Cooperare

Azi

OUG 155/2024 · 9 articole

Secțiunea 1 — Cooperare la nivel național

Articolul 37

(1) În vederea asigurării unui nivel comun ridicat de securitate cibernetică la nivel național, DNSC se consultă și cooperează cu următoarele:

a) Autoritatea Națională pentru Administrare și Reglementare în Comunicații, denumită în continuare ANCOM, care este autoritate competentă sectorial în domeniul securității cibernetice, potrivit prevederilor prezentei ordonanțe de urgență, pentru sectorul „8. Infrastructură digitală“: „Furnizorii de IXP (internet exchange point)“, „Furnizorii de servicii de centre de date“, „Furnizorii de rețele publice de comunicații electronice“ și „Furnizorii de servicii de comunicații electronice destinate publicului“ din anexa nr. 1 și pentru sectorul „1. Servicii poștale și de curierat“ din anexa nr. 2 ;

b) autoritățile, astfel cum acestea se identifică în temeiul art. 2 alin. (2) din Regulamentul delegat (UE) 2024/1.366 al Comisiei din 11 martie 2024 de completare a Regulamentului (UE) 2019/943 al Parlamentului European și al Consiliului prin stabilirea unui cod de rețea privind normele sectoriale pentru aspectele legate de securitatea cibernetică a fluxurilor transfrontaliere de energie electrică;

c) Autoritatea pentru Digitalizarea României, denumită în continuare ADR, care este autoritate competentă sectorial în domeniul securității cibernetice, potrivit prevederilor prezentei ordonanțe de urgență, pentru sectorul „8. Infrastructură digitală“: „Prestatorii de servicii de încredere“;

d) alte autorități competente sectorial în domeniul securității cibernetice, conform anexelor nr. 1 și 2 .

(2) În vederea asigurării unui nivel comun ridicat de securitate cibernetică la nivel național, DNSC se coordonează cu CNCPIC și face schimb de informații periodic pentru identificarea entităților esențiale identificate ca fiind entități critice în ceea ce privește riscurile, incidentele și amenințările cibernetice și de altă natură decât cibernetică care le privesc și le afectează, precum și cu privire la măsurile luate ca răspuns la acestea.

(3) DNSC cooperează, colaborează și face schimb periodic de informații cu Banca Națională a României, denumită în continuare BNR, și Autoritatea de Supraveghere Financiară, denumită în continuare ASF, pentru evaluarea și gestionarea riscurilor cibernetice, identificarea vulnerabilităților și implementarea măsurilor de protecție adecvate entităților esențiale și entităților importante din domeniul bancar și al infrastructurilor pieței financiare, astfel:

a) BNR și ASF transmit în timp util către DNSC informații privind incidentele majore legate de TIC și amenințările cibernetice semnificative, raportate de către entitățile cărora li se aplică cerințele Regulamentului DORA, iar DNSC transmite către BNR și ASF informații privind incidentele majore și amenințările cibernetice, raportate de către entitățile esențiale sau importante cărora li se aplică prezenta ordonanță de urgență și care au fost desemnate conform Regulamentului DORA drept furnizori terți esențiali de servicii TIC;

b) BNR și ASF pot solicita orice tip de consultanță și asistență tehnică relevantă din partea DNSC, în limita capacităților și resurselor DNSC, și pot stabili acorduri de cooperare pentru a permite crearea unor mecanisme de coordonare eficace și rapide.

(4) DNSC aplică dispozițiile art. 3 alin. (4) și art. 5 lit. h) pct. 8 și 9 din Ordonanța de urgență a Guvernului nr. 104/2021 .

(5) Autoritatea competentă sectorial va fi desemnată de către ministerele de resort, prin hotărâre a Guvernului.

(6) Atunci când o entitate desfășoară activitate în două sau mai multe sectoare, astfel cum sunt prevăzute în anexele nr. 1 și 2 , acesteia i se aplică măsurile tehnice, operaționale și organizatorice proporționale și adecvate pentru a gestiona riscurile aferente securității rețelelor și a sistemelor informatice de nivelul cel mai ridicat.

