Supraveghere, verificare și control

Azi

OUG 155/2024 · 11 articole

Secțiunea 1 — Entități esențiale și entități importante

Articolul 46

(1) În scopul asigurării respectării dispozițiilor prezentei ordonanțe de urgență, precum și a actelor normative subsecvente de către entități, DNSC poate:

a) derula activități de supraveghere, verificare și control efectuate de persoane desemnate în acest sens prin decizie a directorului DNSC;

b) dispune efectuarea de audituri de securitate ad-hoc, realizate de un auditor de securitate cibernetică atestat;

c) solicita informații necesare pentru a evalua măsurile de gestionare a riscurilor în materie de securitate cibernetică adoptate de entitatea în cauză, inclusiv politicile de securitate cibernetică documentate, precum și respectarea obligației de a transmite informații către DNSC în temeiul art. 18 ;

d) solicita acces la date, la documente și la orice informații necesare pentru îndeplinirea sarcinilor lor de supraveghere;

e) solicita date, documente și orice informații care atestă punerea în aplicare a politicilor în materie de securitate cibernetică, cum ar fi rezultatele auditurilor de securitate cibernetică efectuate de un auditor atestat și mijloacele de probă care stau la baza acestora.

(2) Activitatea de control se realizează în baza planului de control anual aprobat prin decizie a directorului DNSC, după avizarea acestuia de către adjunctul directorului DNSC care coordonează activitatea de reglementare și control, sau în următoarele cazuri, fără a fi limitate la acestea:

a) un incident semnificativ;

b) indicii temeinice cu privire la încălcarea dispozițiilor prezentei ordonanțe de urgență de către o entitate.

(3) Activitatea de supraveghere și control se realizează de către DNSC inclusiv la solicitarea motivată a CNCPIC pentru entitățile identificate critice conform dispozițiilor legale privind reziliența entităților critice.

(4) În cazul entităților importante, supravegherea conform alin. (1) lit. a) se realizează doar pentru punerea în aplicare a art. 48 alin. (2) lit. b)-g) .

(5) În vederea punerii în aplicare a alin. (1) lit. a) cu privire la entitățile esențiale și entitățile importante, DNSC poate efectua scanări de securitate cibernetică neintruzive și proactive, bazate pe criterii obiective, nediscriminatorii, echitabile și transparente pentru evaluarea riscurilor, cu notificarea prealabilă a entității în cauză și, după caz, în cooperare cu aceasta.

(6) În vederea punerii în aplicare a alin. (2) , DNSC poate solicita accesul la date, echipamente hardware și software, precum și informații de la personalul entităților în vederea îndeplinirii sarcinilor de supraveghere și control.

(7) Cu ocazia desfășurării auditului de securitate cibernetică în condițiile prevăzute la art. 11 alin. (5) sau, după caz, alin. (6) , se realizează o evaluare sistematică a tuturor politicilor, procedurilor și măsurilor de protecție implementate la nivelul unor rețele și sisteme informatice, în vederea identificării disfuncționalităților și vulnerabilităților și recomandării măsurilor de remediere a acestora.

(8) În termen de cel mult 5 zile de la finalizarea oricărui audit de securitate cibernetică, entitatea auditată transmite către DNSC și, după caz, autorității competente sectorial rezultatele acestuia.

(9) Costurile generate de auditul de securitate cibernetică, inclusiv cel ad-hoc, sunt suportate de către entitatea auditată.

Articolul 47

(1) În aplicarea dispozițiilor privind solicitările prevăzute la art. 46 alin. (1) lit. c)-e) , DNSC va preciza scopul și informațiile solicitate, precum și termenul în care entitatea trebuie să se conformeze, ținând cont de urgența solicitării.

(2) Constatările ca urmare a îndeplinirii activităților de supraveghere, verificare și control prevăzute la art. 46 alin. (1) sunt consemnate de personalul de control desemnat în nota de constatare.

