Atribuții și responsabilități privind realizarea și operarea Platformei de cloud guvernamental

(1) Politicile, strategia, standardele și criteriile de implementare, operare, utilizare, întreținere și dezvoltare ulterioară a Platformei se stabilesc prin hotărârea prevăzută la art. 1 alin. (4) .

(2) Cadrul de management și stocare a datelor în Platformă, inclusiv stabilirea categoriilor de date prelucrate în Platformă și găzduite de Cloudul privat guvernamental, cloud privat, cloud public, după caz, se realizează prin hotărâre de Guvern, la propunerea MCID, în termen de maximum 90 de zile de la data intrării în vigoare a hotărârii prevăzute la art. 1 alin. (4) .

(3) Politica, strategia, criteriile tehnice și operaționale privind implementarea, operarea, mentenanța și dezvoltarea ulterioară a Cloudului privat guvernamental, regulile privind stabilirea nivelului agreat de servicii, precum și cele privind migrarea sau, după caz, interconectarea sistemelor informatice se stabilesc prin hotărâre de Guvern, la propunerea MCID, cu consultarea prealabilă a ADR, STS și SRI, în termen de maximum 90 de zile de la data intrării în vigoare a prezentei ordonanțe de urgență.

(4) Planul pentru migrarea și integrarea în Cloudul privat guvernamental a sistemelor informatice și a serviciilor publice electronice ale instituțiilor și autorităților aparținând administrației publice, precum și lista autorităților și instituțiilor publice ale căror sisteme informatice și servicii publice electronice migrează în Cloudul privat guvernamental se stabilesc prin hotărâre de guvern inițiată de MCID, la propunerea ADR, în termen de maximum 90 de zile de la data intrării în vigoare a prezentei ordonanțe de urgență.

(5) MCID reprezintă interesele statului român în relațiile externe privind serviciile de Cloud privat guvernamental.

(5¹) Guvernul României, prin MCID, încheie cu producătorii de tehnologie software acorduri guvernamentale de stabilire a condițiilor de licențiere pentru nevoile statului român, necesare implementării și utilizării Cloudului privat guvernamental, în condițiile stabilite prin hotarâre a Guvernului.

(6) MCID stabilește, prin ordin al ministrului cercetării, inovării și digitalizării, care se publică în Monitorul Oficial al României, Partea I, tipurile de servicii care sunt furnizate prin Platformă, respectiv stabilește și promovează tipurile de servicii furnizate prin Cloudul privat guvernamental.

(7) MCID sprijină entitățile găzduite în Cloudul privat guvernamental în procesul de management al riscurilor, pe baza analizelor de risc furnizate de către ADR, STS și SRI.

(8) În termen de maximum 90 de zile de la data intrării în vigoare a prezentei ordonanțe de urgență, MCID, la propunerea ADR, cu sprijinul STS și SRI, propune spre adoptare, prin hotărâre de Guvern, criteriile generale de asigurare a confidențialității, securității, interoperabilității, adaptării la standarde tehnice și semantice, respectiv a performanței aplicațiilor de tip SaaS găzduite în Platformă, prin intermediul unui marketplace, inclusiv a aplicațiilor dezvoltate de mediul privat, prin intermediul catalogului definit la art. 2 lit. n) .

(9) Modul de administrare a aplicațiilor listate în marketplace este prevăzut prin ordin al ministrului cercetării, inovării și digitalizării.

(1) ADR contribuie la elaborarea și punerea în aplicare a strategiei privind implementarea, operarea, mentenanța și dezvoltarea ulterioară a Platformei, inclusiv la elaborarea unui set de cerințe și măsuri tehnice de performanță și securitate cibernetică, realizat cu sprijinul STS și SRI.

(2) ADR elaborează și pune în aplicare planul pentru migrarea și integrarea în Cloudul privat guvernamental a sistemelor informatice și a serviciilor publice electronice ale autorităților și instituțiilor publice aparținând administrației publice.

(3) ADR asigura implementarea, administrarea tehnica și operaționala, mentenanța, precum și dezvoltarea ulterioara pentru serviciile SaaS specifice cloudului intern, inclusiv asigurarea, prin acorduri-cadru, conform legislației achizițiilor publice, a licențelor necesare migrării în Cloudul privat guvernamental a sistemelor informatice și serviciilor publice electronice.

(3¹) ADR este responsabila de proiectarea și achiziționarea cloudului dedicat și de asigurarea implementării, administrării tehnice și operaționale, securității cibernetice, mentenanței, precum și dezvoltării ulterioare a serviciilor specifice acestuia.

(4) Migrarea, integrarea și interconectarea în Cloudul privat guvernamental a sistemelor informatice ale autorităților și instituțiilor publice se asigură de către ADR, în conformitate cu hotărârea prevăzută la art. 3 alin. (4) , pe baza acordului încheiat de ADR cu fiecare autoritate și instituție publică notificată de către ADR în vederea migrării, inclusiv cele prevăzute la art. 1 alin. (12) .

