Qeveria ka miratuar ndryshime në projektligjin për sigurinë kibernetike, duke ashpërsuar detyrimet për operatorët e infrastrukturave kritike dhe të rëndësishme të informacionit. Paketa parashikon gjoba që në disa raste arrijnë deri në 10 milionë lekë, ndërsa zgjeron edhe rolin e institucioneve të sigurisë në arkitekturën e re të mbikëqyrjes dhe reagimit.
Gjoba të larta për mosraportim dhe të dhëna të pasakta
Sipas versionit të miratuar në mbledhjen e Këshillit të Ministrave të 12 nëntorit, operatorët do të kenë detyrime të reja për raportimin e incidenteve kibernetike, deklarimin e masave të sigurisë dhe dhënien e informacionit për mënyrën si administrohen sistemet informatike.
Për mosdorëzimin brenda afatit të vetëdeklarimit të masave të sigurisë dhe për mosdeklarimin e mënyrës së administrimit të sistemeve, parashikohen gjoba nga 500 mijë deri në 2 milionë lekë. Ndërsa për të dhëna të pasakta, të paplota ose të papërditësuara, sanksionet shkojnë nga 200 mijë deri në 1 milion lekë.
Çfarë duhet t’i dorëzohet AKSK-së
Projektligji kërkon që subjektet e përfshira të deklarojnë pranë Autoritetit Kombëtar për Sigurinë Kibernetike masat teknike, organizative dhe operacionale që kanë marrë për mbrojtjen e sistemeve të tyre.
Përveç kësaj, ato duhet të japin informacion për subjektin që administron infrastrukturën teknologjike, llojin e hostimit, vendndodhjen e infrastrukturës dhe masat e sigurisë që zbatohen. Kjo do të thotë më shumë raportim të detyruar ndaj shtetit dhe më shumë përgjegjësi administrative për operatorët që konsiderohen me rëndësi të lartë.
SHISH dhe ushtria futen në grupin e inteligjencës kibernetike
Një nga pikat më të ndjeshme të paketës është krijimi i një grupi bashkëpunimi për inteligjencën kibernetike. Në këtë strukturë, sipas projektligjit, do të marrin pjesë përfaqësues të AKSK-së, Ministrisë së Jashtme, Ministrisë së Brendshme, SHISH-it, Shtabit të Përgjithshëm të Forcave të Armatosura dhe Agjencisë së Inteligjencës dhe Sigurisë së Mbrojtjes.
Grupi do të drejtohet nga AKSK dhe do të ketë për detyrë shkëmbimin e informacionit për kërcënimet e mundshme kibernetike, vlerësimin e ndikimit në sigurinë kombëtare, ekonomi dhe shërbimet publike, si edhe dhënien e rekomandimeve për politikat e sigurisë kibernetike.
Raportim i detyrueshëm i incidenteve dhe listë konfidenciale operatorësh
Ndryshimet parashikojnë që operatorët të raportojnë çdo incident të sigurisë kibernetike pranë ekipit kombëtar dhe atij sektorial të përgjigjes ndaj incidenteve, si edhe të bashkëpunojnë me këto struktura për parandalimin, reagimin dhe rikuperimin nga sulmet.
Projektligji zgjeron edhe përgjegjësitë e AKSK-së në fushën e mbrojtjes së qytetarëve dhe grupeve vulnerabël, si dhe në certifikimin e sigurisë kibernetike. Po ashtu, lista e operatorëve të infrastrukturave kritike dhe të rëndësishme të informacionit do të jetë konfidenciale, do të miratohet me vendim të Këshillit të Ministrave dhe do të përditësohet të paktën një herë në dy vjet.
Edhe pushteti vendor futet te sektorët me rëndësi të lartë
Paketa përfshin edhe administratën e pushtetit vendor në kategorinë e sektorëve me rëndësi të lartë për sigurinë kibernetike. Kjo e zgjeron ndjeshëm rrethin e institucioneve dhe subjekteve që do t’i nënshtrohen kërkesave të reja dhe sanksioneve administrative.
Për shkelje të tjera administrative të parashikuara në ligj, qeveria parashikon gjoba që mund të arrijnë deri në 10 milionë lekë, një masë që rrit presionin mbi operatorët, ndërsa shton njëkohësisht kontrollin institucional mbi infrastrukturat digjitale.
Ndryshimet e miratuara nga qeveria forcojnë kornizën e raportimit dhe ndëshkimit në emër të sigurisë kibernetike, por njëkohësisht zgjerojnë edhe qasjen e strukturave shtetërore te informacioni dhe administrimi i sistemeve kritike.
Debati real mbetet te balanca mes nevojës për mbrojtje nga sulmet dhe shtimit të kompetencave të institucioneve të sigurisë, sidomos kur lista e operatorëve mbahet konfidenciale dhe kontrolli përqendrohet më tej te ekzekutivi.