(1) Până la 17 iulie 2026, CNCPIC identifică entitățile critice pentru sectoarele și subsectoarele prevăzute în anexă, cu sprijinul ACS.
(2) ACS au obligația de a furniza CNCPIC, cu 5 luni înainte de termenul prevăzut la alin. (1) , date pentru identificarea entităților critice în temeiul alin. (1) , iar CNCPIC, pe baza acestora, precum și a rezultatelor evaluării riscurilor elaborate conform art. 5 și a strategiei elaborate potrivit art. 4 , aplică cumulativ următoarele criterii:
a) entitatea furnizează unul sau mai multe servicii esențiale;
b) entitatea operează, iar infrastructura sa critică este situată pe teritoriul național și poate include infrastructura critică națională, astfel cum este definită la art. 3 lit. a) din Ordonanța de urgență a Guvernului nr. 98/2010 privind identificarea, desemnarea și protecția infrastructurilor critice, aprobată cu modificări prin Legea nr. 18/2011 , cu modificările și completările ulterioare;
c) un incident ar avea efecte perturbatoare semnificative, determinate în conformitate cu art. 7 alin. (1) , asupra furnizării de către o entitate a unuia sau mai multor servicii esențiale ori asupra furnizării altor servicii esențiale în sectoarele prevăzute în anexă care depind de acel serviciu esențial sau de acele servicii esențiale.
(3) Lista entităților critice identificate prin aplicarea criteriilor prevăzute la alin. (2) se aprobă, la propunerea CNCPIC, prin decizie a prim-ministrului. CNCPIC se asigură că respectivele entități critice sunt notificate de către ACS cu privire la identificarea lor ca entități critice în termen de o lună de la data identificării. ACS informează entitățile critice prin aceeași notificare și cu privire la obligațiile care le revin în temeiul cap. III și IV și cu privire la data de la care obligațiile respective le revin, fără a aduce atingere art. 8 .
(4) CNCPIC informează ACS și entitățile critice din sectoarele prevăzute la pct. 3, 4 și 8 din tabelul din anexă cu privire la faptul că nu le revin obligații în temeiul cap. III și IV, cu excepția prevederilor art. 17 alin. (2) .
(5) Dispozițiile cap. III se aplică entităților critice vizate după 10 luni de la data primirii notificării prevăzute la alin. (3) , cu excepția prevederilor art. 12 alin. (1) .
(6) CNCPIC notifică autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică cu privire la entitățile critice identificate în temeiul prezentului articol, în termen de o lună de la identificare. Notificarea respectivă precizează, dacă este cazul, faptul că entitățile critice vizate sunt entități din sectoarele prevăzute la pct. 3, 4 și 8 din tabelul din anexă și că acestora nu le revin obligații în temeiul cap. III și IV.
(7) Atunci când este necesar și, în orice caz, cel puțin o dată la fiecare 4 ani, pe baza datelor furnizate de ACS, CNCPIC revizuiește și, după caz, actualizează lista entităților critice identificate menționate la alin. (3) , prin decizie a prim-ministrului. În cazul în care actualizările respective conduc la identificarea unor entități critice suplimentare, acelor entități critice suplimentare li se aplică alin. (3)-(6) . Datele furnizate de ACS în cadrul procesului de revizuire sunt obligatorii.
(8) CNCPIC notifică, în timp util, entitățile care nu mai sunt identificate ca entități critice, în urma unei astfel de actualizări, cu privire la aceasta și cu privire la faptul că, de la primirea notificării respective, nu le mai revin obligațiile prevăzute în cap. III.
(9) CNCPIC participă, la solicitarea Comisiei Europene, la elaborarea de recomandări și orientări fără caracter obligatoriu pentru a sprijini procesul de identificare a entităților critice.