Këshilli i Ministrave ka propozuar një paketë të rëndësishme ndryshimesh dhe shtesash në ligjin nr. 25/2024, “Për sigurinë kibernetike”, duke zgjeruar rrethin e institucioneve të mbrojtura, duke forcuar mekanizmat parandalues ndaj sulmeve digjitale dhe duke ashpërsuar masat administrative për operatorët që nuk zbatojnë protokollet e sigurisë.

Sipas projektligjit që pritet të depozitohet në Kuvend, ndërhyrjet synojnë të rrisin aftësinë reaguese të vendit përballë kërcënimeve kibernetike, të mbrojnë qytetarët e grupet vulnerabël, si dhe të përafrojnë standardet e certifikimit me skemat evropiane.

Grupi i Inteligjencës Kibernetike dhe përfshirja e bashkive

Një nga risitë kryesore të draftit është krijimi i Grupit të Bashkëpunimit për Inteligjencën Kibernetike pranë Autoritetit Kombëtar për Sigurinë Kibernetike (AKSK). Ky grup ndërinstitucional do të bashkojë përfaqësues nga AKSK-ja, Ministria për Evropën dhe Punët e Jashtme, Ministria e Punëve të Brendshme, Shërbimi Informativ i Shtetit (SHISH), Shtabi i Përgjithshëm i Forcave të Armatosura dhe Agjencia e Inteligjencës dhe Sigurisë së Mbrojtjes. Detyra e tij do të jetë shkëmbimi i informacionit paralajmërues dhe vlerësimi i ndikimit të kërcënimeve ndaj sigurisë kombëtare, ekonomisë dhe shërbimeve publike.

Paralelisht, projektligji shton “subjektet e administratës publike të vetëqeverisjes vendore” (bashkitë) në Aneksin I të ligjit, duke i klasifikuar ato zyrtarisht si sektorë me kritiklitet të lartë. Gjithashtu, lista e operatorëve të infrastrukturave kritike dhe të rëndësishme përcaktohet si “konfidenciale”, miratohet me vendim të Këshillit të Ministrave dhe përditësohet të paktën një herë në dy vjet.

Simulime sulmesh dhe vetëdeklarim i detyrueshëm

Për të testuar në praktikë qëndrueshmërinë e sistemeve, AKSK-së i jepet e drejta të kryejë “simulime në rrjetet dhe në sistemet e infrastrukturave kritike dhe të rëndësishme të informacionit, duke shfrytëzuar vulnerabilitetet e evidentuara nëpërmjet skanimeve proaktive”, pasi të ketë dakordësuar paraprakisht fashat orare me operatorët.

Projektligji vendos gjithashtu dy detyrime të reja raportimi për operatorët kritikë si vetëdeklarimi i masave të sigurisë kibernetike, dorëzimi i rregullt i të dhënave të sakta mbi masat teknike, organizative dhe operacionale të zbatuara; vetëdeklarimi i hostimit dhe administrimit, deklarimi i subjektit që hoston ose administron infrastrukturën teknologjike, lloji i hostimit, vendndodhja e serverëve dhe masat e sigurisë për sistemet e hostuara.

Për më tepër, operatorët detyrohen të zbatojnë menjëherë masat e komunikuara nga Autoriteti për bllokimin ose neutralizimin e treguesve të komprometimit (IOC) dhe treguesve të sulmeve (IOA), si dhe të përdorin produkte dhe shërbime TIK të certifikuara sipas skemave kombëtare ose evropiane.

Gjoba nga 200 mijë deri në 10 milionë lekë

Ndryshimet ligjore rishikojnë dhe zgjerojnë sistemin e ndëshkimeve administrative për kundërvajtjet e konstatuara nga AKSK-ja, me gjoba që variojnë nga 200 000 lekë deri në 10 000 000 lekë:

• Nga 4 000 000 deri në 10 000 000 lekë për shkeljet e rënda të parashikuara në shkronjën “dh” të nenit 44;
• Nga 1 000 000 deri në 10 000 000 lekë për shkeljet sipas shkronjave “a” dhe “d”;
• Nga 2 000 000 deri në 5 000 000 lekë për shkeljet sipas shkronjës “ë”;
• Nga 2 000 000 deri në 4 000 000 lekë për mosdhënie informacioni apo raportim të pasaktë të infrastrukturave;
• Nga 500 000 deri në 2 000 000 lekë për mosdorëzim brenda afatit të vetëdeklarimit të masave të sigurisë dhe mosdeklarim të mënyrës së hostimit;
• Nga 500 000 deri në 1 000 000 lekë për moszbatimin e masave për bllokimin e treguesve të sulmeve (IOC/IOA) dhe korrigjimin e vulnerabiliteteve;
• Nga 200 000 deri në 1 000 000 lekë për paraqitjen e të dhënave të pasakta ose të paplota në vetëdeklarim.

Ky ligj hyn në fuqi 15 ditë pas botimit në “Fletoren zyrtare”, ndërsa Këshilli i Ministrave, Kryeministri dhe drejtori i Përgjithshëm i AKSK-së ngarkohen të nxjerrin aktet nënligjore brenda 12 muajve.

/rtsh.al/