Nga Denisa Kele
Kryeministri Edi Rama njoftoi me entuziazëm se Shqipëria është ngjitur në vendin e parë në botë në National Cyber Security Index, me 98.33 pikë. Dhe për një debat serioz duhet nisur nga fakti: po, Shqipëria rezulton aktualisht e para në këtë indeks.
Por problemi fillon pikërisht pas kësaj fjalie.
Sepse një qeveri që prej vitesh e ka kthyer propagandën digjitale në zëvendësuese të llogaridhënies ka detyrimin t’u shpjegojë qytetarëve jo vetëm vendin në renditje, por edhe çfarë mat realisht kjo renditje.
Në të kundërt, nga “Shqipëria është e para në NCSI” deri te perceptimi “Shqipëria është vendi më i sigurt kibernetikisht në botë” distanca është shumë e vogël politikisht, por shumë e madhe teknikisht.
Dhe pikërisht aty duhet bërë dallimi.
NCSI mat gatishmërinë. Jo paprekshmërinë e sistemeve
National Cyber Security Index vlerëson gatishmërinë e një shteti për të parandaluar kërcënimet kibernetike dhe për të menaxhuar incidentet.
Një pjesë e rëndësishme e pikëve fitohet duke provuar ekzistencën e kuadrit që një shtet duhet të ketë: ligje, strategji, institucione përgjegjëse, plane veprimi, struktura koordinimi, CERT/CSIRT, mekanizma raportimi, programe edukimi, bashkëpunim ndërkombëtar dhe procedura për menaxhimin e krizave.
Për shembull, Shqipëria merr pikët e plota në kategorinë Cybersecurity Policy – 15/15.
Por le të shohim se çfarë kërkon konkretisht metodologjia.
Për lidershipin kombëtar të sigurisë kibernetike pranohet si provë një akt ligjor, strategji kombëtare, statut zyrtar ose faqe institucionale. Shqipëria merr pikët duke referuar, ndër të tjera, Ligjin nr. 25/2024 “Për sigurinë kibernetike”.
Për institucionin përgjegjës për hartimin e politikave, përsëri përdoret Ligji nr. 25/2024 dhe mandati i AKSK-së.
Për koordinimin e politikave përdoret Urdhri nr. 118 për ngritjen e Komitetit Ndërministror të Sigurisë Kibernetike.
Për strategjinë kombëtare përdoret Strategjia Kombëtare e Sigurisë Kibernetike 2025–2030 dhe plani i saj i veprimit.
Të gjitha këto janë të nevojshme. Janë hapa që Shqipëria duhet t’i kishte dhe është pozitive që i ka.
Por të kesh ligjin nuk do të thotë automatikisht se ke sigurinë. Të kesh strategjinë nuk do të thotë se çdo sistem e zbaton atë. Të kesh institucionin nuk do të thotë se institucioni performon në mënyrë perfekte.
Dhe të kesh një procedurë për menaxhimin e incidentit nuk do të thotë se infrastruktura nuk mund të komprometohet.
Këtu qëndron dallimi që propaganda politike preferon të mos e shpjegojë.
98.33 nuk është “98.33% siguri”
Shifra 98.33 tingëllon bukur në një status Facebook-u. Por teknikisht ajo nuk do të thotë se sistemet shtetërore shqiptare janë 98.33 për qind të sigurta.
As nuk do të thotë se një ekip ndërkombëtar ekspertësh ka testuar e-Albania-n, sistemet e AKSHI-t, ministritë, Tatimet, Doganat, sistemet e shëndetësisë, regjistrat shtetërorë dhe infrastrukturat kritike shqiptare dhe ka arritur në përfundimin se ato janë më të sigurta se sistemet e çdo shteti tjetër.
NCSI nuk është një penetration test global.
Nuk është një “stress test” ku infrastruktura shqiptare vihet përballë infrastrukturës së Estonisë, Gjermanisë, Britanisë apo Shteteve të Bashkuara.
Është një indeks i gatishmërisë kombëtare, i ndërtuar mbi indikatorë dhe prova të përcaktuara nga metodologjia e tij. Ky është një dallim që qeveria duhet ta thotë po aq fort sa thotë “jemi të parët”.
Pyetja që duhet t’i bëhet qeverisë: sa prej 98.33 pikëve janë siguri reale?
Sa prej 98.33 pikëve provojnë reziliencën reale të sistemeve dhe sa provojnë se Shqipëria ka miratuar dokumentin, ligjin, strategjinë, institucionin apo procedurën që kërkon indikatori?
Sepse në cybersecurity ekziston një dallim themelor mes compliance dhe security.
Compliance të thotë se ke përmbushur kërkesën. Security të tregon nëse sistemi reziston kur sulmohet.
