Dispoziții generale

Azi

Legea 294/2024 · 3 articole

Articolul 1 — Obiect de reglementare

(1) Prezenta lege stabilește cadrul legal privind identificarea entităților critice, sprijinirea acestora în vederea consolidării rezilienței, precum și îmbunătățirea cooperării transfrontaliere între autoritățile competente în vederea asigurării furnizării serviciilor esențiale pe piața internă a Uniunii Europene, denumită în continuare piața internă.

(2) Coordonarea activităților desfășurate de autoritățile competente desemnate conform art. 26 alin. (2) lit. b) pentru identificarea entităților critice revine, în condițiile prezentei legi, Centrului Național de Coordonare a Protecției Infrastructurilor Critice, structură fără personalitate juridică, din cadrul Ministerului Afacerilor Interne, denumit în continuare CNCPIC.

(3) CNCPIC inițiază norme privind identificarea entităților critice de importanță europeană deosebită, denumite în continuare ECIED, identificate în baza cerințelor prevăzute la art. 17 , și privind evaluarea de către misiunile de consiliere a măsurilor pe care ECIED le-au pus în aplicare pentru a-și îndeplini obligațiile care le revin în temeiul cap. III , respectiv proceduri comune de cooperare și raportare în ceea ce privește aplicarea prevederilor prezentei legi, precum și măsuri menite să asigure un nivel ridicat al rezilienței entităților critice pentru a asigura furnizarea serviciilor esențiale și pentru a îmbunătăți funcționarea pieței interne.

(4) Autorităților competente sectoriale, denumite în continuare ACS, le revine responsabilitatea să asigure furnizarea neîngrădită pe piața internă a serviciilor esențiale pentru menținerea siguranței sau securității populației și funcționarea instituțiilor statului și să sprijine entitățile critice care desfășoară activități în domeniul lor de reglementare pentru a-și îndeplini obligațiile care le revin, sens în care:

a) stabilesc pentru entitățile critice obligații menite să le sporească reziliența și capacitatea de a furniza pe piața internă serviciile menționate la alin. (1) ;

b) stabilesc norme privind supravegherea entităților critice și asigurarea respectării legii.

(5) Normele, procedurile și măsurile prevăzute la alin. (3) se aprobă prin hotărâre a Guvernului, la propunerea Ministerului Afacerilor Interne, prin CNCPIC.

(6) Obligațiile prevăzute la alin. (4) lit. a) și normele prevăzute la alin. (4) lit. b) se aprobă prin ordine ale conducătorilor ACS.

Articolul 2 — Domeniu de aplicare

(1) În temeiul prezentei legi, toate entitățile cu personalitate juridică de drept public sau privat care desfășoară activități în sectoarele și subsectoarele prevăzute în anexa care face parte integrantă din prezenta lege au obligația de a participa la procesul de identificare a entităților critice.

(2) Informațiile care fac obiectul schimbului între CNCPIC, alte autorități ce au responsabilități în domeniu și Comisia Europeană se limitează la informații relevante, proporționale cu scopul respectivului schimb și necesare pentru aplicarea la nivel național a Directivei (UE) 2022/2.557 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind reziliența entităților critice și de abrogare a Directivei 2008/114/CE a Consiliului, denumită în continuate Directiva (UE) 2022/2.557. Acest schimb de informații păstrează confidențialitatea informațiilor respective, securitatea și interesele comerciale ale entităților critice, respectând totodată securitatea națională.

(3) Prezenta lege nu aduce atingere responsabilităților de a proteja securitatea și apărarea națională sau competențelor de a proteja alte funcții esențiale ale statului, inclusiv asigurarea integrității teritoriale a statului și menținerea ordinii publice.

(4) Prezenta lege nu se aplică entităților administrației publice din domeniul apărării, ordinii publice și securității naționale, inclusiv în ceea ce privește cercetarea, depistarea și urmărirea penală a infracțiunilor.

(5) Art. 11 și cap. III, IV și VI nu se aplică entităților critice care furnizează servicii esențiale în domeniul apărării, ordinii publice și securității naționale, inclusiv în ceea ce privește cercetarea, depistarea și urmărirea penală a infracțiunilor, sau care prestează servicii exclusiv entităților menționate la alin. (4) .

(6) Obligațiile prevăzute de prezenta lege nu implică furnizarea de informații a căror divulgare ar contraveni intereselor esențiale ale statului în materie de apărare, ordine publică și securitate națională.

(7) Prezenta lege nu aduce atingere dreptului privind protecția datelor cu caracter personal, în special Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), denumit în continuare Regulamentul (UE) 2016/679, Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, cu modificările și completările ulterioare, și Legii nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), cu modificările ulterioare.

(8) Având în vedere relația dintre securitatea fizică și securitatea cibernetică a entităților critice, prezenta lege se aplică într-o manieră coordonată cu legislația privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice și legislația privind securitatea cibernetică și nu se aplică domeniilor reglementate de acestea, fără a aduce atingere art. 8 .

