Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a retelelor si sistemelor informatice

(2) Cu exceptia informatiilor necesare instiintarii de la art. 29 alin. (1), informatiile prelucrate in sensul indeplinirii obligatiilor de la alin. (1) nu fac parte din categoria informatiilor de interes public asa cum acestea sunt reglementate in Legea nr. 544/2001 privind liberul acces la informatiile de interes public, cu modificarile si completarile ulterioare.
(3) Informatiile confidentiale conform legislatiei nationale si normelor Uniunii Europene, precum cele privind secretul comercial, fac obiectul schimbului de informatii cu Comisia Europeana si cu alte autoritati numai daca acest lucru este necesar pentru aplicarea prezentei legi.
(4) Informatiile care fac obiectul schimbului mentionat la alin. (3) se limiteaza la informatii relevante si proportionale cu scopul urmarit.
(5) Schimbul de informatii mentionat la alin. (3) se va face cu garantarea pastrarii confidentialitatii informatiilor si protejarea securitatii si intereselor comerciale ale operatorilor de servicii esentiale si ale furnizorilor de servicii digitale.
(6) Prelucrarile de date cu caracter personal ce intra sub incidenta prezentei legi se efectueaza cu respectarea reglementarilor legale privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal.
(7) Notificarile realizate in temeiul prezentei legi nu afecteaza obligatiile operatorilor de date cu caracter personal stabilite potrivit art. 33 si 34 din Regulamentul (UE) 2016/679 al Parlamentului European si al Consiliului din 27 aprilie 2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a Directivei 95/46/CE.
(8) In scopul indeplinirii atributiilor ori furnizarii serviciilor prevazute de prezenta lege, precum si in scopul prevenirii si raspunsului la incidentele de securitate informatica ori al cooperarii la nivel national, comunitar si international in prevenirea si raspunsul la incidentele de securitate informatica, CERT-RO colecteaza, primeste, prelucreaza si transmite date si informatii ce pot constitui sau pot contine date cu caracter personal, in limitele legislatiei aplicabile, cu asigurarea respectarii prevederilor alin. (6).

CAPITOLUL V
Audit si autorizare
SECTIUNEA 1
Auditul de securitate a retelelor si sistemelor informatice apartinand operatorilor de servicii esentiale sau furnizorilor de servicii digitale
Art. 31.
Poate fi auditor de securitate a retelelor si sistemelor informatice persoana fizica sau persoana juridica ce realizeaza audit de securitate a retelelor si sistemelor informatice, adica desfasoara acea activitate prin care se realizeaza o evaluare sistematica a tuturor politicilor, procedurilor si masurilor de protectie implementate la nivelul retelelor si sistemelor informatice, in vederea identificarii disfunctiilor si vulnerabilitatilor si a furnizarii unor solutii de remediere a acestora.

