(1) Următoarele fapte constituie contravenții dacă nu au fost săvârșite în astfel de condiții încât să fie considerate infracțiuni potrivit legii:
a) nerespectarea de către entitățile esențiale și importante a obligației privind luarea unor măsuri tehnice, operaționale și organizatorice prevăzute la art. 11 alin. (1) în condițiile și cu respectarea cerințelor impuse;
b) nerespectarea de către entitățile esențiale și importante a obligației de a se supune unui audit de securitate cibernetică în condițiile stabilite conform art. 11 alin. (5) sau, după caz, alin. (6) și în termenul indicat;
c) nerespectarea de către entitățile esențiale și importante a obligației de a transmite datele solicitate conform art. 11 alin. (7) în termenul și în condițiile stabilite în cerere;
d) nerespectarea de către entitățile esențiale și importante a obligației de a transmite datele solicitate conform art. 11 alin. (9) în termenul și în condițiile stabilite în cerere;
e) nerespectarea de către entitățile esențiale și importante a obligației de a realiza și transmite anual autoevaluarea nivelului de maturitate conform art. 12 alin. (4) ;
f) nerespectarea de către entitățile esențiale a obligației de a întocmi și transmite planul de măsuri pentru remedierea deficiențelor conform art. 12 alin. (5) , în termen de 30 de zile de la realizarea autoevaluării;
g) nerespectarea de către membrii organelor de conducere ale entităților esențiale și importante a obligației de supraveghere a punerii în aplicare a măsurilor de gestionare a riscurilor conform art. 14 alin. (1) ;
h) nerespectarea de către membrii organelor de conducere ale entităților esențiale și importante a obligației de a urma cursuri de formare profesională în domeniul securității cibernetice conform cu art. 14 alin. (2) ;
i) nerespectarea de către membrii organelor de conducere ale entităților esențiale și importante a obligației de stabilire a mijloacelor permanente de contact conform art. 14 alin. (3) ;
j) nerespectarea de către membrii organelor de conducere ale entităților esențiale și importante a obligației de alocare a resurselor conform art. 14 alin. (3) ;
k) nerespectarea de către membrii organelor de conducere ale entităților esențiale și importante a obligației de desemnare a responsabililor cu securitatea rețelelor și sistemelor informatice conform art. 14 alin. (3) ;
l) nerespectarea de către entitățile esențiale și importante a obligației de raportare în temeiul art. 15 alin. (1) cu respectarea termenelor și condițiilor stabilite conform art. 15 ;
m) nerespectarea de către entitățile esențiale și importante a obligației de notificare a destinatarilor serviciilor cu respectarea termenelor și condițiilor stabilite conform art. 15 alin. (1) ;
n) neîndeplinirea de către entitățile esențiale și importante a obligației de notificare sau de remediere a incidentelor semnificative sau a obligației de remediere a deficiențelor constatate de către autoritățile competente cu respectarea termenelor și condițiilor indicate de către respectivele autorități;
o) nerespectarea de către entitățile din sectoarele prevăzute în anexele nr. 1 și 2 a obligației de notificare conform art. 18 alin. (2) în termenul indicat;
p) nerespectarea de către entitățile din sectoarele prevăzute în anexele nr. 1 și 2 a obligației de furnizare a informațiilor conform art. 18 alin. (3) în termenul indicat;
q) nerespectarea de către entitățile esențiale și importante a obligației de transmitere a evaluării nivelului de risc conform art. 18 alin. (6) în termenul indicat;
r) nerespectarea de către entitățile esențiale și importante a obligației de autoevaluare a nivelului de maturitate conform art. 18 alin. (7) în termenul indicat;
s) nerespectarea de către entitățile esențiale și importante a obligației de comunicare a modificărilor conform art. 18 alin. (8) în termenele indicate;
t) nerespectarea de către entitățile esențiale și importante a obligației de notificare conform art. 18 alin. (13) în termenul indicat;
u) nerespectarea de către registrele de nume TLD și entitățile care furnizează servicii de înregistrare a numelor de domenii a obligației de a colecta date conform art. 19 alin. (1) ;
v) nerespectarea de către registrele de nume TLD și entitățile care furnizează servicii de înregistrare a numelor de domenii a obligației de a stabili politici și proceduri conform art. 19 alin. (3) ;
