Përmbledhje:
- Projektligji synon të forcojë mbrojtjen e infrastrukturave kritike dhe të rëndësishme të informacionit, duke i dhënë AKSK-së më shumë rol në monitorim, koordinim dhe reagim ndaj incidenteve.
- Operatorët do të kenë detyrime të reja si psh të vetëdeklarojnë masat e sigurisë, të deklarojnë ku dhe si hostohen sistemet e tyre, dhe të zbatojnë masat që u komunikon AKSK për kërcënime, sulme apo dobësi.
- Siguria kibernetike po trajtohet si çështje kombëtare, projektligji parashikon CSIRT-e sektoriale, grup ndërinstitucional të inteligjencës kibernetike dhe gjoba deri në 10 milionë lekë për shkelje të rënda.
Shqipëria po përgatitet të ashpërsojë rregullat për sigurinë kibernetike. Jo me një ligj që flet vetëm në parim për mbrojtjen e sistemeve, por me detyrime më konkrete për institucionet dhe operatorët që mbajnë infrastruktura kritike apo të rëndësishme të informacionit.
Projektligji për disa ndryshime në ligjin “Për sigurinë kibernetike” synon të forcojë rolin e Autoritetit Kombëtar për Sigurinë Kibernetike, të përmirësojë reagimin ndaj incidenteve dhe të rrisë kontrollin mbi mënyrën si mbrohen sistemet digjitale që mbajnë shërbime publike, ekonomike apo institucionale.
Një nga ndryshimet kryesore është vetëdeklarimi i masave të sigurisë kibernetike. Operatorët kritikë dhe të rëndësishëm do të duhet të deklarojnë pranë AKSK-së çfarë masash teknike, organizative dhe operacionale kanë vendosur për mbrojtjen e sistemeve. Ky vetëdeklarim duhet të jetë i saktë, i plotë dhe i përditësuar.
Po ashtu, operatorët do të duhet të deklarojnë mënyrën e hostimit dhe administrimit të sistemeve, rrjeteve dhe infrastrukturës së informacionit. Me fjalë të thjeshta, shteti kërkon të dijë ku mbahen sistemet, kush i administron, çfarë lloj hostimi përdoret, nëse ka cloud apo virtualizim, dhe çfarë masash mbrojtëse janë vendosur.
Një tjetër pikë e rëndësishme është detyrimi për të zbatuar masat që komunikon AKSK. Nëse autoriteti identifikon tregues komprometimi, tregues sulmi apo dobësi të shfrytëzueshme, operatorët duhet të marrin masa për bllokim, filtrimin, kufizimin, detektimin ose neutralizimin e tyre. Pra, nuk mjafton më të thuash “e dimë problemin”. Duhet të veprosh.
Projektligji parashikon edhe forcimin e CSIRT-eve sektoriale, pra ekipeve që reagojnë ndaj incidenteve kibernetike në sektorë të ndryshëm. Kjo do të thotë se reagimi ndaj sulmeve nuk do të mbetet vetëm në një qendër të vetme, por do të shpërndahet më mirë sipas sektorëve dhe përgjegjësive.
Një risi tjetër është krijimi i Grupit Ndërinstitucional të Inteligjencës Kibernetike, me përfaqësues nga AKSK, ministritë përgjegjëse, SHISH, Forcat e Armatosura dhe Agjencia e Inteligjencës dhe Sigurisë së Mbrojtjes. Ky grup do të merret me shkëmbimin e informacionit paralajmërues, vlerësimin e ndikimit të kërcënimeve ndaj sigurisë kombëtare dhe hartimin e buletineve periodike për rreziqet kibernetike.
Në pjesën e sanksioneve, projektligji është më i ashpër. Mosdorëzimi i vetëdeklarimit, deklarimi i pasaktë, mosdeklarimi i hostimit apo moszbatimi i masave të komunikuara nga AKSK mund të sjellin gjoba të konsiderueshme. Për disa shkelje, gjobat shkojnë deri në 10 milionë lekë.
Ky ndryshim tregon se siguria kibernetike në Shqipëri po hyn në një fazë më të rregulluar. Pas sulmeve ndaj sistemeve publike dhe rritjes së varësisë nga shërbimet digjitale, shteti po kërkon më shumë disiplinë nga ata që mbajnë infrastruktura të rëndësishme.
Në thelb, mesazhi është i qartë: nëse administron një sistem kritik, nuk mjafton të kesh teknologji. Duhet të kesh përgjegjësi, raportim, masa konkrete dhe gatishmëri për të reaguar.
Sepse sot një dobësi kibernetike nuk është më vetëm problem IT-je, mund të bëhet problem për shtetin, ekonominë dhe qytetarët.