(5) Prin excepție de la prevederile art. 1 alin. (8) , în cazul în care o autoritate sau instituție publică consideră că un anumit sistem informatic sau o anumită aplicație informatică nu trebuie să utilizeze o soluție de tip cloud, aceasta formulează o solicitare motivată în acest sens către Comitetul tehnico-economic pentru societatea informațională.

(6) Comitetul tehnico-economic pentru societatea informațională analizează solicitarea prevăzută la alin. (5) și emite un aviz conform motivat privind exceptarea de la migrare sau refuză motivat avizarea.

(7) În vederea îndeplinirii prevederilor alin. (1)-(4) , ADR asigură sau achiziționează programele software, aplicațiile informatice și licențele necesare, precum și serviciile de analiză, proiectare și dezvoltare software, după caz.

(8) ADR gestionează marketplace-ul prevăzut la art. 2 lit. n) , care permite accesarea de către entitățile găzduite de Platformă a aplicațiilor disponibile, pe baza unei relații contractuale stabilite între furnizorii și entitățile găzduite care achiziționează aplicațiile respective.

(9) ADR asigură interconectarea la nivel de SaaS la serviciile specifice Cloudului privat guvernamental pentru entitățile găzduite și conectate în cloud.

(1) Infrastructura de baza a cloudului intern este asigurata de STS.

(2) STS asigura implementarea, administrarea tehnica și operaționala, securitatea cibernetica, mentenanța, precum și dezvoltarea ulterioara a infrastructurii de baza și a serviciilor de cloud de tip IaaS și PaaS furnizate de cloudul intern.

(3) STS asigură accesul securizat, conectivitatea și interconectarea la serviciile specifice Cloudului privat guvernamental pentru entitățile găzduite sau interconectate în cloud.

(4) STS asigura securitatea cibernetica a cloudului intern prin prevenirea și contracararea atacurilor cibernetice îndreptate împotriva infrastructurii de baza și a serviciilor de cloud de tip IaaS și PaaS furnizate de cloudul intern, inclusiv a atacurilor de tip DDoS, în conformitate cu atribuțiile prevăzute prin actele normative în vigoare.

(5) STS asigură securitatea cibernetică a serviciilor și sistemelor informatice proprii din Cloudul privat guvernamental, prin prevenirea și contracararea atacurilor cibernetice.

(6) Pentru îndeplinirea rolului prevăzut la alin. (1) , STS achiziționează serviciile de proiectare și asistență tehnică, lucrările de investiții, inclusiv instalațiile, dotările și echipamentele tehnologice aferente clădirii, precum și echipamentele hardware, programele software, aplicațiile informatice și licențele necesare realizării, dezvoltării ulterioare, mentenanței și funcționării serviciilor prevăzute la art. 2 lit. k) , l) și q) din Cloudul privat guvernamental.

(1) SRI asigura securitatea cibernetica a serviciilor de cloud de tip SaaS furnizate entităților găzduite din cloudul intern prin cunoașterea, prevenirea și contracararea atacurilor, amenințărilor, riscurilor și vulnerabilităților cibernetice, inclusiv a celor complexe, de tip APT.

(2) SRI cooperează cu STS, conform competențelor fiecărei instituții, pentru cunoașterea, prevenirea și contracararea atacurilor cibernetice complexe, de tip APT, îndreptate împotriva serviciilor IaaS și PaaS furnizate din cloudul intern, prin schimbul nemijlocit și automat al informațiilor referitoare la incidentele de securitate, fără a transfera date de conținut.

(3) Măsurile prevăzute la alin. (1) și (2) nu se aplică situațiilor prevăzute la art. 5 alin. (5) .

(4) SRI asigură implementarea, administrarea tehnică și operațională, mentenanța, precum și dezvoltarea ulterioară a serviciilor de securitate cibernetică din cloudul intern, prevăzute la alin. (1) , și sprijină ADR, la cerere, în realizarea securității cibernetice a cloudului dedicat din Cloudul privat guvernamental.

(5) SRI asigură securitatea cibernetică a Cloudului privat guvernamental prin cunoașterea, prevenirea și contracararea atacurilor, amenințărilor, riscurilor și vulnerabilităților cibernetice, inclusiv a celor complexe, de tip APT, îndreptate împotriva serviciilor Cloudului privat guvernamental și a entităților găzduite și nominalizarea de experți în comisiile de recepție ale ADR și STS, care să valideze recepția calitativă și cantitativă a echipamentelor și soluțiilor destinate securității cibernetice, pentru cloudul intern și cloudul dedicat.

