Abrogat.

Azi

Legea 362/2018 · 8 articole

Secțiunea 1 — Abrogată.

Articolul 35

Text anterior abrogării — nu mai este în vigoare

(1) DNCS exercită controlul respectării prevederilor prezentei legi, a obligațiilor impuse prin actele emise de DNCS în aplicarea prezentei legi, în limitele competențelor legale de monitorizare sau de verificare.

(2) În vederea efectuării controlului prevăzut la alin. (1) , directorul general al DNCS, prin decizie, desemnează personalul de specialitate împuternicit să efectueze controlul și stabilește atribuțiile acestuia.

(3) Normele de aplicare a dispozițiilor privind controlul îndeplinirii obligațiilor de securitate și notificare de către operatorii de servicii esențiale și furnizorii de servicii digitale și controlul îndeplinirii obligațiilor de către auditorii de securitate informatică atestați ori de către echipele CSIRT autorizate să deservească operatori de servicii esențiale și furnizori de servicii digitale se aprobă, la propunerea DNCS, prin ordin al directorului DNSC care se publică în Monitorul Oficial al României, Partea I.

Articolul 36

Text anterior abrogării — nu mai este în vigoare

(1) În urma sesizărilor primite, din oficiu sau în urma autosesizării în temeiul art. 27 lit. e) , precum și în situația existenței unor indicii temeinice privind sustragerea unui operator sau furnizor de la obligațiile ce îi revin în temeiul prezentei legi ori încălcarea de către un auditor, echipă CSIRT sau furnizor de formare autorizat a obligațiilor ce le revin în temeiul prezentei legi, personalul de control poate să efectueze acțiuni de control, în cadrul cărora poate să solicite, menționând temeiul legal și scopul solicitării, documentele necesare pentru efectuarea controlului, să ridice copii de pe registre ori alte acte sau documente, în condițiile legii, inclusiv prevederilor referitoare la păstrarea confidențialității tuturor documentelor și informațiilor primite.

(2) În cadrul acțiunilor de control, personalul de control poate să solicite și să primească, la fața locului sau la termenul solicitat, informațiile necesare pentru efectuarea controlului și poate stabili termene până la care aceste informații să îi fie furnizate, în condițiile legii, inclusiv prevederilor referitoare la păstrarea confidențialității tuturor documentelor și informațiilor primite.

(3) Rezultatul acțiunilor de control va fi consemnat într-o notă de control.

Articolul 37

Text anterior abrogării — nu mai este în vigoare

(1) Înainte de aplicarea unei sancțiuni, în cazul descoperirii nerespectării de către un furnizor de servicii digitale sau operator de servicii esențiale a unei obligații prevăzute de prezenta lege sau de un act emis de DNCS în baza prezentei legi, DNCS va transmite entității în cauză o notificare prin care îi va aduce la cunoștință încălcarea constatată, măsurile cu caracter obligatoriu ce trebuie luate în vederea remedierii deficiențelor constatate și stabilește termenul de conformare precum și sancțiunea aplicabilă.

(2) Termenul de conformare se calculează începând cu data comunicării notificării prevăzute la alin. (1) .

Articolul 38

Text anterior abrogării — nu mai este în vigoare

Următoarele fapte constituie contravenții dacă nu au fost săvârșite în astfel de condiții încât să fie considerate potrivit legii infracțiuni:

1. neîndeplinirea obligației de notificare în vederea înscrierii în Registrul operatorilor de servicii esențiale, prevăzută la art. 8 alin. (1) , în termenul prevăzut la art. 8 alin. (6) ;

2. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 8 alin. (7) lit. a) ;

3. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 8 alin. (7) lit. b) ;

4. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 8 alin. (7) lit. c) ;

5. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 8 alin. (7) lit. d) ;

6. nedepunerea raportului de audit specificat la art. 8 alin. (4) și (7) în termenul comunicat de către DNCS persoanei juridice în temeiul art. 8 alin. (8) ;

7. neîndeplinirea obligației prevăzute la art. 9 alin. (1) în termenul prevăzut la art. 9 alin. (5) ;

8. neducerea la îndeplinire a măsurilor dispuse de DNCS prin notificarea transmisă în urma controlului, pentru remedierea deficiențelor constatate, în termenul de conformare stabilit în conformitate cu prevederile art. 37 ;

9. neîndeplinirea de către operatorii de servicii esențiale a obligației de implementare a măsurilor pentru îndeplinirea cerințelor minime de securitate în conformitate cu art. 10 alin. (1) lit. a) în termenul stabilit la art. 10 alin. (4) ;

10. neîndeplinirea de către operatorii de servicii esențiale a obligației de implementare a măsurilor adecvate pentru a preveni și minimiza impactul incidentelor în conformitate cu art. 10 alin. (1) lit. b) în termenul stabilit la art. 10 alin. (4) ;

