România prelungește cu încă nouă ani interdicția privind achiziția și utilizarea anumitor produse software de securitate provenite din Federația Rusă. Măsura, introdusă pe fondul războiului din Ucraina și al riscurilor de securitate cibernetică, ar urma să rămână în vigoare până la 31 decembrie 2035.
Interdicția care împiedică autoritățile și instituțiile publice din România să cumpere și să utilizeze anumite produse și servicii software provenite din Rusia sau aflate sub control rusesc ar putea fi prelungită cu nouă ani. Termenul actual de aplicare a legislației este 31 decembrie 2026, însă un proiect prevede extinderea acestuia până la sfârșitul anului 2035.
De ce vrea România să prelungească interdicția
Inițiatorii proiectului susțin că motivele care au stat la baza adoptării legii nu au dispărut, ci, dimpotrivă, s-au amplificat. În actualul context geopolitic, utilizarea unor programe dezvoltate de companii provenite din Federația Rusă este considerată un posibil risc pentru infrastructurile informatice ale statului, în condițiile în care astfel de soluții au acces la funcții importante ale rețelelor și sistemelor informatice. Argumentul este că, în cazul în care interdicția ar expira la sfârșitul lui 2026, instituțiile publice ar putea reveni la utilizarea unor produse controlate direct sau indirect de un stat considerat agresor. Prin prelungirea până în 2035, autoritățile urmăresc să mențină un nivel de protecție pe o perioadă mai lungă, atât timp cât amenințările cibernetice asociate conflictului din Ucraina continuă.
Care sunt tipuri de software vizate
Măsura nu se referă doar la programele antivirus în sens strict. Legislația include produse și servicii de securitate pentru dispozitive, aplicații antivirus și anti-malware, firewall-uri pentru aplicații web, rețele virtuale private (VPN), precum și sisteme de detecție și răspuns pentru endpointuri. Interdicția vizează produsele provenite din Federația Rusă sau aflate sub controlul direct ori indirect al unor persoane fizice sau juridice din Rusia. Ulterior, măsura a fost extinsă și asupra unor companii private care gestionează rețele și sisteme informatice ce conțin informații clasificate.
Kaspersky, unul dintre cele mai cunoscute exemple
Unul dintre cele mai cunoscute nume asociate acestei măsuri este Kaspersky (FOTO), companie rusă specializată în securitate cibernetică. Potrivit informațiilor prezentate în contextul adoptării legislației, unele instituții publice din România utilizau astfel de produse antivirus datorită prețurilor mai mici. Primăria Capitalei, de exemplu, a comunicat că utiliza antivirusul Kaspersky încă din 2012, iar în trecut au existat proceduri de achiziție pentru astfel de soluții destinate echipamentelor informatice ale instituției.Autoritățile au considerat însă că avantajul financiar nu poate compensa riscul potențial pentru securitatea sistemelor informatice.În urma restricțiilor, Kaspersky a decis ulterior să își închidă oficial birourile și punctul de lucru din România.
România, țintă pentru atacuri cibernetice
Prelungirea interdicției vine în contextul în care România a fost vizată în ultimii ani de mai multe atacuri informatice atribuite unor actori pro-ruși.Unul dintre cele mai cunoscute episoade a avut loc în aprilie-mai 2022, când gruparea pro-rusă Killnet a lansat atacuri de tip DDoS asupra mai multor instituții și companii românești. Au fost afectate, printre altele, site-uri ale Ministerului Apărării Naționale, Poliției de Frontieră și Guvernului, dar și infrastructuri asociate CFR, unor aeroporturi și companiei TAROM.Atacurile au fost prezentate drept represalii pentru sprijinul acordat de România Ucrainei.
Peste 85.000 de atacuri înaintea alegerilor prezidențiale
Un alt episod important s-a produs în 2024, în perioada premergătoare alegerilor prezidențiale. Potrivit autorităților, infrastructura electorală a României a fost vizată de peste 85.000 de atacuri cibernetice. Operațiunea a fost evaluată ca fiind desfășurată de un actor statal cu legături cu Federația Rusă. Au fost vizate inclusiv sisteme informatice ale Autorității Electorale Permanente, iar unele date de acces au ajuns să fie publicate pe platforme rusești. Ulterior, în urma declasificării unor documente ale Consiliului Suprem de Apărare a Țării, tema atacurilor cibernetice a devenit una dintre componentele importante ale crizei electorale din România.
Cel mai recent exemplu menționat în justificarea necesității unor măsuri de protecție suplimentare îl reprezintă problemele informatice care au afectat sistemele de cadastru ale ANCPI. Serviciile informatice au devenit nefuncționale începând cu 14 iulie și au fost reluate etapizat începând de la mijlocul lunii august. Într-un astfel de context, securitatea sistemelor informatice ale instituțiilor publice devine o problemă care depășește simpla alegere a unui furnizor de antivirus.
Nerespectarea prevederilor legale de către autoritățile și instituțiile publice constituie contravenție.Sancțiunile pot ajunge la 200.000 de lei, amenda minimă fiind de 50.000 de lei. În plus, legislația a prevăzut ca produsele și serviciile vizate să fie deconectate sau dezinstalate din rețelele și sistemele informatice ale autorităților publice într-un termen de 60 de zile de la intrarea în vigoare a legii.