Dhe qytetarit shqiptar nuk i mjafton që shteti të ketë një dokument që thotë se të dhënat e tij duhet të mbrohen. Qytetari ka nevojë të dijë nëse të dhënat e tij janë realisht të mbrojtura.
Nga 91.67 në 98.33 brenda pak muajsh
Ka edhe një element që kërkon transparencë.
Vetë NCSI tregon se profili i Shqipërisë është përditësuar më 25 maj 2026 dhe përsëri më 10 gusht 2026. Përditësimet shënojnë si burim “Government officials”.
Në versionin aktual rezultati është 98.33.
Kjo nuk do të thotë se rezultati është i pavlefshëm. Përkundrazi, sistemi i NCSI funksionon mbi paraqitjen dhe verifikimin e provave sipas metodologjisë së tij.
Por pikërisht për këtë arsye qeveria duhet të publikojë dhe të shpjegojë qartë:
Çfarë provash të reja iu paraqitën NCSI-së? Cilët indikatorë ndryshuan? Cilat masa të reja u implementuan? Dhe cilat prej tyre përfaqësojnë kapacitete të reja teknike dhe cilat janë akte ligjore, strategjike apo institucionale?
Në një demokraci normale, vendi i parë nuk duhet përdorur vetëm për propagandë. Duhet përdorur edhe për transparencë.
Vetë faqja e NCSI-së tregon një realitet shumë më kompleks
Ndoshta pjesa që qeveria do të preferonte të mos vendoste në të njëjtin postim është ajo që ndodhet vetëm pak centimetra më poshtë në të njëjtën faqe.
Shqipëria rezulton:
1st – National Cyber Security Index
por njëkohësisht:
Tier 2 – Global Cybersecurity Index
62nd – E-Government Development Index
dhe
84th – Network Readiness Index.
Pra, në të njëjtën fotografi kemi një Shqipëri të parë në një indeks, Tier 2 në një tjetër, të 62-ën në një të tretë dhe të 84-ën në një të katërt.
Nuk ka asnjë kontradiktë këtu. Ka vetëm metodologji të ndryshme. Dhe pikërisht kjo demonstron pse një qeveri serioze nuk duhet të marrë indeksin që i jep rezultatin më të bukur dhe ta përdorë atë si certifikatë universale të suksesit digjital.
Ligjet janë të rëndësishme. Sulmuesit nuk lexojnë propagandën.
Shqipëria ka sot një kuadër ligjor të përmirësuar të sigurisë kibernetike. Kjo duhet pranuar.
Ka një strategji kombëtare.
Ka AKSK-në.
Ka struktura CERT/CSIRT.
Ka detyrime për raportimin e incidenteve.
Ka mekanizma për mbrojtjen e infrastrukturave kritike.
Ka aktivitete edukimi dhe bashkëpunimi ndërkombëtar.
Të gjitha këto janë të domosdoshme.
Por një hacker nuk ndalet përpara Ligjit 25/2024.
Një ransomware nuk lexon strategjinë kombëtare përpara se të enkriptojë një server.
Një sulmues nuk pyet nëse institucioni ka marrë 3/3 pikë në një indikator ndërkombëtar.
Në momentin e sulmit vlejnë arkitektura e sistemit, segmentimi i rrjetit, autentikimi, privilegjet e aksesit, patch management, monitorimi, SOC-u, backup-et, threat intelligence, reagimi në kohë reale dhe aftësia për të rikuperuar sistemet pa cenuar shërbimet dhe të dhënat.
Pas sulmeve që ka kaluar Shqipëria, propaganda nuk mjafton
Shqipëria nuk vjen në këtë debat si një vend që nuk e ka provuar kurrë çfarë do të thotë një krizë e rëndë kibernetike.
Sistemet publike shqiptare kanë kaluar incidente serioze dhe pikërisht për këtë arsye përmirësimi i kuadrit ligjor dhe institucional ishte jo vetëm i nevojshëm, por i detyrueshëm.
Prandaj vendi i parë duhet të shërbejë si pikënisje për një standard shumë më të lartë llogaridhënieje.
Nëse jemi të parët në gatishmëri, atëherë qeveria duhet të jetë gati të tregojë edhe rezultatet e matshme të kësaj gatishmërie.
Sa vulnerabilitete kritike janë identifikuar?
Sa janë mbyllur?
Sa institucione i nënshtrohen auditimeve të pavarura?
Sa shpesh zhvillohen penetration tests?
Cila është koha mesatare e zbulimit të një incidenti?
Cila është koha mesatare e reagimit dhe rikuperimit?
Sa incidente serioze kanë prekur infrastrukturën publike?
Sa prej tyre janë bërë transparente për qytetarët?
Këto janë matje performance. Dhe këtu fillon siguria reale.
Shqipërise i duhet siguri, jo vetëm renditje.
Marrë nga Dosja.al
