Curtea Constituțională a României a respins, marți, 28 februarie 2023, sesizările de neconstituționalitate formulate de USR și Forța Dreptei împotriva Legii securității și apărării cibernetice, potrivit unor surse din instituție citate de News.ro. Legea, adoptată de Parlament în decembrie 2022, merge acum la promulgare la președintele Klaus Iohannis, după care intră în vigoare.

Ce schimbă noua lege

Actul normativ înființează Sistemul Național de Securitate Cibernetică și desemnează SRI drept autoritate competentă la nivel național în domeniul cyber intelligence. Crește totodată rolul consilierului prezidențial pe probleme de securitate, iar pe lista amenințărilor la adresa securității naționale intră trei noi amenințări cibernetice, pentru care se poate institui stare de alertă sau de urgență.

Legea extinde semnificativ aria de aplicare față de Legea 362/2018, care viza câteva sectoare critice și aproximativ 700 de firme și autorități. Potrivit criticilor, noile obligații ar putea acoperi câteva sute de mii de persoane juridice.

Obligațiile mediului privat

Orice furnizor de servicii publice sau de interes public trebuie să raporteze incidentele de securitate, dar și amenințările, riscurile sau vulnerabilitățile, într-un termen de 48 de ore. Furnizorii de servicii tehnice de securitate cibernetică sunt obligați să pună date la dispoziția a 11 instituții publice, între care DNSC, ANCOM, SRI, SIE, STS și SPP, la cerere motivată, fără mandat judecătoresc.

Amenzile au fost reduse în Senat, la inițiativa REPER, de la 5-10% la 1-3% din cifra de afaceri netă, iar companiile și persoanele fizice care nu furnizează servicii publice au fost scoase dintre titularii de obligații. Sancțiunile pornesc însă de la 5.000 de lei.

Criticile rămân în picioare

USR a reclamat că legea a fost adoptată în viteză de coaliția PSD-PNL-UDMR și încalcă dreptul la viață privată: definirea neclară a incidentului de securitate ar putea obliga o persoană cu activitate de interes public să predea propriul laptop, cu toate datele personale, către platforma PNRISC. Deputatul REPER Cătălin Teniță a semnalat că dezbaterile în comisiile Camerei Deputaților au durat sub o oră, iar amendamentele au fost respinse fără discuții.

Asociația pentru Tehnologie și Internet (ApTI) susține că modificările din Senat au fost minore și că problemele de fond persistă.

„Orice furnizor de «serviciu public sau de interes public» va avea niște obligații imense de raportări de securitate în 48 de ore (și nu numai). (...) Extindere obligații contrar directivelor europene în domeniu și sancțiuni extrem de mari (nu mai sunt 10%, sunt 3% din cifra de afaceri)", afirma Bogdan Manolea, directorul executiv al ApTI.

ApTI mai avertizează că atribuțiile SRI se lărgesc inclusiv pentru „campanii de propagandă sau dezinformare", pe baza unor definiții considerate extrem de vagi. La votul final din Senat, legea a trecut cu 81 de voturi „pentru", 29 „împotrivă" și trei abțineri.