Articolul 38

1. neîndeplinirea obligației de notificare în vederea înscrierii în Registrul operatorilor de servicii esențiale, prevăzută la art. 8 alin. (1) , în termenul prevăzut la art. 8 alin. (6) ;

2. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 8 alin. (7) lit. a) ;

3. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 8 alin. (7) lit. b) ;

4. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 8 alin. (7) lit. c) ;

5. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 8 alin. (7) lit. d) ;

6. nedepunerea raportului de audit specificat la art. 8 alin. (4) și (7) în termenul comunicat de către DNCS persoanei juridice în temeiul art. 8 alin. (8) ;

7. neîndeplinirea obligației prevăzute la art. 9 alin. (1) în termenul prevăzut la art. 9 alin. (5) ;

8. neducerea la îndeplinire a măsurilor dispuse de DNCS prin notificarea transmisă în urma controlului, pentru remedierea deficiențelor constatate, în termenul de conformare stabilit în conformitate cu prevederile art. 37 ;

9. neîndeplinirea de către operatorii de servicii esențiale a obligației de implementare a măsurilor pentru îndeplinirea cerințelor minime de securitate în conformitate cu art. 10 alin. (1) lit. a) în termenul stabilit la art. 10 alin. (4) ;

10. neîndeplinirea de către operatorii de servicii esențiale a obligației de implementare a măsurilor adecvate pentru a preveni și minimiza impactul incidentelor în conformitate cu art. 10 alin. (1) lit. b) în termenul stabilit la art. 10 alin. (4) ;

11. încălcarea de către operatorii de servicii esențiale a obligației stabilite la art. 10 alin. (1) lit. c) de a notifica incidentul de securitate ori notificarea acestuia cu o întârziere mai mare de 12 ore de la data constatării acestuia;

12. încălcarea obligației stabilite la art. 10 alin. (1) lit. d) prin nefurnizarea în cadrul notificării privitoare la incidentul de securitate a informațiilor care să permită stabilirea impactului transfrontalier al acestuia;

13. nerespectarea prevederilor art. 10 alin. (1) lit. e) în termen de 48 de ore de la data comunicării de către DNCS a ordinului de începere a controlului;

14. necomunicarea către DNCS a informațiilor și mijloacelor permanente de contact ori a actualizărilor acestora în termenele stabilite la art. 10 alin. (1) lit. f) ;

15. neîndeplinirea obligației de comunicare prevăzute la art. 10 alin. (1) lit. g) în termen de 30 de zile;

16. neîndeplinirea obligației de interconectare prevăzute la art. 10 alin. (1) lit. h) în termen de 60 de zile;

17. neluarea de către operatorul de servicii esențiale a măsurilor adecvate de răspuns în termen de 12 ore de la primirea prin serviciul de alertare și cooperare al DNCS menționat la art. 10 alin. (1) lit. h) ori prin celelalte mijloace de contact a alertelor și solicitărilor privitoare la incidente;

18. neîndeplinirea de îndată a obligației de a asigura răspunsul la incidentele survenite stabilite la art. 10 alin. (1) lit. i) ori îndeplinirea acesteia cu o întârziere mai mare de 12 ore de la data constatării incidentului;

19. neîndeplinirea obligației stabilite la art. 10 alin. (1) lit. i) de a restabili funcționarea serviciului esențial afectat de incident la parametrii dinaintea incidentului ori întârzierea nejustificată a restabilirii funcționării acestuia;

20. neîndeplinirea în urma răspunsului la incident a obligației stabilite la art. 10 alin. (1) lit. i) de a efectua auditul de securitate a rețelelor și sistemelor informatice afectate;

21. nefurnizarea în termenul stabilit de DNCS a informațiilor și documentațiilor solicitate în temeiul art. 10 alin. (2) lit. a) ;

22. neefectuarea auditului de securitate și netransmiterea rezultatelor acestuia și a datelor necesare în termenul stabilit de DNCS în urma solicitării făcute în temeiul prevederilor art. 10 alin. (2) lit. b) ;

23. încălcarea cumulativă a obligațiilor prevăzute la art. 10 alin. (3) și art. 26 alin. (1)-(3) într-un termen de 12 ore de la data constatării incidentului de către operatorul de servicii esențiale.

