Parlamentul a adoptat Legea nr. 123/2026, care introduce in Codul penal o cauza explicita de inlaturare a caracterului penal pentru cercetatorii de securitate cibernetica ce descopera si raporteaza vulnerabilitati informatice in conditiile legii. Totodata, actul normativ creeaza un comitet consultativ pe langa Directoratul National de Securitate Cibernetica (DNSC), consolidand mecanismul institutional de coordonare in domeniul securitatii cibernetice. Legea, semnata la 3 iulie 2026 de presedintele Senatului Mircea Abrudean si de p. presedintele Camerei Deputatilor Natalia-Elena Intotero, vizeaza deopotriva specialistii in securitate informatica, companiile de tehnologie si autoritatile cu atributii in domeniul cibernetic.
Context si obiective
Pana la adoptarea acestei legi, Romania se confrunta cu un paradox juridic semnificativ: cercetatorii de securitate cibernetica — asa-numitii „hackeri etici" — care identificau vulnerabilitati in produse si servicii IT si le raportau responsabil catre producatori sau autoritati riscau, cel putin teoretic, urmarirea penala in baza articolelor 360-365 din Codul penal, care incrimineaza accesul ilegal la sisteme informatice, interceptarea ilegala a comunicatiilor si operatiunile ilegale cu dispozitive informatice. Aceasta situatie descuraja raportarea voluntara a breselor de securitate si punea Romania in urma statelor europene care au adoptat deja cadre de tip „coordinated vulnerability disclosure".
Legea nr. 123/2026 vine in completarea Ordonantei de urgenta a Guvernului nr. 155/2024 privind securitatea cibernetica a retelelor si sistemelor informatice din spatiul cibernetic national civil, aprobata cu modificari prin Legea nr. 124/2025. OUG 155/2024 prevedea deja, la articolul 36 alineatele (5) si (6), conditiile in care cercetarea si raportarea vulnerabilitatilor sunt considerate legitime. Ceea ce lipsea era corelarea explicita cu dreptul penal — o garantie ferma ca indeplinirea acelor conditii inlatura caracterul infractional al faptei. Legea 123/2026 acopera tocmai acest gol.
Cine este vizat
Principalii beneficiari ai noului cadru legal sunt persoanele fizice si juridice care desfasoara activitati de cercetare a vulnerabilitatilor — cercetatori independenti de securitate, companii de audit si testare a securitatii informatice (penetration testing), echipe interne de securitate ale companiilor de tehnologie, precum si organizatii neguvernamentale active in domeniul securitatii cibernetice. Protectia penala se aplica atat persoanelor fizice, cat si celor juridice, cu conditia respectarii cumulative a cerintelor din OUG 155/2024.
Pe latura institutionala, legea vizeaza autoritatile prevazute la articolele 11, 12 si 14-17 din Legea nr. 58/2023, care vor forma noul comitet consultativ pe langa DNSC. Acest comitet, fara personalitate juridica, va functiona pe baza unui statut elaborat de DNSC si avizat de autoritatile membre, avand rolul de a asista Directoratul in indeplinirea atributiilor sale de coordonare a securitatii cibernetice.
Obligatii principale
Legea nu instituie obligatii noi in sarcina operatorilor economici sau a persoanelor fizice, ci modifica regimul juridic aplicabil unei categorii de fapte deja reglementate. Cu toate acestea, pentru a beneficia de cauza de inlaturare a caracterului penal, cercetatorii de vulnerabilitati trebuie sa indeplineasca cumulativ conditiile stabilite la articolul 36 alineatele (5) si (6) din OUG 155/2024. Aceasta inseamna, in esenta, ca cercetarea trebuie sa fie realizata cu buna-credinta, iar vulnerabilitatile descoperite trebuie raportate in mod responsabil, urmand procedura de „coordinated vulnerability disclosure" stabilita de DNSC.
In ceea ce priveste comitetul consultativ nou-creat, DNSC are obligatia de a elabora statutul de functionare al acestuia, iar autoritatile membre trebuie sa il avizeze. Nu este prevazut un termen expres pentru constituirea comitetului, insa, legea fiind in vigoare de la publicare, aceasta obligatie este exigibila imediat.
Cauza de inlaturare a caracterului penal — detalii tehnice
Noul articol 365^1 din Codul penal, intitulat „Cauza de inlaturare a caracterului penal", stabileste ca nu constituie infractiune faptele prevazute la:
- art. 360 alin. (1) si (3) — accesul ilegal la un sistem informatic si accesul ilegal urmat de alterarea datelor
- art. 361 — interceptarea ilegala a unei transmisii de date informatice
- art. 364 — operatiuni ilegale cu dispozitive sau programe informatice
Excluderea opereaza numai daca sunt indeplinite cumulativ conditiile privind cercetarea si raportarea vulnerabilitatilor din OUG 155/2024, ceea ce presupune respectarea integrala a cadrului de „responsible disclosure" reglementat de DNSC. Important de subliniat: nu orice activitate de „hacking" devine legala prin aceasta lege — protectia este strict conditionata si nu se extinde la fapte comise in afara cadrului de raportare responsabila.
Ce trebuie sa faci acum
Pentru cercetatorii de securitate cibernetica si companiile de testare a securitatii informatice, adoptarea Legii 123/2026 presupune cativa pasi concreți de conformare si valorificare a noului cadru legal.
In primul rand, este necesara studierea detaliata a conditiilor prevazute la articolul 36 alineatele (5) si (6) din OUG 155/2024 si a normelor de aplicare emise de DNSC privind raportarea coordonata a vulnerabilitatilor. Orice activitate de cercetare a vulnerabilitatilor trebuie sa respecte integral aceste conditii pentru a beneficia de protectia penala.
In al doilea rand, companiile care angajeaza sau contracteaza cercetatori de securitate ar trebui sa isi actualizeze procedurile interne si contractele de prestari servicii, incluzand referinte explicite la cadrul legal aplicabil si la obligatia de raportare responsabila.
In al treilea rand, este recomandata documentarea riguroasa a fiecarei activitati de cercetare — scopul, metodologia, momentul descoperirii vulnerabilitatii si pasii urmati pentru raportare — pentru a putea demonstra, in eventualitatea unei dispute, indeplinirea cumulativa a conditiilor legale.
In al patrulea rand, organizatiile care detin produse sau servicii TIC ar trebui sa isi stabileasca propriile canale de raportare a vulnerabilitatilor (vulnerability disclosure policy), facilitand astfel colaborarea cu cercetatorii de securitate in cadrul legal nou-creat.
In al cincilea rand, este oportuna urmarirea publicarii statutului comitetului consultativ de catre DNSC, intrucat acest document va clarifica modul de functionare a mecanismului institutional de coordonare si poate aduce precizari suplimentare relevante pentru practica de „responsible disclosure".
Sursa: LEGE nr. 123 din 3 iulie 2026, publicat in Monitorul Oficial al Romaniei pe 2026-07-03.
