Normele metodologice de identificare a operatorilor de servicii esentiale si furnizorilor de servicii digitale, din 21.06.2019

Articolul 9
(1) In etapa de evaluare, OENIS pot solicita asistenta de specialitate la ANSRSI din cadrul CERT-RO. Formularul de asistenta pentru identificarea OSE este prevazut in anexa nr. 2 la prezentele norme.
(2) In limita resurselor disponibile, ANSRSI asigura sprijin OENIS in procesul de identificare .
(3) Formularul, completat si semnat, se transmite electronic la ANSRSI, e-mail: nis@cert.ro, prin posta sau direct la sediul CERT-RO din Str. Italiana nr. 22, Bucuresti, sectorul 2, CP 020976.

CAPITOLUL III
Notificarea CERT-RO de catre operatorii de servicii esentiale

Articolul 10
Dupa etapa de evaluare, OENIS va proceda la notificarea CERT-RO pentru inscrierea in Registrul operatorilor de servicii esentiale.

Articolul 11
(1) Procesul de notificare presupune completarea si semnarea de catre entitatea solicitanta a notificarii privind inscrierea in ROSE, denumita in continuare notificare OSE. Modelul formularului de notificare OSE este prevazut in anexa nr. 4 la prezentele norme.
(2) Notificarea OSE cuprinde:
a) datele de identificare si de contact ale OSE;
b) date de identificare persoana/persoane responsabila/responsabile NIS pentru legatura cu ANSRSI;
c) declaratia pe propria raspundere cu privire la indeplinirea conditiilor prevazute la art. 6 alin. (1) din Legea NIS prin raportare la criteriile intersectoriale de stabilire a impactului unui incident prevazute la art. 6 alin. (2), respectiv la criteriile sectoriale, precum si la valorile de prag prevazute la art. 6 alin. (3) din aceeasi lege;
d) acceptul entitatii solicitante cu privire la procesarea electronica a datelor in procesul de inscriere in ROSE.

Articolul 12
(1) Pentru persoanele juridice notificarea OSE se semneaza/face de catre reprezentantul legal. Depunerea solicitarii se poate face personal sau prin imputernicit, cu imputernicire speciala si autentica, imputernicire avocatiala, delegatie a consilierului juridic, dupa caz.
(2) Notificarea OSE se depune de catre solicitant la CERT- RO, in Str. Italiana nr. 22, cod postal 020976, sector 2, Bucuresti, Romania, prin e-mail la ANSRSI, nis@cert.ro, sau prin posta, cu scrisoare cu valoare declarata si confirmare de primire ori prin sistemul on-line de notificare, denumit in continuare SOLNO.
(3) ANSRSI din cadrul CERT-RO confirma primirea notificarii OSE.

CAPITOLUL IV
Evaluarea si inscrierea operatorilor de servicii esentiale

Articolul 13
(1) Dupa primirea notificarii OSE, ANSRSI din cadrul CERT-RO procedeaza la demararea procesului de evaluare si inscriere a OSE in Registrul operatorilor de servicii esentiale.
(2) In acest sens, ANSRSI analizeaza solicitarea si eventualele documente anexate, constituind o mapa a operatorului de servicii esentiale, denumita in continuare mapa OSE, iar informatiile/datele cu caracter general si specific vor fi implementate in aplicatia informatica CRONOS.
(3) Toate etapele procesului de evaluare si inscriere a OSE sunt implementate in CRONOS.

