Ce produse și servicii IT rusești nu pot folosi instituțiile publice

Senatul a adoptat luni, 26 octombrie, proiectul care prelungește până la 31 decembrie 2035 interdicția prin care autoritățile și instituțiile publice nu pot cumpăra, instala sau utiliza anumite produse și servicii de securitate informatică provenite din Rusia ori de la operatori controlați direct sau indirect de entități rusești. Proiectul a trecut cu 104 voturi „pentru” și unul „împotrivă”. Mai are nevoie de votul Camerei Deputaților, for decizional.

Miza imediată este termenul din legea actuală: interdicția se aplică până la 31 decembrie 2026. Inițiatorii spun că, fără prelungire, măsura ar înceta la finalul anului. Senatul a votat astfel extinderea ei cu încă nouă ani, dar proiectul nu a devenit încă lege. Portal Legislativ

Nu este o interdicție pentru orice produs IT rusesc

Legea nr. 354/2022 vizează produse și servicii software folosite pentru protecția sistemelor informatice: securitatea dispozitivelor și a punctelor finale, antivirus și antimalware, firewall pentru aplicații web, firewall ca serviciu, rețele virtuale private și sisteme de detecție și răspuns pentru endpointuri. Prin urmare, interdicția nu se referă, în forma actuală, la orice program sau echipament IT cu legături cu Rusia.

Proiectul votat de Senat modifică articolul care stabilește durata interdicției. El nu adaugă categorii noi de produse și nu introduce reguli distincte pentru contractele cloud, subcontractori, actualizări sau servicii de mentenanță. În cazul serviciilor, aplicarea interdicției depinde de încadrarea lor în categoriile prevăzute de lege și de identificarea produselor, serviciilor și furnizorilor vizați. Așadar, prelungirea nu înseamnă automat că toate contractele IT ale instituțiilor trebuie înlocuite.

Ce înseamnă controlul indirect

Legea include și operatorii aflați sub control rusesc. Criteriile prevăzute cuprind, între altele, deținerea directă sau indirectă a cel puțin 25% din drepturile de vot, controlul majorității voturilor, puterea de a numi sau revoca majoritatea conducerii, dar și finanțarea operatorului ori acordarea de bani sau alte avantaje. Portal Legislativ

Pentru instituțiile care au contracte existente, verificarea nu se oprește, așadar, la numele furnizorului trecut în documente. Trebuie lămurit cum sunt identificate relațiile indirecte de control și cum se aplică legea atunci când produsul este furnizat printr-un distribuitor, integrat într-un serviciu administrat de un terț sau folosit în cadrul unei soluții găzduite în cloud. Extinderea termenului nu detaliază aceste situații.

Câte contracte vor fi afectate și cine plătește migrarea

Proiectul și informațiile publice consultate nu indică un număr total al contractelor publice afectate, valoarea acestora sau costul migrării către soluții alternative. Legea prevede că produsele și furnizorii interziși sunt identificați printr-o listă, la propunerea mai multor instituții, între care DNSC, ADR și SRI. Fără date publice agregate despre achizițiile și eliminările făcute până acum, nu se poate estima câte sisteme mai trebuie schimbate și ce cheltuieli ar putea presupune acest lucru.

Legea sancționează achiziționarea, instalarea sau folosirea produselor vizate cu amenzi între 50.000 și 200.000 de lei. Tot contravenție este și nedezinstalarea sau deconectarea acestora în termenul prevăzut de lege. Proiectul votat luni nu modifică sancțiunile, ci doar prelungește perioada în care se aplică interdicția.

În expunerea de motive, inițiatorii susțin că prelungirea este „necesară și proporțională” și că motivele adoptării legii „nu numai că persistă, ci s-au agravat”. Ei afirmă că un termen până la sfârșitul lui 2035 oferă un orizont de protecție mai stabil. 

Proiectul merge acum la Camera Deputaților, care va decide forma finală. Până la un vot acolo și la intrarea în vigoare a legii, termenul prevăzut de legislația actuală rămâne 31 decembrie 2026.