(7) Autoritățile, astfel cum sunt stabilite la alin. (1) , pot:

a) constitui CSIRT-uri sectoriale, sens în care monitorizează, identifică, analizează și răspund la amenințările de securitate cibernetică din sectorul corespunzător și oferă servicii publice de tip preventiv, de tip reactiv sau de consultanță pentru managementul securității cibernetice sau pot achiziționa servicii de specialitate de la furnizorii de servicii specifice CSIRT, autorizați de către DNSC;

b) colecta raportări de incidente din propriul sector, potrivit ordinelor comune prevăzute la alin. (8) lit. b) ;

c) derula activități de investigare a incidentelor, sub coordonarea CSIRT național;

d) derula activități tehnice specifice de identificare a vulnerabilităților rețelelor și sistemelor informatice ale entităților care își desfășoară activitatea în domeniile de competență ale acestora, sens în care se consultă și cooperează cu CSIRT național;

e) derula activități de evaluare a incidentelor în scopul identificării principalelor cauze, astfel încât să reducă riscul apariției unor astfel de incidente;

f) elabora ghiduri și recomandări în domeniul securității cibernetice din domeniul de competență pentru asigurarea unei capacități adecvate de identificare, evaluare și adoptare a unor măsuri de management al riscului, răspuns la incidente și atacuri cibernetice, de asigurare a securității lanțului de aprovizionare, precum și de gestionare a situațiilor de criză.

(8) Autoritățile, astfel cum sunt stabilite la alin. (1) , au următoarele atribuții:

a) transmit către DNSC, în măsura în care le dețin, informații și date privind amenințările cibernetice, inclusiv de indicatori de compromitere, tactici, tehnici și proceduri, alerte de securitate cibernetică și instrumente de configurare atunci când aceste schimburi de informații și date vizează sporirea rezilienței operaționale digitale a entităților din domeniul de competență a acestora prin sensibilizarea cu privire la amenințările cibernetice, limitarea sau împiedicarea răspândirii amenințărilor cibernetice, sprijinirea gamei de capacități defensive ale entităților, tehnicile de detectare a amenințărilor, strategiile de atenuare sau etapele proceselor de răspuns și de recuperare;

b) emit ordine comune, împreună cu DNSC, în domeniul securității cibernetice din domeniul de competență, în vederea asigurării unui nivel comun ridicat de securitate cibernetică la nivel național, inclusiv în ceea ce privește măsurile tehnice, operaționale și organizatorice de gestionare a riscurilor, proporționale și adecvate pe care entitățile din domeniul de competență au obligația de a le lua în desfășurarea activității lor, procedura de notificare și de răspuns la incidentele de securitate cibernetică aplicabile entităților din domeniul de competență, pragurile specifice și criteriile de stabilire a impactului incidentelor de securitate din domeniul de competență;

c) monitorizează respectarea actelor normative din domeniul securității cibernetice, elaborate potrivit lit. b) , de către entitățile din domeniul de competență și realizează activități de supraveghere și control, potrivit prevederilor prezentei ordonanțe de urgență, aplicând în mod corespunzător art. 46 alin. (1) și (4)-(9) , art. 47 alin. (1)-(7) , art. 48-50 , art. 51 alin. (1) și art. 57 .

(9) Autoritățile, astfel cum sunt stabilite la alin. (1) , au următoarele obligații:

a) sprijină DNSC în identificarea entităților esențiale și entităților importante din domeniul de competență conform art. 5-10 ;

b) participă la elaborarea criteriilor de stabilire a impactului incidentelor, la cererea DNSC;

c) asigură armonizarea reglementărilor sectoriale în domeniul securității cibernetice cu dispozițiile actelor de reglementare emise de către DNSC;

d) se coordonează cu DNSC cu privire la planificarea și derularea activităților de control care au ca obiect aspecte de securitate cibernetică;

e) transmit către DNSC informațiile privitoare la încălcările dispozițiilor prezentei ordonanțe de urgență, în vederea sprijinirii DNSC în stabilirea măsurilor de remediere și a sancțiunii.

f) fac schimb de informații relevante în mod periodic, inclusiv în ceea ce privește incidentele și amenințările cibernetice relevante.

(10) Autoritățile competente sectorial sunt, de asemenea, împuternicite să asigure supravegherea, controlul și sancționarea în aplicarea prevederilor prezentei ordonanțe de urgență, precum și ale regulamentelor Uniunii Europene din domeniul securității cibernetice și ale actelor de punere în aplicare a dispozițiilor Directivei (UE) 2022/2.555 care vizează entitățile din sectorul lor de competență potrivit prezentei ordonanțe de urgență, în cazul în care competențele de supraveghere, control și sancționare ale Regulamentelor, respectiv ale actelor de punere în aplicare nu au fost acordate altei autorități.