11. încălcarea de către operatorii de servicii esențiale a obligației stabilite la art. 10 alin. (1) lit. c) de a notifica incidentul de securitate ori notificarea acestuia cu o întârziere mai mare de 12 ore de la data constatării acestuia;

12. încălcarea obligației stabilite la art. 10 alin. (1) lit. d) prin nefurnizarea în cadrul notificării privitoare la incidentul de securitate a informațiilor care să permită stabilirea impactului transfrontalier al acestuia;

13. nerespectarea prevederilor art. 10 alin. (1) lit. e) în termen de 48 de ore de la data comunicării de către DNCS a ordinului de începere a controlului;

14. necomunicarea către DNCS a informațiilor și mijloacelor permanente de contact ori a actualizărilor acestora în termenele stabilite la art. 10 alin. (1) lit. f) ;

15. neîndeplinirea obligației de comunicare prevăzute la art. 10 alin. (1) lit. g) în termen de 30 de zile;

16. neîndeplinirea obligației de interconectare prevăzute la art. 10 alin. (1) lit. h) în termen de 60 de zile;

17. neluarea de către operatorul de servicii esențiale a măsurilor adecvate de răspuns în termen de 12 ore de la primirea prin serviciul de alertare și cooperare al DNCS menționat la art. 10 alin. (1) lit. h) ori prin celelalte mijloace de contact a alertelor și solicitărilor privitoare la incidente;

18. neîndeplinirea de îndată a obligației de a asigura răspunsul la incidentele survenite stabilite la art. 10 alin. (1) lit. i) ori îndeplinirea acesteia cu o întârziere mai mare de 12 ore de la data constatării incidentului;

19. neîndeplinirea obligației stabilite la art. 10 alin. (1) lit. i) de a restabili funcționarea serviciului esențial afectat de incident la parametrii dinaintea incidentului ori întârzierea nejustificată a restabilirii funcționării acestuia;

20. neîndeplinirea în urma răspunsului la incident a obligației stabilite la art. 10 alin. (1) lit. i) de a efectua auditul de securitate a rețelelor și sistemelor informatice afectate;

21. nefurnizarea în termenul stabilit de DNCS a informațiilor și documentațiilor solicitate în temeiul art. 10 alin. (2) lit. a) ;

22. neefectuarea auditului de securitate și netransmiterea rezultatelor acestuia și a datelor necesare în termenul stabilit de DNCS în urma solicitării făcute în temeiul prevederilor art. 10 alin. (2) lit. b) ;

23. încălcarea cumulativă a obligațiilor prevăzute la art. 10 alin. (3) și art. 26 alin. (1)-(3) într-un termen de 12 ore de la data constatării incidentului de către operatorul de servicii esențiale.

24. neîndeplinirea de către operatorii de servicii esențiale a obligației prevăzute la art. 11 în termenele stabilite de DNCS prin actul de control comunicat operatorului de servicii esențiale;

25. neducerea la îndeplinire de către furnizorul de servicii digitale a măsurilor dispuse de DNCS prin notificarea transmisă în urma controlului, pentru remedierea deficiențelor constatate în aplicarea prevederilor art. 12 alin. (1) lit. a) și b) în termenul de conformare stabilit în conformitate cu prevederile art. 37 ;

26. neîndeplinirea de către furnizorii de servicii digitale, în termenul stabilit, a obligației de implementare a măsurilor pentru respectarea cerințelor minime de securitate în conformitate cu prevederile art. 12 alin. (1) lit. a) ;

27. neîndeplinirea de către furnizorii de servicii digitale a obligației de implementare, în termenul stabilit, a măsurilor adecvate pentru a preveni și minimiza impactul incidentelor în conformitate cu prevederile art. 12 alin. (1) lit. b) ;

28. încălcarea de către furnizorii de servicii digitale a obligației stabilite la art. 12 alin. (1) lit. c) de a notifica incidentul de securitate ori notificarea acestuia cu o întârziere mai mare de 12 ore de la data constatării acestuia;

29. încălcarea obligației stabilite la art. 12 alin. (1) lit. d) prin nefurnizarea în cadrul notificării privitoare la incidentul de securitate a informațiilor care să permită stabilirea impactului transfrontalier al acestuia;

30. necomunicarea către DNCS a informațiilor și mijloacelor permanente de contact în termenul stabilit la art. 12 alin. (1) lit. e) ;

31. neîndeplinirea obligației de comunicare a modificărilor survenite în datele de contact prevăzute la art. 12 alin. (1) lit. e) în termen de 30 de zile;

32. neîndeplinirea obligației de interconectare prevăzute la art. 12 alin. (1) lit. f) în termen de 60 de zile;

