Cadrul național privind identificarea entităților critice

(1) CNCPIC elaborează, pe baza consultărilor cu ACS și cu părțile interesate relevante, strategia de consolidare a rezilienței entităților critice, denumită în continuare Strategia, care se aprobă prin hotărâre a Guvernului.

(2) Strategia stabilește obiective strategice și măsuri specifice, cu luarea în considerare a eventualelor strategii naționale și sectoriale relevante, a planurilor sau a unor documente programatice specifice, în vederea atingerii și menținerii unui nivel ridicat de reziliență a entităților critice și care acoperă sectoarele prevăzute în anexă.

(3) Strategia include cel puțin următoarele elemente:

(4) CNCPIC actualizează Strategia, pe baza consultărilor cu părțile interesate relevante, cel puțin o dată la fiecare 4 ani, prin hotărâre a Guvernului.

(5) CNCPIC transmite Comisiei Europene Strategia și orice actualizare substanțială a acesteia în termen de 3 luni de la adoptare.

(1) CNCPIC utilizează lista de servicii esențiale, adoptată la nivelul Comisiei Europene conform prevederilor Regulamentului delegat (UE) 2023/2.450 al Comisiei din 25 iulie 2023 de completare a Directivei (UE) 2022/2.557 a Parlamentului European și a Consiliului prin stabilirea unei liste de servicii esențiale, și solicită ACS date și informații în scopul elaborării unei evaluări a riscurilor.

(2) Evaluarea riscurilor menționată la alin. (1) se realizează până la 17 ianuarie 2026 și, ulterior, ori de câte ori este necesar, dar cel puțin o dată la fiecare 4 ani.

(3) Evaluarea riscurilor ia în considerare riscurile naturale și pe cele provocate de om relevante, inclusiv pe cele de ordin intersectorial sau transfrontalier, accidentele, dezastrele naturale, situațiile de urgență din domeniul sănătății publice și amenințările hibride, sau alte amenințări, inclusiv infracțiunile de terorism prevăzute de Legea nr. 535/2004 privind prevenirea și combaterea terorismului, cu modificările și completările ulterioare.

(4) La evaluarea riscurilor se iau în considerare următoarele:

(5) În scopul îndeplinirii obligației prevăzute la alin. (4) lit. c) , CNCPIC cooperează cu autoritățile similare din statele membre și, după caz, cu autoritățile competente din țări terțe.

(6) CNCPIC utilizează evaluarea riscurilor prevăzută la alin. (1) pentru a identifica entitățile critice în conformitate cu art. 6 și, împreună cu ACS, le sprijină în ceea ce privește luarea măsurilor prevăzute la art. 13 .

(7) ACS au obligația de a furniza, în termen de o lună de la primirea solicitării transmise de CNCPIC, datele și informațiile pentru elaborarea evaluării de risc menționate la alin. (1) .

(8) CNCPIC, prin intermediul ACS, pune la dispoziția entităților critice identificate în conformitate cu art. 6 elementele relevante ale evaluării riscurilor efectuate conform alin. (1) . Informațiile furnizate entităților critice sunt utilizate pentru evaluarea riscurilor efectuată de acestea în temeiul art. 12 și în luarea unor măsuri care să le asigure reziliența în temeiul art. 13 .

(9) În termen de 3 luni de la evaluarea riscurilor, CNCPIC furnizează Comisiei Europene informațiile relevante privind tipurile de riscuri identificate și rezultatele respectivei evaluări a riscurilor, pentru fiecare sector și subsector prevăzut în anexă.

(10) Modelul comun de raportare voluntar elaborat de Comisia Europeană, în cooperare cu statele membre, poate fi utilizat de CNCPIC în scopul îndeplinirii obligației prevăzute la alin. (9) .

(1) Până la 17 iulie 2026, CNCPIC identifică entitățile critice pentru sectoarele și subsectoarele prevăzute în anexă, cu sprijinul ACS.

(2) ACS au obligația de a furniza CNCPIC, cu 5 luni înainte de termenul prevăzut la alin. (1) , date pentru identificarea entităților critice în temeiul alin. (1) , iar CNCPIC, pe baza acestora, precum și a rezultatelor evaluării riscurilor elaborate conform art. 5 și a strategiei elaborate potrivit art. 4 , aplică cumulativ următoarele criterii:

(3) Lista entităților critice identificate prin aplicarea criteriilor prevăzute la alin. (2) se aprobă, la propunerea CNCPIC, prin decizie a prim-ministrului. CNCPIC se asigură că respectivele entități critice sunt notificate de către ACS cu privire la identificarea lor ca entități critice în termen de o lună de la data identificării. ACS informează entitățile critice prin aceeași notificare și cu privire la obligațiile care le revin în temeiul cap. III și IV și cu privire la data de la care obligațiile respective le revin, fără a aduce atingere art. 8 .

