Ce faci? Uite, să-ți zic de ceva ce ne afectează pe toți puțin câte puțin: noile reguli de securitate de la noi din țară. Toată lumea știe că tehnologia se schimbă mai repede decât se usucă hainele pe sârmă, iar legile trebuie să ţină pasul cu ea, altfel rămânem în urmă. De la firmele mici, care abia dacă îşi permit să își facă upgrade la calculatoare, până la cele mari care lucrează umăr la umăr cu statul, schimbările astea înseamnă bani, timp și bătaie de cap. În plus, avem de-a face și cu o grămadă de chestii legate de protecția datelor personale, fără să dăm în paranoia de supraveghere ca-n filmele alea cu spioni. Totul e să facem lucrurile să meargă lin și să nu ajungem să ne complicăm existența printr-o tonă de hârtii. Gata, hai să vedem mai clar cum stăm cu schimbările astea și ce trebuie făcut.
Actualizarea legislației de securitate pentru a ține pasul cu tehnologia
Legile scrise acum câțiva ani nu mai acoperă realitatea cu AI generativă, senzori în orice și plăți fără contact, deci revizuirea periodică e obligatorie. Când actualizăm, merită definit limbaj tehnologic-neutru, introdusă obligația de securitate minimă pentru produse conectate, auditare a algoritmilor cu impact social și proceduri clare de raportare a incidentelor. Asta pune legea în oglindă cu tehnologia, fără să o lege de un gadget anume.
În același timp, nu vrei să omori inovația cu hârtii. Soluția e echilibrul: sandbox-uri reglementate pentru testare controlată, scutiri temporare pentru proiecte-pilot, dar cu garduri de protecție – evaluări de impact, confidențialitate by design și transparență pentru utilizatori. Cerințele trebuie să fie proporționale cu riscul și dimensiunea proiectului, iar liniile roșii să fie clare: de exemplu, profilare invazivă fără consimțământ sau acces la date fără mandat rămân interzise, punct.
Mai departe, legile bine scrise privesc înainte. Clauze de revizuire la 12-18 luni, standarde tehnice mutate în anexe ușor de actualizat, mecanisme rapide pentru a adăuga tehnologii critice pe liste de conformitate. Grupuri mixte care scanează trendurile – autonomie în AI, deepfake-uri, criptografie post-cuantică, identitate digitală – și prevederi sunset pentru obligații care pot deveni depășite. Așa construim un cadru care ține pasul, nu aleargă mereu din urmă.
Elemente cheie în actualizarea legislației pentru tehnologia avansată
- Limbaj tehnologic-neutru pentru a evita specificul unui gadget
- Introducerea obligației de securitate minimă pentru produsele conectate
- Auditarea algoritmilor cu impact social
- Proceduri clare de raportare a incidentelor de securitate
- Crearea sandbox-urilor reglementate pentru testare controlată
- Implementarea principiului ‘confidențialitate by design’
- Clauze de revizuire periodice ale legislației, la intervale de 12-18 luni
- Reguli stricte împotriva profilării invazive fără consimțământ
- Standarde tehnice incluse în anexe pentru actualizări rapide
- Prevederi sunset pentru obligații depășite sau învechite
Ce înseamnă noile legi pentru IMM-uri: Costuri și adaptare
Pentru multe IMM-uri, noile cerințe de securitate se văd din start ca o notă de plată serioasă: audit, camere, control acces, proceduri, training, poate si licențe software. Te lovește la cash-flow, mai ales când rulezi pe marje subțiri. Am trecut prin asta cu o firmă mică de servicii: primul an a însemnat bani în echipamente și timp scos din producție. Dar costurile scad dacă prioritizezi: începi cu riscurile mari (acces la sediu, copii de siguranță, parole, separarea rolurilor), alegi soluții decente, nu premium, și documentezi strict ce faci.
Aici statul are un rol clar, dacă vrea să nu taie din competitivitate: granturi mici și rapide dedicate conformării, deduceri pentru investiții în securitate, vouchere pentru audit, ghiduri standard gratuite și modele de proceduri, perioade de grație și ținte etapizate, plus criterii proporționale după mărime și risc. Un marketplace cu furnizori verificați și prețuri orientative ar tăia mult din bâjbâială și din supraoferte.