(11) Controlul realizat în temeiul alin. (10) se desfășoară, după caz, împreună cu personal de control sau de specialitate din cadrul DNSC.

(12) Autoritățile competente sectorial își pot exercita atribuțiile de supraveghere și control prevăzute de prezenta ordonanță de urgență inclusiv la solicitarea motivată a CNCPIC, pentru entitățile identificate critice conform dispozițiilor legale privind reziliența entităților critice.

(13) Aplicarea actelor juridice ale Uniunii Europene nu derogă de la celelalte obligații care revin entităților esențiale și entităților importante conform dispozițiilor prezentei ordonanțe de urgență.

(14) În cazul în care actele juridice sectoriale ale Uniunii Europene impun entităților esențiale sau entităților importante să adopte măsuri de gestionare a riscurilor în materie de securitate cibernetică sau să raporteze incidentele semnificative, iar cerințele respective au un efect cel puțin echivalent cu efectul obligațiilor prevăzute în prezenta ordonanță de urgență, dispozițiile prezentei ordonanțe de urgență privind măsurile de gestionare a riscurilor, raportarea incidentelor, precum și supravegherea, verificarea și controlul nu se aplică acestor entități. În cazul în care actele juridice sectoriale ale Uniunii Europene nu acoperă toate entitățile dintr-un anumit sector care intră în domeniul de aplicare a prezentei ordonanțe de urgență, dispozițiile relevante ale prezentei ordonanțe de urgență se aplică în continuare entităților care nu fac obiectul respectivelor acte juridice sectoriale ale Uniunii Europene.

(15) Cerințele menționate la alin. (14) sunt considerate echivalente în privința efectului cu obligațiile prevăzute în prezenta ordonanță de urgență, în cazul în care îndeplinește cel puțin o condiție dintre următoarele:

a) măsurile de gestionare a riscurilor în materie de securitate cibernetică sunt cel puțin echivalente în privința efectului cu cele prevăzute la art. 13 ;

b) actul juridic sectorial al Uniunii Europene prevede accesul imediat, după caz, automat și direct, la raportarea incidentelor pentru CSIRT-uri, autoritățile competente sau punctele unice de contact în temeiul prezentei ordonanțe de urgență și dacă cerințele de raportare a incidentelor semnificative au un efect cel puțin echivalent cu cele prevăzute la art. 15 .

(16) Dispozițiile alin. (7)-(14) nu se aplică BNR și ASF.

(17) Prin ordinul comun prevăzut la alin. (8) lit. b) se pot stabili modalitățile de implementare a dispozițiilor art. 11 , art. 13 , art. 15 alin. (1) , (3) , (5)-(10) și art. 16 .

(18) DNSC cooperează și colaborează cu Autoritatea Aeronautică Civilă Română, denumită în continuare AACR, autoritate competentă în temeiul art. 6 alin. (1) din Regulamentul de punere în aplicare (UE) 2023/203 al Comisiei din 27 octombrie 2022 de stabilire a normelor de aplicare a Regulamentului (UE) 2018/1.139 al Parlamentului European și al Consiliului în ceea ce privește cerințele referitoare la managementul riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației, impuse organizațiilor care intră sub incidența Regulamentelor (UE) nr. 1.321/2014, (UE) nr. 965/2012, (UE) nr. 1.178/2011, (UE) 2015/340 ale Comisiei și a Regulamentelor de punere în aplicare (UE) 2017/373 și (UE) 2021/664 ale Comisiei, precum și autorităților competente care intră sub incidența Regulamentelor (UE) nr. 748/2012, (UE) nr. 1.321/2014, (UE) nr. 965/2012, (UE) nr. 1.178/2011, (UE) 2015/340 și (UE) nr. 139/2014 ale Comisiei și a Regulamentelor de punere în aplicare (UE) 2017/373 și (UE) 2021/664 ale Comisiei, și de modificare a Regulamentelor (UE) nr. 1.178/2011, (UE) nr. 748/2012, (UE) nr. 965/2012, (UE) nr. 139/2014, (UE) nr. 1.321/2014, (UE) 2015/340 ale Comisiei și a Regulamentelor de punere în aplicare (UE) 2017/373 și (UE) 2021/664 ale Comisiei și la art. 5 alin. (1) din Regulamentul delegat (UE) 2022/1.645 al Comisiei din 14 iulie 2022 de stabilire a normelor de aplicare a Regulamentului (UE) 2018/1.139 al Parlamentului European și al Consiliului în ceea ce privește cerințele referitoare la managementul riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației impuse organizațiilor care intră sub incidența Regulamentelor (UE) nr. 748/2012 și (UE) nr. 139/2014 ale Comisiei și de modificare a Regulamentelor (UE) nr. 748/2012 și (UE) nr. 139/2014 ale Comisiei, pentru evaluarea și gestionarea riscurilor cibernetice, identificarea vulnerabilităților și implementarea măsurilor de protecție adecvate entităților din domeniul transporturilor aeriene prevăzute în anexa nr. 1 , sectorul Transporturi, subsectorul Transport aerian la prezenta ordonanță de urgență, astfel:

a) AACR și DNSC cooperează pentru gestionarea incidentelor și amenințărilor cibernetice semnificative, raportate de către entitățile care intră în competența AACR, iar DNSC transmite către AACR informații privind incidentele și amenințările cibernetice, raportate de către entitățile care intră în competența AACR și cărora li se aplică prezenta ordonanță de urgență;

b) AACR poate solicita consultanță și asistență tehnică relevantă din partea DNSC, în limita capacităților și resurselor DNSC, și se pot stabili acorduri de cooperare între cele două autorități pentru a permite crearea unor mecanisme de coordonare eficace și rapide.

(19) DNSC informează Forumul de supraveghere instituit în temeiul art. 32 alin. (1) din Regulamentul (UE) 2022/2.554 atunci când își exercită competențele de supraveghere și control menite să asigure respectarea prezentei ordonanțe de urgență de către o entitate esențială sau importantă, care este desemnată ca fiind un furnizor terț de servicii TIC critice în temeiul art. 31 din Regulamentul (UE) 2022/2.554.

(20) În vederea asigurării unui nivel comun ridicat de securitate cibernetică la nivel național în domeniul transformării digitale și societății informaționale, DNSC cooperează cu ADR în ceea ce privește riscurile, incidentele și amenințările cibernetice.

(21) În vederea îndeplinirii atribuțiilor ce le revin în temeiul prevederilor prezentei ordonanțe de urgență, autoritățile competente sectorial se asigură că dețin personal suficient și competent și că dispun de resurse adecvate pentru a-și îndeplini în mod eficace și eficient atribuțiile.

Articolul 38

(1) În exercitarea atribuțiilor prevăzute la art. 37 alin. (8) lit. b) , DNSC și autoritatea competentă sectorial au obligația de a respecta procedura de consultare stabilită prin prezentul articol ori de câte ori măsurile pe care intenționează să le adopte sunt de natură să producă un impact semnificativ în domeniul securității cibernetice în sectorul corespunzător.

(2) DNSC și autoritatea competentă sectorial au obligația de a publica textul supus consultării pe paginile de internet proprii, precizând, totodată, și: data publicării documentului, data la care expiră termenul de depunere a observațiilor și data estimativă la care intenționează să adopte măsura care face obiectul consultării.

(3) De la data la care textul supus consultării este publicat pe paginile de internet, DNSC și autoritatea competentă sectorial vor acorda un termen de cel puțin 30 de zile pentru depunerea de observații, în scris, de către orice persoană interesată. În situațiile în care este necesară adoptarea unor măsuri în regim de urgență, DNSC și autoritatea competentă sectorial vor acorda pentru depunerea de observații un termen de 10 până la 30 de zile.

(4) Cel mai târziu la data publicării pe pagina de internet a proiectului ordinului prin care se adoptă măsura, DNSC și autoritatea competentă sectorial au obligația de a publica și un material de sinteză comun cu observațiile primite, în care vor preciza și poziția lor față de aceste observații.

(5) DNSC și autoritatea competentă sectorial pot decide, de comun acord, ca numai DNSC sau numai autoritatea competentă sectorial să desfășoare procedura de consultare publică. În acest caz, fiecare autoritate aplică procedura aplicabilă propriilor sale acte, cu respectarea unui dialog permanent între cele două instituții implicate.