(4) CNCPIC informează ACS și entitățile critice din sectoarele prevăzute la pct. 3, 4 și 8 din tabelul din anexă cu privire la faptul că nu le revin obligații în temeiul cap. III și IV, cu excepția prevederilor art. 17 alin. (2) .

(5) Dispozițiile cap. III se aplică entităților critice vizate după 10 luni de la data primirii notificării prevăzute la alin. (3) , cu excepția prevederilor art. 12 alin. (1) .

(6) CNCPIC notifică autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică cu privire la entitățile critice identificate în temeiul prezentului articol, în termen de o lună de la identificare. Notificarea respectivă precizează, dacă este cazul, faptul că entitățile critice vizate sunt entități din sectoarele prevăzute la pct. 3, 4 și 8 din tabelul din anexă și că acestora nu le revin obligații în temeiul cap. III și IV.

(7) Atunci când este necesar și, în orice caz, cel puțin o dată la fiecare 4 ani, pe baza datelor furnizate de ACS, CNCPIC revizuiește și, după caz, actualizează lista entităților critice identificate menționate la alin. (3) , prin decizie a prim-ministrului. În cazul în care actualizările respective conduc la identificarea unor entități critice suplimentare, acelor entități critice suplimentare li se aplică alin. (3)-(6) . Datele furnizate de ACS în cadrul procesului de revizuire sunt obligatorii.

(8) CNCPIC notifică, în timp util, entitățile care nu mai sunt identificate ca entități critice, în urma unei astfel de actualizări, cu privire la aceasta și cu privire la faptul că, de la primirea notificării respective, nu le mai revin obligațiile prevăzute în cap. III.

(9) CNCPIC participă, la solicitarea Comisiei Europene, la elaborarea de recomandări și orientări fără caracter obligatoriu pentru a sprijini procesul de identificare a entităților critice.

(1) CNCPIC, pe baza datelor furnizate de ACS, determină importanța unui efect perturbator, astfel cum se menționează la art. 6 alin. (2) lit. c) , aplicând următoarele criterii:

(2) După identificarea entităților critice în temeiul art. 6 alin. (1) , CNCPIC transmite Comisiei Europene, în maximum două zile de la data publicării deciziei prim-ministrului prevăzute la art. 6 alin. (3) , următoarele informații:

(3) CNCPIC transmite Comisiei Europene informațiile prevăzute la alin. (2) ulterior informării inițiale, ori de câte ori este necesar și cel puțin o dată la fiecare 4 ani.

(4) CNCPIC poate utiliza orientările, fără caracter obligatoriu, adoptate de Comisia Europeană pentru a facilita aplicarea criteriilor menționate la alin. (1) .

(5) Criteriile prevăzute la alin. (1) și pragurile prevăzute la alin. (2) lit. c) se stabilesc prin decizie a prim-ministrului.

(1) Coordonarea la nivel național a activităților privind reziliența entităților critice se realizează de către prim-ministru. În vederea îndeplinirii responsabilităților stabilite prin prezenta lege, prim-ministrul emite decizii.

(2) Responsabilitatea pentru organizarea și desfășurarea activităților necesare implementării legislației specifice domeniului rezilienței entităților critice revine CNCPIC, în calitate de autoritate competentă la nivel național.

(3) CNCPIC asigură punctul unic de contact, care exercită funcția de legătură pentru a asigura cooperarea transfrontalieră cu punctele unice de contact ale altor state membre și cu Grupul privind reziliența entităților critice, denumit în continuare GREC, înființat la nivelul Comisiei Europene, precum și cooperarea cu țările terțe.

(4) Se înființează Grupul de lucru interinstituțional pentru reziliența entităților critice, denumit în continuare grup de lucru, organism cu rol consultativ, constituit din reprezentanți ai ACS și CNCPIC, ale cărui componență și regulament de organizare și funcționare se stabilesc prin decizie a prim-ministrului. Nominalizarea reprezentanților ACS în cadrul grupului de lucru se face prin ordine ale conducătorilor acestora și se comunică CNCPIC.

(5) Rolul grupului de lucru este de a asigura coordonarea coerentă și unitară a activităților desfășurate, precum și a măsurilor ce se impun pentru îmbunătățirea activității în domeniul rezilienței entităților critice.

(6) Coordonarea grupului de lucru se realizează de către un consilier desemnat de prim-ministru.

(7) Secretariatul tehnic al grupului de lucru este realizat de către CNCPIC.

