Autor
Parlamentul European și Consiliul Uniunii Europene
5 fișe de lectură din 5 cărți · 2016–2024.
5 fișe
Regulamentul general privind protecția datelor (GDPR) · 2016
Pseudonimizat înseamnă tot date personale — doar că cheia stă în altă cameră.
Definiția din regulament e, citită ca arhitectură, o schemă cu trei părți. Seiful de identitate: nume, e-mail, cod numeric personal, adresă — criptat, cu acces restrâns, în propriul lui sistem. Harta de tokeni: legătura dintre persoană și un pseudonim, fie un surogat aleatoriu, fie un HMAC cu o cheie secretă; un simplu hash al e-mailului nu ajunge, se inversează cu un dicționar. Depozitul: faptele, cheiate pe token. Analiștii văd tokeni și comportamente, niciodată identități; join-ul înapoi e posibil doar pentru cine are cheia, și e auditat. Ce câștigi: ștergerea unei persoane devine ștergerea rândului din seif — faptele rămân, dar nu mai duc la nimeni; accesul la identitate se acordă separat de accesul la analiză; „unde sunt datele acestei persoane” se răspunde din proveniență (lecția 15). Ce nu câștigi: datele pseudonimizate rămân date personale, fiindcă informația suplimentară există. Toate obligațiile rămân; riscul scade. Anonimizarea reală e alt prag, cu propriile ei capcane — lecția 20.
“«pseudonimizare» înseamnă prelucrarea datelor cu caracter personal într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza informații suplimentare, cu condiția ca aceste informații suplimentare să fie stocate separat și să facă obiectul unor măsuri de natură tehnică și organizatorică care să asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice identificate sau identificabile”
Regulamentul (UE) 2022/2554 privind reziliența operațională digitală a sectorului financiar · 2022
DORA cere dovada că reziliența funcționează, nu dovada că a fost planificată.
Regulamentul (UE) 2022/2554 se aplică direct entităților financiare din 17 ianuarie 2025 și stă pe cinci piloni: gestionarea riscului legat de tehnologia informației și comunicațiilor, tratarea și raportarea incidentelor, testarea rezilienței operaționale digitale, riscul furnizorilor terți de servicii tehnologice și schimbul de informații despre amenințări. Două cerințe nu au echivalent într-un sistem de management clasic. Prima este registrul de informații: fiecare acord contractual pentru servicii tehnologice, cu funcția pe care o susține, într-un format pe care supraveghetorul îl poate cere integral. A doua este testarea avansată bazată pe amenințări, obligatorie cel puțin o dată la trei ani pentru entitățile identificate de autoritatea competentă — o simulare pe sistemele reale, nu o scanare de vulnerabilități. Peste ele, furnizorii desemnați critici intră sub supravegherea directă a autorităților europene de supraveghere. Un sistem certificat acoperă bine primul pilon și mare parte din al doilea; restul cere lucruri noi.
“Entitățile financiare dispun de un cadru intern de guvernanță și control care asigură o gestionare eficace și prudentă a riscului legat de TIC, în conformitate cu articolul 6 alineatul (4), pentru a atinge un nivel ridicat de reziliență operațională digitală.”
Conducerea aprobă măsurile și răspunde pentru ele: NIS2 nu mai lasă securitatea la nivelul departamentului tehnic.
Directiva (UE) 2022/2555, pe scurt NIS2, e transpusă în România prin Ordonanța de urgență 155/2024, publicată în Monitorul Oficial nr. 1332 din 31 decembrie 2024; autoritatea competentă este Directoratul Național de Securitate Cibernetică. Entitățile acoperite se împart în esențiale și importante, iar diferența stă în regimul de supraveghere și în plafonul amenzilor, nu în setul de măsuri. Articolul 21 cere măsuri adecvate și proporționale, pe o abordare care ia în calcul toate pericolele, și enumeră zece categorii minime: analiza riscului, tratarea incidentelor, continuitatea, securitatea lanțului de aprovizionare, achiziția și dezvoltarea sigură, evaluarea eficacității, igiena cibernetică și instruirea, criptografia, securitatea resurselor umane și controlul accesului, autentificarea cu mai mulți factori. Articolul 23 fixează ritmul: avertizare timpurie în 24 de ore, notificare în 72, raport final într-o lună. Articolul 20 spune că organul de conducere aprobă măsurile și poate fi tras la răspundere.
“Statele membre se asigură că entitățile esențiale și importante iau măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru a gestiona riscurile la adresa securității rețelelor și a sistemelor informatice pe care aceste entități le utilizează pentru operațiunile lor sau pentru furnizarea serviciilor lor și pentru a preveni sau a reduce la minimum impactul incidentelor asupra beneficiarilor serviciilor lor și asupra altor servicii.”
Regulamentul (UE) 2024/1689 de stabilire a unor norme armonizate privind inteligența artificială · 2024
Structura armonizată permite un singur sistem de management cu două registre de riscuri, nu două sisteme paralele.
Regulamentul (UE) 2024/1689 se aplică în trepte. Practicile interzise și dispozițiile generale se aplică din 2 februarie 2025, obligațiile pentru modelele de uz general din 2 august 2025, iar aplicarea generală a regulamentului din 2 august 2026. Pentru sistemele cu risc ridicat din anexa III, pachetul „omnibus digital” a amânat obligațiile la 2 decembrie 2027 — starea din septembrie 2026. Articolul 9 cere un sistem de management al riscurilor instituit, pus în aplicare, documentat și menținut pe tot ciclul de viață al sistemului cu risc ridicat: un proces iterativ, nu un dosar. Aici se vede avantajul structurii armonizate a standardelor de management. ISO/IEC 42001:2023, standardul pentru sisteme de management al inteligenței artificiale, folosește aceleași clauze 4-10 ca ISO/IEC 27001, deci contextul, rolurile, auditul intern și analiza de management se conduc o singură dată. Ce se adaugă e specific: inventarul sistemelor, evaluarea impactului asupra persoanelor, datele de antrenare, supravegherea umană.
“Se instituie, se pune în aplicare, se documentează și se menține un sistem de management al riscurilor în legătură cu sistemele de IA cu grad ridicat de risc.”
Din 11 septembrie 2026, ceasul de 24 de ore pornește în clipa în care fabricantul află de o vulnerabilitate exploatată activ.
Regulamentul (UE) 2024/2847, pe scurt actul privind reziliența cibernetică, mută răspunderea pe fabricant: produsul trebuie proiectat, dezvoltat și fabricat după cerințele esențiale din partea I a anexei I, iar riscul se evaluează și se documentează pe toată durata perioadei de suport. Practic înseamnă livrare fără vulnerabilități cunoscute exploatabile, configurare sigură implicită, actualizări de securitate și o listă a componentelor software pentru dependențele de nivel superior. Calendarul e etajat. Obligațiile de raportare din articolul 14 se aplică din 11 septembrie 2026: o vulnerabilitate exploatată activ se anunță printr-o avertizare timpurie în 24 de ore, printr-o notificare în 72 de ore și cu un raport final în 14 zile. Restul regulamentului se aplică din 11 decembrie 2027. Pentru cine are deja un sistem certificat, controalele de dezvoltare sigură din Anexa A, 8.25-8.28, de la ciclul de viață securizat până la codificarea sigură, sunt exact locul de unde se pornește.
“La introducerea pe piață a unui produs cu elemente digitale, fabricanții se asigură că acesta a fost proiectat, dezvoltat și fabricat în conformitate cu cerințele esențiale de securitate cibernetică prevăzute în partea I din anexa I.”