Echipele de răspuns la incidente de securitate cibernetică

Azi

OUG 155/2024 · 7 articole

Articolul 30

(1) Entitățile esențiale, entitățile importante și autoritățile competente sectorial pot constitui echipe de răspuns la incidente de securitate cibernetică, denumite în continuare CSIRT, proprii sau sectoriale ori pot achiziționa servicii de specialitate de la furnizori de servicii specifice CSIRT, autorizați de către DNSC.

(2) CSIRT-urile prevăzute la alin. (1) sunt autorizate de către DNSC în urma evaluării îndeplinirii condițiilor specifice de autorizare a acestui tip de serviciu, conform alin. (3) și art. 31-33 .

(3) În vederea obținerii autorizării, CSIRT-urile prevăzute la alin. (1) trebuie să probeze deținerea unei infrastructuri de comunicare și de informații adecvate, sigure și reziliente care să permită schimbul de informații cu entitățile pe care acestea le deservesc și cu alte părți interesate relevante, precum și existența resurselor adecvate pentru îndeplinirea efectivă a sarcinilor ce le revin.

(4) CSIRT-urile prevăzute la alin. (1) cooperează și fac schimb de informații relevante cu comunitățile sectoriale sau transsectoriale formate din entități esențiale și entități importante, cât și cu CSIRT-uri din state terțe, inclusiv pentru a le oferi asistență în materie de securitate cibernetică.

(5) CSIRT-urile prevăzute la alin. (1) participă la grupuri de cooperare naționale și internaționale, evaluări inter pares, la Rețeaua CSIRT sau la alte formate asemănătoare la solicitarea CSIRT național.

(6) CSIRT-urile prevăzute la alin. (1) cooperează atât între ele, cât și cu CSIRT național.

(7) DNSC poate delega una sau mai multe persoane atât din personalul propriu de control, cât și de specialitate să își exercite temporar atribuțiile în cadrul unui CSIRT prevăzut la alin. (1) .

Articolul 31

(1) CSIRT-urile proprii, sectoriale sau furnizorii de servicii specifice CSIRT care deservesc entitățile esențiale sau entitățile importante au următoarele obligații:

a) să fie autorizate de către DNSC;

b) să asigure compatibilitatea și interoperabilitatea sistemelor, procedurilor și metodelor utilizate cu cele ale CSIRT național;

c) să furnizeze cel puțin pachetul minim de servicii de tip CSIRT necesar asigurării la nivel național a unei protecții unitare a entităților esențiale și a entităților importante, în condițiile alin. (2) ;

d) să utilizeze în cadrul echipelor un număr corespunzător de persoane calificate;

e) să se interconecteze la serviciul de alertă, monitorizare și cooperare al DNSC și să asigure un răspuns prompt la alertele și solicitările transmise de CSIRT național;

f) să dispună de personal adecvat pentru a asigura disponibilitatea permanentă a serviciilor lor;

g) să aloce anual bugetul necesar în vederea menținerii unui nivel ridicat al capabilităților atât din punctul de vedere al resurselor umane, cât și tehnice.

(2) Normele tehnice privind compatibilitatea și interoperabilitatea prevăzute la alin. (1) lit. b) , pachetul minim de servicii de tip CSIRT prevăzut la alin. (1) lit. c) și criteriile de stabilire a numărului de persoane calificate prevăzute la alin. (1) lit. d) se aprobă prin ordin al directorului DNSC.

(3) DNSC elaborează tematicile pentru specializarea personalului din cadrul CSIRT-urilor în vederea autorizării conform art. 30 alin. (2) , prin decizie a directorului DNSC.

