Articolul 20

a) identifică, cu consultarea autorităților și entităților de reglementare și administrare a sectoarelor și subsectoarelor prevăzute în anexă, operatorii de servicii esențiale care au sediul social, filială, sucursală sau punct de lucru pe teritoriul României;

b) elaborează și actualizează normele tehnice privind cerințele minime de asigurare a securității rețelelor și sistemelor informatice;

c) elaborează și actualizează normele tehnice privind îndeplinirea obligațiilor de notificare a incidentelor de securitate de către operatorii și furnizorii prevăzuți de prezenta lege;

d) coordonează activitatea Grupului de lucru interinstituțional menționat la art. 6 alin. (4) ;

e) elaborează și actualizează, după consultarea celorlalte instituții cu responsabilități în domeniul apărării, ordinii publice și securității naționale, precum și a altor instituții și autorități, după caz, normele metodologice, tehnice, precum și regulamentele privind cerințele referitoare la înființarea, autorizarea și funcționarea echipelor CSIRT, desemnarea echipelor CSIRT sectoriale, cele referitoare la atestarea auditorilor calificați cu competențe în domeniul securității serviciilor esențiale și a serviciilor digitale, precum și normele referitoare la autorizarea formatorilor și furnizorilor de servicii de formare pentru activitățile prevăzute la lit. o) și p) ;

f) elaborează și promovează practici comune pentru administrarea incidentelor și a riscurilor și pentru sistemele de clasificare a incidentelor, riscurilor și informațiilor;

g) participă, prin reprezentanți, la Grupul de cooperare la nivelul Uniunii Europene constituit pentru a facilita cooperarea strategică și schimbul de informații între statele membre, pentru a consolida încrederea și în vederea obținerii unui nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniunea Europeană și compus din reprezentanți ai statelor membre, ai Comisiei Europene și ai Agenției Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor - ENISA, în vederea adoptării soluțiilor optime pentru atingerea obiectivului de securitate și a schimbului de informații între statele membre, respectiv:

h) permite echipelor CSIRT acces la datele privind incidentele notificate de operatorii de servicii esențiale sau de furnizorii de servicii digitale, în măsura necesară pentru a-și îndeplini atribuțiile, cu respectarea legii;

i) verifică în condițiile art. 35-42 respectarea de către operatorii de servicii esențiale și furnizorii de servicii digitale a obligațiilor ce le revin conform prezentei legi;

j) emite în temeiul art. 37 dispoziții cu caracter obligatoriu pentru operatorii de servicii esențiale în vederea conformării și remedierii deficiențelor constatate și stabilește termenul până la care aceștia trebuie să se conformeze;

k) instituie măsuri de supraveghere ex post pentru furnizorii de servicii digitale cu privire la neîndeplinirea obligațiilor ce le revin conform prevederilor prezentei legi;

l) primește sesizări cu privire la neîndeplinirea obligațiilor operatorilor și furnizorilor prevăzuți de prezenta lege;

m) cooperează cu autoritățile competente din celelalte state și oferă asistență acestora, prin schimbul de informații, transmiterea de solicitări și sesizări, efectuarea controlului ori luarea de măsuri de supraveghere și remediere a deficiențelor constatate, în cazul operatorilor și furnizorilor prevăzuți de prezenta lege care își au sediul principal în România ori care, deși au sediul principal stabilit în alt stat membru, rețelele sau sistemele informatice ale acestora sunt situate și pe teritoriul României;

n) monitorizează aplicarea prevederilor prezentei legi;

o) autorizează, revocă sau reînnoiește autorizarea echipelor CSIRT ce deservesc operatori de servicii esențiale ori furnizori de servicii digitale;

p) eliberează, revocă sau reînnoiește atestatele auditorilor de securitate informatică care pot efectua audit în cadrul rețelelor și sistemelor informatice ce susțin servicii esențiale ori furnizează servicii digitale în condițiile prezentei legi;

q) autorizează, revocă sau reînnoiește autorizarea formatorilor și furnizorilor de servicii de formare pentru activitățile prevăzute la lit. o) și p) ;

r) alcătuiește și actualizează periodic, cel puțin o dată la doi ani, lista serviciilor esențiale care îndeplinesc condițiile de la art. 6 alin. (1) cu consultarea autorităților și entităților prevăzute la lit. a) , precum și a celor prevăzute la art. 15 alin. (2) , care se aprobă prin hotărâre de Guvern inițiată de Directoratul Național de Securitate Cibernetică.

s) propune spre aprobare Directoratului Național de Securitate Cibernetică normele tehnice, metodologice și regulamentele prevăzute de prezenta lege, în termen de 6 luni de la data intrării în vigoare a acesteia.