(1) ASF poate emite recomandări entităților prevăzute la art. 5 alin. (1) lit. b) , în vederea adoptării de măsuri corespunzătoare de către acestea pentru îmbunătățirea cadrului de administrare, a politicilor, procedurilor și controalelor implementate pentru a atenua și gestiona cu eficacitate riscurile aferente sistemelor informatice.
(2) Entitățile prevăzute la art. 5 alin. (1) lit. b) au obligația de a comunica măsurile întreprinse conform dispozițiilor alin. (1) sau refuzul documentat de a aplica recomandările emise de către ASF, în termenele stabilite de către respectiva autoritate.
(3) ASF poate impune entităților prevăzute la art. 5 alin. (1) lit. b) un plan de măsuri în scopul prevenirii apariției/materializării unor riscuri în activitatea desfășurată de către entități, ca urmare a identificării unor vulnerabilități sau deficiențe, care nu au natura și gravitatea unor fapte contravenționale.
(4) În aplicarea dispozițiilor art. 50 din Regulamentul (UE) 2022/2.554, ASF are competența de a dispune măsurile și de a aplica sancțiunile prevăzute de prezenta ordonanță de urgență, în cazul încălcării dispozițiilor respectivului regulament de către entitățile prevăzute la art. 5 alin. (1) lit. b) și/sau persoanele fizice din organul de conducere al entităților, precum și de către persoanele desemnate să asigure conducerea structurilor care au responsabilități în aplicarea politicilor, procedurilor și strategiilor TIC sau a activităților de administrare și control, prevăzute de Regulamentul (UE) 2022/2.554.
(5) Potrivit prevederilor alin. (4) , măsurile de remediere ce pot fi aplicate de către ASF sunt următoarele:
a) emiterea unei atenționări prin care i se solicită persoanei fizice sau juridice să înceteze comportamentul care încalcă prevederile Regulamentului (UE) 2022/2.554 și să se abțină de la repetarea comportamentului respectiv;
b) solicitarea încetării temporare sau permanente a oricărei practici sau a oricărui comportament în legătură cu care ASF consideră că contravin dispozițiilor Regulamentului (UE) 2022/2.554 și solicitarea prevenirii unei eventuale repetări a practicii sau a comportamentului în cauză;
c) solicitarea ca entitatea să înainteze ASF un set de măsuri în vederea gestionării/remedierii deficiențelor/prevenirii apariției riscurilor aferente sistemelor informatice identificate de către ASF;
d) dispunerea unui plan de măsuri în scopul remedierii deficiențelor constatate și/sau prevenirii apariției/materializării unor riscuri în activitatea desfășurată;
e) emiterea unor anunțuri publice, inclusiv a unor declarații publice care indică identitatea persoanei fizice sau juridice și natura încălcării prevederilor Regulamentului (UE) 2022/2.554.
(6) Constituie contravenții, în măsura în care nu sunt săvârșite în astfel de condiții încât să fie considerate, potrivit legii, infracțiuni, următoarele fapte săvârșite de către entitățile prevăzute la art. 5 alin. (1) lit. b) și/sau de către persoanele fizice din organul de conducere al entităților, precum și de către persoanele desemnate să asigure conducerea structurilor care au responsabilități în aplicarea politicilor, procedurilor și strategiilor TIC sau a activităților de administrare și control, prevăzute de Regulamentul (UE) 2022/2.554:
a) nerespectarea cerințelor prevăzute la art. 5-14, art. 16 alin. (1) și (2), art. 17, art. 18 alin. (1) și (2), art. 19 alin. (1), (3) și (4), art. 24, 25, art. 26 alin. (1)-(8), art. 27, art. 28 alin. (1)-(8), art. 29, art. 30 alin. (1)-(4) și art. 45 alin. (3) din Regulamentul (UE) 2022/2.554;
b) nerespectarea termenelor stabilite de către ASF conform alin. (2) ;
c) nerespectarea măsurilor dispuse de ASF în baza alin. (3) și (5) ;
d) nerespectarea termenelor prevăzute la art. 7 alin. (2) și art. 11 alin. (3) ;
e) nerespectarea reglementărilor emise de ASF potrivit art. 9 și 10 , nerespectarea actelor delegate ale Comisiei Europene adoptate în temeiul art. 15, art. 18 alin. (3) și (4), art. 20, art. 26 alin. (11), art. 28 alin. (9) și (10), art. 30 alin. (5) și al art. 57 din Regulamentul (UE) 2022/2.554.
(7) Săvârșirea contravențiilor prevăzute la alin. (6) se sancționează de ASF, în funcție de natura și gravitatea faptei, după cum urmează:
a) avertisment;
b) amendă de la 5.000 lei la 1.000.000 lei, pentru persoanele fizice, prin derogare de la prevederile art. 8 alin. (2) lit. a) din Ordonanța Guvernului nr. 2/2001 privind regimul juridic al contravențiilor, aprobată cu modificări și completări prin Legea nr. 180/2002 , cu modificările și completările ulterioare;
c) amendă de la 10.000 lei la 10.000.000 lei sau 5% din cifra de afaceri anuală totală, conform ultimelor situații financiare anuale disponibile aprobate, pentru persoanele juridice, prin derogare de la prevederile art. 8 alin. (2) lit. a) din Ordonanța Guvernului nr. 2/2001 , aprobată cu modificări și completări prin Legea nr. 180/2002 , cu modificările și completările ulterioare.
(8) Pe lângă sancțiunile contravenționale principale prevăzute la alin. (7) , în funcție de natura și gravitatea faptei, ASF poate aplica persoanelor fizice și juridice prevăzute la alin. (6) una sau ambele dintre următoarele sancțiuni contravenționale complementare:
a) retragerea sau suspendarea autorizării acordate de ASF, pentru o perioadă menționată în decizia de suspendare emisă, care nu poate depăși 12 luni;
b) interdicția temporară, pentru o perioadă cuprinsă între 90 de zile și 5 ani, de a exercita funcții de conducere, împotriva oricărei persoane fizice care exercită responsabilități de conducere sau împotriva oricărei persoane fizice care este considerată răspunzătoare de o astfel de încălcare.
(9) Măsurile de remediere prevăzute la alin. (5) pot fi aplicate concomitent cu dispunerea sancțiunilor prevăzute la alin. (7) și (8) sau independent de acestea.