33. neluarea de către furnizorul de servicii digitale a măsurilor adecvate de răspuns în termen de 12 ore de la primirea prin serviciul de alertare și cooperare al DNCS menționat la art. 12 alin. (1) lit. f) ori prin celelalte mijloace de contact a alertelor și solicitărilor privitoare la incidente;

34. neîndeplinirea obligației de a asigura răspunsul la incidentele de securitate și de a asigura continuitatea serviciilor stabilite la art. 12 alin. (1) lit. b) ori îndeplinirea acesteia cu o întârziere mai mare de 12 ore de la data constatării incidentului;

35. nefurnizarea în termenul stabilit de DNCS a informațiilor și documentațiilor solicitate în temeiul art. 12 alin. (2) lit. a) ;

36. neefectuarea auditului de securitate și netransmiterea rezultatelor acestuia și a datelor necesare în termenul stabilit de DNCS în urma solicitării făcute în temeiul art. 12 alin. (2) lit. b) ;

37. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 12 alin. (6) lit. a) ;

38. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 12 alin. (6) lit. b) ;

39. neîndeplinirea în termenul prevăzut a obligației de furnizare a informațiilor solicitate de către DNCS în temeiul art. 12 alin. (6) lit. c) ;

40. neducerea la îndeplinire a măsurilor instituite de DNCS în temeiul art. 20 lit. k) , în termen de 60 de zile de la data comunicării;

41. neconformarea cu normele tehnice prevăzute la art. 25 alin. (1) ;

42. neconformarea operatorilor de servicii esențiale cu normele tehnice privitoare la notificarea incidentelor de securitate prevăzute la art. 26 alin. (1) ;

43. neconformarea furnizorilor de servicii digitale cu normele tehnice privitoare la notificarea incidentelor de securitate prevăzute la art. 26 alin. (2) ;

44. nefurnizarea de către operatorul de servicii esențiale ori furnizorul de servicii digitale în termenul stabilit de DNCS a informațiilor suplimentare solicitate de DNCS în temeiul art. 27 lit. b) ;

45. încălcarea de către auditorii specificați la art. 32 alin. (1) a normelor privind incompatibilitatea, prevăzute la art. 32 alin. (3) ;

46. furnizarea de rapoarte de audit de securitate dintre cele prevăzute la art. 8 alin. (4) , respectiv art. 10 alin. (2) lit. b) și art. 12 alin. (2) lit. b) , realizate de către auditori fără atestat valabil eliberat de DNCS în temeiul art. 32 alin. (1) și (2) lit. c) ori aflați într-una din stările de incompatibilitate prevăzute la art. 32 alin. (3) ;

47. asigurarea de servicii de tip echipă CSIRT către operatorii de servicii esențiale ori furnizorii de servicii digitale de către entități care nu dețin autorizație valabilă, eliberată în temeiul art. 33 alin. (1) de către DNCS în calitate de autoritate competentă la nivel național;

48. neîndeplinirea de către autoritățile și entitățile de reglementare pentru sectoarele și subsectoarele de activitate prevăzute în anexă a obligațiilor prevăzute la art. 34 alin. (1) , precum și neparticiparea în procesul de stabilire a nivelului de securitate menționat la art. 34 alin. (2) ;

49. refuzul de a se supune controlului declanșat de DNCS în temeiul prevederilor art. 36 ori întârzierea în furnizarea informațiilor și documentelor solicitate în cadrul activităților de control în temeiul prevederilor art. 37 .

Articolul 39

Text anterior abrogării — nu mai este în vigoare

(1) Contravențiile prevăzute la art. 38 se sancționează astfel:

a) cu amendă de la 3.000 lei la 50.000 lei, iar în cazul constatării unor încălcări repetate limita maximă a amenzii este de 100.000 lei;

b) prin derogare de la dispozițiile art. 8 alin. (2) lit. a) din Ordonanța Guvernului nr. 2/2001 privind regimul juridic al contravențiilor, aprobată cu modificări și completări prin Legea nr. 180/2002 , cu modificările și completările ulterioare, pentru persoanele cu o cifră de afaceri de peste 2.000.000 lei, cu amendă în cuantum de la 0,5% la 2% din cifra de afaceri, iar, în cazul unor încălcări repetate, limita maximă a amenzii este de 5% din cifra de afaceri.

(2) În vederea individualizării sancțiunii, DNCS va lua în considerare gradul de pericol social concret al faptei, perioada de timp în care obligația legală a fost încălcată, precum și, dacă este cazul, consecințele încălcării.

(3) Cifra de afaceri este cea prevăzută în ultima situație financiară anuală raportată de operatorul economic.

(4) Pentru persoanele fizice autorizate, întreprinderile individuale și întreprinderile familiale, cifrei de afaceri prevăzute la alin. (1) lit. b) îi corespunde totalitatea veniturilor brute, astfel cum sunt definite de Legea nr. 227/2015 privind Codul fiscal , cu modificările și completările ulterioare, realizate de respectivele entități.