(9) Dispozițiile relevante ale prezentei legi, inclusiv dispozițiile privind supravegherea și asigurarea respectării legislației prevăzute în cap. VI, nu se aplică în cazul în care dispozițiile reglementărilor interne impun entităților critice să ia măsuri de consolidare a rezilienței, iar cerințele respective sunt recunoscute la nivel național ca fiind cel puțin echivalente cu obligațiile corespunzătoare prevăzute în prezenta lege.

Articolul 3 — Definiții

(1) În sensul prezentei legi, termenii și expresiile de mai jos au următoarele semnificații:

a) autoritate competentă sectorială înseamnă instituția publică desemnată conform art. 26 alin. (2) lit. b) , care, potrivit competențelor și atribuțiilor stabilite prin actele normative de organizare și funcționare proprii, răspunde de organizarea și desfășurarea activităților în domeniile corespunzătoare sectoarelor prevăzute în anexă ;

b) entitate critică înseamnă o entitate publică sau privată, cu personalitate juridică, care a fost identificată în conformitate cu art. 6 ca aparținând uneia dintre categoriile menționate în a treia coloană a tabelului din anexă;

c) reziliența entităților critice înseamnă capacitatea unei entități critice de a preveni un incident, de a oferi protecție și de a rezista în cazul producerii unui incident, de a răspunde la un incident, de a atenua un incident, de a absorbi un incident, de a se adapta unui incident și de a se redresa în urma unui incident;

d) incident înseamnă orice eveniment care are potențialul de a perturba în mod semnificativ sau care perturbă furnizarea unui serviciu esențial, inclusiv atunci când afectează sistemele naționale care protejează statul de drept;

e) infrastructură critică înseamnă un activ, o instalație, un echipament, o rețea ori un sistem sau o componentă a unui activ, instalații, echipament, rețea ori sistem, care este necesar(ă) pentru furnizarea unui serviciu esențial;

f) serviciu esențial înseamnă un serviciu furnizat de entitatea critică identificată în conformitate cu art. 6 , care este indispensabil pentru menținerea funcțiilor societale vitale, a activităților economice vitale, a sănătății și siguranței publice sau a mediului;

g) risc înseamnă potențialele pierderi sau perturbări cauzate de un incident și se exprimă ca o combinație între amploarea unei astfel de pierderi sau perturbări și probabilitatea producerii incidentului respectiv;

h) evaluarea riscurilor înseamnă procesul global prin care se determină natura și amploarea unui risc prin identificarea și analiza potențialelor amenințări, vulnerabilități și pericole relevante care ar putea conduce la un incident și prin evaluarea potențialelor pierderi sau perturbări ale furnizării unui serviciu esențial provocate de incidentul respectiv;

i) standard înseamnă un standard în înțelesul definiției de la art. 2 pct. 1 din Regulamentul (UE) nr. 1.025/2012 al Parlamentului European și al Consiliului din 25 octombrie 2012 privind standardizarea europeană, de modificare a Directivelor 89/686/CEE și 93/15/CEE ale Consiliului și a Directivelor 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE și 2009/105/CE ale Parlamentului European și ale Consiliului și de abrogare a Deciziei 87/95/CEE a Consiliului și a Deciziei nr. 1.673/2006/CE a Parlamentului European și a Consiliului, denumit în continuare Regulamentul (UE) nr. 1.025/2012;

j) specificație tehnică înseamnă o specificație tehnică în înțelesul definiției de la art. 2 pct. 4 din Regulamentul (UE) nr. 1.025/2012;

k) entitate a administrației publice înseamnă o autoritate a administrației publice, definită la art. 5 lit. l) din Ordonanța de urgență a Guvernului nr. 57/2019 privind Codul administrativ, cu modificările și completările ulterioare, cu excepția autorităților judecătorești, parlamentare sau a băncilor centrale, și care îndeplinește criteriile prevăzute la alin. (2) ;

l) informații sensibile înseamnă acele informații privind entitățile critice a căror divulgare poate pune în pericol securitatea și interesele comerciale ale acestora;

m) stat membru înseamnă un stat membru al Uniunii Europene sau un stat membru al Spațiului Economic European.

(2) Entitatea administrației publice definită la alin. (1) lit. k) trebuie să îndeplinească următoarele criterii:

a) a fost înființată în scopul satisfacerii unor nevoi de interes general și nu are caracter industrial sau comercial;

b) are personalitate juridică sau este abilitată prin lege să acționeze în numele unei alte entități cu personalitate juridică;

c) este finanțată majoritar de la bugetul de stat sau de alte organisme centrale de drept public, face obiectul unui control de gestiune din partea autorităților sau a organismelor respective sau are un consiliu de administrație, de conducere sau de supraveghere ai cărui membri sunt desemnați în proporție de peste 50% de autoritățile statului sau de alte organisme centrale de drept public;

d) are competența de a adresa persoanelor fizice sau juridice acte administrative sau de reglementare care le afectează drepturile în ceea ce privește circulația transfrontalieră a persoanelor, mărfurilor, serviciilor sau capitalurilor.