Articolul 32

(1) CSIRT-urile trebuie să îndeplinească următoarele cerințe:

a) să asigure o disponibilitate ridicată a canalelor de comunicare proprii, evitând punctele unice de defecțiune, dispunând de mai multe mijloace pentru a fi conectate și pentru a contacta alte entități în orice moment;

b) să specifice canalele de comunicare prevăzute la lit. a) și să le aducă la cunoștință bazei de utilizatori și parteneri de cooperare;

c) să mențină sediile și sistemele informatice de suport în amplasamente securizate;

d) să dispună de un sistem adecvat de gestionare și rutare a cererilor;

e) să asigure confidențialitatea și credibilitatea operațiunilor lor;

f) să dispună de personal adecvat pentru a asigura disponibilitatea permanentă a serviciilor lor;

g) să fie echipate cu sisteme redundante și spațiu de lucru de rezervă pentru a asigura continuitatea serviciilor lor, chiar și după un incident;

h) să protejeze datele confidențiale și sensibile ale beneficiarilor serviciilor lor de accesul neautorizat, sustragerea, alterarea sau distrugerea lor, prin măsuri tehnice și procedurale suficiente, adecvate și proporționale.

(2) CSIRT-urile pot acorda prioritate unor cereri de sprijin în temeiul unei abordări bazate pe riscuri.

(3) CSIRT-urile stabilesc relații de cooperare cu părțile interesate relevante în vederea îndeplinirii atribuțiilor acestora.

(4) Pentru a facilita cooperarea prevăzută la alin. (3) , CSIRT-urile promovează adoptarea și utilizarea unor practici, sisteme de clasificare și taxonomii comune sau standardizate în legătură cu:

a) procedurile de gestionare a incidentelor;

b) gestionarea crizelor;

c) divulgarea coordonată a vulnerabilităților, în temeiul art. 36 .

(5) Pachetul minim de servicii de tip CSIRT trebuie să acopere cel puțin funcțiile și controalele sau elementele aferente funcțiilor, de prioritate medie și înaltă, așa cum sunt definite de standardele și cadrele sau platformele recunoscute la nivel internațional în domeniul răspunsului la incidente și al managementului riscului de securitate cibernetică, ce vor fi precizate și actualizate periodic prin ordin al directorului DNSC.

Articolul 33

(1) CSIRT-urile au următoarele responsabilități:

a) monitorizarea și analiza amenințărilor cibernetice, a vulnerabilităților și a incidentelor la nivel național și, la cerere, acordarea de asistență entităților esențiale și entităților importante implicate cu privire la monitorizarea în timp real sau în timp aproape real a rețelei lor și a sistemelor lor informatice în conformitate cu necesitățile acestora;

b) asigurarea unor mecanisme de avertizare timpurii, alerte, anunțuri și diseminare de informații către entitățile esențiale și entitățile importante, precum și către autoritățile competente și alte părți interesate relevante cu privire la amenințări cibernetice, vulnerabilități și incidente în timp aproape real;

c) răspunsul la incidente și acordarea de asistență entităților esențiale și entităților importante implicate, după caz;

d) colectarea și analiza datelor și furnizarea de analize dinamice de risc și de incident și conștientizarea situației în materie de securitate cibernetică;

e) furnizarea, la cererea unei entități esențiale sau a unei entități importante, a unei scanări de securitate a rețelelor și sistemelor informatice ale entității implicate pentru a detecta vulnerabilitățile cu un impact potențial semnificativ;

f) participarea la implementarea unor instrumente securizate de schimb de informații, în conformitate cu art. 20 .

(2) Scanările prevăzute la alin. (1) lit. e) sunt neintruzive și se efectuează pentru a detecta rețelele și sistemele informatice vulnerabile sau configurate în mod nesigur și nu aduc niciun efect negativ funcționalității serviciilor entităților în cauză.

Articolul 34

(1) CSIRT-urile care deservesc entități esențiale sau entități importante se autorizează de către DNSC.

