Direktivat Evropiane të Sigurisë Kibernetike dhe Infrastrukturat Ndërkufitare: Konflikti i Juridiksioneve dhe Zgjidhjet EON
📌 Pikat Kryesore Ekzekutive
- Fusha Rregullatore: Siguria Kibernetike (NIS2 & Ligji 25/2024)
- Data e Referimit: 2025-07-22
- Përmbledhja: Zbatimi i rregullores së re për infrastrukturat kritike energjetike përballet me diskutime rregullatore mbi standardet kombëtare dhe direktivat evropiane, duke theksuar sfidat e harmonizimit ligjor për projektet ndërkombëtare të energjisë.
- Rekomandimi i EON: Zbatimi i menjëhershëm i masave parandaluese teknike dhe organizative për të shmangur sanksionet administrative.
Rrethanat dhe Zhvillimi Rregullator
Një rregullore e rishikuar për sigurinë kibernetike të infrastrukturave kritike në sektorin e energjisë elektrike, vendoste detyrimin e certifikimit me një standard ISO 270001 brenda 18 mijave të disa subjekteve.
Bëhet fjalë për kompani publike dhe private mes të cilave edhe gazsjellësi TAP. Por së fundmi Shoqëria TAP AG, iu drejtua Entit Rregullator me një shkresë duke kërkuar që ky certifikim të mos kryhet nga ana e kompanisë duke argumentuar se projekti që kalon edhe në Greqi dhe Itali i nënshtrohet kërkesave që ka direktiva e Bashkimit Europian dhe mbikëqyret nga rregullatorët e tyre.
“Shoqëria TAP AG, me shkresën e saj nr. 1940 prot., datë 25.06.2025, i është drejtuar ERE me një kërkesë për moszbatimin e detyrimit për t’u certifikuar sipas standardit ISO/IEC 27001, të përcaktuar në Rregulloren për Sigurinë Kibernetike të Infrastrukturës Kritike në Sektorin e Energjisë. – TAP AG ka argumentuar se, për shkak të karakterit ndërkufitar të veprimtarisë së saj dhe klasifikimit të saj si subjekt thelbësor në kuadër të Direktivës (BE) 2022/2555 (NIS2), ajo i nënshtrohet mbikëqyrjes nga autoritetet kompetente të Greqisë dhe Italisë, dhe zbaton të gjitha detyrimet që burojnë nga kjo direktivë, në përputhje edhe me garancitë ligjore të parashikuara në Marrëveshjen me Qeverinë e Vendit Pritës, ratifikuar me ligjin nr. 102/2013” thuhet në një vendim të 8 korrikut 2025.
Duke pasur parasysh këtë argument Enti ka vendosur që TAP të mos certifikohet me ISO-n specifike që përcakton rregullorja duke qenë se përmbush kërkesat e direktivës së BE-së.
Korniza Rregullatore: Ligji Nr. 25/2024 dhe Direktiva e BE-së NIS2
Siguria kibernetike në Shqipëri ka hyrë në një epokë të re me miratimin e Ligjit nr. 25/2024 “Për sigurinë kibernetike”, i cili reflekton parimet thelbësore të Direktivës Evropiane NIS2. Sektori i infrastrukturave kritike të informacionit (energjia, transporti, bankat, shëndetësia, infrastruktura digjitale) i nënshtrohet kërkesave të rrepta:
- Klasifikimi i Operatorëve të Shërbimeve Thelbësore: Identifikimi i subjekteve dhe detyrimi për auditime periodike të pavarura.
- Raportimi i Incidenteve Kibernetike: Detyrimi për të njoftuar autoritetin kompetent (AKCESK/AKSK) brenda afateve rigoroze (24 deri në 72 orë).
- Masat e Detyrueshme të Sigurisë: Menaxhimi i rrezikut në zinxhirin e furnizimit (Supply Chain Security), politikat e backup-it dhe rimëkëmbjes nga katastrofat (Disaster Recovery).
- Sanksionet e Ashpërsuara: Projektligjet e reja parashikojnë masa ndëshkuese administrative deri në 10 milionë lekë për operatorët që dështojnë në mbrojtjen e sistemeve.
Kërkesat Kryesore të Sigurisë Kibernetike (Ligji 25 vs NIS2)
| Fusha e Kërkesës | Standardi i Kërkuar | Afati i Reagimit | Zgjidhja nga Studio EON |
|---|---|---|---|
| Incident Response Plan | Procedurë e shkruar e menaxhimit të krizave | Njoftim i menjëhershëm | Hartimi i Planit të Reagimit ndaj Incidenteve. |
| Testimi i Penetrimit (Pentest) | Vlerësim vjetor i dobësive të rrjetit | Periodik / Vjetor | Audit teknik & Penetration Testing i pavarur. |
| Certifikimi ISO 27001 | Sistemi i Menaxhimit të Sigurisë (ISMS) | 18 muaj nga hyrja në fuqi | Implementim i plotë dhe përgatitje për certifikim. |
Udhëzuesi Praktik i EON: Çfarë Duhet të Ndërmarrë Menjëherë Organizata Juaj?
Për t’u përshtatur me kërkesat e reja dhe për të minimizuar rrezikun e masave administrative apo dëmtimit të reputacionit, EON rekomandon një plan veprimi të strukturuar në tri faza:
- Faza P0 (Urgjente – Brenda 15 Ditëve): Kryerja e një GAP Analysis të menjëhershëm për të identifikuar zonat e ekspozuara; pezullimi i formave të paligjshme të mbledhjes së të dhënave (p.sh. video-survejimi i paautorizuar ose mungesa e njoftimeve).
- Faza P1 (Strukturore – Brenda 45 Ditëve): Hartimi i Politikave të Përditësuara të Privatësisë, caktimi formal i Nëpunësit për Mbrojtjen e të Dhënave (DPO), dhe nënshkrimi i Marrëveshjeve për Përpunimin e të Dhënave (DPA) me të gjithë nënkontraktorët.
- Faza P2 (Konsolidim – Brenda 90 Ditëve): Testimi teknik i sigurisë së sistemeve, certifikimi me standardet ndërkombëtare (si ISO/IEC 27001), dhe trajnimi i detyrueshëm i të gjithë stafit të përfshirë në menaxhimin e të dhënave.
Pyetje të Shpeshta mbi Sigurinë Kibernetike
A preken vetëm kompanitë e mëdha nga Ligji për Sigurinë Kibernetike?
Jo. Nëse një kompani ofron shërbime IT, cloud, ose është furnizuese e një operatori të infrastrukturës kritike (bankë, energji, telekomunikacion), ajo është e detyruar të zbatojë të njëjtat masa sigurie në zinxhirin e furnizimit.
Keni Nevojë për Auditimin e Përputhshmërisë së Kompanisë Suaj?
Ekspertët ligjorë dhe teknikë të EON ju mbështesin në zbatimin e plotë të Ligjit 124/2024, Ligjit 25/2024 (NIS2), kërkesave të Komisionerit dhe standardeve ISO 27001.
