Abrogată.

Azi

Legea 362/2018 · 7 articole

Articolul 5

Text anterior abrogării — nu mai este în vigoare

În vederea asigurării unui nivel ridicat de securitate, operatorii de servicii esențiale se identifică și se înscriu în Registrul operatorilor de servicii esențiale.

Articolul 6

Text anterior abrogării — nu mai este în vigoare

(1) Un serviciu este considerat esențial dacă furnizarea lui îndeplinește cumulativ următoarele condiții:

a) serviciul este esențial în susținerea unor activități societale și/sau economice de cea mai mare importanță;

b) furnizarea sa depinde de o rețea sau de un sistem informatic;

c) furnizarea serviciului este perturbată semnificativ în cazul producerii unui incident.

(2) Evaluarea gradului de perturbare a furnizării serviciului esențial se realizează în funcție de următoarele criterii intersectoriale, fără a fi cumulative:

a) numărul de utilizatori care se bazează pe serviciul furnizat de entitatea în cauză;

b) dependența altor sectoare prevăzute în anexa la prezenta lege de serviciul furnizat de entitatea în cauză;

c) impactul pe care l-ar putea avea incidentele, în ceea ce privește intensitatea și durata, asupra activităților economice și societale sau asupra siguranței publice;

d) cota de piață a entității în cauză;

e) distribuția geografică în ceea ce privește zona care ar putea fi afectată de un incident;

f) importanța entității pentru menținerea unui nivel suficient al serviciului, ținând cont de disponibilitatea unor mijloace alternative pentru furnizarea serviciului respectiv.

(3) Directoratul Național de Securitate Cibernetică, denumit în continuare DNSC, după consultarea Grupului de lucru interinstituțional pentru determinarea valorilor de prag necesare pentru stabilirea efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale-GdLINIS, denumit în continuare GdLINIS, supune aprobării, prin hotărâre a Guvernului inițiată de Directoratul Național de Securitate Cibernetică, următoarele:

a) valorile de prag pentru stabilirea efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale, prin:

(i) valorile de prag corespunzătoare criteriilor intersectoriale stabilite potrivit dispozițiilor alin. (2) ;

(ii) criteriile sectoriale specifice și valorile de prag corespunzătoare fiecărui sector și subsector de activitate prevăzut în anexă;

b) normele tehnice de stabilire a impactului incidentelor.

(4) GdLINIS se înființează și funcționează la nivelul și în coordonarea DNSC și are un rol consultativ, fără personalitate juridică.

(4¹) GdLINIS sprijină DNSC, autoritatea competentă la nivel național, în ceea ce privește:

a) determinarea și actualizarea permanentă a valorilor de prag necesare pentru stabilirea efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale;

b) elaborarea și actualizarea permanentă a normelor tehnice de stabilire a impactului incidentelor.

(4²) GdLINIS este compus din câte un expert/specialist din cadrul entităților prevăzute la art. 15 alin. (2) și al autorităților și entităților de reglementare și administrare a sectoarelor și subsectoarelor prevăzute în anexă.

(5) Abrogat.

(6) Determinarea valorilor de prag necesare pentru stabilirea efectului perturbator semnificativ al incidentelor la nivelul operatorilor de servicii esențiale care furnizează servicii din sectorul prevăzut la pct. 7 din anexă se realizează cu consultarea Autorității Naționale pentru Administrare și Reglementare în Comunicații.

Articolul 7

Text anterior abrogării — nu mai este în vigoare

(1) Registrul prevăzut la art. 5 se alcătuiește pentru sectoarele și subsectoarele prevăzute în anexă și raportat la criteriile prevăzute la art. 6 și valorile de prag prevăzute la art. 6 alin. (3) .

(2) Registrul prevăzut la alin. (1) se înființează, se întreține și se actualizează periodic, cel puțin o dată la doi ani de la data intrării în vigoare a prezentei legi de către DNSC în calitate de autoritate competentă la nivel național.

(3) Registrul prevăzut la alin. (1) face parte din categoria documentelor clasificate.

(4) Normele metodologice de organizare și funcționare a registrului prevăzut la art. 5 se aprobă, la propunerea directorului general al DNSC, prin ordin al directorului DNCS, care se publică în Monitorul Oficial al României, Partea I.

