(1) Securitatea și confidențialitatea schimbului de date sunt asigurate de către toți participanții la schimbul de date și de către administratorul Platformei naționale de interoperabilitate, fiecare pe domeniile sale de competență și în conformitate cu cerințele de securitate aplicabile categoriei respective de date. Fiecare autoritate sau instituție publică și toate persoanele juridice de drept privat, respectiv persoanele care exercită profesii liberale reglementate vor defini politici de securitate a datelor în conformitate cu standardele naționale și internaționale.
(2) Participanții la schimbul de date sunt obligați să informeze Directoratul Național de Securitate Cibernetică și orice altă instituție publică cu competențe în domeniu despre vulnerabilitățile și incidentele de securitate în utilizarea Platformei naționale de interoperabilitate în termen de cel mult 72 de ore din momentul depistării acestora.
(3) Transferul datelor prin intermediul Platformei naționale de interoperabilitate se realizează în formă criptată.
(4) Transferul datelor este organizat într-o manieră în care identitatea destinatarului este cunoscută în mod cert înainte de a permite destinatarului să prelucreze datele primite.
(5) Prelucrarea datelor cu caracter personal de către autoritățile și instituțiile publice, persoanele fizice și entitățile de drept privat în procesul de utilizare și furnizare a serviciilor publice prin intermediul Platformei naționale de interoperabilitate se realizează cu respectarea reglementărilor legale aplicabile în domeniul protecției datelor cu caracter personal.
(6) Fiecare autoritate sau instituție publică va acorda angajaților și colaboratorilor săi drepturile de acces la date furnizate prin intermediul Platformei naționale de interoperabilitate în condițiile art. 16 alin. (3) lit. e) și cu respectarea prevederilor legale aplicabile.
(7) Administratorii registrelor de bază și administratorii oricăror alte registre de date au următoarele obligații:
a) să asigure implementarea cerințelor minime de securitate cibernetică prevăzute de legislația națională și europeană și de standardele și specificațiile naționale, europene și internaționale aplicabile în domeniul securității cibernetice, în special cele prevăzute de Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, cu modificările și completările ulterioare;
b) să implementeze, să asigure procese și proceduri specifice pentru asigurarea securității operaționale a serviciului;
c) să se asigure că datele stocate sau aflate în tranzit sunt protejate în mod adecvat împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin măsuri de protecție a rețelei informatice și de criptare a datelor;
d) să nu permită accesul fără drept la datele din Platforma națională de interoperabilitate aflate sub autoritatea lor și să se asigure că accesul la toate interfețele de servicii este limitat la persoanele autentificate și autorizate pe baza necesității de a cunoaște;
e) să gestioneze și să rezolve de îndată incidentele de securitate cibernetică;
f) să nu afecteze, prin acțiunile proprii, securitatea altor rețele și sisteme informatice;
g) să se asigure că personalul este instruit corespunzător pentru utilizarea Platformei naționale de interoperabilitate și controlat periodic pentru a preîntâmpina erori umane sau încălcări de securitate.
(8) Utilizatorii de date nu trebuie să se angajeze în nicio activitate care să compromită siguranța Platformei naționale de interoperabilitate.
(9) Protecția datelor se asigură prin implementarea, la nivelul fiecărui sistem informatic implicat în schimbul de date, a:
a) principiilor „confidențialității prin concepție“ și „securității prin concepție“, pentru a asigura securitatea modulelor și a infrastructurii lor;
b) planurilor de gestionare a riscurilor pentru identificarea riscurilor, evaluarea potențialului impact al acestora și planificarea intervențiilor cu măsuri tehnice și organizatorice adecvate. Pe baza ultimelor evoluții tehnologice, aceste măsuri trebuie să asigure un nivel de securitate proporțional cu gradul de risc;
c) planurilor de continuitate a activității și planurilor de rezervă și de redresare pentru a institui procedurile necesare de asigurare a disponibilității funcțiilor în urma unui eveniment dezastruos și readucere a tuturor funcțiilor la situația normală cât mai curând posibil;
d) unui plan de acces la date și autorizare, care stabilește persoanele care au acces la date, datele care sunt accesibile și condițiile accesării datelor, pentru a asigura confidențialitatea. Accesul neautorizat și încălcarea normelor de securitate trebuie monitorizate și trebuie luate măsuri corespunzătoare pentru a preveni orice repetare a încălcărilor.