(1) Furnizorii de servicii digitale au următoarele obligații:
a) implementează măsurile tehnice și organizatorice adecvate și proporționale pentru îndeplinirea cerințelor minime de securitate a rețelelor și sistemelor informatice stabilite în temeiul prevederilor prezentei legi cu privire la serviciile prevăzute la art. 3 lit. o) pe care le oferă pe teritoriul Uniunii Europene ținând cont de normele tehnice prevăzute la art. 25 alin. (1) , în termen de 6 luni de la data intrării în vigoare a acestora;
b) implementează, în termen de 6 luni de la data intrării în vigoare a normelor tehnice prevăzute la art. 25 alin. (1) , măsuri adecvate pentru a preveni și minimiza impactul incidentelor care afectează securitatea rețelelor și a sistemelor informatice utilizate pentru furnizarea serviciilor prevăzute la lit. a) , asigură răspunsul la incidente și continuitatea serviciilor acestora;
c) notifică de îndată DNCS în calitate de CSIRT național incidentele care au un impact semnificativ asupra furnizării serviciilor prevăzute la art. 3 lit. o) , furnizând cel puțin informațiile prevăzute la art. 26 alin. (3) ;
d) pun la dispoziția DNCS informații care să permită stabilirea impactului transfrontalier al incidentului în conformitate cu prevederile art. 26 alin. (3) ;
e) stabilesc mijloace permanente de contact, desemnează responsabilii cu securitatea rețelelor și sistemelor informatice însărcinați cu monitorizarea canalelor de contact și comunică DNCS, în termen de 60 de zile de la data intrării în vigoare a prezentei legi, lista acestora, precum și orice modificări ulterioare de îndată ce au survenit;
f) se interconectează în termen de 60 de zile de la data intrării în vigoare a prezentei legi la serviciul de alertare și cooperare al DNCS, asigură monitorizarea permanentă a alertelor și solicitărilor primite prin acest serviciu ori prin celelalte modalități de contact și ia în cel mai scurt timp măsurile adecvate de răspuns la nivelul rețelelor și sistemelor informatice proprii.
(2) Furnizorii de servicii digitale pun la dispoziția DNCS în calitate de autoritate competentă la nivel național, la solicitarea acesteia făcută cu menționarea scopului și precizând informațiile necesare și termenul de furnizare a acestora:
a) informațiile necesare pentru evaluarea securității rețelelor și a sistemelor informatice vizate de prezenta lege, inclusiv politicile de securitate documentate;
b) rezultatele auditului de securitate realizat, inclusiv informațiile și documentațiile pe care se bazează acesta, precum și alte elemente care atestă punerea efectivă în aplicare a cerințelor minime de securitate.
(3) Obligația de notificare prevăzută la alin. (1) lit. c) se aplică doar în cazul în care furnizorul de servicii digitale are acces la informațiile necesare pentru evaluarea impactului incidentului prevăzute la art. 26 și care să permită evaluarea prevăzută la art. 28 .
(4) Prevederile prezentei legi se aplică furnizorilor de servicii digitale care au stabilit sediul social pe teritoriul României precum și celor din afara Uniunii Europene care stabilesc sediul reprezentanței din Uniune pe teritoriul României.
(5) Prevederile alin. (1)-(4) , art. 25 alin. (4) , art. 26 alin. (2) din prezenta lege nu se aplică furnizorilor de servicii digitale care se încadrează în categoria întreprinderilor mici și mijlocii, așa cum sunt definite în Legea nr. 346/2004 privind stimularea înființării și dezvoltării întreprinderilor mici și mijlocii, cu modificările și completările ulterioare.
(6) Operatorii economici, precum și celelalte entități care furnizează servicii digitale au obligația de a furniza către DNCS, în termen de 60 de zile de la data primirii solicitării făcută cu menționarea scopului și precizând informațiile necesare, următoarele categorii de documente:
a) documentațiile necesare stabilirii calității de furnizor de servicii digitale în sensul prezentei legi;
b) documentațiile necesare stabilirii interdependenței și interconectării rețelelor și sistemelor informatice cu cele ale altor operatori de servicii esențiale ori furnizori de servicii digitale;
c) stabilirea listei de autorități ale statului pentru care furnizează serviciile definite la art. 3 lit. o) .
(7) Documentația prevăzută la alin. (6) va fi stabilită prin normele metodologice prevăzute la art. 8 alin. (9) .