Cine controlează controlorul? Zona gri din securitatea cibernetică: Este în vigoare Legea care transformă „hackerii etici” în interfața neoficială a SRI

Legea 123/2026 deschide o discuție pe care autoritățile și-au permis să o ignore: cine controlează cercetătorul care descoperă o vulnerabilitate și unde se termină cercetarea de securitate și începe activitatea de intelligence? Problema devine cu atât mai sensibilă cu cât SRI a recunoscut public că utilizează constant hackeri „White Hat”.

Noua legislație privind cercetarea și raportarea vulnerabilităților informatice a fost prezentată ca un instrument pentru consolidarea securității cibernetice. În spatele limbajului tehnic există însă o problemă de principiu: o activitate care poate presupune interacțiunea tehnică cu sisteme informatice private intră într-un regim juridic special, iar informațiile despre vulnerabilități ajung într-un mecanism instituțional în care sunt reprezentate și structuri de securitate națională. Legea nr. 123/2026 a fost promulgată la 3 iulie 2026 și publicată în Monitorul Oficial nr. 550.

„White Hat” nu mai este o ipoteză. SRI a recunoscut public utilizarea lor

În 2022, generalul SRI Anton Rog, șeful Centrului Național Cyberint, declara public că unitatea sa „utilizează constant White hat (hackeri etici)”. Declarația a fost relatată de TVR Info și de alte publicații. Această declarație este esențială pentru dezbaterea actuală. Nu înseamnă că orice hacker etic care raportează o vulnerabilitate este colaborator al SRI. Nu înseamnă nici că Legea 123/2026 acordă SRI o autorizație generală de a pătrunde în sisteme informatice private. Dar înseamnă că relația instituțională dintre serviciul de informații și persoane care dețin competențe de hacking este o realitate recunoscută public de chiar reprezentanții serviciului. De aici apare întrebarea pe care noua lege trebuie să o suporte fără echivoc:

Dacă un cercetător în securitate cibernetică poate beneficia de regimul special al cercetării de vulnerabilități, ce garanție legală există că acesta acționează independent de o structură de informații?

Legea creează protecție juridică. Vulnerabilitatea ajunge însă la DNSC

Regimul cercetării de vulnerabilități nu este unul lipsit de condiții. Persoana fizică sau juridică trebuie să acționeze cu bună-credință și exclusiv pentru îmbunătățirea securității cibernetice. Sunt prevăzute limite privind accesarea sau copierea neautorizată a fișierelor, modificarea ori ștergerea datelor, ocolirea barierelor tehnice, producerea de întreruperi sau utilizarea malware-ului. Raportarea vulnerabilității trebuie făcută în maximum 48 de ore.

Pe hârtie, condițiile par restrictive. Problema apare însă la fluxul informației. Un cercetător identifică o vulnerabilitate. Vulnerabilitatea este raportată către DNSC. DNSC intră în mecanismul instituțional prevăzut de lege. Iar în acest mecanism apar instituții care nu sunt simple autorități civile de reglementare, ci instituții din zona securității și apărării, inclusiv SRI, SIE, STS, SPP, MApN și MAI. Așadar, informația despre o vulnerabilitate descoperită într-un sistem poate intra într-un circuit instituțional în care participă și structuri de securitate națională.

Consiliul Legislativ a văzut pericolul înaintea Parlamentului

Nu este o critică inventată după adoptarea legii. Consiliul Legislativ a emis Avizul negativ nr. 152/2026 asupra propunerii legislative. În analiza sa, instituția a criticat inclusiv lipsa de claritate și previzibilitate a mecanismului interinstituțional. Una dintre problemele semnalate privea chiar comitetul interinstituțional și limitele sale juridice. Mai mult, Consiliul Legislativ a atras atenția asupra includerii unor autorități precum MApN, MAI, SRI, SIE, STS și SPP și asupra necesității delimitării competențelor acestora, în special pentru vulnerabilități care pot afecta securitatea națională, infrastructurile critice sau sistemele guvernamentale.

Cu alte cuvinte, instituția care are tocmai rolul de a verifica tehnica legislativă a spus că mecanismul propus ridică probleme de claritate, precizie, previzibilitate și delimitare instituțională. Și legea a mers mai departe.

Întrebarea explozivă: poate exista un „White Hat” cu legături la servicii?

Aici trebuie făcută o distincție fundamentală.

Ca regulă de lucru a instituțiilor de intelligence este faptul ca nu există, în sursele publice de interes, o dovadă că SRI sau altă structură de informații folosește Legea 123/2026 pentru a introduce persoane în rețele private sub acoperirea statutului de cercetător de vulnerabilități. O asemenea afirmație ar necesita probe concrete. Dar legea ridică o întrebare legitimă: există suficiente garanții pentru ca un asemenea scenariu să fie exclus?

Cercetătorul poate fi persoană fizică sau juridică. SRI recunoaște că utilizează constant hackeri etici. Legea instituie un regim special pentru activitatea de cercetare și raportare a vulnerabilităților. Raportarea se face către DNSC în maximum 48 de ore. Iar pentru mecanismul instituțional relevant sunt implicate și structuri de securitate națională.

Unde este verificarea independenței cercetătorului?

Unde este obligația de declarare a unei eventuale relații contractuale, profesionale sau instituționale cu o autoritate de securitate? Unde este auditul independent al activității? Cine stabilește că ceea ce a fost prezentat drept „cercetare” a fost într-adevăr cercetare și nu o activitate de colectare de informații? Și, mai ales, cine controlează controlorul?