(2) În acest sens, DNSC are următoarele atribuții generale:

a) elaborează și adoptă, prin ordin al directorului DNSC, regulamentul privind autorizarea și verificarea CSIRT-urilor care deservesc entitățile esențiale și entitățile importante și stabilește condițiile de valabilitate pentru autorizațiile acordate, precum și tematicile pentru formarea personalului CSIRT-urilor;

b) acordă, prelungește, suspendă sau retrage, prin decizie a directorului DNSC, autorizarea pentru CSIRT-uri;

c) acordă, prelungește, suspendă sau retrage, prin decizie a directorului DNSC, autorizarea furnizorilor de servicii de formare pentru activitățile specifice CSIRT;

d) verifică, în urma sesizărilor sau din oficiu, îndeplinirea de către CSIRT-urile autorizate a obligațiilor ce le revin.

(3) Autorizările prevăzute la alin. (2) lit. b) au o valabilitate de trei ani.

Articolul 35

(1) DNSC, în calitate de CSIRT național, poate asigura sprijin pentru gestionarea incidentelor:

a) entităților esențiale și entităților importante, la solicitarea acestora;

b) echipelor de răspuns la incidente de securitate cibernetică.

(2) CSIRT național îndeplinește cerințele prevăzute la art. 30 alin. (3) și art. 32 alin. (1) .

(3) CSIRT național poate stabili relații de cooperare cu CSIRT-uri din țări terțe, inclusiv pentru a le oferi asistență reciprocă în materie de securitate cibernetică. În cadrul acestor relații de cooperare, se facilitează un schimb de informații eficace, eficient și securizat cu respectivele CSIRT-uri, utilizând protocoalele relevante de schimb de informații.

(4) CSIRT național poate face schimb de informații relevante cu CSIRT-urile din țări terțe, inclusiv de date cu caracter personal în conformitate cu legislația privind protecția datelor.

Articolul 36

(1) DNSC, în calitate de CSIRT național, este responsabil de gestionarea procesului de divulgare coordonată a vulnerabilităților și este desemnat drept coordonator care acționează ca intermediar de încredere, facilitând, atunci când este necesar, interacțiunea dintre persoana fizică sau juridică care raportează o vulnerabilitate și producătorul sau furnizorul de produse TIC sau servicii TIC potențial vulnerabile, la cererea oricărei părți.

(1¹) În îndeplinirea prevederilor alin. (1) , DNSC se consultă cu un comitet consultativ, fără personalitate juridică, format din autoritățile prevăzute la art. 11 , 12 , 14 - 17 din Legea nr. 58/2023 , care funcționează în baza unui statut elaborat de către DNSC și avizat de autoritățile membre.

(2) În îndeplinirea prevederilor alin. (1) , DNSC:

a) asigură primirea, stocarea și evaluarea raportărilor referitoare la orice vulnerabilitate a unui produs sau serviciu TIC, înaintate în condițiile alin. (3) ;

b) asigură posibilitatea anonimatului persoanei care raportează o vulnerabilitate;

c) identifică și contactează entitățile care produc, dețin sau administrează produse sau servicii TIC care fac obiectul raportării conform alin. (3) , cărora le comunică vulnerabilitățile raportate;

d) facilitează, în măsura în care este necesar, atunci când acționează drept intermediar de încredere, interacțiunea dintre persoana care raportează o vulnerabilitate și producătorul, deținătorul, administratorul sau furnizorul de produse sau servicii TIC potențial vulnerabile, la cererea uneia dintre părți și cu acordul celeilalte părți;

e) dispune măsuri adecvate, conform atribuțiilor sale legale, în legătură cu gestionarea vulnerabilităților raportate de către entitățile care produc, dețin, administrează sau furnizează produse sau servicii TIC care fac obiectul raportării conform alin. (3) ;

f) efectuează, după caz, verificări asupra vulnerabilităților în sistemele informatice, cu sprijinul producătorilor, deținătorilor, administratorilor sau furnizorilor de produse sau servicii TIC potențial vulnerabile;

g) negociază cu entitățile afectate calendarele de divulgare și gestionare a vulnerabilităților care afectează mai multe entități;

h) atunci când o vulnerabilitate raportată ar putea avea un impact semnificativ transfrontalier, cooperează, după caz, cu CSIRT-urile desemnate din cadrul Rețelei CSIRT;

i) emite proceduri, norme tehnice și ghiduri conținând cerințe minime și recomandări pentru raportarea vulnerabilităților și conduita raportorilor, gestionarea acestora de către entități și îndeplinirea de către acestea a obligațiilor conexe, programele private de divulgare a vulnerabilităților și relațiile dintre entități și raportori;

j) poate asista persoanele care raportează o vulnerabilitate.