Partea bună e că adaptarea nu înseamnă doar bife pe hârtie. Când pui la punct accesul, backupul, inventarul de active, jurnalizarea incidentelor și instruirea oamenilor, scad întreruperile, dispar o parte din pierderi și crește încrederea clienților. La noi, după ce-am pus autentificare cu doi factori, actualizări regulate și o procedură simplă de răspuns la incidente, am redus timpii morți și chiar am obținut prime mai mici la asigurare. Nu arată spectaculos, dar e practică sănătoasă și, pe termen mediu, își scoate banii.
Importanța parteneriatului între sectorul public și cel privat
Când statul și companiile trag în aceeași direcție, legile de securitate chiar prind viață. Regulile se traduc în proceduri clare, nu în hârtii care zac în sertar: ghiduri explicite, API-uri standard pentru raportări, termene și responsabilități pe bune. În proiectele în care am lucrat, cele mai eficiente au fost echipele mixte – oameni din ministere, alături de specialiști din companii, care testează pe teren înainte să impună cerințe. Așa se evită costuri aruncate pe fereastră și apar soluții care chiar pot fi operate la scară.
parteneriatele bine făcute deschid calea către inovație. Nu te bazezi doar pe ce e „în caietul de sarcini”, ci pe laboratoare de test, sandbox-uri de reglementare și proiecte pilot pe infrastructuri reale: transport, energie, sănătate. Companiile aduc tehnologii și know-how, statul vine cu acces la date, contextul operațional și reguli de joc. Include și mecanisme ca bug bounty sau red teaming mixt, iar criteriile de achiziție să premieze soluțiile validate în pilot, nu doar prețul.
Totul se leagă prin schimbul de informații. Trebuie un cadru simplu: ce date se trimit, in ce format, în cât timp și cu ce protecție juridică. Feed-uri de indicatori de compromis, alerte timpurii, lecții din incidente, toate circulă pe canale sigure și standardizate. Cu feedback rapid și roluri clare, informația nu se blochează și măsurile de securitate chiar dau rezultate.
Protecția datelor personale vs. supravegherea tehnologică
Echilibrul nu se face din vorbe, ci din reguli clare: când ai voie să intri în viața digitală a cuiva, cât timp stai acolo și ce faci cu datele. Accesul trebuie legat de un scop precis, susținut de indicii reale, nu de „poate-poate”. Principiul e simplu: strict necesar și proporțional. Fără colectări la grămadă, fără „pescuit” în masă. Colectezi cât îți trebuie, nimic în plus, delimitezi clar datele sensibile și pui termene ferme de ștergere, cu verificări periodice.
La supravegherea tehnologică, trasezi limitele înainte să pornești sistemele. Recunoașterea facială doar în situații punctuale, definite în lege, nu în monitorizare generalizată. Localizarea pe zone (geofencing) doar pentru amenințări concrete, nu la mitinguri pașnice. Interceptarea conținutului doar cu mandat, metadatele tratate ca date personale, cu aceeași rigoare. Criptarea end-to-end nu se slăbește; accesul se face caz cu caz, cu loguri imuabile și răspundere personală.
Transparența înseamnă rapoarte publice cu numărul de solicitări, respingeri, tipuri de date și durata retenției, plus registre de acces auditate extern. Un control independent – judecători, autoritatea pentru date, comisie parlamentară – verifică temeinicia și abuzurile. Persoanele vizate sunt informate după ce nu mai riscăm ancheta și au drept real de contestare. Pentru proiecte noi, faci evaluări de impact, desemnezi responsabil cu protecția datelor și publici regulile pe înțelesul tuturor.
Necesitatea procedurilor rapide în răspunsul la incidente
La un incident de securitate nu te apuci de brainstorming. Ai nevoie de proceduri accelerate , clare, cu pași scurți și decizii deja stabilite. Primele 30 de minute fac diferența: triere, izolarea sistemelor afectate, dezactivarea conturilor compromise, blocarea tokenurilor, scoaterea din rețea a stațiilor suspecte. Automatizările ajută enorm: reguli de blocare în firewall, EDR care pune hosturile în „containment”, playbook-uri SOAR care închid bilete și alertează echipa. Dacă știi ce se întâmplă la minutul 5, 15 și 60, limitezi mișcarea laterală, conservi probele și reduci întreruperile de business.
Răspunsul rapid trebuie să fie și coordonat. Un „incident commander”, o rota de gardă, un canal de comunicare dedicat, un grup restrâns care decide. Fiecare știe rolul: cine investighează, cine izolează, cine vorbește cu managementul și autoritățile. Back-up-urile verificate și planurile de continuitate țin serviciile în viață, în timp ce echipa curăță.