Articolul 32.
(1) Auditul de securitate specificat la art. 8 alin. (4), respectiv art. 10 alin. (2) lit. b) si art. 12 alin. (2) lit. b) se realizeaza de catre auditorii de securitate informatica ce detin atestat valabil eliberat de catre CERT-RO pentru a audita retele si sisteme informatice ce deservesc servicii esentiale sau servicii digitale in sensul prezentei legi.
(2) In acest sens CERT-RO:
a) intretine si actualizeaza Registrul auditorilor mentionati la alin. (1);
b) elaboreaza si transmite spre aprobare MCSI, in conformitate cu prevederile art. 20 lit. e) si s), regulamentul pentru atestarea si verificarea auditorilor de securitate informatica pentru retelele si sistemele informatice apartinand operatorilor de servicii esentiale sau furnizorilor de servicii digitale si stabileste conditiile de valabilitate pentru atestatele acordate;
c) acorda, prelungeste, suspenda sau retrage atestarea pentru auditorii de securitate informatica pentru retelele si sistemele informatice apartinand operatorilor de servicii esentiale sau furnizorilor de servicii digitale, in conformitate cu prevederile regulamentului prevazut la lit. b);
d) verifica in urma sesizarilor sau din oficiu, in conformitate cu prevederile art. 35-42, indeplinirea de catre auditorii atestati in temeiul prezentei legi a obligatiilor legale ce le revin;
e) elaboreaza si aproba, prin decizie a directorului general publicata in Monitorul Oficial al Romaniei, Partea I, tematicile pentru specializarea auditorilor in vederea atestarii prevazute la lit. c) si autorizeaza, verifica, suspenda sau retrage autorizarea formatorilor din domeniul auditului de securitate informatica pentru retelele si sistemele informatice ale operatorilor de servicii esentiale si furnizorilor de servicii digitale.
(3) Nu pot realiza auditul solicitat la art. 10 alin. (2) lit. b), respectiv art. 12 alin. (2) lit. b):
a) auditorii atestati care asigura in mod curent servicii de securitate informatica ori servicii de tip CSRIT operatorului de servicii esentiale sau furnizorului de servicii digitale ori sunt angajati ai acestora;
b) auditorul care are un contract de prestari servicii pentru reteaua si sistemul supus auditului aflat in desfasurare la momentul la care se efectueaza auditul sau intr-un termen mai mic de un an;
c) auditorul care a mai efectuat 3 audituri consecutive la acelasi operator de servicii esentiale sau furnizor de servicii digitale.
(4) Activitatea de audit se efectueaza potrivit standardelor si specificatiilor europene si internationale aplicabile in domeniu .
(5) Tematicile de audit vor tine seama de normele tehnice in vigoare privind securitatea retelelor si sistemelor informatice ale operatorilor de servicii esentiale si ale furnizorilor de servicii digitale elaborate in temeiul prezentei legi.
(6) Atestatele au o valabilitate de 3 ani.
(7) Constituie exceptie de la prevederile alin. (1) auditul de securitate realizat la nivelul institutiilor cu responsabilitati in domeniul apararii, ordinii publice si securitatii nationale, precum si pentru serviciile puse la dispozitie de catre acestea.
(8) Lista standardelor si specificatiilor europene si internationale prevazute la alin. (4) se elaboreaza si se aproba prin decizie a directorului general al CERT-RO, se actualizeaza periodic si se publica in Monitorul Oficial al Romaniei, Partea I.

SECTIUNEA a 2-a
Autorizarea echipelor CSIRT ce deservesc retele si sisteme informatice din categoria serviciilor esentiale si serviciilor digitale
Art. 33.
(1) Echipele CSIRT care deservesc operatori de servicii esentiale ori furnizori de servicii digitale se autorizeaza de catre CERT-RO in calitate de autoritate competenta la nivel national.
(2) In acest sens CERT-RO:
a) intretine si actualizeaza Registrul echipelor CSIRT prevazute la alin. (1);
b) elaboreaza si transmite spre aprobare MCSI, in conformitate cu prevederile art. 20 lit. e) si s), regulamentul pentru autorizarea si verificarea echipelor CSIRT care deservesc operatorii de servicii esentiale sau furnizorii de servicii digitale si stabileste conditiile de valabilitate pentru autorizatiile acordate;
c) acorda, prelungeste, suspenda sau retrage autorizarea pentru echipele CSIRT, in conformitate cu prevederile regulamentului prevazut la lit. b);
d) verifica in urma sesizarilor sau din oficiu, in conformitate cu prevederile art. 35-42, indeplinirea de catre echipele CSIRT autorizate in temeiul prezentei legi a obligatiilor legale ce le revin;
e) elaboreaza tematicile pentru formarea membrilor echipelor CSIRT in vederea autorizarii prevazute la lit. c) si autorizeaza, verifica, suspenda sau retrage autorizarea formatorilor din domeniul asigurarii de servicii de tip CSIRT pentru retelele si sistemele informatice ale operatorilor de servicii esentiale si furnizorilor de servicii digitale.
(3) In vederea autorizarii, echipa CSIRT trebuie sa indeplineasca conditiile prevazute in normele tehnice elaborate in temeiul prevederilor art. 20 lit. e).
(4) Autorizatiile au o valabilitate de 3 ani.

CAPITOLUL VI
Cooperare
Art. 34.
(1) Autoritatile si entitatile care reglementeaza sectoarele si subsectoarele de activitate prevazute in anexa au obligatia de a coopera si sprijini CERT-RO in calitate de autoritate competenta la nivel national si de a raspunde solicitarilor acesteia, potrivit domeniilor de activitate si responsabilitate, pentru: