Roluri și responsabilități

a) obiectivele și prioritățile strategiei naționale de securitate cibernetică, care acoperă în special sectoarele menționate în anexele nr. 1 și 2 ;

b) un cadru de guvernanță pentru realizarea obiectivelor și priorităților menționate la lit. a) , inclusiv politicile publice prevăzute la alin. (2) ;

c) un cadru de guvernanță care clarifică rolurile și responsabilitățile părților interesate relevante la nivel național, care sprijină cooperarea și coordonarea la nivel național între autoritățile competente, punctele unice de contact și echipele de răspuns la incidente de securitate cibernetică în temeiul prezentei ordonanțe de urgență, precum și coordonarea și cooperarea dintre aceste organisme și autoritățile competente în temeiul actelor juridice sectoriale ale Uniunii Europene;

d) un mecanism care să identifice activele relevante și o evaluare a riscurilor la nivel național;

e) o identificare a măsurilor de asigurare a pregătirii pentru incidente la nivel național, a capacității de răspuns la acestea și a redresării în urma acestora, inclusiv cooperarea dintre sectorul public și cel privat;

f) o listă a diferitelor autorități și părți interesate care participă la punerea în aplicare a strategiei naționale de securitate cibernetică;

g) un cadru de politică menit să asigure o mai bună coordonare între autoritățile competente în temeiul prezentei ordonanțe de urgență și al dispozițiilor legale privind reziliența entităților critice în scopul schimbului de informații privind riscurile, amenințările cibernetice și incidentele, precum și privind riscurile, amenințările și incidentele fără caracter cibernetic și al exercitării sarcinilor de supraveghere, după caz;

h) un plan care să cuprindă inclusiv măsurile necesare pentru a spori nivelul general de sensibilizare a cetățenilor cu privire la securitatea cibernetică.

a) care abordează securitatea cibernetică a lanțului de aprovizionare pentru produsele TIC și serviciile TIC utilizate de entități pentru furnizarea serviciilor lor;

b) care privesc includerea și specificarea cerințelor legate de securitatea cibernetică pentru produsele TIC și serviciile TIC în cadrul achizițiilor publice, inclusiv în legătură cu certificarea de securitate cibernetică, criptarea și utilizarea produselor de securitate cibernetică cu sursă deschisă;

c) de gestionare a vulnerabilităților, inclusiv promovarea și facilitarea divulgării coordonate a vulnerabilităților;

d) legate de menținerea disponibilității, integrității și confidențialității generale a nucleului public al internetului deschis, inclusiv securitatea cibernetică a cablurilor de comunicații submarine, după caz;

e) de promovare a dezvoltării și integrării tehnologiilor avansate relevante care vizează implementarea unor măsuri de ultimă generație de gestionare a riscurilor în materie de securitate cibernetică;

f) de promovare și dezvoltare a educației și a formării privind securitatea cibernetică, competențele, sensibilizarea și inițiativele de cercetare și dezvoltare în materie de securitate cibernetică, precum și orientări privind bunele practici și controale în materie de igienă cibernetică, destinate cetățenilor, părților interesate și entităților;

g) de sprijinire a instituțiilor academice și de cercetare în vederea dezvoltării, consolidării și promovării implementării unor instrumente de securitate cibernetică și a unei infrastructuri de rețele securizate;

h) care să includă proceduri relevante și instrumente adecvate de schimb de informații care să sprijine schimbul voluntar de informații în materie de securitate cibernetică între entități, în conformitate cu dreptul Uniunii Europene;

i) de consolidare a rezilienței cibernetice și a nivelului de referință în materie de igienă cibernetică pentru întreprinderile mici și mijlocii, în special pentru cele excluse din domeniul de aplicare al prezentei ordonanțe de urgență, prin furnizarea de orientări și asistență ușor accesibile pentru nevoile lor specifice;

j) de promovare a unei protecții cibernetice active.

a) achiziționarea de servicii de specialitate;

b) achiziția de echipamente și software, inclusiv software dezvoltat la comandă;

c) afilierea la rețele și organizații internaționale de profil și participarea prin reprezentanți la lucrările acestora, precum și la alte evenimente de profil;

d) cursuri de formare și perfecționare, precum și certificări ale personalului propriu;

e) editarea de publicații, ghiduri de specialitate, clipuri video de conștientizare;

f) organizarea de conferințe, seminare și alte evenimente de profil;

g) efectuarea de studii statistice și activități de cercetare.

a) elaborează și asigură punerea în aplicare a strategiei naționale de securitate cibernetică alături de celelalte autorități competente;

b) elaborează norme și cerințe în domeniul de aplicare al prezentei ordonanțe de urgență;

c) elaborează și actualizează ghiduri, recomandări și bune practici în domeniul de aplicare al prezentei ordonanțe de urgență;

d) administrează și gestionează resursele pentru punerea în aplicarea a prezentei ordonanțe de urgență;

e) participă, prin reprezentanți, la formatele de cooperare la nivel european;

f) supraveghează, verifică și controlează respectarea prevederilor prezentei ordonanțe de urgență;

g) primește sesizări cu privire la neîndeplinirea obligațiilor de către entitățile esențiale și importante;

h) cooperează cu autoritățile competente din celelalte state membre ale Uniunii Europene și oferă asistență acestora, prin schimbul de informații, transmiterea de solicitări și sesizări, efectuarea controlului ori luarea de măsuri de supraveghere și remediere a deficiențelor constatate, în cazul entităților care fac obiectul prezentei ordonanțe de urgență;

i) autorizează, revocă sau reînnoiește autorizarea echipelor de răspuns la incidente de securitate cibernetică ce deservesc entitățile esențiale și importante;

j) eliberează, revocă sau reînnoiește atestatele auditorilor de securitate cibernetică care pot efectua audit în cadrul rețelelor și sistemelor informatice ce susțin servicii esențiale ori servicii importante, în condițiile prezentei ordonanțe de urgență;

k) autorizează, revocă sau reînnoiește autorizarea furnizorilor de servicii de formare pentru securitate cibernetică pentru formarea auditorilor de securitate cibernetică și a echipelor de răspuns la incidente de securitate cibernetică;

l) asigură ducerea la îndeplinire a obligațiilor de raportare a incidentelor de către entitățile esențiale și importante în condițiile prezentei ordonanțe de urgență;

m) încurajează utilizarea de către entitățile esențiale și importante a produselor TIC, serviciilor TIC și proceselor TIC ce corespund cerințelor de standardizare și certificare în domeniul securității cibernetice adoptate în temeiul articolului 49 din Regulamentul (UE) 2019/881 și a serviciilor de încredere calificate, cu respectarea standardelor și a specificațiilor tehnice europene și internaționale relevante pentru securitatea rețelelor și a sistemelor informatice;

n) reglementează și gestionează procesul de divulgare coordonată a vulnerabilităților.

a) identifică capacitățile, mijloacele și procedurile care pot fi utilizate în caz de criză, în funcție de care elaborează, actualizează și coordonează aplicarea Planului de management al crizelor de securitate cibernetică la nivel național pe timp de pace, adoptat prin ordin al directorului DNSC;

b) adoptă măsurile tehnice și organizatorice necesare pentru instituirea nivelului critic de alertă cibernetică și pentru gestionarea acestuia, conform prevederilor Legii nr. 58/2023 ;

c) asigură și coordonează schimbul de informații referitoare la crizele de securitate cibernetică cu toate părțile interesate relevante din sectorul public și privat;

d) participă, prin intermediul CNGCSC, la gestionarea coordonată a incidentelor de securitate cibernetică de mare amploare și a crizelor de securitate cibernetică la nivelul Uniunii Europene și acordă sprijin autorităților statelor membre;

e) organizează și participă, prin intermediul CNGCSC, la exerciții, activități de formare și alte măsuri naționale de pregătire în domeniul crizelor de securitate cibernetică.

a) obiectivele măsurilor și ale activităților de pregătire;

b) sarcinile și responsabilitățile autorităților de gestionare a crizelor cibernetice;

c) procedurile de gestionare a crizelor cibernetice, inclusiv integrarea acestora în cadrul național general de gestionare a crizelor și canalele de schimb de informații;

d) măsurile de pregătire, inclusiv exerciții și activități de formare;

e) părțile interesate relevante din sectorul public și privat și infrastructura implicată;

f) procedurile naționale și acordurile dintre autoritățile și organismele naționale relevante menite să asigure participarea efectivă a României la gestionarea coordonată a incidentelor de securitate cibernetică de mare amploare și a crizelor la nivelul Uniunii Europene și sprijinul acordat de aceasta.

a) să fie autorizate de către DNSC;

b) să asigure compatibilitatea și interoperabilitatea sistemelor, procedurilor și metodelor utilizate cu cele ale CSIRT național;

c) să furnizeze cel puțin pachetul minim de servicii de tip CSIRT necesar asigurării la nivel național a unei protecții unitare a entităților esențiale și a entităților importante, în condițiile alin. (2) ;

d) să utilizeze în cadrul echipelor un număr corespunzător de persoane calificate;

e) să se interconecteze la serviciul de alertă, monitorizare și cooperare al DNSC și să asigure un răspuns prompt la alertele și solicitările transmise de CSIRT național;

f) să dispună de personal adecvat pentru a asigura disponibilitatea permanentă a serviciilor lor;

g) să aloce anual bugetul necesar în vederea menținerii unui nivel ridicat al capabilităților atât din punctul de vedere al resurselor umane, cât și tehnice.

a) să asigure o disponibilitate ridicată a canalelor de comunicare proprii, evitând punctele unice de defecțiune, dispunând de mai multe mijloace pentru a fi conectate și pentru a contacta alte entități în orice moment;

b) să specifice canalele de comunicare prevăzute la lit. a) și să le aducă la cunoștință bazei de utilizatori și parteneri de cooperare;

c) să mențină sediile și sistemele informatice de suport în amplasamente securizate;

d) să dispună de un sistem adecvat de gestionare și rutare a cererilor;

e) să asigure confidențialitatea și credibilitatea operațiunilor lor;

f) să dispună de personal adecvat pentru a asigura disponibilitatea permanentă a serviciilor lor;

g) să fie echipate cu sisteme redundante și spațiu de lucru de rezervă pentru a asigura continuitatea serviciilor lor, chiar și după un incident;

h) să protejeze datele confidențiale și sensibile ale beneficiarilor serviciilor lor de accesul neautorizat, sustragerea, alterarea sau distrugerea lor, prin măsuri tehnice și procedurale suficiente, adecvate și proporționale.

a) procedurile de gestionare a incidentelor;

b) gestionarea crizelor;

c) divulgarea coordonată a vulnerabilităților, în temeiul art. 36 .

a) monitorizarea și analiza amenințărilor cibernetice, a vulnerabilităților și a incidentelor la nivel național și, la cerere, acordarea de asistență entităților esențiale și entităților importante implicate cu privire la monitorizarea în timp real sau în timp aproape real a rețelei lor și a sistemelor lor informatice în conformitate cu necesitățile acestora;

b) asigurarea unor mecanisme de avertizare timpurii, alerte, anunțuri și diseminare de informații către entitățile esențiale și entitățile importante, precum și către autoritățile competente și alte părți interesate relevante cu privire la amenințări cibernetice, vulnerabilități și incidente în timp aproape real;

c) răspunsul la incidente și acordarea de asistență entităților esențiale și entităților importante implicate, după caz;

d) colectarea și analiza datelor și furnizarea de analize dinamice de risc și de incident și conștientizarea situației în materie de securitate cibernetică;

e) furnizarea, la cererea unei entități esențiale sau a unei entități importante, a unei scanări de securitate a rețelelor și sistemelor informatice ale entității implicate pentru a detecta vulnerabilitățile cu un impact potențial semnificativ;

f) participarea la implementarea unor instrumente securizate de schimb de informații, în conformitate cu art. 20 .

a) elaborează și adoptă, prin ordin al directorului DNSC, regulamentul privind autorizarea și verificarea CSIRT-urilor care deservesc entitățile esențiale și entitățile importante și stabilește condițiile de valabilitate pentru autorizațiile acordate, precum și tematicile pentru formarea personalului CSIRT-urilor;

b) acordă, prelungește, suspendă sau retrage, prin decizie a directorului DNSC, autorizarea pentru CSIRT-uri;

c) acordă, prelungește, suspendă sau retrage, prin decizie a directorului DNSC, autorizarea furnizorilor de servicii de formare pentru activitățile specifice CSIRT;

d) verifică, în urma sesizărilor sau din oficiu, îndeplinirea de către CSIRT-urile autorizate a obligațiilor ce le revin.