(5) Prin excepție de la prevederile alin. (3) și (4) , în cazul în care, în anul financiar anterior sancționării, întreprinderea nu a înregistrat cifra de afaceri sau cifra de afaceri nu poate fi determinată, va fi luată în considerare cea aferentă anului financiar în care entitatea a înregistrat cifra de afaceri, an imediat anterior anului de referință pentru calcularea cifrei de afaceri în vederea aplicării sancțiunii. În ipoteza în care nici în anul anterior anului de referință pentru calcularea cifrei de afaceri în vederea aplicării sancțiunii entitatea nu a realizat cifra de afaceri, va fi luată în calcul ultima cifră de afaceri înregistrată de entitate.

(6) Pentru entitățile nou-înființate și care nu au înregistrat cifra de afaceri în anul anterior sancționării, amenda prevăzută la alin. (1) se stabilește în cuantum de minimum unu și maximum 25 de salarii minime brute pe economie.

(7) În măsura în care prezenta lege nu prevede altfel, contravențiilor prevăzute la art. 38 li se aplică dispozițiile Ordonanței Guvernului nr. 2/2001 , aprobată cu modificări și completări prin Legea nr. 180/2002 , cu modificările și completările ulterioare.

Articolul 40

Text anterior abrogării — nu mai este în vigoare

(1) Contravențiile prevăzute la art. 38 se constată de către personalul de control din cadrul DNCS prin procesul-verbal de constatare a contravenției și de aplicare a sancțiunii, semnat de către personalul care efectuează controlul și de către reprezentantul operatorului sau furnizorului prezent la momentul încheierii procesului-verbal, căruia i se va înmâna o copie a procesului-verbal.

(2) Sancțiunea pentru contravențiile prevăzute la alin. (1) se aplică de către personalul de control care a făcut constatarea.

Articolul 41

Text anterior abrogării — nu mai este în vigoare

(1) În cazul constatării unei contravenții în conformitate cu prevederile art. 38 , DNCS dispune încetarea încălcării dispozițiilor respective fie imediat, fie într-un termen rezonabil, precum și orice măsuri necesare pentru a asigura încetarea încălcării și remedierea situației produse. Măsurile vor fi adecvate și proporționale cu încălcarea săvârșită și vor prevedea un termen în care operatorul de servicii esențiale ori furnizorul de servicii digitale trebuie să se conformeze acestora.

(2) În cazul în care nerespectarea de către operatori sau furnizori a obligațiilor din prezenta lege poate crea probleme grave de natură economică sau operațională altor operatori sau furnizori, DNCS poate lua măsuri urgente cu caracter provizoriu pentru remedierea situației.

(3) În cazul în care nerespectarea de către operatori sau furnizori a obligațiilor prevăzute de prezenta lege prezintă un pericol grav și iminent la adresa apărării naționale, ordinii publice, securității naționale sau sănătății publice, DNCS va informa organele judiciare și va notifica instituțiile competente din domeniul apărării și securității naționale, ordinii publice sau sănătății publice.

(4) Atunci când apreciază că este necesar, DNCS poate menține măsurile dispuse conform prevederilor alin. (2) pentru o perioadă de cel mult 90 de zile. În cazul în care punerea în executare a acestora necesită o durată mai mare de timp, DNCS poate dispune prelungirea aplicabilității pentru o perioadă suplimentară de cel mult 90 de zile. Operatorului sau furnizorului în cauză i se va acorda posibilitatea de a-și prezenta punctul de vedere și de a propune soluții pentru remedierea definitivă a situației create.

(5) Măsurile prevăzute la alin. (2) se dispun prin decizie a directorului general al DNCS, ce poate fi atacată cu plângere în termen de 30 zile de la comunicare.

(6) Măsurile prevăzute la alin. (2) se pot dispune de către DNCS cu titlu excepțional și în situația administrării unor incidente de natură să prezinte pericolele ori să aibă urmările prevăzute la alin. (3) , cu consultarea, precum și la solicitarea motivată a instituțiilor prevăzute la alineatul respectiv.

Articolul 42

Text anterior abrogării — nu mai este în vigoare

(1) În exercitarea atribuțiilor ce îi revin potrivit actelor normative în vigoare, DNCS va fi sprijinită operativ, la cerere, de către autoritățile publice, precum și de către organele de poliție în cazuri temeinic justificate, în vederea identificării și localizării persoanelor fizice sau juridice care săvârșesc fapte de natură contravențională.

(2) Orice decizie a DNCS prin care se vatămă drepturile unei persoane fizice sau juridice ori refuzul nejustificat al DNCS de a-i procesa cererea referitoare la un drept recunoscut de prezenta lege pot fi atacate în contencios administrativ.