(1) În cazul sistemelor informatice interconectate cu Cloudul privat guvernamental aparținând autorităților din sistemul național de apărare, ordine publică și securitate națională, implementarea, administrarea tehnică și operațională, mentenanța și dezvoltarea ulterioară a serviciilor de securitate cibernetică se realizează de către structurile responsabile cu securitatea cibernetică a acestor autorități, precum și în colaborare cu STS și SRI în ceea ce privește interconectarea cu Cloudul privat guvernamental.

(2) În vederea îndeplinirii atribuțiilor prevăzute la art. 5 și 6 și la alin. (1) , STS și SRI asigură echipamentele hardware, programele software, aplicațiile informatice și licențele necesare în acest scop, conform competențelor prevăzute prin prezenta ordonanță de urgență.

(1) MCID, împreună cu ADR, după consultarea mediului privat conform legislației privind dialogul social și transparența în administrația publică, propune politica de cloud first, în vederea aprobării acesteia prin hotărârea prevăzută la art. 1 alin. (4) .

(2) Entitățile publice migrează aplicațiile și sistemele informatice sau, după caz, interconectează sistemele informatice în Platformă, în conformitate cu prevederile hotărârilor de Guvern prevăzute la art. 3 alin. (2) și (4) .

(1) În procesul de dezvoltare, implementare, administrare și asigurare a securității cibernetice a Cloudului privat guvernamental, autoritățile și instituțiile publice prevăzute la art. 1 alin. (6) prelucrează date cu caracter personal, în calitate de operator sau persoană împuternicită de către entitățile găzduite sau interconectate, după caz, în conformitate cu responsabilitățile prevăzute la art. 3-7 , cu respectarea reglementărilor legale aplicabile în domeniul protecției datelor cu caracter personal.

(2) Prelucrarea datelor cu caracter personal prin intermediul sistemelor informatice găzduite în Platformă se realizează de către reprezentanții autorităților și instituțiilor publice, cu respectarea reglementărilor legale aplicabile în domeniul protecției datelor cu caracter personal.

(3) Autoritățile și instituțiile publice prevăzute la alin. (1) și (2) respectă regimurile de acces la date prevăzute la nivel național și european și acordă angajaților și reprezentanților lor drepturile de acces la date prelucrate prin intermediul sistemelor informatice găzduite în Platformă, după caz, în vederea îndeplinirii prevederilor prezentei ordonanțe de urgență, cu respectarea prevederilor Legii nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE ( Regulamentul general privind protecția datelor ), cu modificările ulterioare, Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, cu modificările și completările ulterioare, Legii nr. 363/2018 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date, precum și ale Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE ( Regulamentul general privind protecția datelor ).

(4) Prevederile alin. (3) sunt aplicabile și în ceea ce privește raporturile autorităților și instituțiilor publice prevăzute la alin. (1) și (2) cu părți terțe, în vederea asigurării dezvoltării mentenanței și dezvoltării ulterioare a infrastructurii și serviciilor Platformei.

(5) În aplicarea prevederilor alin. (3) și (4) , autoritățile și instituțiile publice prevăzute la alin. (1) și (2) au obligația să se asigure că datele prelucrate sunt protejate în mod adecvat împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin măsuri de asigurare a confidențialității, integrității și disponibilității acestora.

(6) Prezenta ordonanță de urgență respectă drepturile fundamentale și principiile recunoscute de Carta drepturilor fundamentale a Uniunii Europene, inclusiv dreptul la respectarea vieții private și de familie, dreptul la protecția datelor cu caracter personal, dreptul la proprietate și integrarea persoanelor cu dizabilități, astfel încât nicio prevedere din prezentul act normativ nu trebuie să facă obiectul unei interpretări sau puneri în aplicare care nu este conformă cu Convenția pentru apărarea drepturilor omului și a libertăților fundamentale a Consiliului Europei.

(1) Infrastructura de bază, laaS și PaaS aferente cloudului intern sunt proprietate a statului și în administrarea STS, care le achiziționează conform prevederilor legale în vigoare privind achizițiile publice.

(1¹) Cloudul dedicat este proprietate privată a statului și este achiziționat și administrat de ADR, conform prevederilor legale în vigoare privind achizițiile publice, cu excepția acelor componente pentru care se achiziționează dreptul de utilizare.

(2) Softul dezvoltat și particularizat pentru entitățile găzduite sau care urmează a fi găzduite în Cloudul privat guvernamental, achiziționat conform prevederilor legale în vigoare privind achizițiile publice, prin intermediul unor proceduri competitive, transparente, necondiționate și nediscriminatorii, este proprietatea privată a statului și în administrarea ADR, în condițiile prevăzute la art. 12 din Ordonanța de urgență a Guvernului nr. 41/2016 privind stabilirea unor măsuri de simplificare la nivelul administrației publice centrale și pentru modificarea și completarea unor acte normative, aprobată cu modificări prin Legea nr. 179/2017 , cu completările ulterioare.

