România implementează legislația privind Cloudul Guvernamental

În ședința de Guvern din data de 27 Iunie 2022, Guvernul României a adoptat Ordonanța de Urgență nr. 89/2022 privind Platforma de cloud guvernamental („OUG privind Cloudul guvernamental”). Actul normativ a fost publicat în Monitorul Oficial nr. 638 în data de 28 Iunie 2022 și a intrat în vigoare în aceeași zi. OUG privind Cloudul guvernamental reglementează regimul juridic general privind înființarea, administrarea și dezvoltarea, la nivel național, a unei infrastructuri de tip cloud hibrid, denumită Platforma de cloud guvernamental („Platforma”). În plus, OUG privind Cloudul guvernamental are ca scop îmbunătățirea și asigurarea continuă și neîntreruptă a digitalizării administrației publice române. Autoritățile responsabile de implementarea Platformei sunt Ministerul Cercetării, Inovării și Digitalizării („MCID”), și Autoritatea pentru Digitalizarea României („ADR”), în colaborare cu Serviciul de Telecomunicații Speciale („STS”) și Serviciul Român de Informații („SRI”). Structura Platformei Platforma are două componente: (a) o componentă de cloud privat, denumită în continuare de OUG „Cloudul privat guvernamental” („Cloudul privat guvernamental”), și (b) resurse și servicii publice certificate din alte tipuri de cloud publice sau private, denumite de OUG „infrastructuri informatice de tip cloud în Platformă, altele decât Cloudul privat guvernamental” („Cloudul guvernamental non-privat”). OUG privind Cloudul guvernamental definește cloudul privat ca fiind acea modalitate de organizare a resurselor unui sistem de cloud computing în care serviciile sunt folosite de un singur client al cloudului, iar resursele sunt controlate de acel client. Pe de altă parte, cloudul public este definit ca o modalitate de organizare a resurselor unui sistem de cloud computing în care serviciile sunt posibil disponibile oricărui client al cloudului, iar resursele sunt controlate de furnizorul de servicii cloud. În sfârșit, cloudul hibrid cuprinde atât cloudul public, cât și pe cel privat, fiind definit de OUG ca acea modalitate de organizare a resurselor unui sistem de cloud, care utilizează cel puțin două tipuri diferite de cloud computing. Cloud First Potrivit prevederilor OUG, entitățile publice ale căror sisteme informatice sunt eligibile să migreze în serviciile de tip cloud, trebuie să respecte politica de cloud first (i.e., cloud first este definit de OUG ca principiul care implică luarea în considerare a cloudului înaintea tuturor celorlalte tehnologii, fie că este un proiect nou care implică soluții informatice și de comunicații sau o actualizare tehnologică a unui sistem informatic existent). Cerințe specifice Atât Cloudul privat guvernamental, cât și Cloudul guvernamental non-privat trebuie să conțină în structura lor următoarele componente tehnice („Componentele”): (i) infrastructura de bază a cloudului; (ii) infrastructura ca serviciu (IaaS); (iii) platforma ca serviciu (PaaS); (iv) software ca serviciu (SaaS). Cloudul privat guvernamental: ▸ Componentele menționate anterior incluse în Cloudul privat guvernamental sunt proprietate privată a statului român și se află în administrarea STS sau ADR. Dacă achiziționarea drepturilor de proprietate nu este posibilă, trebuie să se asigură cel puțin achiziționarea drepturilor de utilizare. ▸ Administratorii serviciilor furnizate la nivel de IaaS, PaaS și SaaS, precum și administratorii de securitate cibernetică asigură jurnalizarea evenimentelor și accesului la datele entităților găzduite în Cloudul privat guvernamental, în scopul efectuării unor activități de audit de conformitate periodice. Cloudul guvernamental non-privat: ▸ Infrastructurile informatice de tip cloud din cadrul Cloudului guvernamental non-privat trebuie realizate și implementate astfel încât să asigure anumite categorii de facilități, expres prevăzute în cuprinsul OUG. ▸ Fiecare serviciu de cloud este asigurat de cel puțin două noduri de date organizate sub forma centrelor de date, pentru a asigura furnizarea serviciilor de cloud în mod rezilient. ▸ Centrele de date prevăzute pot găzdui servicii de tip cloud privat, public sau hibrid. Marketplace-ul din cadrul Platformei Mai mult decât atât, OUG privind Cloudul guvernamental introduce noțiunea de „marketplace”, ce reprezintă un catalog de aplicații și servicii de tip cloud, disponibile în Platformă, dezvoltate inclusiv de mediul privat, ce pot fi accesate de autoritățile și instituțiile publice găzduite în Platformă. Acest marketplace este gestionat de către ADR. Aplicațiile disponibile în Platformă pot fi accesate ca urmare a încheierii unui contract între furnizorii de servicii cloud și entitățile găzduite (e.g., autorități și instituții publice) care achiziționează aplicațiile respective. Legislație Secundară În vederea oferirii de servicii entităților publice, infrastructurile private de tip cloud trebuie să respecte cerințele prevăzute și stabilite prin intermediul legislației secundare, precum: (i) Ghidul de guvernanță a platformei de cloud guvernamental și (ii) certificările de securitate. Legislația secundară va fi adoptată pe baza propunerilor făcute de către entitățile publice competente (e.g., MCID, ADR, STS, SRI), potrivit prevederilor conținute de OUG privind Cloudul guvernamental (e.g., Ghidul de guvernanță a platformei de cloud guvernamental va fi adoptat în termen de maximum 90 de zile de la data intrării în vigoare a OUG, prin hotărâre a Guvernului, la propunerea MCID și cu consultarea prealabilă a ADR, STS și SRI). Prelucrarea datelor cu caracter personal În sfârșit, OUG privind Cloudul guvernamental conține de asemenea prevederi privind prelucrarea datelor cu caracter personal, potrivit cărora (i) toate activitățile de prelucrare trebuie efectuate în conformitate cu prevederile GDPR sau ale legislației specifice naționale, și (ii) cetățenii vor fi notificați imediat atunci când entitățile publice accesează datele lor cu caracter personal. Finanțarea Platformei Pentru realizarea componentelor Platformei, respectiv a IaaS, PaaS, și SaaS, a securității cibernetice și migrării bazelor de date, autoritățile și instituțiile publice (e.g., ADR, STS și SRI), organizează proceduri de achiziție publică, în conformitate cu legislația română în vigoare în domeniul achizițiilor publice.