(1) Impactul unui incident se determină ținând cont cel puțin de următorii parametri:
(i) în cazul operatorilor de servicii esențiale:
a) numărul de utilizatori afectați de perturbarea serviciului esențial;
b) durata incidentului;
c) distribuția geografică în ceea ce privește zona afectată de incident;
(ii) în cazul furnizorilor de servicii digitale:
a) numărul de utilizatori afectați de incident, în special utilizatori care se bazează pe serviciul pentru furnizarea propriilor servicii;
b) durata incidentului;
c) distribuția geografică în ceea ce privește zona afectată de incident;
d) amploarea perturbării funcționării serviciului;
e) amploarea impactului asupra activităților economice și societale.
(2) DNCS, după consultarea GdLINIS, elaborează și actualizează normele tehnice de stabilire a impactului pentru categoriile de operatori și furnizori prevăzuți de prezenta lege care se aprobă prin hotărâre a Guvernului inițiată de Directoratul Național de Securitate Cibernetică .
(3) Criteriile prevăzute la pct. 2. se aplică și notificărilor voluntare efectuate în temeiul prevederilor art. 26 alin. (10).