Încrederea se câștigă prin transparență în timp util. Spui repede și coerent ce s-a întâmplat, ce ai remediat, ce urmează și ce trebuie să facă utilizatorii. Fără bâlbe, fără cosmetizări. Documentezi fiecare pas, păstrezi logurile, colaborezi cu CERT-RO și furnizorii. Exersezi periodic prin simulări „tabletop”, ca să iasă reflex, nu improvizație. Asta taie din pagube și ține publicul de partea ta.
Armonizarea legislației naționale cu directive europene
Armonizarea legilor noastre cu directivele europene nu e moft, e modul prin care România respectă standardele de securitate ale UE și joacă după aceleași reguli ca restul. În practică, asta înseamnă definiții comune pentru riscuri, niveluri de severitate clare, proceduri de raportare și audit aliniate, plus cerințe tehnice compatibile. Când toată lumea folosește aceeași terminologie și aceleași formulare, nu te mai încurci în interpretări, inspectorii cer aceleași lucruri, iar operatorii știu exact ce au de livrat. Rezultatul: sisteme gândite din start să se potrivească între ele, nu peticite la final.
De aici vine și câștigul pe protecția transfrontalieră. Dacă apare o amenințare în alt stat membru , alertele și indicatorii ajung repede la noi, în același format, pe canale stabile. Răspunsul se mișcă mai eficient pentru că există protocoale comune de escaladare, planuri standard pentru incidente și exerciții coordonate la nivel european. Am fost într-un exercițiu în care s-a simulat căderea unei rețele energetice: faptul că toți foloseam aceeași matrice de severitate și aceleași pași de notificare ne-a scutit de negocieri la telefon și am trecut direct la acțiune. Minute câștigate când contează cel mai mult.
Creșterea conștientizării și formarea profesională pentru o mai bună securitate în România
Securitatea nu se învață o dată și gata, ca pentru permis. Se uită, se schimbă regulile, apar riscuri noi. De asta educația trebuie să fie continuă și să ajungă la toți: angajați din birouri, profesori, personal medical, paznici, administratori de bloc, chiar și părinți care își lasă copiii pe tablete. La noi, când am trecut pe micro-sesiuni de 10 minute și exerciții scurte, lumea a început să raporteze phishing-ul din timp și să știe pe cine sună când sare o alarmă. Contează să fie concret: cum verifici un e-mail dubios, ce faci la un acces neautorizat în clădire, cum evacuezi etajul fără haos.
Asta cere investiții reale in formare, nu prezentări „bifate”. Buget pentru cursuri cu practică, nu doar slide-uri, laboratoare unde IT-ul rupe un mediu de test, role-play pentru recepție și pază, simulări table-top pentru management. Include recapitulari trimestriale, actualizări când se schimbă procedurile și indicatori clari: timp de răspuns, rata de raportare, număr de incidente prevenite. În București oamenii sunt pe fugă, așa că mixul e crucial: e-learning scurt, workshop la fața locului, afișe simple pe holuri, plus un exercițiu pe scară la bloc. Noile norme cer nu doar hârtii, ci competență verificată; investind constant în oameni, te adaptezi mai repede și reduci riscurile înainte să devină probleme.
Cererea de transparență și predictibilitate în aplicarea legilor
Când regulile sunt aplicate la vedere, cu criterii clare si explicații pe înțeles, oamenii și firmele cooperează mai ușor. Am văzut-o pe pielea mea: la un control, inspectorii au pus pe masă checklistul, au spus ce caută și cum se calculează sancțiunile. Tensiunea a scăzut instant și am rezolvat totul pe loc. În schimb, când interpretările se schimbă de la o instituție la alta, toți merg la ghici și apare rezistența. Transparența înseamnă ghiduri publice, termene ferme, decizii motivate și un canal de întrebări-răspuns rapid, nu comunicate vagi.
Predictibilitatea e sora mai mare a transparenței: te ajută să-ți faci planul, bugetul și trainingurile fără să îngheți proiecte. Dacă știi din timp ce se schimbă, când intră în vigoare și ai o perioadă de tranziție, îți ajustezi procesele fără haos. Un calendar anual al controalelor tematice, modele de conformare și perioade de grație pentru corectarea neregulilor transformă relația cu statul din ping-pong în parteneriat de lucru. Fără predictibilitate apar costuri ascunse, oameni blocați și decizii amânate. Cu ea, poți construi, nu doar să reacționezi din mers.