w) nerespectarea de către registrele de nume TLD și entitățile care furnizează servicii de înregistrare a numelor de domenii a obligației de a pune la dispoziția publicului date conform art. 19 alin. (4) ;
x) nerespectarea de către registrele de nume TLD și entitățile care furnizează servicii de înregistrare a numelor de domenii a obligației de a oferi acces la date conform art. 19 alin. (8) ;
y) nerespectarea de către registrele de nume TLD și entitățile care furnizează servicii de înregistrare a numelor de domenii a obligației de a pune la dispoziția publicului politicile și procedurile privind divulgarea datelor conform art. 19 alin. (9) ;
z) nerespectarea de către registrele de nume TLD și entitățile care furnizează servicii de înregistrare a numelor de domenii a obligației de a răspunde la cererile de acces conform art. 19 alin. (9) ;
aa) derularea de activități specifice echipelor CSIRT, de către entități care nu dețin autorizația conform art. 34 ;
bb) nerespectarea de către producătorii și furnizorii de produse sau servicii TIC care sunt entități esențiale sau importante a obligației de a transmite informații conform art. 36 alin. (4) , în termenul stabilit de comun acord;
cc) nerespectarea de către producătorii și furnizorii de produse sau servicii TIC care sunt entități esențiale sau importante a obligației de a remedia vulnerabilitățile conform art. 36 alin. (4) ;
dd) nerespectarea de către entitățile esențiale și importante a obligației de instituire de procese de management al vulnerabilităților conform art. 36 alin. (7) ;
ee) nerespectarea de către entitățile esențiale și importante a obligației de transmitere a rezultatelor auditului conform art. 46 alin. (8) , în termenul indicat;
ff) nerespectarea de către entitățile esențiale și importante a obligației de informare atunci când aceasta a fost dispusă de către DNSC conform art. 48 alin. (4) , în termenul indicat;
gg) nerespectarea de către CSIRT-urile proprii ale entităților esențiale și entităților importante, CSIRT-urile sectoriale, furnizorii de servicii specifice CSIRT și auditorii de securitate cibernetică a dispozițiilor emise de către DNSC conform art. 53 alin. (2) , în termenele indicate;
hh) nerespectarea de către furnizorii de servicii de formare pentru securitate cibernetică pentru auditori și CSIRT-uri a dispozițiilor emise de către DNSC conform art. 54 alin. (2) , în termenele indicate;
ii) nerespectarea de către auditorii de securitate cibernetică a obligației de transmitere de informații conform art. 55 alin. (2) , în termen de 30 de zile de la împlinirea termenului acordat;
jj) nerespectarea de către entitățile esențiale și importante a obligației de întocmire și transmitere a planului de măsuri conform art. 57 alin. (8) , în termenul indicat;
kk) nerespectarea de către entitățile esențiale și importante a obligației de implementare conform art. 57 alin. (9) , în termenul asumat;
ll) nerespectarea de către entitățile esențiale și importante a obligației de notificare și punere la dispoziție a actelor doveditoare conform art. 57 alin. (10) , în termenul indicat;
mm) nerespectarea de către entitățile esențiale și importante a obligației de a respecta modalitățile de implementare a dispozițiilor art. 11 alin. (2) , (4) , (8) și (10) , art. 13 , art. 15 alin. (1) , (3) , (5)-(10) și art. 16 stabilite prin ordine comune emise în conformitate cu prevederile art. 37 ;
nn) nerespectarea de către entitățile esențiale și importante a obligației de a transmite DNSC sau, după caz, autorității competente sectorial, informațiile solicitate potrivit art. 46 alin. (1) lit. c)-e) ;
oo) nerespectarea de către entitățile esențiale și importante a obligației de a întocmi și transmite DNSC sau, după caz, autorității competente sectorial, planul de măsuri pentru remedierea tuturor deficiențelor constatate și termenele asumate pentru implementarea acestora, conform art. 47 alin. (5) .
pp) nerespectarea de către entitățile esențiale și importante a obligației de implementare conform art. 47 alin. (5) , în termenul asumat;
qq) nerespectarea de către entitățile esențiale și importante a obligației de notificare și punere la dispoziție a actelor doveditoare conform art. 47 alin. (5) , în termenul indicat.
