Ligji i Ri për Sigurinë Kibernetike: Detyrimet Teknike për Operatorët e Shërbimeve Thelbësore dhe Roli i EON
📌 Pikat Kryesore Ekzekutive
- Fusha Rregullatore: Siguria Kibernetike (NIS2 & Ligji 25/2024)
- Data e Referimit: 2024-05-01
- Përmbledhja: Ligji i Ri për Sigurinë Kibernetike sjell kërkesa të reja rigoroze për operatorët e shërbimeve thelbësore dhe digjitale, duke kërkuar investime në kapacitete teknike, plane reagimi ndaj krizave dhe raportim të detyrueshëm të incidenteve.
- Rekomandimi i EON: Zbatimi i menjëhershëm i masave parandaluese teknike dhe organizative për të shmangur sanksionet administrative.
Rrethanat dhe Zhvillimi Rregullator
Ligji i Ri për Sigurinë Kibernetike në Shqipëri sjell një sërë sfidash dhe pyetjesh që kërkojnë vëmendje të shtuar dhe bashkëpunim me qëllim realizimin e objektivit kryesor të këtij ligji, garantimin e një arene digjitale të sigurt.
Ligji i ri për Sigurinë Kibernetike në Shqipëri erdhi si nevojë për të përmirësuar mbrojtjen ndaj rritjes së kërcënimeve kibernetike.
Në këtë kuadër, Ligji i Ri për Sigurinë Kibernetike, i miratuar së fundmi, ka sjellë një sërë ndryshimesh që synojnë të forcojnë mbrojtjen e infrastrukturës së informacionit në nivel kombëtar.
Përtej ndryshimeve që ka sjellë, nga krahu tjetër përsëri ka disa aspekte që duheshin ezauruar, si transparenca, mekanizmat e mbikëqyrjes dhe pasojat për subjektet që dështojnë të përmbushin kërkesat e tij.
Korniza Rregullatore: Ligji Nr. 25/2024 dhe Direktiva e BE-së NIS2
Siguria kibernetike në Shqipëri ka hyrë në një epokë të re me miratimin e Ligjit nr. 25/2024 “Për sigurinë kibernetike”, i cili reflekton parimet thelbësore të Direktivës Evropiane NIS2. Sektori i infrastrukturave kritike të informacionit (energjia, transporti, bankat, shëndetësia, infrastruktura digjitale) i nënshtrohet kërkesave të rrepta:
- Klasifikimi i Operatorëve të Shërbimeve Thelbësore: Identifikimi i subjekteve dhe detyrimi për auditime periodike të pavarura.
- Raportimi i Incidenteve Kibernetike: Detyrimi për të njoftuar autoritetin kompetent (AKCESK/AKSK) brenda afateve rigoroze (24 deri në 72 orë).
- Masat e Detyrueshme të Sigurisë: Menaxhimi i rrezikut në zinxhirin e furnizimit (Supply Chain Security), politikat e backup-it dhe rimëkëmbjes nga katastrofat (Disaster Recovery).
- Sanksionet e Ashpërsuara: Projektligjet e reja parashikojnë masa ndëshkuese administrative deri në 10 milionë lekë për operatorët që dështojnë në mbrojtjen e sistemeve.
Kërkesat Kryesore të Sigurisë Kibernetike (Ligji 25 vs NIS2)
| Fusha e Kërkesës | Standardi i Kërkuar | Afati i Reagimit | Zgjidhja nga Studio EON |
|---|---|---|---|
| Incident Response Plan | Procedurë e shkruar e menaxhimit të krizave | Njoftim i menjëhershëm | Hartimi i Planit të Reagimit ndaj Incidenteve. |
| Testimi i Penetrimit (Pentest) | Vlerësim vjetor i dobësive të rrjetit | Periodik / Vjetor | Audit teknik & Penetration Testing i pavarur. |
| Certifikimi ISO 27001 | Sistemi i Menaxhimit të Sigurisë (ISMS) | 18 muaj nga hyrja në fuqi | Implementim i plotë dhe përgatitje për certifikim. |
Udhëzuesi Praktik i EON: Çfarë Duhet të Ndërmarrë Menjëherë Organizata Juaj?
Për t’u përshtatur me kërkesat e reja dhe për të minimizuar rrezikun e masave administrative apo dëmtimit të reputacionit, EON rekomandon një plan veprimi të strukturuar në tri faza:
- Faza P0 (Urgjente – Brenda 15 Ditëve): Kryerja e një GAP Analysis të menjëhershëm për të identifikuar zonat e ekspozuara; pezullimi i formave të paligjshme të mbledhjes së të dhënave (p.sh. video-survejimi i paautorizuar ose mungesa e njoftimeve).
- Faza P1 (Strukturore – Brenda 45 Ditëve): Hartimi i Politikave të Përditësuara të Privatësisë, caktimi formal i Nëpunësit për Mbrojtjen e të Dhënave (DPO), dhe nënshkrimi i Marrëveshjeve për Përpunimin e të Dhënave (DPA) me të gjithë nënkontraktorët.
- Faza P2 (Konsolidim – Brenda 90 Ditëve): Testimi teknik i sigurisë së sistemeve, certifikimi me standardet ndërkombëtare (si ISO/IEC 27001), dhe trajnimi i detyrueshëm i të gjithë stafit të përfshirë në menaxhimin e të dhënave.
Pyetje të Shpeshta mbi Sigurinë Kibernetike
A preken vetëm kompanitë e mëdha nga Ligji për Sigurinë Kibernetike?
Jo. Nëse një kompani ofron shërbime IT, cloud, ose është furnizuese e një operatori të infrastrukturës kritike (bankë, energji, telekomunikacion), ajo është e detyruar të zbatojë të njëjtat masa sigurie në zinxhirin e furnizimit.
Keni Nevojë për Auditimin e Përputhshmërisë së Kompanisë Suaj?
Ekspertët ligjorë dhe teknikë të EON ju mbështesin në zbatimin e plotë të Ligjit 124/2024, Ligjit 25/2024 (NIS2), kërkesave të Komisionerit dhe standardeve ISO 27001.
