(1) În vederea asigurării unui nivel comun de securitate a rețelelor și sistemelor informatice, operatorii de servicii esențiale și furnizorii de servicii digitale au obligația de a respecta normele tehnice elaborate de DNCS în temeiul prevederilor art. 20 lit. b) .

(2) DNCS elaborează, cu consultarea autorităților care reglementează sectoarele și subsectoarele prevăzute în anexă, ghiduri în sprijinul implementării măsurilor minime de securitate pentru operatorii și furnizorii prevăzuți în prezenta lege.

(3) Normele tehnice prevăzute la alin. (1) aplicabile operatorilor de servicii esențiale se stabilesc în baza cel puțin a următoarelor categorii de activități de asigurare a securității rețelelor și sistemelor informatice:

a) managementul drepturilor de acces;

b) conștientizarea și instruirea utilizatorilor;

c) jurnalizarea și asigurarea trasabilității activităților în cadrul rețelelor și sistemelor informatice;

d) testarea și evaluarea securității rețelelor și sistemelor informatice;

e) managementul configurațiilor rețelelor și sistemelor informatice;

f) asigurarea disponibilității serviciului esențial și a funcționării rețelelor și sistemelor informatice;

g) managementul continuității funcționării serviciului esențial;

h) managementul identificării și autentificării utilizatorilor;

i) răspunsul la incidente;

j) mentenanța rețelelor și sistemelor informatice;

k) managementul suporturilor de memorie externă;

l) asigurarea protecției fizice a rețelelor și sistemelor informatice;

m) realizarea planurilor de securitate;

n) asigurarea securității personalului;

o) analizarea și evaluarea riscurilor;

p) asigurarea protecției produselor și serviciilor aferente rețelelor și sistemelor informatice;

q) managementul vulnerabilităților și alertelor de securitate.

(4) Normele tehnice prevăzute la alin. (1) aplicabile furnizorilor de servicii digitale se stabilesc în baza următoarelor categorii de activități de asigurare a securității rețelelor și sistemelor informatice:

a) securitatea sistemelor și a instalațiilor;

b) gestionarea incidentelor;

c) gestionarea continuității activității;

d) monitorizarea, auditarea și testarea;

e) conformitatea cu standardele europene și internaționale.

(5) În implementarea măsurilor de la alin. (1) operatorii de servicii esențiale:

a) identifică rețelele și sistemele informatice care susțin furnizarea de servicii esențiale;

b) elaborează și implementează politici și planuri proprii de securitate a rețelelor și sistemelor informatice;

c) asigură managementul incidentelor care afectează securitatea rețelelor și sistemelor informatice;

d) previn accesul neautorizat la rețelele și sistemele informatice;

e) previn diseminarea datelor deținute la nivelul rețelelor și sistemelor informatice către alte persoane decât cele autorizate să cunoască conținutul acestora;

f) implementează un sistem de management al riscului;

g) implementează planuri de acțiune pe niveluri de alertă de securitate a rețelelor și sistemelor informatice;

h) asigură continuitatea serviciilor.

(6) Normele tehnice prevăzute la alin. (1) se emit cu luarea în considerare a cerințelor și standardelor europene și internaționale fără a impune sau a discrimina în favoarea utilizării unui anumit tip de tehnologie.