(8) Până la 17 iulie 2028 și, ulterior, la fiecare 2 ani, CNCPIC prezintă Comisiei Europene și GREC un raport de sinteză care să cuprindă numărul de notificări primite, natura incidentelor notificate și măsurile luate în conformitate cu art. 15 alin. (5) .

(9) CNCPIC poate utiliza în mod voluntar modelul comun de raportare, elaborat de Comisia Europeană, în cooperare cu GREC, în temeiul art. 9 alin. (3) paragraful 2 din Directiva (UE) 2022/2.557, în scopul transmiterii rapoartelor de sinteză menționate la alin. (8) .

(10) CNCPIC și ACS se consultă și cooperează, în condițiile prezentei legi și, după caz, potrivit prevederilor actelor normative de organizare și funcționare proprii, cu alte autorități naționale, inclusiv cu cele responsabile de protecția civilă, de asigurarea respectării legii și de protecția datelor cu caracter personal, precum și cu entitățile critice și cu alte autorități similare din statele membre și, după caz, cu autoritățile competente din țări terțe, ce fac obiectul prezentei legi.

(11) CNCPIC și ACS cooperează și fac schimb de informații cu autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică în ceea ce privește riscurile de securitate cibernetică, amenințările și incidentele cibernetice, precum și riscurile, amenințările și incidentele noncibernetice care afectează entitățile critice, precum și în ceea ce privește eventualele măsuri ce pot fi luate de CNCPIC și de ACS, în condițiile prezentei legi, și de autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică potrivit legislației specifice acestora.

(12) CNCPIC notifică Comisia Europeană cu privire la desemnarea sa ca autoritate competentă și punct unic de contact, precum și cu privire la desemnarea ACS, în termen de 3 luni de la intrarea în vigoare a prezentei legi, inclusiv cu privire la sarcinile și responsabilitățile care îi revin, datele de contact și orice modificare ulterioară a acestora.

(13) În ceea ce privește entitățile critice din sectoarele prevăzute la pct. 3 și 4 din tabelul din anexă, autoritățile competente sunt Ministerul Finanțelor și Banca Națională a României.

(14) În ceea ce privește entitățile critice din sectorul prevăzut la pct. 8 din tabelul din anexă, autoritățile competente sunt autoritățile responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică.

(15) CNCPIC informează Comisia Europeană cu privire la desemnarea unei alte autorități decât autoritățile competente menționate la alin. (13) și (14) drept autoritate competentă în ceea ce privește entitățile critice din sectoarele prevăzute la pct. 3, 4 și 8 din tabelul din anexă.

(1) CNCPIC acordă, la solicitare, sprijin entităților critice în vederea consolidării rezilienței acestora prin elaborarea de materiale de orientare și metodologii, organizării de exerciții pentru a testa reziliența acestor entități și furnizării de consiliere și formare a personalului entităților critice.

(2) Fără a aduce atingere normelor în materie de concurență prevăzute la art. 107 alin. (1) din Tratatul privind funcționarea Uniunii Europene (TFUE) , respectiv normelor aplicabile privind ajutoarele de stat reglementate prin Ordonanța de urgență a Guvernului nr. 77/2014 privind procedurile naționale în domeniul ajutorului de stat, precum și pentru modificarea și completarea Legii concurenței nr. 21/1996 , aprobată cu modificări și completări prin Legea nr. 20/2015 , cu modificările și completările ulterioare, entitățile critice, cu sprijinul ACS, pot beneficia de resurse financiare atunci când acest lucru este necesar și justificat de îndeplinirea unor obiective de interes public.

(3) CNCPIC asigură cooperarea și schimbul de informații și de bune practici cu ACS și cu entitățile critice din sectoarele prevăzute în anexă.

(4) CNCPIC diseminează către ACS și entitățile critice materiale de orientare și metodologii transmise de Comisia Europeană și participă la activități de formare și exerciții transfrontaliere pentru a testa reziliența entităților critice.

(5) CNCPIC facilitează schimbul voluntar de informații între entitățile critice în ceea ce privește aspectele reglementate de prezenta lege, în conformitate cu dreptul Uniunii Europene și cu cadrul normativ național privind, în special, informațiile clasificate și sensibile, concurența și protecția datelor cu caracter personal.

(1) CNCPIC se consultă cu autoritățile similare din celelalte state membre cu privire la entitățile critice, ori de câte ori acest lucru este necesar, în scopul asigurării aplicării consecvente a Directivei (UE) 2022/2.557.

(2) Consultările prevăzute la alin. (1) au loc în special în ceea ce privește entitățile critice:

(3) Consultările prevăzute la alin. (1) și (2) vizează consolidarea rezilienței entităților critice și, acolo unde este posibil, reducerea sarcinii administrative care incumbă acestora.