Reziliența entităților critice

(1) Entitățile critice efectuează o evaluare a riscurilor proprie în termen de 9 luni de la primirea notificării menționate la art. 6 alin. (3) ultima teză și, ulterior, ori de câte ori este necesar, dar cel puțin o dată la fiecare 4 ani, pe baza evaluării riscurilor efectuate de CNCPIC conform art. 5 și a altor surse relevante de informații, în vederea evaluării tuturor riscurilor care ar putea perturba furnizarea serviciilor lor esențiale.

(2) Evaluarea riscurilor efectuată de entitatea critică conform alin. (1) ține seama de toate riscurile naturale și de cele provocate de om care ar putea provoca producerea unui incident, inclusiv cele intersectoriale sau transfrontaliere, accidentele, dezastrele naturale, situațiile de urgență din domeniul sănătății publice și amenințările hibride, precum și alte amenințări, inclusiv infracțiunile de terorism prevăzute de Legea nr. 535/2004 , cu modificările și completările ulterioare.

(3) Evaluarea riscurilor efectuată de entitatea critică, potrivit prezentei legi, ține seama de gradul de dependență al altor sectoare prevăzute în anexă față de serviciul esențial furnizat și de gradul de dependență al entității critice față de serviciile esențiale furnizate de alte entități în sectoarele respective, inclusiv în statele membre și țările terțe învecinate.

(4) Entitatea critică poate utiliza evaluări ale riscurilor și documente relevante pentru acestea, specifice responsabilităților sectorului de activitate, pentru a îndeplini cerințele prevăzute la prezentul articol.

(5) În exercitarea atribuțiilor conform prevederilor prezentei legi, CNCPIC și ACS examinează și constată, în baza unor proceduri de verificare a conformității elaborate în cadrul grupului de lucru înființat conform prevederilor menționate la art. 9 alin. (4) , că o evaluare existentă a riscurilor efectuată de o entitate critică care abordează riscurile și gradul de dependență menționate la alin. (2) și (3) este conformă, integral sau parțial, cu respectarea obligațiilor prevăzute în prezentul articol.

(1) Entitățile critice iau măsuri tehnice, de securitate și organizatorice adecvate și proporționale pentru a-și asigura reziliența, pe baza informațiilor relevante furnizate în evaluarea riscurilor efectuată de CNCPIC, precum și a rezultatelor evaluării riscurilor efectuate de entitatea critică, inclusiv măsuri necesare pentru:

(2) În sensul alin. (1) lit. e) , entitățile critice iau în considerare, atunci când determină categoriile de personal care exercită funcții critice, nu numai propriii angajați, ci și personalul prestatorilor externi de servicii.

(3) Entitățile critice sunt obligate să instituie și să pună în aplicare un plan de reziliență sau un document sau documente echivalente, care descriu măsurile luate în temeiul alin. (1) . Atunci când entitățile critice au elaborat documente sau au luat măsuri în temeiul obligațiilor stabilite în alte acte normative incidente domeniului propriu de responsabilitate, care sunt relevante pentru măsurile menționate la alin. (1) , acestea pot utiliza documentele și măsurile respective pentru a îndeplini cerințele prevăzute în prezentul articol.

(4) Atunci când își exercită funcțiile de supraveghere, CNCPIC și ACS, în baza unei proceduri de verificare a conformității elaborate în cadrul grupului de lucru înființat conform prevederilor menționate la art. 9 alin. (4) , pot declara măsurile existente de consolidare a rezilienței luate de o entitate critică, care abordează în mod adecvat și proporțional măsurile tehnice, de securitate și organizatorice menționate la alin. (1) , ca fiind conforme, integral sau parțial, cu respectarea obligațiilor prevăzute la prezentul articol.

(5) Fiecare entitate critică desemnează un ofițer de legătură sau un echivalent al acestuia ca punct de contact în relația cu CNCPIC și ACS.

(6) CNCPIC pune la dispoziția ACS și entităților critice, prin canalele oficiale de comunicare, orientările fără caracter obligatoriu adoptate de Comisia Europeană pentru a detalia măsurile tehnice, de securitate și organizatorice în vederea îndeplinirii responsabilităților stabilite la alin. (1) .

(1) O entitate critică poate să depună, în condițiile respectării prevederilor art. 2 alin. (7) , în cazuri justificate în mod corespunzător și ținând seama de evaluarea riscurilor efectuată în condițiile art. 5 alin. (1) , cereri de verificare a antecedentelor persoanelor care:

(2) Cererile menționate la alin. (1) sunt analizate la nivelul ACS în termen de 60 de zile și prelucrate în conformitate cu prevederile Regulamentului (UE) 2016/679, ale Legii nr. 190/2018 , cu modificările ulterioare, și ale Legii nr. 363/2018 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date.

(3) Verificările prevăzute la alin. (1) se realizează prin schimbul de date personale între ACS și entitățile critice din responsabilitatea acestora.

(4) Verificările antecedentelor sunt proporționale și strict limitate la ceea ce este necesar în vederea soluționării cererilor menționate la alin. (1) . Acestea se efectuează exclusiv în scopul evaluării unui potențial risc de securitate pentru entitatea critică în cauză, iar informațiile obținute vor fi valorificate doar pe perioada efectuării verificărilor de la alin. (5) .