Articolul 8

Text anterior abrogării — nu mai este în vigoare

(1) Entitățile care îndeplinesc condițiile și criteriile prevăzute la art. 6 și activează într-unul sau mai multe dintre sectoarele sau subsectoarele de activitate prevăzute în anexă au obligația să notifice DNSC în vederea înscrierii în Registrul operatorilor de servicii esențiale.

(2) Prin excepție de la alin. (1) identificarea în vederea înscrierii în Registrul operatorilor de servicii esențiale se poate face și de către DNSC din oficiu în vederea îndeplinirii obligațiilor legale ce îi revin sau în urma unei sesizări privind sustragerea de la obligația de notificare și înscriere în Registrul operatorilor de servicii esențiale făcută de către orice persoană interesată, aducând la cunoștința entității vizate declanșarea procedurii de identificare și comunicând la final operatorului rezultatul acesteia.

(3) Operatorii de servicii esențiale pot solicita asistența DNSC în procesul de identificare.

(4) Înscrierea operatorilor de servicii esențiale în Registrul operatorilor de servicii esențiale se realizează prin decizia directorului general al DNCS care se comunică operatorului de servicii esențiale în urma depunerii unui raport de audit care atestă îndeplinirea cerințelor minime de securitate și notificare, întocmit de un auditor atestat în conformitate cu prevederile art. 32 , și a evaluării informațiilor și documentațiilor furnizate de operator în cadrul procesului de identificare.

(5) Atunci când o entitate furnizează un serviciu dintre cele reglementate la art. 6 alin. (1) lit. a) și în cadrul altor state membre ale Uniunii Europene, DNCS se consultă cu autoritățile omologe din statele respective în procesul de identificare înainte de adoptarea unei decizii privind identificarea operatorului.

(6) Notificarea prevăzută la alin. (1) se realizează în termen de 30 de zile de la data îndeplinirii condițiilor prevăzute la art. 6 alin. (1) prin raportare la criteriile intersectoriale de stabilire a impactului unui incident prevăzute la art. 6 alin. (2) , respectiv la criteriile sectoriale, precum și la valorile de prag prevăzute la art. 6 alin. (3) prin depunerea unei declarații pe propria răspundere.

(7) Operatorii economici și celelalte entități care operează ori furnizează servicii în cadrul sectoarelor și subsectoarelor definite în anexă au obligația de a pune la dispoziția DNCS, la cererea acesteia în calitate de autoritate competentă la nivel național, în termen de 60 de zile de la data primirii solicitării, documentațiile necesare, inclusiv rapoarte de audit, pentru:

a) stabilirea calității de operator de servicii esențiale în conformitate cu prevederile art. 6 și 7 ;

b) stabilirea măsurilor necesare pentru conformarea cu cerințele prezentei legi;

c) stabilirea interdependenței și interconectării rețelelor și sistemelor informatice cu cele ale altor operatori de servicii esențiale ori furnizori de servicii digitale, inclusiv a celor pe care se bazează furnizarea serviciilor entității în cauză;

d) stabilirea listei de autorități ale statului pentru care furnizează serviciile definite la art. 6 alin. (1) .

(8) Prin excepție de la termenul general de furnizare a documentațiilor stabilit la alin. (7) , termenul de realizare a auditurilor și de depunere a rapoartelor de audit prevăzute la alin. (4) și (7) precum și tematica și obiectivele acestora se stabilesc de către DNCS în urma evaluării celorlalte informații furnizate în conformitate cu prevederile alin. (7) și curge de la data primirii comunicării termenului de către entitatea vizată.

(9) Documentația prevăzută la alin. (7) și (8) va fi stabilită prin normele metodologice de identificare a operatorilor de servicii esențiale și furnizorilor de servicii digitale, aprobate la propunerea directorului general al DNCS, prin ordin al directorului DNSC, care se publică în Monitorul Oficial al României, Partea I.

Articolul 9

Text anterior abrogării — nu mai este în vigoare

(1) Entitățile care nu mai îndeplinesc condițiile și criteriile prevăzute la art. 6 notifică DNCS în vederea radierii din Registrul operatorilor de servicii esențiale și furnizează documentațiile relevante în conformitate cu art. 8 alin. (7) lit. a) .

(2) DNCS dispune, prin decizia directorului general, radierea din Registrul operatorilor de servicii esențiale la cerere sau din oficiu, în urma evaluării documentațiilor prevăzute la alin. (1) , și comunică operatorului decizia.

(3) Operatorii de servicii esențiale pot solicita asistența DNCS cu privire la documentațiile prevăzute la alin. (1) necesare în procesul de radiere.

