Infrastrukturat Kritike dhe Siguria Kibernetike: Ashpërsimi i Sanksioneve dhe Detyrimet Ligjore sipas NIS2 dhe Studio EON
📌 Pikat Kryesore Ekzekutive
- Fusha Rregullatore: Siguria Kibernetike (NIS2 & Ligji 25/2024)
- Data e Referimit: 2026-06-23
- Përmbledhja: Qeveria shqiptare forcon masat për mbrojtjen e infrastrukturave kritike të informacionit përmes ashpërsimit të gjobave administrative deri në 10 milionë lekë për operatorët që dështojnë në zbatimin e kërkesave të Ligjit Nr. 25/2024 dhe standardeve të sigurisë kibernetike.
- Rekomandimi i EON: Zbatimi i menjëhershëm i masave parandaluese teknike dhe organizative për të shmangur sanksionet administrative.
Rrethanat dhe Zhvillimi Rregullator
Qeveria shqiptare po ashpërson masat për mbrojtjen e infrastrukturave digjitale përmes një projektligji që ndryshon ligjin nr. 25/2024 “Për sigurinë kibernetike”, i nxjerre per konsultim, duke parashikuar gjoba administrative deri në 10 milionë lekë për shkeljet më të rënda.
Sipas relacionit shoqërues, ndryshimet synojnë forcimin e kuadrit ligjor dhe institucional në fushën e sigurisë kibernetike, rritjen e mbrojtjes së infrastrukturave kritike dhe të rëndësishme të informacionit, si dhe përmirësimin e koordinimit ndërmjet institucioneve përgjegjëse.
Projektligji zgjeron kompetencat e Autoritetit Kombëtar për Sigurinë Kibernetike (AKSK), duke i dhënë funksione shtesë në prokurimet e përqendruara për trajnimet në fushën e sigurisë kibernetike dhe në procesin e autorizimit të organeve të vlerësimit të konformitetit. Ndryshimet synojnë gjithashtu forcimin e sistemit të certifikimit të sigurisë kibernetike, në përputhje me skemat kombëtare dhe europiane të certifikimit.
Një nga risitë kryesore është krijimi i bazës ligjore për vetëdeklarimin e masave të sigurisë kibernetike nga operatorët e infrastrukturave kritike dhe të rëndësishme të informacionit. Sipas relacionit, ky mekanizëm do të shërbejë si instrument paraprak për monitorimin dhe vlerësimin e përputhshmërisë së operatorëve me kërkesat ligjore.
Korniza Rregullatore: Ligji Nr. 25/2024 dhe Direktiva e BE-së NIS2
Siguria kibernetike në Shqipëri ka hyrë në një epokë të re me miratimin e Ligjit nr. 25/2024 “Për sigurinë kibernetike”, i cili reflekton parimet thelbësore të Direktivës Evropiane NIS2. Sektori i infrastrukturave kritike të informacionit (energjia, transporti, bankat, shëndetësia, infrastruktura digjitale) i nënshtrohet kërkesave të rrepta:
- Klasifikimi i Operatorëve të Shërbimeve Thelbësore: Identifikimi i subjekteve dhe detyrimi për auditime periodike të pavarura.
- Raportimi i Incidenteve Kibernetike: Detyrimi për të njoftuar autoritetin kompetent (AKCESK/AKSK) brenda afateve rigoroze (24 deri në 72 orë).
- Masat e Detyrueshme të Sigurisë: Menaxhimi i rrezikut në zinxhirin e furnizimit (Supply Chain Security), politikat e backup-it dhe rimëkëmbjes nga katastrofat (Disaster Recovery).
- Sanksionet e Ashpërsuara: Projektligjet e reja parashikojnë masa ndëshkuese administrative deri në 10 milionë lekë për operatorët që dështojnë në mbrojtjen e sistemeve.
Kërkesat Kryesore të Sigurisë Kibernetike (Ligji 25 vs NIS2)
| Fusha e Kërkesës | Standardi i Kërkuar | Afati i Reagimit | Zgjidhja nga Studio EON |
|---|---|---|---|
| Incident Response Plan | Procedurë e shkruar e menaxhimit të krizave | Njoftim i menjëhershëm | Hartimi i Planit të Reagimit ndaj Incidenteve. |
| Testimi i Penetrimit (Pentest) | Vlerësim vjetor i dobësive të rrjetit | Periodik / Vjetor | Audit teknik & Penetration Testing i pavarur. |
| Certifikimi ISO 27001 | Sistemi i Menaxhimit të Sigurisë (ISMS) | 18 muaj nga hyrja në fuqi | Implementim i plotë dhe përgatitje për certifikim. |
Udhëzuesi Praktik i EON: Çfarë Duhet të Ndërmarrë Menjëherë Organizata Juaj?
Për t’u përshtatur me kërkesat e reja dhe për të minimizuar rrezikun e masave administrative apo dëmtimit të reputacionit, EON rekomandon një plan veprimi të strukturuar në tri faza:
- Faza P0 (Urgjente – Brenda 15 Ditëve): Kryerja e një GAP Analysis të menjëhershëm për të identifikuar zonat e ekspozuara; pezullimi i formave të paligjshme të mbledhjes së të dhënave (p.sh. video-survejimi i paautorizuar ose mungesa e njoftimeve).
- Faza P1 (Strukturore – Brenda 45 Ditëve): Hartimi i Politikave të Përditësuara të Privatësisë, caktimi formal i Nëpunësit për Mbrojtjen e të Dhënave (DPO), dhe nënshkrimi i Marrëveshjeve për Përpunimin e të Dhënave (DPA) me të gjithë nënkontraktorët.
- Faza P2 (Konsolidim – Brenda 90 Ditëve): Testimi teknik i sigurisë së sistemeve, certifikimi me standardet ndërkombëtare (si ISO/IEC 27001), dhe trajnimi i detyrueshëm i të gjithë stafit të përfshirë në menaxhimin e të dhënave.
Pyetje të Shpeshta mbi Sigurinë Kibernetike
A preken vetëm kompanitë e mëdha nga Ligji për Sigurinë Kibernetike?
Jo. Nëse një kompani ofron shërbime IT, cloud, ose është furnizuese e një operatori të infrastrukturës kritike (bankë, energji, telekomunikacion), ajo është e detyruar të zbatojë të njëjtat masa sigurie në zinxhirin e furnizimit.
Keni Nevojë për Auditimin e Përputhshmërisë së Kompanisë Suaj?
Ekspertët ligjorë dhe teknikë të EON ju mbështesin në zbatimin e plotë të Ligjit 124/2024, Ligjit 25/2024 (NIS2), kërkesave të Komisionerit dhe standardeve ISO 27001.