(5) Verificarea antecedentelor prevăzută la alin. (1) are în vedere cel puțin următoarele:

(6) Atunci când efectuează verificarea antecedentelor, pentru a obține informații din cazierele judiciare păstrate în alte state membre, ACS solicită sprijin Inspectoratului General al Poliției Române, prin Direcția cazier judiciar, statistică și evidențe operative, care va face verificări utilizând Sistemul european de informații cu privire la cazierele judiciare (ECRIS), în conformitate cu procedurile prevăzute în Decizia-cadru 2009/315/JAI a Consiliului din 26 februarie 2009 privind organizarea și conținutul schimbului de informații extrase din cazierele judiciare între statele membre și, dacă este relevant și aplicabil, în Regulamentul (UE) 2019/816 al Parlamentului European și al Consiliului din 17 aprilie 2019 de stabilire a unui sistem centralizat pentru determinarea statelor membre care dețin informații privind condamnările resortisanților țărilor terțe și ale apatrizilor (ECRIS-TCN), destinat să completeze sistemul european de informații cu privire la cazierele judiciare, și de modificare a Regulamentului (UE) 2018/1.726.

(7) Inspectoratul General al Poliției Române, prin Direcția cazier judiciar, statistică și evidențe operative, răspunde cererii de informații prevăzute la alin. (6), cu respectarea termenului prevăzut la art. 20 alin. (5) din Legea nr. 290/2004 privind cazierul judiciar, republicată, cu modificările și completările ulterioare.

(8) Prin derogare de la dispozițiile art. 25 alin. (3) din Legea nr. 290/2004, republicată , cu modificările și completările ulterioare, atunci când autoritățile dintr-un alt stat membru solicită informații din cazierul judiciar al României în scopul verificărilor prevăzute la alin. (1) , Inspectoratul General al Poliției Române, prin Direcția cazier judiciar, statistică și evidențe operative, răspunde acestor cereri de informații în termen de 10 zile lucrătoare de la data primirii cererii, prin intermediul Sistemului european de informații cu privire la cazierele judiciare (ECRIS).

(1) Entitățile critice notifică CNCPIC și ACS, prin canale oficiale de comunicare, cu privire la incidentele care perturbă în mod semnificativ sau care au potențialul de a perturba în mod semnificativ furnizarea serviciilor esențiale.

(2) Notificarea prevăzută la alin. (1) se face fără întârzieri nejustificate, dar nu mai târziu de 24 de ore de la constatarea incidentului, cu excepția cazului în care entitatea critică nu este în măsură din punct de vedere operațional să facă acest lucru. Notificarea este urmată, după caz, de un raport detaliat prezentat ulterior, în cel mult o lună de la incident.

(3) Pentru a determina importanța perturbării, se iau în considerare, în special, următorii parametri:

(4) În cazul unui incident produs la nivelul unei entități critice de pe teritoriul național care are sau ar putea avea un efect semnificativ asupra continuității furnizării de servicii esențiale pentru șase sau mai multe state membre sau pe teritoriul acestora, CNCPIC notifică în termen de 72 de ore incidentul respectiv Comisiei Europene.

(5) Notificările prevăzute la alin. (1) includ toate informațiile disponibile de care CNCPIC și ACS au nevoie pentru a înțelege natura, cauza și posibilele consecințe ale incidentului, inclusiv toate informațiile necesare pentru a determina orice efect transfrontalier al incidentului. Notificările respective nu agravează răspunderea entităților critice, în sensul că nu trebuie să devieze resursele acestora de la activitățile legate de gestionarea incidentelor, care au prioritate.

(6) Pe baza informațiilor furnizate de entitatea critică în notificarea menționată la alin. (1) , CNCPIC informează punctul unic de contact al altor state membre afectate dacă incidentul are sau ar putea avea un efect semnificativ asupra entităților critice și asupra continuității furnizării de servicii esențiale pentru unul sau mai multe state membre sau pe teritoriul acestora.

(7) CNCPIC primește informări din partea punctelor unice de contact din alte state membre dacă un incident are sau ar putea avea un efect semnificativ asupra entităților critice și asupra continuității furnizării de servicii esențiale României sau pe teritoriul național.

(8) Atunci când transmite sau primește informații potrivit alin. (6) , respectiv alin. (7) , CNCPIC tratează informațiile într-un mod care respectă confidențialitatea acestora și protejează securitatea și interesele comerciale ale entității critice în cauză, în conformitate cu legislația Uniunii Europene și legislația națională privind protecția informațiilor clasificate și privind secretul comercial.

(9) În urma notificării prevăzute la alin. (1) , ACS furnizează, în termen de 24 de ore, entității critice în cauză informații complementare relevante, inclusiv informații care ar putea contribui la răspunsul eficace al entității critice la incidentul în cauză. În cazul în care consideră că aceste informații ar fi de interes public, ACS informează în acest sens printr-un comunicat oficial destinat publicului larg.