(4) Atunci când o entitate furnizează un serviciu esențial și în cadrul altor state membre ale Uniunii Europene, DNCS se consultă cu autoritățile omologe din statele respective înainte de adoptarea unei decizii privind radierea.

(5) Notificarea prevăzută la alin. (1) se realizează în termen de 30 de zile de la data la care entitatea nu mai îndeplinește condițiile prevăzute la art. 6 .

Articolul 10

Text anterior abrogării — nu mai este în vigoare

(1) În scopul asigurării securității rețelelor și sistemelor informatice, operatorii de servicii esențiale au următoarele obligații:

a) implementează măsurile tehnice și organizatorice adecvate și proporționale pentru îndeplinirea cerințelor minime de securitate stabilite în temeiul prevederilor art. 25 alin. (3) ;

b) implementează măsuri adecvate pentru a preveni și minimiza impactul incidentelor care afectează securitatea rețelelor și a sistemelor informatice utilizate pentru furnizarea acestor servicii esențiale, cu scopul de a asigura continuitatea serviciilor respective, stabilite în temeiul prevederilor art. 25 alin. (3) ;

c) notifică de îndată DNCS în calitate de CSIRT național incidentele care au un impact semnificativ asupra continuității serviciilor esențiale furnizând cel puțin informațiile prevăzute la art. 26 alin. (3) ;

d) pun la dispoziția DNCS informații care să permită stabilirea impactului transfrontalier al incidentului în conformitate cu prevederile art. 26 alin. (3) ;

e) se supun controlului desfășurat de către DNCS în vederea stabilirii gradului de respectare a obligațiilor ce le revin în temeiul prezentei legi;

f) stabilesc mijloacele permanente de contact, desemnează responsabilii cu securitatea rețelelor și sistemelor informatice însărcinați cu monitorizarea mijloacelor de contact și comunică DNCS în termen de 60 de zile de la înscrierea în Registrul operatorilor de servicii esențiale lista acestora, precum și orice modificări ulterioare de îndată ce au survenit;

g) comunică în termen de maximum 30 de zile către DNCS, în calitate de autoritate competentă la nivel național, orice schimbare survenită în datele furnizate în cadrul procesului de identificare ca operator de servicii esențiale;

h) se interconectează în termen de 60 de zile de la înscrierea în Registrul operatorilor de servicii esențiale la serviciul de alertare și cooperare al DNCS, asigură monitorizarea permanentă a alertelor și solicitărilor primite prin acest serviciu ori prin celelalte modalități de contact și ia în cel mai scurt timp măsurile adecvate de răspuns la nivelul rețelelor și sistemelor informatice proprii;

i) asigură de îndată răspunsul la incidentele survenite, restabilesc în cel mai scurt timp funcționarea serviciului la parametrii dinaintea incidentului și realizează auditul de securitate, conform prezentei legi.

(2) Operatorii de servicii esențiale pun la dispoziția DNCS în calitate de autoritate competentă la nivel național, la solicitarea acesteia făcută cu menționarea scopului și precizând informațiile necesare și termenul de furnizare a acestora:

a) informațiile necesare pentru evaluarea securității rețelelor și a sistemelor informatice vizate de prezenta lege, inclusiv politicile de securitate documentate;

b) rezultatele auditului de securitate realizat la solicitarea DNCS, inclusiv informațiile și documentațiile pe care se bazează acesta, precum și alte elemente care atestă punerea efectivă în aplicare a cerințelor minime de securitate.

(3) Notificarea de îndată a afectării serviciilor esențiale prevăzută la alin. (1) lit. c) se face și în situația în care afectarea se datorează unor incidente care afectează un furnizor de servicii digitale de care depinde furnizarea serviciilor esențiale.

(4) Termenul de conformare pentru îndeplinirea obligațiilor prevăzute la alin. (1) lit. a) și b) este de 6 luni de la data intrării în vigoare a normelor tehnice privind cerințele de securitate și notificare ori, după caz, de la data înscrierii în Registrul operatorilor de servicii esențiale.

Articolul 11

Text anterior abrogării — nu mai este în vigoare

Operatorii de servicii esențiale au obligația să implementeze în termenul de conformare stabilit în conformitate cu dispozițiile art. 37 măsurile dispuse de DNCS pentru îndeplinirea cerințelor minime de securitate, în vederea remedierii deficiențelor constatate cu ocazia controlului exercitat în temeiul art. 35 .