(3) În cazul în care prin nota de constatare prevăzută la alin. (2) sunt reținute fapte care ar putea constitui una dintre contravențiile prevăzute la art. 60 , nota de constatare se comunică entității în cauză pentru a transmite un punct de vedere cu privire la deficiențele constatate, solicitându-se, dacă este cazul, un plan de măsuri pentru remedierea acestora.

(4) Punctul de vedere prevăzut la alin. (3) va fi comunicat în termen de 3 zile de la primirea notei de constatare transmise de către DNSC, cu excepția cazului în care entitatea notificată solicită prelungirea termenului în vederea obținerii unor acte doveditoare în susținerea punctului de vedere menționat, caz în care termenul nu poate depăși 10 zile.

(5) În cel mult 15 zile lucrătoare de la data primirii notei de constatare conform alin. (3) sau transmiterii punctului de vedere conform alin. (3) , după caz, entitățile sunt obligate să întocmească și să transmită către DNSC planul de măsuri pentru remedierea tuturor deficiențelor constatate și termenele asumate pentru implementarea acestora. Entitățile sunt obligate să implementeze planul de măsuri în termenul asumat, să notifice DNSC cu privire la implementarea tuturor măsurilor prevăzute în cadrul planului și să pună la dispoziție acte doveditoare în acest sens, în cel mult cinci zile de la împlinirea termenului asumat.

(6) Termenele prevăzute la alin. (5) trebuie să fie justificate prin prisma circumstanțierii măsurii prin care se remediază deficiența.

(7) Nota de constatare prevăzută la alin. (2) , punctul de vedere prevăzut la alin. (3) , precum și planul de măsuri prevăzut la alin. (5) , atunci când acestea au fost furnizate, stau la baza deciziei directorului DNSC prin care se constată contravenția și se dispune sancțiunea corespunzătoare.

(8) Normele de aplicare și metodologia de prioritizare pe bază de risc a activităților de supraveghere, verificare și control sunt emise prin ordin al directorului DNSC.

Articolul 48

(1) În vederea îndeplinirii atribuțiilor care îi revin, precum și pentru asigurarea respectării dispozițiilor prezentei ordonanțe de urgență de către entități, DNSC aplică următoarele sancțiuni:

a) avertisment;

b) amendă contravențională.

(2) DNSC poate dispune, după caz, următoarele:

a) adoptarea unor măsuri atunci când acestea sunt necesare pentru a preveni sau remedia un incident, precum și termene- limită pentru punerea în aplicare a acestor măsuri, inclusiv a unui audit ad-hoc;

b) remedierea deficiențelor identificate în aplicarea lit. a) ;

c) încetarea conduitei entităților prin care încalcă dispozițiile prezentei ordonanțe de urgență;

d) punerea în aplicare a recomandărilor formulate ca urmare a unui audit de securitate;

e) desemnarea unei persoane din cadrul personalului de control cu sarcini bine definite pe o perioadă de timp determinată, responsabilă cu supravegherea respectării de către entitatea esențială în cauză a dispozițiilor art. 11-14 ;

f) respectarea măsurilor de gestionare a riscurilor în materie de securitate cibernetică prevăzute la art. 11-14 și a obligațiilor de raportare prevăzute la art. 15 , într-o anumită modalitate și într-un interval de timp;

g) ca încălcările dispozițiilor prezentei ordonanțe de urgență să fie făcute publice de către entitatea responsabilă.

(3) Atunci când, în urma aplicării dispozițiilor art. 46 alin. (1) lit. b) , auditul ad-hoc relevă încălcarea prevederilor prezentei ordonanțe de urgență, aceasta este sancționabilă conform alin. (1) lit. a) .

(4) DNSC poate dispune entităților să informeze, într-un termen anume determinat, persoanele cărora le prestează un serviciu sau cu care desfășoară activități, dacă acestea au fost sau pot fi afectate de o amenințare cibernetică semnificativă, cu privire la următoarele:

a) caracterul amenințării;

b) măsurile de protecție sau de remediere pe care persoanele afectate le pot adopta în vederea prevenirii producerii incidentului semnificativ sau în vederea remedierii acestuia.