Articolul 39

(1) Pentru asigurarea unui nivel comun ridicat de securitate cibernetică la nivel național, DNSC se consultă și cooperează cu:

a) Serviciul Român de Informații, pentru securitatea rețelelor și a sistemelor informatice care asigură servicii esențiale a căror afectare aduce atingere securității naționale;

b) Ministerul Apărării Naționale, pentru securitatea rețelelor și a sistemelor informatice care asigură servicii esențiale în sprijinul activităților privind apărarea națională;

c) Ministerul Afacerilor Interne, Oficiul Registrului Național al Informațiilor Secrete de Stat, Serviciul de Informații Externe, Serviciul de Telecomunicații Speciale și Serviciul de Protecție și Pază, pentru securitatea rețelelor și a sistemelor informatice care asigură servicii esențiale în domeniul lor de activitate și responsabilitate.

(2) DNSC se consultă și cooperează, după caz, cu:

a) organele de urmărire penală;

b) Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, denumită în continuare ANSPDCP, în cazul incidentelor care au ca rezultat încălcarea securității datelor cu caracter personal, în condițiile legii.

Secțiunea a 2-a — Cooperare la nivel european și internațional

Articolul 40

(1) DNSC îndeplinește funcția de punct unic de contact la nivel național, calitate în care facilitează cooperarea pentru securitatea rețelelor și a sistemelor informatice cu autorități relevante din state membre, cu Comisia Europeană și cu ENISA, inclusiv pentru alte autorități competente din România.

(2) În calitate de punct unic de contact la nivel național, DNSC îi revin următoarele atribuții:

a) exercită funcția de legătură între autoritățile competente din România și autoritățile cu competențe în aplicare de măsuri pentru un nivel comun ridicat de securitate cibernetică în statele membre, precum și, acolo unde este cazul, cu Comisia Europeană, ENISA, Grupul de cooperare și Rețeaua CSIRT;

b) informează celelalte state membre sau partenere afectate, dacă incidentul are un impact semnificativ asupra continuității serviciilor esențiale ori a serviciilor importante în statele respective;

c) transmite Grupului de cooperare rapoarte de sinteză privind notificările primite și acțiunile întreprinse;

d) transmite autorităților sau CSIRT-urilor naționale ale altor state membre, CSIRT-urilor autorizate de către DNSC conform prevederilor prezentei ordonanțe de urgență, Rețelei EU-CyCLONe, punctelor unice de contact din celelalte state membre, potrivit ariei de responsabilitate, notificările și solicitările privind incidentele ce afectează funcționarea serviciilor esențiale din unul sau mai multe sectoare stabilite în anexele nr. 1 și 2 ;

e) transmite autorităților competente notificările și cererile primite din partea altor state membre, potrivit ariei de responsabilitate;

f) transmite către ENISA, o dată la trei luni, un raport de sinteză ce include date anonimizate și agregate privind incidentele semnificative, incidentele, amenințările cibernetice semnificative și incidentele evitate la limită raportate de către entitățile esențiale și entitățile importante către DNSC, precum și de către orice altă entitate, conform art. 15 și 16 .

Articolul 41

(1) DNSC, în calitate de CSIRT național, participă la Rețeaua CSIRT în scop operațional.

(2) În îndeplinirea acestei calități, DNSC îi revin următoarele atribuții:

a) participă la partajarea, transferul și schimbul de tehnologie între CSIRT-urile parte la Rețea;

b) participă la schimbul de informații privind măsuri, politici, instrumente, procese, bune practici și cadre relevante între CSIRT-urile parte la Rețea;

c) participă la schimbul de informații relevante privind incidentele, incidentele evitate la limită, amenințările cibernetice, riscurile și vulnerabilitățile;

d) participă la schimbul de informații în ceea ce privește publicațiile și recomandările în materie de securitate cibernetică;

e) participă la elaborarea unui răspuns coordonat al Rețelei pentru managementul unui incident identificat pe teritoriul unui alt stat membru;

f) implementează și utilizează specificațiile și protocoalele referitoare la schimbul de informații care să asigure interoperabilitatea cu celelalte CSIRT-uri din cadrul Uniunii Europene;