„Buna-credință” nu este același lucru cu un mecanism de control

Una dintre vulnerabilitățile conceptuale ale reglementării este că noțiunea de „bună-credință” devine un element central al protecției juridice. Dar buna-credință este o condiție juridică, nu un mecanism de supraveghere în timp real. Dacă cineva susține că a acționat pentru identificarea unei vulnerabilități, întrebarea nu este doar ce a declarat persoana respectivă, ci ce a făcut efectiv în sistem. Iar aici apare tensiunea dintre două interese:

• securitatea cibernetică, care presupune testarea și identificarea vulnerabilităților;
• protecția proprietarului sistemului și a drepturilor persoanelor ale căror date se află în acel sistem.

O legislație serioasă trebuie să împiedice transformarea primei categorii într-un pretext pentru încălcarea celei de-a doua.

Riscul nu este doar tehnic. Este constituțional

Dacă un sistem informatic publis/privat conține date personale, corespondență, documente comerciale, date medicale, informații financiare sau alte informații confidențiale, orice acces neautorizat poate produce consecințe care depășesc sfera securității informatice. Intră în discuție dreptul la viață privată, protecția datelor, secretul corespondenței, proprietatea și libertatea economică. De aceea, securitatea cibernetică nu poate deveni o formulă magică prin care orice intruziune este justificată retrospectiv.

Un stat de drept nu poate spune: „Am intrat în sistem, dar am făcut-o pentru securitate.” Trebuie să se poată demonstra cine a autorizat acțiunea, în ce scop, în baza cărui temei juridic, ce limite au fost impuse și cine a verificat ulterior respectarea lor.

Cele 48 de ore pot proteja securitatea. Dar pot concentra și informația

Obligația de raportare în maximum 48 de ore are o justificare evidentă: vulnerabilitățile trebuie remediate rapid. Dar există și cealaltă față a medaliei. În momentul raportării, autoritatea competentă află:

• unde există vulnerabilitatea;
• ce sistem este afectat;
• ce tip de deficiență există;
• în anumite limite, cum poate fi exploatată;
• cine este proprietarul sistemului;
• care sunt implicațiile potențiale.

Cu cât mai multe instituții primesc acces la asemenea informații, cu atât mai important devine controlul asupra circuitului lor.

O vulnerabilitate informatică este, în sine, o informație sensibilă.

În mâinile unui specialist în securitate, ea este o problemă de remediat. În mâinile unui actor ofensiv, poate deveni o oportunitate. De aceea, accesul instituțiilor de intelligence la asemenea informații trebuie să fie însoțit de garanții extrem de precise privind scopul, accesul, păstrarea, utilizarea și distrugerea datelor.

Pericolul cel mai mare este apariția unei „zone gri”

Problema nu este existența hackerilor etici. Aceștia sunt indispensabili securității informatice moderne. Problema este cine îi mandatează, cine îi controlează și în numele cui acționează. Un hacker etic independent, care testează un sistem cu acordul proprietarului, este una.Un cercetător care descoperă o vulnerabilitate fără mandat expres este deja într-o altă situație juridică.nUn cercetător care acționează, formal, în numele unei entități private, dar are o relație nepublică cu o instituție de informații ridică o problemă complet diferită. Iar dacă aceeași activitate ajunge ulterior într-un circuit instituțional în care sunt prezente serviciile de informații, statul trebuie să demonstreze că există un zid juridic și procedural real între cercetarea de securitate și activitatea de intelligence. Altfel, apare ceea ce orice stat democratic ar trebui să evite: o zonă gri în care o intruziune poate fi prezentată ulterior drept cercetare de securitate.

Consiliul Legislativ a avertizat. Acum responsabilitatea este a instituțiilor de control

Poate cea mai importantă concluzie nu este că Legea 123/2026 ar fi creat automat o putere clandestină de acces în rețele. Problema este mai subtilă și tocmai de aceea mai serioasă.

Legea a creat sau consolidat un mecanism în care cercetarea vulnerabilităților beneficiază de un regim juridic special, raportarea se face într-un termen foarte scurt către DNSC, iar în arhitectura instituțională apar și autorități de securitate națională. În același timp, Consiliul Legislativ a formulat critici severe privind claritatea, previzibilitatea și delimitarea acestui mecanism. Iar SRI a recunoscut public utilizarea constantă a hackerilor White Hat. Din această combinație rezultă o întrebare care nu mai poate fi evitată:

Poate statul garanta că regimul juridic creat pentru hackerii etici nu va putea fi utilizat, direct sau indirect, ca interfață pentru activități de intelligence care ar trebui să fie supuse altor condiții, altor limite și altor forme de control?

Dacă răspunsul este „da”, atunci garanțiile trebuie să fie scrise în lege și verificabile.

Dacă răspunsul este „nu”, atunci avem o problemă serioasă de separație a competențelor, protecție a drepturilor fundamentale și control democratic asupra serviciilor de informații.

Pentru că într-un stat de drept, nu este suficient ca o intruziune să poarte eticheta „etică”. Trebuie să existe și un mecanism independent care să demonstreze că a fost, într-adevăr, legală.

Oare această legea nu va fi atacată la CCR cu prima ocazie juridică litigioasă?

https://www.senat.ro/legis/PDF/2026/26L133LG.PDF?nocache=true

https://www.senat.ro/legis/PDF/2026/26L133FP.PDF?nocache=true

https://www.cdep.ro/ords/pls/proiecte/upl_pck2015.proiect?nr=350&an=2026