(5) Măsurile prevăzute la alin. (1) și (2) se dispun prin decizie a directorului DNSC și se comunică entității în cauză în cel mult 60 de zile de la emiterea deciziei.

Articolul 49

(1) Atunci când măsurile prevăzute la art. 48 nu sunt suficiente pentru a determina respectarea de către entitățile esențiale a solicitărilor de remediere a deficiențelor într-un termen rezonabil, prin decizie a directorului DNSC, se poate dispune:

a) sesizarea autorităților, instituțiilor sau entităților competente sectorial în vederea suspendării temporare a certificării sau a autorizării emise pentru entitatea în cauză, pentru o parte sau pentru toate serviciile relevante furnizate sau pentru activitățile relevante desfășurate de entitatea respectivă;

b) sesizarea autorităților, instituțiilor sau entităților competente pentru a impune interdicția temporară de a exercita funcția de conducere la nivel de director executiv sau de reprezentant legal în entitatea în cauză.

(2) Suspendarea și interdicția temporară impuse în temeiul alin. (1) se aplică până când DNSC notifică autoritățile, instituțiile sau entitățile competente conform alin. (1) încetarea cauzei pentru care acestea au fost dispuse.

(3) Măsurile prevăzute la alin. (1) nu se aplică entităților din administrația publică care intră în domeniul de aplicare al prezentei ordonanțe de urgență.

Articolul 50

(1) Stabilirea măsurilor prevăzute la art. 48 și 49 se face cu evaluarea a cel puțin:

a) durata faptei;

b) existența unei abateri anterioare;

c) prejudiciile materiale sau nonmateriale cauzate prin faptă;

d) măsurile adoptate de entitate în vederea prevenirii sau remedierii efectelor faptei;

e) conduita entității în raport cu mecanismele de certificare la care a aderat sau codurile de conduită asumate;

f) conduita persoanelor responsabile în raport cu autoritățile competente.

(2) Următoarele fapte constituie încălcări grave:

a) încălcări repetate;

b) obstrucționarea auditurilor, a activității de monitorizare dispuse de DNSC în urma constatărilor sau a activității de control desfășurate de către DNSC ori de către autoritatea competentă sectorial;

c) furnizarea de informații false sau vădit denaturate în ceea ce privește măsurile de gestionare a riscurilor în materie de securitate cibernetică prevăzute la art. 11-14 sau obligațiile de raportare prevăzute la art. 15 ;

d) îngrădirea accesului personalului desemnat în acest sens de către DNSC în spațiile supuse controlului, precum și asupra datelor și informațiilor necesare controlului;

e) nerespectarea dispozițiilor DNSC emise în temeiul art. 48 alin. (2) .

(3) Organele de conducere ale entității răspund pentru permiterea accesului personalului, desemnat în acest sens de către DNSC, în spațiile supuse controlului, cât și asupra datelor și informațiilor necesare controlului.

(4) Adunarea generală a acționarilor și consiliul de administrație nu sunt organe de conducere a entităților esențiale și importante în sensul prezentei ordonanțe de urgență.

Articolul 51

(1) DNSC sau, după caz, autoritatea competentă sectorial informează CNCPIC atunci când își exercită competențele de supraveghere și control asupra unei entități esențiale identificate drept entitate critică în conformitate cu dispozițiile legale privind reziliența entităților critice.

(2) CNCPIC poate solicita DNSC să își exercite competențele de supraveghere și control asupra unei entități esențiale identificate drept entitate critică în conformitate cu dispozițiile legale privind reziliența entităților critice.

Articolul 52

DNSC poate propune împuternicirea prin hotărâre de Guvern a altor autorități competente sectorial în domeniul securității cibernetice pentru domeniul de competență corespunzător în vederea îndeplinirii atribuțiilor prevăzute la art. 46-51 și art. 60-63 .