(3) Orice persoană fizică sau juridică poate raporta către DNSC vulnerabilități ale unor produse sau servicii TIC, cu respectarea prevederilor legale.

(4) Producătorii și furnizorii de produse sau servicii TIC, care sunt entități esențiale sau importante, au obligațiile de a transmite către DNSC toate informațiile cu privire la vulnerabilitățile pe care le identifică, precum și cu privire la vulnerabilitățile care le sunt semnalate de către terți și care le afectează propriile produse sau servicii și de a remedia respectivele vulnerabilități într-un termen stabilit de comun acord cu DNSC.

(5) Persoana fizică sau juridică care raportează conform alin. (3) respectă cel puțin următoarele:

a) activitatea de cercetare pentru descoperirea de vulnerabilității raportate se efectuează cu bună-credință, exclusiv cu scopul de a contribui la îmbunătățirea securității cibernetice și cu respectarea prevederilor legale;

b) activitatea de cercetare se desfășoară fără accesarea sau copierea neautorizată a conținutului fișierelor din sistemele informatice care fac obiectul activității de cercetare;

c) în cadrul activității de cercetare nu sunt șterse sau modificate date din sistemele informatice care fac obiectul activității de cercetare;

d) activitatea de cercetare se desfășoară fără încălcarea sau ocolirea unor bariere tehnice precum parole sau detalii de identificare, prin tehnici precum atacuri brute-force, prin phishing sau alte procedee de inginerie socială;

e) nu se cauzează nicio întrerupere sau deteriorare a produselor sau serviciilor TIC ale terților;

f) activitatea de cercetare nu se desfășoară pentru a derula atacuri, nu produce prejudicii și nu utilizează produse de tip malware sau tehnici de natură să afecteze disponibilitatea serviciilor TIC;

g) nu a dezvăluit public informații cu privire la vulnerabilitatea identificată, anterior sau ulterior momentului raportării, fără acordul DNSC.

(6) Raportarea de la alin. (3) se realizează în termen de cel mult 48 de ore de la identificarea vulnerabilității.

(7) Entitățile care fac obiectul prezentei ordonanțe de urgență au obligația de a institui la nivelul acestora procese de management al vulnerabilităților TIC aferente produselor și serviciilor pe care le oferă și care includ cel puțin următoarele măsuri:

a) asigură primirea raportărilor de vulnerabilități, analiza acestora în vederea confirmării sau infirmării validității celor semnalate, precum și pentru remedierea vulnerabilităților confirmate, inclusiv soluții temporare până la remediere pentru persoanele afectate;

b) cooperarea cu DNSC în procesele de management al vulnerabilităților și de divulgare coordonată a vulnerabilităților;

c) stabilirea și publicarea în cadrul detaliilor de contact tehnic în documente și pe pagina de internet a modalităților de contact și de comunicare privind vulnerabilitățile, precum și a termenilor și condițiilor pentru raportarea de vulnerabilități;

d) asigurarea comunicării și cooperării cu raportorii și cu DNSC în procesul divulgare coordonată a vulnerabilităților, precum și, după caz, cu utilizatorii produselor sau serviciilor potențial vulnerabile.

(8) DNSC notifică Comisiei Europene, fără întârzieri nejustificate, atât calitatea pe care o îndeplinește conform dispozițiilor alin. (1) , cât și sarcinile ce îi revin în exercitarea acestei calități, precum și orice modificări ulterioare ale calității sale ori ale sarcinilor îndeplinite.