(1) În temeiul prezentei legi, toate entitățile cu personalitate juridică de drept public sau privat care desfășoară activități în sectoarele și subsectoarele prevăzute în anexa care face parte integrantă din prezenta lege au obligația de a participa la procesul de identificare a entităților critice.
(2) Informațiile care fac obiectul schimbului între CNCPIC, alte autorități ce au responsabilități în domeniu și Comisia Europeană se limitează la informații relevante, proporționale cu scopul respectivului schimb și necesare pentru aplicarea la nivel național a Directivei (UE) 2022/2.557 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind reziliența entităților critice și de abrogare a Directivei 2008/114/CE a Consiliului, denumită în continuate Directiva (UE) 2022/2.557. Acest schimb de informații păstrează confidențialitatea informațiilor respective, securitatea și interesele comerciale ale entităților critice, respectând totodată securitatea națională.
(3) Prezenta lege nu aduce atingere responsabilităților de a proteja securitatea și apărarea națională sau competențelor de a proteja alte funcții esențiale ale statului, inclusiv asigurarea integrității teritoriale a statului și menținerea ordinii publice.
(4) Prezenta lege nu se aplică entităților administrației publice din domeniul apărării, ordinii publice și securității naționale, inclusiv în ceea ce privește cercetarea, depistarea și urmărirea penală a infracțiunilor.
(5) Art. 11 și cap. III, IV și VI nu se aplică entităților critice care furnizează servicii esențiale în domeniul apărării, ordinii publice și securității naționale, inclusiv în ceea ce privește cercetarea, depistarea și urmărirea penală a infracțiunilor, sau care prestează servicii exclusiv entităților menționate la alin. (4) .
(6) Obligațiile prevăzute de prezenta lege nu implică furnizarea de informații a căror divulgare ar contraveni intereselor esențiale ale statului în materie de apărare, ordine publică și securitate națională.
(7) Prezenta lege nu aduce atingere dreptului privind protecția datelor cu caracter personal, în special Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), denumit în continuare Regulamentul (UE) 2016/679, Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, cu modificările și completările ulterioare, și Legii nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), cu modificările ulterioare.
(8) Având în vedere relația dintre securitatea fizică și securitatea cibernetică a entităților critice, prezenta lege se aplică într-o manieră coordonată cu legislația privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice și legislația privind securitatea cibernetică și nu se aplică domeniilor reglementate de acestea, fără a aduce atingere art. 8 .
(9) Dispozițiile relevante ale prezentei legi, inclusiv dispozițiile privind supravegherea și asigurarea respectării legislației prevăzute în cap. VI, nu se aplică în cazul în care dispozițiile reglementărilor interne impun entităților critice să ia măsuri de consolidare a rezilienței, iar cerințele respective sunt recunoscute la nivel național ca fiind cel puțin echivalente cu obligațiile corespunzătoare prevăzute în prezenta lege.