Articolul 14
(1) In conformitate cu art. 8 alin. (4) din Legea NIS, procesul de notificare presupune ca solicitarea sa fie insotita de un raport de audit care atesta indeplinirea cerintelor minime de securitate, denumit in continuare raport NIS. Raportul NIS va fi intocmit de un auditor atestat in conformitate cu prevederile art. 32 din Legea NIS.
(2) Raportul NIS va detalia starea de securitate a retelelor si sistemelor informatice, utilizate de OSE pentru furnizarea de servicii esentiale, potrivit standardelor si specificatiilor europene si internationale aplicabile in domeniu .
(3) In conformitate cu art. 43 din Legea NIS, in primii doi ani de la intrarea in vigoare a acestei legi, respectiv 12.01.2021, raportul NIS va fi inlocuit de o declaratie pe propria raspundere, insotita de o documentatie de autoevaluare a indeplinirii cerintelor minime de securitate . Modelul declaratiei pe propria raspundere este prevazut in anexa nr. 7 la prezentele norme.
(4) Documentatia de autoevaluare va prezenta stadiul implementarii cerintelor minime de securitate in raport cu art. 25 alin. (5) lit. a) -h) din Legea NIS.

Articolul 15
(1) In procesul de evaluare si inscriere OSE, ANSRSI din cadrul CERT-RO poate solicita, in calitate de autoritate nationala, de la OENIS urmatoarele documente:
a) certificat constatator eliberat de registrul comertului;
b) raport de audit pentru stabilirea calitatii de operator de servicii esentiale in conformitate cu prevederile art. 6 si 7 din Legea NIS, inclusiv documentatia care a stat la baza elaborarii acestuia;
c) raport de audit pentru stabilirea masurilor necesare pentru conformarea cu cerintele Legii NIS, inclusiv documentatia care a stat la baza elaborarii acestuia;
d) raport de audit pentru stabilirea interdependentei si interconectarii acestora, in conformitate cu art. 8 alin. (7) lit. c) din Legea NIS, inclusiv documentatia care a stat la baza elaborarii acestuia;
e) lista autoritatilor statului pentru care operatorul de servicii esentiale furnizeaza serviciile definite la art. 6 alin. (1) din Legea NIS.
(2) Daca ANSRSI din cadrul CERT-RO constata ca pentru finalizarea procesului de evaluare si inscriere in ROSE sunt necesare inscrisuri suplimentare si/sau expertize ori constata ca anumite documente depuse nu indeplinesc conditiile legale de fond sau de forma ori ca lipsesc anumite documente doveditoare sau nu au fost achitate taxele legale (daca este cazul), solicita noi informatii/documente si acorda un nou termen de furnizare a acestora pentru inregistrare in ROSE.
(3) Refuzul transmiterii de catre OENIS a inscrisurilor solicitate de ANSRSI va duce la intreruperea procesului de evaluare si informarea entitatii cu privire la neinscrierea in ROSE, urmand a fi incidente dispozitiile privind contraventiile.

Articolul 16
(1) Pentru fiecare operator de servicii esentiale, ANSRSI atribuie un cod unic de identificare, denumit IDOSE, utilizat in corespondenta intre ANSRSI si OSE, pe intreg ciclul de functionare a OSE.
(2) La finalizarea procesului de evaluare si inscriere a OSE, ANSRSI elaboreaza raportul final de evaluare a OSE si propune emiterea deciziei directorului general privind inscrierea in ROSE, denumita in continuare decizie OSE. Modelul deciziei OSE este prevazut in anexa nr. 8 la prezentele norme.
(3) Dupa finalizarea procesului de evaluare si inscriere a OSE, personalul ANSRSI completeaza ROSE, actualizeaza lista serviciilor esentiale, daca este cazul, introduce documentele/datele/informatiile in mapa OSE si inchide inregistrarile referitoare la OSE in CRONOS.

Articolul 17
(1) Dupa emiterea deciziei OSE, ANSRSI trece la monitorizarea si controlul aplicarii prevederilor Legii NIS de catre OSE.
(2) Dupa primirea deciziei OSE de la CERT-RO, OSE va proceda la punerea in aplicare a tuturor prevederilor Legii NIS aplicabile OSE.

CAPITOLUL V
Modificarea/completarea datelor operatorilor de servicii esentiale

Articolul 18