un prejudiciu și cu raportarea responsabilă a vulnerabilității. Cu alte cuvinte, dacă ești un adolescent care descoperă o vulnerabilitate pe platforma unei instituții, acționezi cu bună-credință, nu produci pagube și semnalezi problema, nu vei mai fi tratat automat ca un infractor. Bunul-simț juridic triumfă: „Dolus malus non praesumitur” – intenția rea nu se prezumă.

Nu e o portiță prin care oricine poate intra în sisteme fără urmări. Legea nu dezincriminează atacurile, ci protejează testele autorizate. E un scut pentru cei care, asemenea unui „leu printre antilope”, caută breșele înainte să le exploateze cineva cu intenții necinstite.

De la infractor la apărător: diferența subtilă dintre un atac și un test de securitate

Pentru cineva care nu e în domeniu, poate părea că același gest (de a pătrunde într-un sistem) e ori bun, ori rău, după cum bate vântul. Dar diferența stă, ca de atâtea ori, în intenția din spatele acțiunii și în ce faci cu ce găsești.

Un infractor cibernetic vrea să fure date, să blocheze servere sau să ceară răscumpărare. Un cercetător de securitate vrea să demonstreze că o ușă e deschisă, ca să fie reparată. Și, în loc să se folosească de datele găsite, le raportează celor în drept și respectă limitele unei testări de bună-credință.

Noua lege vine exact cu această distincție: recunoaște că există un „bun-simț digital” care nu merită sancționat, ci încurajat. Dacă eram cu toții mai atenți la cum circulăm pe internet, am vedea că tinerii care participă la competiții de securitate dezvoltă abilități utile pentru toți – iar statul român începe să înțeleagă asta.

Un pas înainte pentru cultura cyber defense

Pe lângă protecția hackerilor etici, legea introduce un mecanism de cooperare între autorități: ea completează OUG 155/2024 prin introducerea obligației ca DNSC să se consulte cu un comitet format din reprezentanții autorităților prevăzute în Legea privind securitatea și apărarea cibernetică a României. Scopul? Când una dintre ele detectează un incident, celelalte află în timp util, nu a doua zi de la televizor.

E un pas dinspre atitudinea reactivă („stingem focul după ce a ars jumătate de pădure”) către una proactivă, de descurajare a atacurilor încă din fașă. Pentru un stat care a avut instituții luate prin surprindere de atacuri tip ransomware, e un semnal că începe să învețe din greșeli.

Întrebări frecvente

Ce activități exacte sunt excluse de la răspundere penală?

Legea vizează fapte precum accesul la un sistem informatic, interceptarea transmisiilor de date și transferul neautorizat de date informatice – dar doar când sunt făcute cu bună-credință, în scop de cercetare sau testare a securității, fără prejudiciu și cu raportarea responsabilă a vulnerabilității. Dacă scopul e altul – furt, șantaj, distrugere – ori exploatezi breșa în loc s-o raportezi, rămâne infracțiune.

Cum poate un tânăr cercetător să beneficieze de această protecție?

Cheia este buna-credință și raportarea responsabilă. Legea îl protejează tocmai pe cercetătorul care descoperă o vulnerabilitate și o semnalează corect, chiar și fără un contract prealabil. Important este să acționezi în scop de cercetare sau testare, să nu produci pagube, să nu exploatezi și să nu divulgi public breșa, ci să o raportezi celui în drept (proprietarul sistemului și, după caz, DNSC). Un acord scris în avans (un contract de penetration testing) rămâne cea mai sigură variantă și o bună practică, dar nu este condiția pe care o cere această lege. Documentează totul: ce ai făcut, ce ai descoperit și că nu ai produs pagube.

Se aplică doar adolescenților?

Nu. Deși inițiativa a fost motivată de dorința de a sprijini tinerii talentați care descoperă vulnerabilități, legea se aplică oricui desfășoară activități de cercetare sau testare a securității cu bună-credință, indiferent de vârstă. E un instrument pentru întreaga comunitate de securitate cibernetică din România.

Această lege e încă o dovadă că dreptul, când e bine gândit, poate să țină pasul cu tehnologia, nu să o frâneze. Și e reconfortant să vezi că, măcar pe partea aceasta, România nu-i mai tratează pe cei care vor să protejeze sistemele ca pe niște dușmani.