Cooperare la nivel european și internațional

Azi

OUG 155/2024 · 6 articole

Articolul 40

(1) DNSC îndeplinește funcția de punct unic de contact la nivel național, calitate în care facilitează cooperarea pentru securitatea rețelelor și a sistemelor informatice cu autorități relevante din state membre, cu Comisia Europeană și cu ENISA, inclusiv pentru alte autorități competente din România.

(2) În calitate de punct unic de contact la nivel național, DNSC îi revin următoarele atribuții:

a) exercită funcția de legătură între autoritățile competente din România și autoritățile cu competențe în aplicare de măsuri pentru un nivel comun ridicat de securitate cibernetică în statele membre, precum și, acolo unde este cazul, cu Comisia Europeană, ENISA, Grupul de cooperare și Rețeaua CSIRT;

b) informează celelalte state membre sau partenere afectate, dacă incidentul are un impact semnificativ asupra continuității serviciilor esențiale ori a serviciilor importante în statele respective;

c) transmite Grupului de cooperare rapoarte de sinteză privind notificările primite și acțiunile întreprinse;

d) transmite autorităților sau CSIRT-urilor naționale ale altor state membre, CSIRT-urilor autorizate de către DNSC conform prevederilor prezentei ordonanțe de urgență, Rețelei EU-CyCLONe, punctelor unice de contact din celelalte state membre, potrivit ariei de responsabilitate, notificările și solicitările privind incidentele ce afectează funcționarea serviciilor esențiale din unul sau mai multe sectoare stabilite în anexele nr. 1 și 2 ;

e) transmite autorităților competente notificările și cererile primite din partea altor state membre, potrivit ariei de responsabilitate;

f) transmite către ENISA, o dată la trei luni, un raport de sinteză ce include date anonimizate și agregate privind incidentele semnificative, incidentele, amenințările cibernetice semnificative și incidentele evitate la limită raportate de către entitățile esențiale și entitățile importante către DNSC, precum și de către orice altă entitate, conform art. 15 și 16 .

Articolul 41

(1) DNSC, în calitate de CSIRT național, participă la Rețeaua CSIRT în scop operațional.

(2) În îndeplinirea acestei calități, DNSC îi revin următoarele atribuții:

a) participă la partajarea, transferul și schimbul de tehnologie între CSIRT-urile parte la Rețea;

b) participă la schimbul de informații privind măsuri, politici, instrumente, procese, bune practici și cadre relevante între CSIRT-urile parte la Rețea;

c) participă la schimbul de informații relevante privind incidentele, incidentele evitate la limită, amenințările cibernetice, riscurile și vulnerabilitățile;

d) participă la schimbul de informații în ceea ce privește publicațiile și recomandările în materie de securitate cibernetică;

e) participă la elaborarea unui răspuns coordonat al Rețelei pentru managementul unui incident identificat pe teritoriul unui alt stat membru;

f) implementează și utilizează specificațiile și protocoalele referitoare la schimbul de informații care să asigure interoperabilitatea cu celelalte CSIRT-uri din cadrul Uniunii Europene;

g) colaborează cu CSIRT-ul național al statului afectat de un incident pentru a facilita schimbul de informații referitoare la incident, la amenințările cibernetice, riscurile și vulnerabilitățile asociate acestuia, la solicitarea statului afectat, membru al Rețelei;

h) sprijină statele membre în abordarea incidentelor cu caracter transfrontalier, în condițiile Legii nr. 58/2023 ;

i) participă la schimbul de bune practici și cooperează cu alte CSIRT-uri desemnate coordonator în ceea ce privește gestionarea divulgării coordonate a vulnerabilităților care ar putea avea un impact semnificativ transfrontalier;

j) participă la bilanțul exercițiilor de securitate cibernetică, inclusiv al celor desfășurate de ENISA;

