Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a retelelor si sistemelor informatice

SECTIUNEA 1
Cerintele minime de securitate
Art. 25.
(1) In vederea asigurarii unui nivel comun de securitate a retelelor si sistemelor informatice, operatorii de servicii esentiale si furnizorii de servicii digitale au obligatia de a respecta normele tehnice elaborate de CERT-RO in temeiul prevederilor art. 20 lit. b).
(2) CERT-RO elaboreaza, cu consultarea autoritatilor care reglementeaza sectoarele si subsectoarele prevazute in anexa, ghiduri in sprijinul implementarii masurilor minime de securitate pentru operatorii si furnizorii prevazuti in prezenta lege.
(3) Normele tehnice prevazute la alin. (1) aplicabile operatorilor de servicii esentiale se stabilesc in baza cel putin a urmatoarelor categorii de activitati de asigurare a securitatii retelelor si sistemelor informatice:
a) managementul drepturilor de acces;
b) constientizarea si instruirea utilizatorilor;
c) jurnalizarea si asigurarea trasabilitatii activitatilor in cadrul retelelor si sistemelor informatice;
d) testarea si evaluarea securitatii retelelor si sistemelor informatice;
e) managementul configuratiilor retelelor si sistemelor informatice;
f) asigurarea disponibilitatii serviciului esential si a functionarii retelelor si sistemelor informatice;
g) managementul continuitatii functionarii serviciului esential;
h) managementul identificarii si autentificarii utilizatorilor;
i) raspunsul la incidente;
j) mentenanta retelelor si sistemelor informatice;
k) managementul suporturilor de memorie externa;
l) asigurarea protectiei fizice a retelelor si sistemelor informatice;
m) realizarea planurilor de securitate;
n) asigurarea securitatii personalului;
o) analizarea si evaluarea riscurilor;
p) asigurarea protectiei produselor si serviciilor aferente retelelor si sistemelor informatice;
q) managementul vulnerabilitatilor si alertelor de securitate .
(4) Normele tehnice prevazute la alin. (1) aplicabile furnizorilor de servicii digitale se stabilesc in baza urmatoarelor categorii de activitati de asigurare a securitatii retelelor si sistemelor informatice:
a) securitatea sistemelor si a instalatiilor;
b) gestionarea incidentelor;
c) gestionarea continuitatii activitatii;
d) monitorizarea, auditarea si testarea;
e) conformitatea cu standardele europene si internationale.
(5) In implementarea masurilor de la alin. (1) operatorii de servicii esentiale:
a) identifica retelele si sistemele informatice care sustin furnizarea de servicii esentiale;
b) elaboreaza si implementeaza politici si planuri proprii de securitate a retelelor si sistemelor informatice;
c) asigura managementul incidentelor care afecteaza securitatea retelelor si sistemelor informatice;
d) previn accesul neautorizat la retelele si sistemele informatice;
e) previn diseminarea datelor detinute la nivelul retelelor si sistemelor informatice catre alte persoane decat cele autorizate sa cunoasca continutul acestora;
f) implementeaza un sistem de management al riscului;
g) implementeaza planuri de actiune pe niveluri de alerta de securitate a retelelor si sistemelor informatice;
h) asigura continuitatea serviciilor.
(6) Normele tehnice prevazute la alin. (1) se emit cu luarea in considerare a cerintelor si standardelor europene si internationale fara a impune sau a discrimina in favoarea utilizarii unui anumit tip de tehnologie.
SECTIUNEA a 2-a
Notificarea incidentelor de securitate
Art. 26.
(1) Notificarile efectuate de operatorii de servicii esentiale in temeiul art. 10 alin. (1) lit. c) trebuie sa indeplineasca conditiile si sa contina informatiile prevazute in normele tehnice prevazute la art. 20 lit. c).
(2) Notificarile efectuate de furnizorii de servicii digitale in temeiul prevederilor art. 12 alin. (1) lit. c) trebuie sa indeplineasca conditiile si sa contina informatiile prevazute in normele tehnice prevazute la art. 20 lit. c).
(3) Notificarea incidentelor contine, in mod obligatoriu, urmatoarele informatii:
a) elementele de identificare ale infrastructurii si operatorului sau furnizorului in cauza;
b) descrierea incidentului;
c) perioada de desfasurare a incidentului;
d) impactul estimat al incidentului;
e) masuri preliminare adoptate;