(1) Entitățile critice iau măsuri tehnice, de securitate și organizatorice adecvate și proporționale pentru a-și asigura reziliența, pe baza informațiilor relevante furnizate în evaluarea riscurilor efectuată de CNCPIC, precum și a rezultatelor evaluării riscurilor efectuate de entitatea critică, inclusiv măsuri necesare pentru:
a) a preveni apariția incidentelor, luând în considerare în mod corespunzător măsuri de reducere a riscului de dezastre și de adaptare la schimbările climatice;
b) a asigura o protecție fizică adecvată a spațiilor și a infrastructurii critice, luând în considerare în mod corespunzător implementarea tuturor măsurilor de asigurare a securității fizice;
c) a răspunde, a rezista la consecințele incidentelor și a le atenua, luând în considerare în mod corespunzător implementarea unor proceduri și protocoale de gestionare a riscurilor și a crizelor și a unor proceduri de alertă;
d) a se redresa în urma incidentelor, luând în considerare, în mod corespunzător, măsuri de asigurare a continuității activității și identificarea unor lanțuri de aprovizionare alternative, pentru a relua furnizarea serviciului esențial;
e) a asigura gestionarea adecvată a securității în ceea ce privește angajații, luând în considerare, în mod corespunzător, măsuri precum determinarea categoriilor de personal care exercită funcții critice, stabilirea drepturilor de acces la spații, la infrastructura critică și la informațiile sensibile, stabilirea de proceduri de verificare a antecedentelor în conformitate cu art. 14 , desemnarea unor categorii de persoane care trebuie să facă obiectul unor astfel de verificări ale antecedentelor, precum și stabilirea unor cerințe de formare și calificări adecvate;
f) a conștientiza personalul implicat cu privire la punerea în aplicare a măsurilor menționate la lit. a)-e) , luând în considerare, în mod corespunzător, asigurarea participării la cursuri de formare, diseminarea de materiale informative și participarea la exerciții de testare.
(2) În sensul alin. (1) lit. e) , entitățile critice iau în considerare, atunci când determină categoriile de personal care exercită funcții critice, nu numai propriii angajați, ci și personalul prestatorilor externi de servicii.
(3) Entitățile critice sunt obligate să instituie și să pună în aplicare un plan de reziliență sau un document sau documente echivalente, care descriu măsurile luate în temeiul alin. (1) . Atunci când entitățile critice au elaborat documente sau au luat măsuri în temeiul obligațiilor stabilite în alte acte normative incidente domeniului propriu de responsabilitate, care sunt relevante pentru măsurile menționate la alin. (1) , acestea pot utiliza documentele și măsurile respective pentru a îndeplini cerințele prevăzute în prezentul articol.
(4) Atunci când își exercită funcțiile de supraveghere, CNCPIC și ACS, în baza unei proceduri de verificare a conformității elaborate în cadrul grupului de lucru înființat conform prevederilor menționate la art. 9 alin. (4) , pot declara măsurile existente de consolidare a rezilienței luate de o entitate critică, care abordează în mod adecvat și proporțional măsurile tehnice, de securitate și organizatorice menționate la alin. (1) , ca fiind conforme, integral sau parțial, cu respectarea obligațiilor prevăzute la prezentul articol.
(5) Fiecare entitate critică desemnează un ofițer de legătură sau un echivalent al acestuia ca punct de contact în relația cu CNCPIC și ACS.
(6) CNCPIC pune la dispoziția ACS și entităților critice, prin canalele oficiale de comunicare, orientările fără caracter obligatoriu adoptate de Comisia Europeană pentru a detalia măsurile tehnice, de securitate și organizatorice în vederea îndeplinirii responsabilităților stabilite la alin. (1) .