a) entităților esențiale și entităților importante, la solicitarea acestora;

b) echipelor de răspuns la incidente de securitate cibernetică.

a) asigură primirea, stocarea și evaluarea raportărilor referitoare la orice vulnerabilitate a unui produs sau serviciu TIC, înaintate în condițiile alin. (3) ;

b) asigură posibilitatea anonimatului persoanei care raportează o vulnerabilitate;

c) identifică și contactează entitățile care produc, dețin sau administrează produse sau servicii TIC care fac obiectul raportării conform alin. (3) , cărora le comunică vulnerabilitățile raportate;

d) facilitează, în măsura în care este necesar, atunci când acționează drept intermediar de încredere, interacțiunea dintre persoana care raportează o vulnerabilitate și producătorul, deținătorul, administratorul sau furnizorul de produse sau servicii TIC potențial vulnerabile, la cererea uneia dintre părți și cu acordul celeilalte părți;

e) dispune măsuri adecvate, conform atribuțiilor sale legale, în legătură cu gestionarea vulnerabilităților raportate de către entitățile care produc, dețin, administrează sau furnizează produse sau servicii TIC care fac obiectul raportării conform alin. (3) ;

f) efectuează, după caz, verificări asupra vulnerabilităților în sistemele informatice, cu sprijinul producătorilor, deținătorilor, administratorilor sau furnizorilor de produse sau servicii TIC potențial vulnerabile;

g) negociază cu entitățile afectate calendarele de divulgare și gestionare a vulnerabilităților care afectează mai multe entități;

h) atunci când o vulnerabilitate raportată ar putea avea un impact semnificativ transfrontalier, cooperează, după caz, cu CSIRT-urile desemnate din cadrul Rețelei CSIRT;

i) emite proceduri, norme tehnice și ghiduri conținând cerințe minime și recomandări pentru raportarea vulnerabilităților și conduita raportorilor, gestionarea acestora de către entități și îndeplinirea de către acestea a obligațiilor conexe, programele private de divulgare a vulnerabilităților și relațiile dintre entități și raportori;

j) poate asista persoanele care raportează o vulnerabilitate.

a) activitatea de cercetare pentru descoperirea de vulnerabilității raportate se efectuează cu bună-credință, exclusiv cu scopul de a contribui la îmbunătățirea securității cibernetice și cu respectarea prevederilor legale;

b) activitatea de cercetare se desfășoară fără accesarea sau copierea neautorizată a conținutului fișierelor din sistemele informatice care fac obiectul activității de cercetare;

c) în cadrul activității de cercetare nu sunt șterse sau modificate date din sistemele informatice care fac obiectul activității de cercetare;

d) activitatea de cercetare se desfășoară fără încălcarea sau ocolirea unor bariere tehnice precum parole sau detalii de identificare, prin tehnici precum atacuri brute-force, prin phishing sau alte procedee de inginerie socială;

e) nu se cauzează nicio întrerupere sau deteriorare a produselor sau serviciilor TIC ale terților;

f) activitatea de cercetare nu se desfășoară pentru a derula atacuri, nu produce prejudicii și nu utilizează produse de tip malware sau tehnici de natură să afecteze disponibilitatea serviciilor TIC;

g) nu a dezvăluit public informații cu privire la vulnerabilitatea identificată, anterior sau ulterior momentului raportării, fără acordul DNSC.

a) asigură primirea raportărilor de vulnerabilități, analiza acestora în vederea confirmării sau infirmării validității celor semnalate, precum și pentru remedierea vulnerabilităților confirmate, inclusiv soluții temporare până la remediere pentru persoanele afectate;

b) cooperarea cu DNSC în procesele de management al vulnerabilităților și de divulgare coordonată a vulnerabilităților;

c) stabilirea și publicarea în cadrul detaliilor de contact tehnic în documente și pe pagina de internet a modalităților de contact și de comunicare privind vulnerabilitățile, precum și a termenilor și condițiilor pentru raportarea de vulnerabilități;

d) asigurarea comunicării și cooperării cu raportorii și cu DNSC în procesul divulgare coordonată a vulnerabilităților, precum și, după caz, cu utilizatorii produselor sau serviciilor potențial vulnerabile.