g) colaborează cu CSIRT-ul național al statului afectat de un incident pentru a facilita schimbul de informații referitoare la incident, la amenințările cibernetice, riscurile și vulnerabilitățile asociate acestuia, la solicitarea statului afectat, membru al Rețelei;

h) sprijină statele membre în abordarea incidentelor cu caracter transfrontalier, în condițiile Legii nr. 58/2023 ;

i) participă la schimbul de bune practici și cooperează cu alte CSIRT-uri desemnate coordonator în ceea ce privește gestionarea divulgării coordonate a vulnerabilităților care ar putea avea un impact semnificativ transfrontalier;

j) participă la bilanțul exercițiilor de securitate cibernetică, inclusiv al celor desfășurate de ENISA;

k) cooperează și participă la schimbul de informații cu centrele operaționale de securitate de la nivel regional și de la nivelul Uniunii Europene pentru a îmbunătăți conștientizarea comună a situației cu privire la incidente și amenințări cibernetice;

l) evaluează rapoartele privind evaluarea inter pares, după caz;

m) oferă orientări pentru a facilita convergența practicilor operaționale în ceea ce privește aplicarea dispozițiilor prezentei ordonanțe de urgență referitoare la cooperarea operațională;

n) transmite, după caz, solicitările de sprijin către ceilalți membri ai Rețelei pentru elaborarea unui răspuns coordonat al Rețelei pentru managementul unui incident identificat pe teritoriul României.

Articolul 42

În scopul facilitării cooperării strategice și schimbului de informații între statele membre, DNSC, în calitatea sa de autoritate competentă responsabilă cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică, participă la Grupul de cooperare instituit la nivelul Uniunii Europene.

Articolul 43

DNSC, în calitate de CNGCSC, participă la EU-CyCLONe pentru a sprijini gestionarea coordonată, la nivel operațional, a incidentelor de securitate cibernetică de mare amploare și a crizelor și pentru a asigura schimbul periodic de informații relevante între statele membre și instituțiile, organizațiile, oficiile și agențiile Uniunii Europene.

Articolul 44

(1) Evaluările inter pares reprezintă procese voluntare și de cooperare desfășurate între statele membre în care experți în materie de securitate cibernetică, desemnați de către cel puțin două state diferite de statul care face obiectul evaluării, analizează reciproc punerea în aplicare a măsurilor de securitate cibernetică și a capacităților operaționale și implică vizite fizice sau întâlniri virtuale, precum și schimburi de date și informații. Grupul de cooperare, în colaborare cu Comisia Europeană și ENISA, elaborează coduri de conduită adecvate care stau la baza metodelor de lucru ale experților desemnați.

(2) În conformitate cu principiul bunei cooperări, DNSC furnizează experților în materie de securitate cibernetică desemnați informațiile necesare pentru evaluare, fără a aduce atingere dreptului național sau dreptului Uniunii privind protecția informațiilor confidențiale sau clasificate și protejării funcțiilor esențiale ale statului, cum ar fi securitatea națională.

(3) Evaluările inter pares acoperă cel puțin unul dintre următoarele:

a) nivelul punerii în aplicare a măsurilor de gestionare a riscurilor în materie de securitate cibernetică și a obligațiilor de raportare stabilite în temeiul prezentei ordonanțe de urgență;

b) nivelul capacităților, inclusiv resursele financiare, tehnice și umane disponibile, precum și eficacitatea exercitării sarcinilor autorităților competente;

c) capacitățile operaționale ale CSIRT-urilor;

d) nivelul de punere în aplicare a asistenței reciproce;

e) nivelul de punere în aplicare a acordurilor privind schimbul de informații în materie de securitate cibernetică;

f) aspecte specifice de natură transfrontalieră sau transsectorială.

(4) DNSC desemnează experți în securitate cibernetică pentru efectuarea evaluărilor inter pares pe baza unei metodologii care include criterii obiective, nediscriminatorii, echitabile și transparente, elaborate de către Grupul de cooperare.

(5) DNSC se asigură că orice risc de conflict de interese în ceea ce privește experții în materie de securitate cibernetică desemnați este dezvăluit celorlalte state membre, Grupului de cooperare, Comisiei și ENISA, înainte de începerea evaluării inter pares.