k) cooperează și participă la schimbul de informații cu centrele operaționale de securitate de la nivel regional și de la nivelul Uniunii Europene pentru a îmbunătăți conștientizarea comună a situației cu privire la incidente și amenințări cibernetice;

l) evaluează rapoartele privind evaluarea inter pares, după caz;

m) oferă orientări pentru a facilita convergența practicilor operaționale în ceea ce privește aplicarea dispozițiilor prezentei ordonanțe de urgență referitoare la cooperarea operațională;

n) transmite, după caz, solicitările de sprijin către ceilalți membri ai Rețelei pentru elaborarea unui răspuns coordonat al Rețelei pentru managementul unui incident identificat pe teritoriul României.

Articolul 42

În scopul facilitării cooperării strategice și schimbului de informații între statele membre, DNSC, în calitatea sa de autoritate competentă responsabilă cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică, participă la Grupul de cooperare instituit la nivelul Uniunii Europene.

Articolul 43

DNSC, în calitate de CNGCSC, participă la EU-CyCLONe pentru a sprijini gestionarea coordonată, la nivel operațional, a incidentelor de securitate cibernetică de mare amploare și a crizelor și pentru a asigura schimbul periodic de informații relevante între statele membre și instituțiile, organizațiile, oficiile și agențiile Uniunii Europene.

Articolul 44

(1) Evaluările inter pares reprezintă procese voluntare și de cooperare desfășurate între statele membre în care experți în materie de securitate cibernetică, desemnați de către cel puțin două state diferite de statul care face obiectul evaluării, analizează reciproc punerea în aplicare a măsurilor de securitate cibernetică și a capacităților operaționale și implică vizite fizice sau întâlniri virtuale, precum și schimburi de date și informații. Grupul de cooperare, în colaborare cu Comisia Europeană și ENISA, elaborează coduri de conduită adecvate care stau la baza metodelor de lucru ale experților desemnați.

(2) În conformitate cu principiul bunei cooperări, DNSC furnizează experților în materie de securitate cibernetică desemnați informațiile necesare pentru evaluare, fără a aduce atingere dreptului național sau dreptului Uniunii privind protecția informațiilor confidențiale sau clasificate și protejării funcțiilor esențiale ale statului, cum ar fi securitatea națională.

(3) Evaluările inter pares acoperă cel puțin unul dintre următoarele:

a) nivelul punerii în aplicare a măsurilor de gestionare a riscurilor în materie de securitate cibernetică și a obligațiilor de raportare stabilite în temeiul prezentei ordonanțe de urgență;

b) nivelul capacităților, inclusiv resursele financiare, tehnice și umane disponibile, precum și eficacitatea exercitării sarcinilor autorităților competente;

c) capacitățile operaționale ale CSIRT-urilor;

d) nivelul de punere în aplicare a asistenței reciproce;

e) nivelul de punere în aplicare a acordurilor privind schimbul de informații în materie de securitate cibernetică;

f) aspecte specifice de natură transfrontalieră sau transsectorială.

(4) DNSC desemnează experți în securitate cibernetică pentru efectuarea evaluărilor inter pares pe baza unei metodologii care include criterii obiective, nediscriminatorii, echitabile și transparente, elaborate de către Grupul de cooperare.

(5) DNSC se asigură că orice risc de conflict de interese în ceea ce privește experții în materie de securitate cibernetică desemnați este dezvăluit celorlalte state membre, Grupului de cooperare, Comisiei și ENISA, înainte de începerea evaluării inter pares.

(6) Atunci când România face obiectul evaluării inter pares, DNSC se poate opune desemnării anumitor experți în materie de securitate cibernetică din motive justificate corespunzător, comunicate statului membru care i-a desemnat. Atunci când un alt stat membru este supus evaluării inter pares, acesta se poate opune desemnării anumitor experți în materie de securitate cibernetică în aceleași condiții precum DNSC.