(2) Prin derogare de la dispozițiile art. 8 alin. (2) lit. a) din Ordonanța Guvernului nr. 2/2001 privind regimul juridic al contravențiilor, aprobată cu modificări și completări prin Legea nr. 180/2002 , cu modificările și completările ulterioare, contravențiile prevăzute la alin. (1) se sancționează după cum urmează:
a) pentru entitățile importante, amendă de la 5.000 lei la cel mult 7.000.000 euro în echivalentul în lei sau cel mult 1,4% din cifra de afaceri anuală la nivel mondial, luându-se în considerare valoarea cea mai mare dintre acestea, pentru contravențiile prevăzute la alin. (1) lit. a)-d) , f)-m) , dd) , jj) și mm) ;
b) pentru entitățile esențiale, amendă de la 10.000 lei la cel mult 10.000.000 euro în echivalentul în lei sau cel mult 2% din cifra de afaceri anuală la nivel mondial, luându-se în considerare valoarea cea mai mare dintre acestea, pentru contravențiile prevăzute la alin. (1) lit. a)-m) , dd) , jj) și mm) ;
c) pentru entitățile importante, amendă de la 1.000 lei la 300.000 lei, pentru contravențiile prevăzute la alin. (1) lit. n)-t) , ee) , ff) , kk) , ll) și nn)-qq) ;
d) pentru entitățile esențiale, amendă de la 1.500 lei la 500.000 lei, în cazul alin. (1) lit. n)-t) , ee) , ff) , kk) , ll) și nn)-qq) ;
e) amendă de la 1.000 lei la 100.000 lei, pentru contravențiile prevăzute la alin. (1) lit. u)-z) , aa)-cc) și gg)-ii) .
(2¹) Prin derogare de la dispozițiile art. 8 alin. (2) lit. a) din Ordonanța Guvernului nr. 2/2001 , aprobată cu modificări și completări prin Legea nr. 180/2002 , cu modificările și completările ulterioare, încălcările grave prevăzute la art. 50 alin. (2) constituie contravenții și se sancționează cu amendă de la 3.000 lei la 600.000 lei.
(3) Cifra de afaceri anuală la nivel mondial prevăzută la alin. (2) lit. a) și b) este cea înregistrată de către entitatea importantă sau esențială în ultimul exercițiu financiar.
(4) În vederea individualizării sancțiunii prevăzute la alin. (2) se iau în considerare criteriile prevăzute la art. 50 alin. (1) . În cazurile prevăzute la art. 50 alin. (2) lit. a) , cuantumul limitelor prevăzute la alin. (2¹) se majorează cu jumătate.
(5) Pentru persoanele juridice nou-înființate și pentru persoanele juridice care nu au înregistrat cifra de afaceri în exercițiul financiar anterior sancționării, amenda prevăzută la alin. (2) se stabilește în cuantum de minimum unu și maximum 50 de salarii minime brute pe economie.
(6) În măsura în care prezenta ordonanță de urgență nu prevede altfel, contravențiilor prevăzute la alin. (1) li se aplică dispozițiile Ordonanței Guvernului nr. 2/2001 .
(7) Prin derogare de la prevederile art. 16 alin. (1) , art. 28 alin. (1) și art. 29 din Ordonanța Guvernului nr. 2/2001 , în cazul sancțiunilor aplicate pentru săvârșirea contravențiilor prevăzute la alin. (1) , contravenientul poate achita, în termen de cel mult 15 zile de la data înmânării sau comunicării actului de constatare a contravenției și de aplicare a sancțiunii, jumătate din cuantumul amenzii aplicate, agentul constatator făcând mențiune despre această posibilitate în procesul-verbal, mențiune care se reia și în decizia prin care se aplică sancțiunea.