NIS2 · Informacioni dhe IT · Shqipëria dhe Mali i Zi
NIS2 dhe Ligji për sigurinë e informacionit
Mali i Zi e transpozoi NIS2 në ligjin e vet në dhjetor 2024. Subjektet kyçe duhet të kenë certifikatë sipas MEST ISO/IEC 27001 — afati është qershor 2027. Këtu shpjegojmë kush përfshihet, cilat afate po rrjedhin dhe pse NIS2 dhe NIST nuk janë e njëjta gjë.
NIS2 apo NIST — nuk janë e njëjta gjë
Këta dy emra ngatërrohen vazhdimisht sepse tingëllojnë ngjashëm, por bëhet fjalë për dy gjëra krejt të ndryshme. Ajo që tani është e detyrueshme në Bashkimin Evropian quhet NIS2.
- NIS2 — Direktiva (BE) 2022/2555. Akt evropian që çdo shtet anëtar e transpozon në ligjin e vet. Nuk është vullnetar: sjell mbikëqyrje, detyrime për raportimin e incidenteve dhe gjoba. Afati i transpozimit ishte 17 tetori 2024, dhe gjatë vitit 2026 autoritetet mbikëqyrëse në të gjithë BE-në po vendosin gjoba në mënyrë aktive.
- NIST — Instituti Kombëtar i Standardeve dhe Teknologjisë i SHBA-së. Cybersecurity Framework 2.0 i tij është një kuadër vullnetar, jo akt ligjor. Nuk ekziston organ që lëshon certifikatë NIST dhe nuk ka auditim që kalohet ose dështohet.
Në praktikë: nëse një blerës, bankë ose autoritet mbikëqyrës në Evropë ju pyet diçka, ju pyet për NIS2 dhe ISO 27001. NIST shfaqet kur punoni me një partner amerikan — për këtë më poshtë.
Çfarë kërkon ligji malazez
Kuvendi i Malit të Zi miratoi Ligjin për sigurinë e informacionit më 19 nëntor 2024, i cili është në fuqi nga 5 dhjetori 2024. Ligji është në përputhje me Direktivën (BE) 2022/2555, pra me NIS2.
Ligji i ndan subjektet e detyruara në subjekte kyçe dhe të rëndësishme. Për subjektet kyçe detyrimi nuk përshkruhet në mënyrë të përgjithshme si „zbatoni masa sigurie“ — ligji kërkon shprehimisht certifikatë përputhshmërie me MEST ISO/IEC 27001, brenda 30 muajve nga hyrja në fuqi e ligjit. Kjo çon te qershori 2027. Me certifikatën shkon edhe detyrimi për verifikim periodik të përputhshmërisë.
Nëse nuk jeni të sigurt nëse jeni në listën e subjekteve kyçe ose të rëndësishme: kjo përcaktohet me akte nënligjore dhe varet nga sektori dhe madhësia e organizatës. Na telefononi dhe do ta kontrollojmë bashkë — është pyetje pesë minutash, ndërsa përgjigjja ndryshon planin për dy vitet e ardhshme.
Afatet që po rrjedhin
- 5 dhjetor 2024 — Ligji për sigurinë e informacionit hyri në fuqi.
- 31 tetor 2025 — skadoi afati për kalimin nga ISO/IEC 27001:2013 në versionin 2022. Certifikatat sipas versionit të vjetër nuk janë më të vlefshme nga kjo datë. Nëse certifikata juaj mban shënimin 2013, nuk keni certifikatë të vlefshme — pavarësisht datës së skadimit të shtypur mbi të.
- qershor 2027 — afati deri kur subjektet kyçe në Mal të Zi duhet të kenë certifikatë sipas MEST ISO/IEC 27001 (30 muaj nga hyrja në fuqi e ligjit).
- në vazhdim — deri në vitin 2026, 22 nga 27 shtetet anëtare të BE-së e kishin transpozuar NIS2, ndërsa mbikëqyrja dhe gjobat po zbatohen tashmë. Nëse eksportoni ose punoni për një blerës evropian, pyetja për sigurinë e informacionit vjen prej tij, jo nga inspektimi.
Zbatimi i ISO 27001 realisht zgjat nga katër muaj deri në mbi një vit, në varësi të madhësisë së sistemit, prandaj afati i 2027-ës nuk planifikohet në 2027.
Pse gjithçka sillet rreth ISO 27001
Ligji nuk shpiku një sistem të ri sigurie malazez — iu referua një standardi ndërkombëtar që ekziston tashmë. Ky është lajm i mirë: ajo që bëni për ligjin vlen edhe përpara një blerësi në Gjermani, edhe në tender, edhe përpara bankës.
ISO/IEC 27001 jep atë që ligji e kërkon por nuk e përshkruan: inventarin e aseteve të informacionit, vlerësimin e rrezikut, Deklaratën e zbatueshmërisë (SoA), politikat dhe procedurat, trajnimin e punonjësve, raportimin dhe trajtimin e incidenteve, auditimin e brendshëm dhe rishikimin nga drejtimi. Certifikatën e lëshon një organ certifikimi i pavarur dhe i akredituar — ne ju përgatisim për të.