24. neîndeplinirea de către operatorii de servicii esențiale a obligației prevăzute la art. 11 în termenele stabilite de DNCS prin actul de control comunicat operatorului de servicii esențiale;

25. neducerea la îndeplinire de către furnizorul de servicii digitale a măsurilor dispuse de DNCS prin notificarea transmisă în urma controlului, pentru remedierea deficiențelor constatate în aplicarea prevederilor art. 12 alin. (1) lit. a) și b) în termenul de conformare stabilit în conformitate cu prevederile art. 37 ;

26. neîndeplinirea de către furnizorii de servicii digitale, în termenul stabilit, a obligației de implementare a măsurilor pentru respectarea cerințelor minime de securitate în conformitate cu prevederile art. 12 alin. (1) lit. a) ;

27. neîndeplinirea de către furnizorii de servicii digitale a obligației de implementare, în termenul stabilit, a măsurilor adecvate pentru a preveni și minimiza impactul incidentelor în conformitate cu prevederile art. 12 alin. (1) lit. b) ;

28. încălcarea de către furnizorii de servicii digitale a obligației stabilite la art. 12 alin. (1) lit. c) de a notifica incidentul de securitate ori notificarea acestuia cu o întârziere mai mare de 12 ore de la data constatării acestuia;

29. încălcarea obligației stabilite la art. 12 alin. (1) lit. d) prin nefurnizarea în cadrul notificării privitoare la incidentul de securitate a informațiilor care să permită stabilirea impactului transfrontalier al acestuia;

30. necomunicarea către DNCS a informațiilor și mijloacelor permanente de contact în termenul stabilit la art. 12 alin. (1) lit. e) ;

31. neîndeplinirea obligației de comunicare a modificărilor survenite în datele de contact prevăzute la art. 12 alin. (1) lit. e) în termen de 30 de zile;

32. neîndeplinirea obligației de interconectare prevăzute la art. 12 alin. (1) lit. f) în termen de 60 de zile;

33. neluarea de către furnizorul de servicii digitale a măsurilor adecvate de răspuns în termen de 12 ore de la primirea prin serviciul de alertare și cooperare al DNCS menționat la art. 12 alin. (1) lit. f) ori prin celelalte mijloace de contact a alertelor și solicitărilor privitoare la incidente;

34. neîndeplinirea obligației de a asigura răspunsul la incidentele de securitate și de a asigura continuitatea serviciilor stabilite la art. 12 alin. (1) lit. b) ori îndeplinirea acesteia cu o întârziere mai mare de 12 ore de la data constatării incidentului;

35. nefurnizarea în termenul stabilit de DNCS a informațiilor și documentațiilor solicitate în temeiul art. 12 alin. (2) lit. a) ;

36. neefectuarea auditului de securitate și netransmiterea rezultatelor acestuia și a datelor necesare în termenul stabilit de DNCS în urma solicitării făcute în temeiul art. 12 alin. (2) lit. b) ;

37. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 12 alin. (6) lit. a) ;

38. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 12 alin. (6) lit. b) ;

39. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 12 alin. (6) lit. c) ;

40. neducerea la îndeplinire a măsurilor instituite de DNCS în temeiul art. 20 lit. k) , în termen de 60 de zile de la data comunicării;

41. neconformarea cu normele tehnice prevăzute la art. 25 alin. (1) ;

42. neconformarea operatorilor de servicii esențiale cu normele tehnice privitoare la notificarea incidentelor de securitate prevăzute la art. 26 alin. (1) ;

43. neconformarea furnizorilor de servicii digitale cu normele tehnice privitoare la notificarea incidentelor de securitate prevăzute la art. 26 alin. (2) ;

44. nefurnizarea de către operatorul de servicii esențiale ori furnizorul de servicii digitale în termenul stabilit de DNCS a informațiilor suplimentare solicitate de DNCS în temeiul art. 27 lit. b) ;

45. încălcarea de către auditorii specificați la art. 32 alin. (1) a normelor privind incompatibilitatea, prevăzute la art. 32 alin. (3) ;

46. furnizarea de rapoarte de audit de securitate dintre cele prevăzute la art. 8 alin. (4) , respectiv art. 10 alin. (2) lit. b) și art. 12 alin. (2) lit. b) , realizate de către auditori fără atestat valabil eliberat de DNCS în temeiul art. 32 alin. (1) și (2) lit. c) ori aflați într-una din stările de incompatibilitate prevăzute la art. 32 alin. (3) ;

47. asigurarea de servicii de tip echipă CSIRT către operatorii de servicii esențiale ori furnizorii de servicii digitale de către entități care nu dețin autorizație valabilă, eliberată în temeiul art. 33 alin. (1) de către DNCS în calitate de autoritate competentă la nivel național;

48. neîndeplinirea de către autoritățile și entitățile de reglementare pentru sectoarele și subsectoarele de activitate prevăzute în anexă a obligațiilor prevăzute la art. 34 alin. (1) , precum și neparticiparea în procesul de stabilire a nivelului de securitate menționat la art. 34 alin. (2) ;

49. refuzul de a se supune controlului declanșat de DNCS în temeiul prevederilor art. 36 ori întârzierea în furnizarea informațiilor și documentelor solicitate în cadrul activităților de control în temeiul prevederilor art. 37 .