Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a retelelor si sistemelor informatice

Roluri si responsabilitati
SECTIUNEA 1
Coordonarea strategica la nivel national
Art. 13.
Coordonarea strategica la nivel national a activitatilor de asigurare a unui nivel comun ridicat de securitate a retelelor si sistemelor informatice se realizeaza de catre Guvern prin Ministerul Comunicatiilor si Societatii Informationale sub aspectul politicilor publice si al initiativei legislative in domeniu .

Articolul 14.
Strategia nationala privind securitatea retelelor si a sistemelor informatice se aproba prin hotarare a Guvernului, la propunerea MCSI in termen de 6 luni de la data intrarii in vigoare a prezentei legi.

SECTIUNEA a 2-a
Autoritati competente si responsabilitati
Art. 15. (1) CERT-RO este autoritate competenta la nivel national pentru securitatea retelelor si a sistemelor informatice care asigura furnizarea serviciilor esentiale ori furnizeaza serviciile digitale identificate in temeiul prezentei legi.
(2) Pentru asigurarea unui nivel ridicat de securitate a retelelor si sistemelor informatice, CERT-RO se consulta si coopereaza cu:
a) Serviciul Roman de Informatii, pentru securitatea retelelor si a sistemelor informatice care asigura servicii esentiale a caror afectare aduce atingere securitatii nationale;
b) Ministerul Apararii Nationale, pentru securitatea retelelor si a sistemelor informatice care asigura servicii esentiale in sprijinul activitatilor privind apararea nationala;
c) Ministerul Afacerilor Interne, Oficiul Registrului National al Informatiilor Secrete de Stat, Serviciul de Informatii Externe, Serviciul de Telecomunicatii Speciale si Serviciul de Protectie si Paza, pentru securitatea retelelor si a sistemelor informatice care asigura servicii esentiale in domeniul lor de activitate si responsabilitate.

Articolul 16.
CERT-RO se consulta si coopereaza, dupa caz, cu:
a) organele de urmarire penala;
b) Autoritatea Nationala pentru Administrare si Reglementare in Comunicatii, atunci cand incidentele au ca rezultat afectarea securitatii ori functionarii retelelor publice de comunicatii electronice ori cand pentru administrarea unui incident sunt necesare masuri ce intra in aria de activitate si responsabilitate a acesteia;
c) Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal in cazul incidentelor care au ca rezultat incalcarea securitatii datelor cu caracter personal, in conditiile legii.

SECTIUNEA a 3-a
Echipele de interventie in caz de incidente de securitate informatica
Art. 17.
(1) Echipa CSIRT definita la art. 19 lit. b) respecta cerintele de la art. 24 si acopera sectoarele din anexa si serviciile prevazute la art. 3 lit. o).
(2) Persoanele juridice care activeaza in cadrul aceluiasi sector sau subsector de activitate din anexa la prezenta lege pot constitui echipe CSIRT proprii sau sectoriale ori pot achizitiona servicii de specialitate de tip CSIRT.
(3) Entitatile prevazute la art. 15 alin. (2) si art. 16 lit. b) pot constitui echipe CSIRT pentru asigurarea securitatii retelelor si sistemelor informatice conform domeniului de activitate si responsabilitate.
(4) Echipele CSIRT sectoriale se autorizeaza si se desemneaza de catre CERT-RO in urma evaluarii indeplinirii conditiilor specifice de autorizare a acestui tip de echipe elaborate in conformitate cu prevederile art. 20 lit. e).

Articolul 18.
(1) Echipele CSIRT proprii, sectoriale sau serviciile de specialitate prevazute la art. 17 alin. (2) care deservesc operatori de servicii esentiale si furnizori de servicii digitale au urmatoarele obligatii:
a) sa fie autorizate de catre CERT-RO in temeiul prezentei legi;
b) sa asigure compatibilitatea si interoperabilitatea sistemelor, procedurilor si metodelor utilizate cu cele ale echipei CSIRT nationale din cadrul CERT-RO;
c) sa furnizeze cel putin setul minim de servicii de tip CSIRT necesar asigurarii la nivel national a unei protectii unitare a operatorilor si furnizorilor ce fac obiectul prezentei legi;
d) sa utilizeze in cadrul echipelor un numar corespunzator de persoane calificate in conformitate cu prezenta lege;
e) sa se interconecteze la serviciul de alerta, monitorizare si cooperare al CERT-RO si sa asigure un raspuns prompt la alertele si solicitarile transmise de echipa CSIRT nationala.
(2) Normele tehnice privind compatibilitatea si interoperabilitatea prevazute la alin. (1) lit. b), setul minim de servicii mentionat la alin. (1) lit. c) si criteriile de stabilire a numarului de persoane calificate prevazute la alin. (1) lit. d) se aproba, la propunerea directorului general al CERT-RO, prin ordin al ministrului comunicatiilor si societatii informationale, care se publica in Monitorul Oficial al Romaniei, Partea I.

SECTIUNEA a 4-a
Autoritatea competenta la nivel national - CERT-RO
Art. 19. -
In cadrul CERT-RO se organizeaza si functioneaza si:
a) punctul unic de contact la nivel national;
b) echipa de raspuns la incidente de securitate informatica la nivel national, denumita in continuare echipa CSIRT nationala sau CSIRT national.

Articolul 20.
CERT-RO, in calitate de autoritate competenta la nivel national, are urmatoarele atributii generale:
a) identifica, cu consultarea autoritatilor si entitatilor de reglementare si administrare a sectoarelor si subsectoarelor prevazute in anexa, operatorii de servicii esentiale care au sediul social, filiala, sucursala sau punct de lucru pe teritoriul Romaniei;