Kur ju nevojitet realisht NIST
NIST Cybersecurity Framework 2.0 ka kuptim kur punoni me një blerës, kompani mëmë ose partner amerikan që flet atë gjuhë. Atëherë ju kërkohet ta përshkruani sigurinë tuaj përmes kategorive të tyre, jo të certifikoheni sipas tyre — sepse certifikim sipas NIST nuk ekziston.
Lajmi i mirë është se nuk keni pse ta bëni punën dy herë. NIST publikon përputhjen zyrtare të CSF 2.0 me ISO/IEC 27001:2022 (përmes katalogut OLIR), prandaj i njëjti sistem që ndërtoni për ligjin dhe certifikatën mund të përkthehet në gjuhën e NIST. Përputhja është njëdrejtimëshe dhe jo një me një, por mbulon pjesën më të madhe të punës.
Këshilla jonë është e njëjtë si te të gjitha kërkesat e dyfishta: ISO 27001 si shtyllë kurrizore, NIST si fjalor për palën amerikane. E kundërta — të ndërtosh sipas NIST e pastaj të certifikohesh sipas 27001 — do të thotë ta bësh të njëjtën punë dy herë.
Çfarë bëjmë konkretisht
- Verifikimi nëse jeni subjekt i detyruar — analizë e shkurtër e sektorit dhe madhësisë, dhe çfarë nga ligji ju takon juve.
- Analiza e boshllëqeve — ku jeni tani në raport me ISO/IEC 27001:2022 dhe kërkesat e ligjit.
- Zbatimi — rreziqet, SoA, dokumentacioni, trajnimi i punonjësve, auditimi i brendshëm.
- Përgatitja për certifikim dhe mbështetje ditën e auditimit, me organ certifikimi të akredituar.
- Kalimi nga 2013 në 2022 — nëse certifikata juaj ka mbetur në versionin e vjetër.
- Përputhja me NIST CSF 2.0 kur e kërkon partneri.
Pyetje të shpeshta për NIS2 dhe sigurinë e informacionit
A vlen NIS2 për vendet që nuk janë në BE?
Jo drejtpërdrejt — direktiva detyron shtetet anëtare. Por Mali i Zi e ka transpozuar përmbajtjen e saj në Ligjin për sigurinë e informacionit, në fuqi nga 5 dhjetori 2024, kështu që detyrimi vjen përmes ligjit vendas. Në Shqipëri ligji nr. 25/2024 „Për sigurinë kibernetike“ u kërkon operatorëve të infrastrukturave kritike dhe të rëndësishme të informacionit masa teknike, organizative e operacionale për menaxhimin e riskut, raportimin e infrastrukturave pranë AKSK-së dhe një raport të vlerësimit të konformitetit nga një organ i vlerësimit të konformitetit të paktën një herë në dy vjet, ndërsa në Kosovë vlen Ligji Nr. 08/L-173 për sigurinë kibernetike (Gazeta Zyrtare 4/2023). Për më tepër, nëse punoni për një blerës nga BE-ja, ai sipas NIS2 është i detyruar të kontrollojë sigurinë e zinxhirit të vet të furnizimit — prandaj pyetja vjen edhe nga ajo anë.
A më nevojitet certifikatë NIST?
Një certifikatë e tillë nuk ekziston. NIST Cybersecurity Framework është kuadër vullnetar dhe nuk ka organ të akredituar që lëshon certifikatë sipas tij. Nëse partneri kërkon „përputhshmëri me NIST“, kjo tregohet me përshkrimin e masave tuaja, më shpesh përmes përputhjes me ISO 27001, i cili është standard i certifikueshëm.
Kemi certifikatë ISO 27001 nga viti 2019 — a është e vlefshme?
Kontrolloni cilin version të standardit mban. Nëse shkruan ISO/IEC 27001:2013, ajo certifikatë nuk është më e vlefshme — afati i kalimit në versionin 2022 skadoi më 31 tetor 2025. Kalimi atëherë nuk bëhet si plotësim, por si certifikim i ri.
Sa zgjat zbatimi i ISO 27001 deri te certifikata?
Për organizatat e vogla dhe të mesme zakonisht katër deri në tetë muaj, në varësi të pjekurisë së proceseve dhe disponueshmërisë së ekipit. Për sisteme të mëdha me disa vendndodhje, mbi një vit. Për shkak të afatit të qershorit 2027, kjo do të thotë që puna duhet të nisë shumë më herët.
Po nëse jemi subjekt i rëndësishëm dhe jo kyç?
Detyrimet janë më të lehta — theksi është te menaxhimi i rreziqeve dhe raportimi i incidenteve, pa kërkesë të shprehur për certifikatë. Kjo nuk do të thotë se certifikata nuk ka kuptim: shumicës së organizatave u shpërblehet për shkak të blerësve dhe tenderëve, jo për shkak të inspektimit.
Faqe të lidhura
Disa nga referencat tona
Mbi 400 organizata në Mal të Zi dhe rajon e kanë kaluar implementimin me ne — nga bankat dhe organet shtetërore te prodhimi, IT-ja, laboratorët dhe mikpritja.
Këta janë vetëm disa nga klientët tanë. Më shumë për ne →
Tenderi ju kërkon standard?
Dërgoni një ekstrakt nga dokumentacioni i tenderit — do të kontrollojmë falas çfarë ju nevojitet saktësisht. Na telefononi ose dërgoni një kërkesë — përgjigjemi brenda 24 orësh.