(1) Autoritățile prevăzute la art. 3 , 4 , 10 și art. 13 alin. (1) elaborează planuri de securitate, planuri de asigurare a continuității activității și planuri de recuperare în caz de dezastru.
(2) Fără a aduce atingere obligațiilor prevăzute la art. 33 din Regulamentul (UE) 2016/679, respectiv a celor prevăzute la art. 36 din Legea nr. 363/2018 , autoritatea în cadrul căreia s-a produs un incident de securitate comunică respectivul incident Unității centrale interoperabilitate, de îndată, dar nu mai târziu de 48 de ore de la data la care a luat cunoștință de acesta.
(3) Incidentele de securitate prevăzute la alin. (2) se notifică Comisiei Europene, eu-LISA, Autorității naționale de supraveghere și Autorității Europene pentru Protecția Datelor, de către Unitatea centrală interoperabilitate, de îndată, dar nu mai târziu de 24 de ore de la data luării la cunoștință.
(4) Incidentele de securitate care au sau pot avea impact asupra securității sistemelor informatice și de comunicații ale Ministerului Afacerilor Interne se raportează de Direcția generală pentru comunicații și tehnologia informației, prin Unitatea centrală interoperabilitate, către Direcția generală de protecție internă pentru cunoașterea, prevenirea și contracararea amenințărilor, vulnerabilităților și factorilor de risc la adresa securității cibernetice a ministerului.
(5) În cazul în care incidentele de securitate au sau pot avea impact asupra securității sistemelor informatice și de comunicații aparținând unor instituții publice, altele decât cele din cadrul Ministerului Afacerilor Interne, acestea se transmit de Direcția generală de protecție internă entităților în cauză.
(6) În cazul în care incidentele de securitate sunt de natură a afecta securitatea națională a României, acestea se transmit de Direcția generală de protecție internă celorlalte organe de stat cu atribuții în domeniu.