Secțiunea a 2-a — CSIRT-uri, auditori și furnizori de servicii de formare pentru securitate cibernetică

Articolul 53

(1) DNSC supraveghează, verifică și controlează activitatea CSIRT-urilor proprii ale entităților esențiale și entităților importante sau CSIRT-urilor sectoriale, a furnizorilor de servicii specifice CSIRT, precum și a auditorilor de securitate cibernetică, atunci când acestea prestează servicii de specialitate entităților esențiale și entităților importante.

(2) DNSC, în exercitarea atribuțiilor de supraveghere, verificare și control, în cazul neîndeplinirii obligațiilor de către CSIRT-urile proprii ale entităților esențiale și entităților importante sau CSIRT-urile sectoriale, furnizorii de servicii specifice CSIRT, precum și auditorii de securitate cibernetică, desfășoară activități de control cu scopul verificării îndeplinirii obligațiilor, cerințelor și responsabilităților prevăzute la art. 31-33 , emite dispoziții cu caracter obligatoriu în vederea conformării și remedierii deficiențelor constatate și stabilește termene în vederea conformării acestora, instituie măsuri de supraveghere și aplică sancțiuni.

Articolul 54

(1) DNSC supraveghează, verifică și controlează activitatea furnizorilor de servicii de formare pentru securitate cibernetică pentru auditori și CSIRT-uri.

(2) DNSC, în exercitarea atribuțiilor de supraveghere, verificare și control, în cazul neîndeplinirii obligațiilor de către furnizorii de servicii de formare pentru securitate cibernetică pentru auditori și CSIRT-uri, desfășoară activități de control cu scopul verificării îndeplinirii prevederilor ordinului de la alin. (3) , emite dispoziții cu caracter obligatoriu în vederea conformării și remedierii deficiențelor constatate și stabilește termene în vederea conformării acestora, instituie măsuri de supraveghere și aplică sancțiuni.

(3) DNSC elaborează regulamentul privind autorizarea, verificarea și revocarea furnizorilor de servicii de formare pentru securitate cibernetică pentru auditori și CSIRT-uri și stabilește condițiile de valabilitate pentru autorizațiile acordate acestora prin ordin al directorului DNSC.

Articolul 55

(1) În cazul în care, în urma verificărilor, se constată abateri grave, DNSC poate dispune suspendarea atestatului auditorilor de securitate cibernetică sau autorizației CSIRT-urilor pentru o perioadă determinată de timp, în vederea remedierii, sau, după caz, retragerea acestora.

(2) Anual, până la data de 31 martie, auditorii de securitate cibernetică transmit DNSC, în format electronic, o situație a auditurilor de securitate desfășurate în anul calendaristic precedent, respectiv numărul, beneficiarii, perioadele, neregulile grave constatate și vulnerabilitățile constatate.

Articolul 56

(1) DNSC exercită supravegherea, verificarea și controlul respectării prevederilor prezentei ordonanțe de urgență în ceea ce privește obligațiile ce revin ca urmare a activităților de autorizare și atestare a acestora pentru CSIRT-urile proprii ale entităților esențiale și entităților importante sau CSIRT-urile sectoriale, furnizorii de servicii specifice CSIRT, precum și auditorii de securitate cibernetică.

(2) Normele de aplicare a dispozițiilor privind supravegherea, verificarea și controlul pentru CSIRT-urile proprii ale entităților esențiale și entităților importante sau CSIRT-urile sectoriale, furnizorii de servicii specifice CSIRT, precum și auditorii de securitate cibernetică se aprobă prin ordin al directorului DNSC.

(3) Autorizarea, suspendarea și retragerea autorizării, precum și reautorizarea furnizorilor de servicii de formare pentru securitate cibernetică pentru auditori și CSIRT-uri se dispune prin decizie a directorului DNSC.

(4) Autorizația de furnizor de servicii de formare pentru securitate cibernetică pentru auditori și CSIRT-uri este emisă de DNSC pe baza criteriilor de evaluare, cu valabilitate limitată de patru ani.