(1) Un serviciu este considerat esențial dacă furnizarea lui îndeplinește cumulativ următoarele condiții:
a) serviciul este esențial în susținerea unor activități societale și/sau economice de cea mai mare importanță;
b) furnizarea sa depinde de o rețea sau de un sistem informatic;
c) furnizarea serviciului este perturbată semnificativ în cazul producerii unui incident.
(2) Evaluarea gradului de perturbare a furnizării serviciului esențial se realizează în funcție de următoarele criterii intersectoriale, fără a fi cumulative:
a) numărul de utilizatori care se bazează pe serviciul furnizat de entitatea în cauză;
b) dependența altor sectoare prevăzute în anexa la prezenta lege de serviciul furnizat de entitatea în cauză;
c) impactul pe care l-ar putea avea incidentele, în ceea ce privește intensitatea și durata, asupra activităților economice și societale sau asupra siguranței publice;
d) cota de piață a entității în cauză;
e) distribuția geografică în ceea ce privește zona care ar putea fi afectată de un incident;
f) importanța entității pentru menținerea unui nivel suficient al serviciului, ținând cont de disponibilitatea unor mijloace alternative pentru furnizarea serviciului respectiv.
(3) Directoratul Național de Securitate Cibernetică, denumit în continuare DNSC, după consultarea Grupului de lucru interinstituțional pentru determinarea valorilor de prag necesare pentru stabilirea efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale-GdLINIS, denumit în continuare GdLINIS, supune aprobării, prin hotărâre a Guvernului inițiată de Directoratul Național de Securitate Cibernetică, următoarele:
a) valorile de prag pentru stabilirea efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale, prin:
(i) valorile de prag corespunzătoare criteriilor intersectoriale stabilite potrivit dispozițiilor alin. (2) ;
(ii) criteriile sectoriale specifice și valorile de prag corespunzătoare fiecărui sector și subsector de activitate prevăzut în anexă;
b) normele tehnice de stabilire a impactului incidentelor.
(4) GdLINIS se înființează și funcționează la nivelul și în coordonarea DNSC și are un rol consultativ, fără personalitate juridică.
(4¹) GdLINIS sprijină DNSC, autoritatea competentă la nivel național, în ceea ce privește:
a) determinarea și actualizarea permanentă a valorilor de prag necesare pentru stabilirea efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale;
b) elaborarea și actualizarea permanentă a normelor tehnice de stabilire a impactului incidentelor.
(4²) GdLINIS este compus din câte un expert/specialist din cadrul entităților prevăzute la art. 15 alin. (2) și al autorităților și entităților de reglementare și administrare a sectoarelor și subsectoarelor prevăzute în anexă.
(5) Abrogat.
(6) Determinarea valorilor de prag necesare pentru stabilirea efectului perturbator semnificativ al incidentelor la nivelul operatorilor de servicii esențiale care furnizează servicii din sectorul prevăzut la pct. 7 din anexă se realizează cu consultarea Autorității Naționale pentru Administrare și Reglementare în Comunicații.