(7) Experții în materie de securitate cibernetică care participă la evaluări inter pares elaborează rapoarte cu privire la constatările și concluziile evaluărilor inter pares. Rapoartele includ recomandări care să faciliteze îmbunătățirea aspectelor acoperite de evaluarea inter pares și sunt transmise Grupului de cooperare și Rețelei CSIRT atunci când este cazul.

(8) DNSC, atunci când face obiectul unei evaluări inter pares, poate prezenta observații cu privire la proiectele de rapoarte care îl privesc, iar aceste observații se anexează la rapoarte.

(9) DNSC, atunci când face obiectul unei evaluări inter pares, poate decide să pună la dispoziția publicului raportul său sau o versiune anonimizată a acestuia.

(10) Înainte de a începe o evaluare inter pares, DNSC informează statele membre participante cu privire la domeniul de aplicare al acesteia, inclusiv aspectele specifice prevăzute la alin. (3) lit. f) .

(11) Înainte de începerea evaluării inter pares, DNSC poate efectua o autoevaluare a aspectelor analizate și furniza autoevaluarea respectivă experților în materie de securitate cibernetică desemnați.

(12) Orice informație obținută prin intermediul evaluării inter pares este utilizată exclusiv în acest scop. Experții în materie de securitate cibernetică care participă la evaluarea inter pares nu divulgă terților nicio informație sensibilă sau confidențială obținută în cursul evaluării inter pares respective.

(13) Odată ce au făcut obiectul unei evaluări inter pares, aceleași aspecte evaluate în România nu pot face obiectul unei noi evaluări inter pares timp de doi ani de la încheierea evaluării inter pares, cu excepția cazului în care DNSC decide altfel sau se convine astfel la propunerea Grupului de cooperare.

Articolul 45

(1) Atunci când o entitate înregistrată în România ca entitate esențială sau importantă furnizează servicii în mai multe state membre sau furnizează servicii în unul sau mai multe state membre, iar rețeaua și sistemele sale informatice sunt situate în unul sau mai multe alte state membre, DNSC cooperează cu celelalte autorități competente omoloage de la nivelul Uniunii Europene și își oferă asistență reciprocă.

(2) În situația alin. (1) , DNSC poate solicita autorităților competente omoloage de la nivelul Uniunii Europene să exercite atribuții de supraveghere și control și, după caz, DNSC poate aplica amenzi pentru neregulile constatate de către acestea.

(3) Atunci când o entitate furnizează servicii în mai multe state membre, printre care și România, sau furnizează servicii în unul sau mai multe state membre, iar rețeaua și sistemele sale informatice sunt situate în unul sau mai multe alte state membre, printre care și România, DNSC cooperează cu celelalte autorități competente omoloage de la nivelul Uniunii Europene și își oferă asistență reciprocă.

(4) În situația alin. (3) , DNSC poate exercita atribuții de supraveghere și control la solicitarea expresă a autorităților competente omoloage de la nivelul Uniunii Europene. La primirea unei astfel de solicitări, DNSC poate acorda asistență reciprocă celeilalte autorități proporțional cu resursele sale, astfel încât măsurile adoptate să poată fi puse în aplicare într-un mod eficace, eficient și consecvent.

(5) DNSC refuză solicitarea menționată la alin. (4) , atunci când:

a) se stabilește că nu are competența de a furniza asistența solicitată;

b) asistența solicitată excedă competențelor DNSC conform prevederilor legale;

c) solicitarea privește informații sau implică activități care, dacă ar fi divulgate sau desfășurate, ar fi contrare intereselor României, respectiv în domeniul apărării, ordinii publice și securității naționale.

(6) Înainte de a refuza solicitarea menționată la alin. (4) , DNSC consultă, după caz, celelalte autorități competente în cauză, precum și, la cererea unuia dintre statele membre în cauză, Comisia Europeană și ENISA.

(7) Aplicarea prevederilor referitoare la asistența reciprocă se realizează cu respectarea prevederilor Legii nr. 58/2023 .