(6) Atunci când România face obiectul evaluării inter pares, DNSC se poate opune desemnării anumitor experți în materie de securitate cibernetică din motive justificate corespunzător, comunicate statului membru care i-a desemnat. Atunci când un alt stat membru este supus evaluării inter pares, acesta se poate opune desemnării anumitor experți în materie de securitate cibernetică în aceleași condiții precum DNSC.

(7) Experții în materie de securitate cibernetică care participă la evaluări inter pares elaborează rapoarte cu privire la constatările și concluziile evaluărilor inter pares. Rapoartele includ recomandări care să faciliteze îmbunătățirea aspectelor acoperite de evaluarea inter pares și sunt transmise Grupului de cooperare și Rețelei CSIRT atunci când este cazul.

(8) DNSC, atunci când face obiectul unei evaluări inter pares, poate prezenta observații cu privire la proiectele de rapoarte care îl privesc, iar aceste observații se anexează la rapoarte.

(9) DNSC, atunci când face obiectul unei evaluări inter pares, poate decide să pună la dispoziția publicului raportul său sau o versiune anonimizată a acestuia.

(10) Înainte de a începe o evaluare inter pares, DNSC informează statele membre participante cu privire la domeniul de aplicare al acesteia, inclusiv aspectele specifice prevăzute la alin. (3) lit. f) .

(11) Înainte de începerea evaluării inter pares, DNSC poate efectua o autoevaluare a aspectelor analizate și furniza autoevaluarea respectivă experților în materie de securitate cibernetică desemnați.

(12) Orice informație obținută prin intermediul evaluării inter pares este utilizată exclusiv în acest scop. Experții în materie de securitate cibernetică care participă la evaluarea inter pares nu divulgă terților nicio informație sensibilă sau confidențială obținută în cursul evaluării inter pares respective.

(13) Odată ce au făcut obiectul unei evaluări inter pares, aceleași aspecte evaluate în România nu pot face obiectul unei noi evaluări inter pares timp de doi ani de la încheierea evaluării inter pares, cu excepția cazului în care DNSC decide altfel sau se convine astfel la propunerea Grupului de cooperare.

Articolul 45

(1) Atunci când o entitate înregistrată în România ca entitate esențială sau importantă furnizează servicii în mai multe state membre sau furnizează servicii în unul sau mai multe state membre, iar rețeaua și sistemele sale informatice sunt situate în unul sau mai multe alte state membre, DNSC cooperează cu celelalte autorități competente omoloage de la nivelul Uniunii Europene și își oferă asistență reciprocă.

(2) În situația alin. (1) , DNSC poate solicita autorităților competente omoloage de la nivelul Uniunii Europene să exercite atribuții de supraveghere și control și, după caz, DNSC poate aplica amenzi pentru neregulile constatate de către acestea.

(3) Atunci când o entitate furnizează servicii în mai multe state membre, printre care și România, sau furnizează servicii în unul sau mai multe state membre, iar rețeaua și sistemele sale informatice sunt situate în unul sau mai multe alte state membre, printre care și România, DNSC cooperează cu celelalte autorități competente omoloage de la nivelul Uniunii Europene și își oferă asistență reciprocă.

(4) În situația alin. (3) , DNSC poate exercita atribuții de supraveghere și control la solicitarea expresă a autorităților competente omoloage de la nivelul Uniunii Europene. La primirea unei astfel de solicitări, DNSC poate acorda asistență reciprocă celeilalte autorități proporțional cu resursele sale, astfel încât măsurile adoptate să poată fi puse în aplicare într-un mod eficace, eficient și consecvent.

(5) DNSC refuză solicitarea menționată la alin. (4) , atunci când:

a) se stabilește că nu are competența de a furniza asistența solicitată;

b) asistența solicitată excedă competențelor DNSC conform prevederilor legale;

c) solicitarea privește informații sau implică activități care, dacă ar fi divulgate sau desfășurate, ar fi contrare intereselor României, respectiv în domeniul apărării, ordinii publice și securității naționale.

(6) Înainte de a refuza solicitarea menționată la alin. (4) , DNSC consultă, după caz, celelalte autorități competente în cauză, precum și, la cererea unuia dintre statele membre în cauză, Comisia Europeană și ENISA.

(7) Aplicarea prevederilor referitoare la asistența reciprocă se realizează cu respectarea prevederilor Legii nr. 58/2023 .