(1) Pentru a evalua respectarea de către entitățile identificate drept entități critice în temeiul art. 6 alin. (1) a obligațiilor care le revin în temeiul prezentei legi, CNCPIC și ACS au obligația de a întreprinde demersuri cu scopul de a dispune de mijloacele necesare pentru:
a) a efectua inspecții la fața locului ale infrastructurii critice și ale spațiilor pe care le utilizează entitatea critică pentru a-și furniza serviciile esențiale, precum și monitorizarea măsurilor luate de entitățile critice în conformitate cu art. 13 ;
b) a efectua sau a dispune executarea de controale la nivelul entităților critice respective.
(2) Entitățile care au fost identificate ca entități critice în temeiul art. 6 alin. (1) transmit CNCPIC și ACS, la cererea și în termenul stabilit de acestea:
a) informațiile necesare pentru a evalua dacă măsurile luate de entitățile respective pentru a-și asigura reziliența îndeplinesc cerințele prevăzute la art. 13 ;
b) dovada punerii în aplicare efectivă a măsurilor respective, inclusiv rezultatele unui audit efectuat de un auditor independent și calificat selectat de entitatea respectivă și efectuat pe cheltuiala acesteia.
(3) Pentru informațiile solicitate la alin. (2) , CNCPIC și ACS menționează scopul solicitării și precizează informațiile solicitate. Pentru punerea în aplicare a prevederilor alin. (2) lit. b) , prin ordine ale conducătorilor ACS, se vor stabili procedura de selecție a auditorilor și cerințele pentru persoanele care desfășoară auditul.
(4) CNCPIC și ACS stabilesc mecanismele și căile de comunicare de comun acord cu autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică.
(5) Fără a aduce atingere posibilității de a aplica sancțiuni în conformitate cu art. 23 , ACS pot, în urma acțiunilor de supraveghere menționate la alin. (1) sau după evaluarea informațiilor menționate la alin. (2) , să solicite, în scris, entităților critice în cauză să ia măsurile necesare și proporționale pentru a remedia orice încălcare identificată a prevederilor prezentei legi, într-un termen rezonabil stabilit de ACS, și să furnizeze CNCPIC informații cu privire la măsurile luate. Aceste solicitări țin seama, în special, de gravitatea încălcării.
(6) Atunci când își exercită competențele prevăzute la alin. (1)-(3) , CNCPIC și ACS se asigură că o astfel de exercitare are loc în mod obiectiv, transparent și proporțional, iar drepturile și interesele legitime ale entităților critice afectate, cum ar fi protecția secretelor comerciale și de afaceri, sunt protejate în mod corespunzător, inclusiv dreptul acestora de a fi ascultate, dreptul la apărare și dreptul la o cale de atac efectivă în fața unei instanțe independente.
(7) CNCPIC informează autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică, inclusiv autoritățile desemnate ale altor state membre interesate, atunci când ACS evaluează, în condițiile prezentului articol, respectarea de către o entitate critică a obligațiilor care îi revin.
(8) În acest scop, CNCPIC și ACS pot solicita acestor autorități să își exercite competențele de supraveghere și de asigurare a respectării legislației în legătură cu o entitate care intră sub incidența legislației specifice securității cibernetice și sarcinilor de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică și care a fost identificată drept entitate critică în temeiul art. 6 alin. (1) sau de către un alt stat membru.