Senatul a adoptat miercuri, în calitate de for decizional, proiectul de lege privind securitatea și apărarea cibernetică a României. Votul din plen s-a încheiat cu 81 de voturi „pentru", 29 „împotrivă" și trei abțineri, iar legea merge acum la promulgare la președintele Klaus Iohannis, după ce fusese votată anterior și de Camera Deputaților. Asociația pentru Tehnologie și Internet (ApTI) atrage însă atenția că amendamentele adoptate în comisiile Senatului sunt minore și că problemele semnalate de la început rămân în textul final.

Ce aduce nou legea

Proiectul, aprobat de Guvern cu două săptămâni înainte de votul final, înființează Sistemul Național de Securitate Cibernetică și stabilește autoritățile competente în domeniu. SRI devine autoritate competentă la nivel național pentru cyber intelligence, iar rolul consilierului prezidențial pe probleme de securitate crește. Legea introduce, în premieră, trei amenințări cibernetice pe lista amenințărilor la adresa securității naționale, pentru care se poate institui stare de alertă sau de urgență.

Criticii semnalează că atribuțiile SRI se lărgesc pe baza unor definiții foarte generoase, care includ „campanii de propagandă sau dezinformare", inclusiv cele derulate de entități non-statale.

Obligațiile mediului privat

Orice furnizor de „serviciu public sau de interes public" va trebui să raporteze toate incidentele de securitate, dar și amenințările, riscurile sau vulnerabilitățile, într-un termen de numai 48 de ore. În plus, la cererea motivată a oricăreia dintre cele 11 instituții prevăzute în lege - DNSC, MCID, ANCOM, MApN, MAI, MAE, ORNISS, SRI, SIE, STS și SPP - companiile trebuie să predea date și informații despre incidente, inclusiv cele care privesc clienții lor.

Comisiile reunite pentru Apărare și TIC din Senat au atenuat o parte dintre sancțiuni, la inițiativa REPER: amenzile au scăzut de la 5-10% la 1-3% din cifra de afaceri netă, iar firmele și persoanele fizice care nu furnizează servicii publice au fost eliminate din lista celor cu obligații. Amenzile pornesc, în continuare, de la 5.000 de lei.

Critici privind procedura și fondul

Deputatul Cătălin Teniță a semnalat că legea a trecut în viteză prin comisiile Camerei Deputaților, cu dezbateri de sub o oră și amendamente respinse fără discuție. Bogdan Manolea, directorul executiv al ApTI, susține că textul păstrează „cele trei ingrediente" ale unei legi cu potențial de abuz: definiții vagi, obligații greu de îndeplinit și sancțiuni usturătoare.

„Orice furnizor de «serviciu public sau de interes public» va avea niște obligații imense de raportări de securitate în 48 de ore (și nu numai). (...) Extindere obligații contrar directivelor europene în domeniu și sancțiuni extrem de mari", afirmă Bogdan Manolea, ApTI.

După promulgare, legea va intra în vigoare, urmând ca impactul real asupra companiilor și instituțiilor să depindă de normele de aplicare.