(3) Software-ul și licențele aferente migrării în Cloudul privat guvernamental a sistemelor informatice sunt proprietate privată a statului și în administrarea ADR, care le achiziționează sau le preia, după caz, conform prevederilor legale în vigoare privind achizițiile publice, prin intermediul unor proceduri competitive, transparente, necondiționate și nediscriminatorii și le pune la dispoziția utilizatorilor de servicii cloud, în condițiile stabilite în acordul de migrare prevăzut la art. 4 alin. (4) .

(4) Componentele aferente securității cibernetice sunt proprietate privată a statului și sunt achiziționate și administrate de STS, respectiv SRI, potrivit competențelor proprii prevăzute la art. 5-7 , conform prevederilor legale în vigoare privind achizițiile publice, prin intermediul unor proceduri competitive, transparente, necondiționate și nediscriminatorii

(5) Privitor la dispozițiile alin. (1)-(4) , în situația în care achiziționarea drepturilor de proprietate nu este posibilă, se asigură cel puțin achiziționarea drepturilor de utilizare.

(6) Administratorii cloudului intern și cloudului dedicat din care sunt furnizate serviciile de laaS, PaaS și SaaS în Cloudul privat guvernamental, precum și administratorii de securitate cibernetică menționați la art. 5-7 asigură jurnalizarea evenimentelor și accesului la datele entităților găzduite în Cloudul privat guvernamental, conform responsabilităților prevăzute de prezenta ordonanță de urgență, în scopul efectuării unor activități de audit de conformitate periodice pe linia protecției, calității, securității și trasabilității datelor, în vederea asigurării transparenței utilizării acestora.

(7) ADR asigură dezvoltarea unei aplicații de jurnalizare și notificare a activității de prelucrare a datelor cu caracter personal ale persoanelor vizate, destinată utilizatorilor finali ai serviciilor publice furnizate de entitățile publice găzduite în Cloudul privat guvernamental.

(8) Normele metodologice privind jurnalizarea evenimentelor și accesului la datele autorităților și instituțiilor publice găzduite în Cloudul privat guvernamental se aprobă prin hotărârea prevăzută la art. 3 alin. (2) .

(9) MCID dispune, cel puțin anual sau ori de câte ori este necesar, efectuarea unor activități de audit de conformitate pe linia protecției, calității, securității și trasabilității pentru Platformă sau, după caz, pentru anumite componente ale acesteia, finanțate prin bugetul acestuia.

(10) Autoritățile prevăzute la art. 1 alin. (6) întocmesc până la finalul primului trimestru al anului în curs un raport comun cu privire la activitatea de realizare și administrare a Cloudului privat guvernamental pentru anul precedent, pe care îl comunică comisiilor pentru tehnologia informației și comunicațiilor ale Camerei Deputaților și Senatului.

(11) STS achiziționează pe bază de acorduri-cadru, încheiate în conformitate cu legislația în vigoare privind achizițiile publice, în limita resurselor disponibile, licențele de sisteme de operare și baze de date necesare funcționării sistemelor informatice aparținând utilizatorilor de servicii de cloud din cloudul intern.

(12) Încheierea de către STS a contractelor subsecvente având ca obiect licențele prevăzute la alin. (1) se realizează în baza unei solicitări scrise transmise de ADR către STS, în urma analizei de migrare a utilizatorilor de servicii de cloud în cloudul intern.

(12¹) Încheierea de către STS a acordurilor-cadru și a contractelor subsecvente prevăzute la alin. (11) și (12) se poate realiza și anterior încheierii acordurilor guvernamentale prevăzute la art. 3 alin. (5¹) .

(13) În termen de 5 zile lucrătoare de la recepționare, licențele prevăzute la alin. (2) se transferă fără plată către ADR, pe bază de proces-verbal de predare-preluare, care constituie document justificativ pentru înregistrarea acestora în contabilitate.

(14) Prevederile alin. (11)-(13) se aplică exclusiv pe perioada de implementare a cloudului intern, obligația de asigurare a acestor licențe ulterior finalizării implementării cloudului intern revenind utilizatorilor de servicii de cloud de tip laaS și PaaS furnizate din Cloudul privat guvernamental sau ADR.

(15) ADR achiziționează, în conformitate cu legislația în vigoare privind achizițiile publice, resurse necesare funcționării sistemelor informatice aparținând utilizatorilor de servicii de cloud din cloudul dedicat.

(16) Ulterior finalizării implementării Cloudului privat guvernamental, costurile generate de utilizarea resurselor necesare funcționării sistemelor informatice găzduite în Cloudul privat guvernamental sunt suportate de către utilizatorii de servicii de cloud, în conformitate cu prevederile acordului încheiat în acest sens cu ADR.