NORME din 7 decembrie 2021

(1) Titularul de autorizație trebuie să analizeze toate SCE care fac parte din categoriile stabilite la art. 4 și să identifice acele SCE care necesită protecție împotriva amenințărilor cibernetice, astfel încât să satisfacă cerințele din art. 5.

(2) În vederea stabilirii unei abordări gradate privind aplicarea cerințelor de securitate cibernetică, SCE identificate în conformitate cu cerințele de la alin. (1) se vor clasifica în funcție de consecințele potențiale ale materializării amenințărilor cibernetice.

(3) Lista SCE identificate în conformitate cu cerințele de la alin. (1), inclusiv clasificarea acestora, stabilită conform prevederilor alin. (2), trebuie transmisă pentru evaluare și aprobare la CNCAN.

(4) Lista SCE trebuie revizuită și actualizată, cel puțin o dată la 5 ani, precum și ori de câte ori este necesar, ținând cont de experiența de exploatare, evaluările, inspecțiile și auditurile de securitate periodice. Reviziile listei SCE sunt supuse aprobării CNCAN.

(1) Amenințările cibernetice care trebuie luate în considerare de titularul de autorizație se stabilesc de către CNCAN în cooperare cu autoritățile naționale responsabile pentru securitatea cibernetică și se comunică în scris solicitantului/titularului de autorizație, prin transmiterea documentului care descrie amenințările cibernetice generice care privesc instalațiile nucleare.

(2) Amenințările cibernetice trebuie tratate atât independent, cât și în combinație cu tipurile de amenințări specificate în Normele de protecție fizică în domeniul nuclear, respectiv în documentele care stabilesc amenințările bază de proiect pentru sistemele de protecție fizică ale instalațiilor nucleare.

(3) Reevaluarea amenințărilor cibernetice pentru SCE ale instalațiilor nucleare trebuie efectuată anual, precum și ori de câte ori este necesar, la inițiativa CNCAN, a autorităților naționale responsabile pentru securitatea cibernetică sau a solicitantului/titularului de autorizație.

(1) Titularul de autorizație trebuie să stabilească, să implementeze și să mențină un plan pentru protecția SCE identificate în conformitate cu cerințele art. 6 împotriva amenințărilor cibernetice, denumit în continuare planul de securitate cibernetică.

(2) Planul de securitate cibernetică trebuie să aibă la bază o analiză de risc, ținând cont de amenințările cibernetice stabilite conform prevederilor art. 7.

(1) Planul de securitate cibernetică trebuie să țină cont de caracteristicile relevante ale amplasamentului și ale proiectului instalației sau instalațiilor nucleare aflate în responsabilitatea titularului de autorizație.

(2) Planul de securitate cibernetică trebuie să includă măsuri de răspuns la incidente și de recuperare în urma materializării amenințărilor cibernetice.

(3) Planul de securitate cibernetică trebuie să fie bazat pe conceptul protecției în adâncime, utilizând măsuri tehnice și administrative structurate pe mai multe niveluri, pentru protecția SCE împotriva amenințărilor cibernetice, pentru detecția incidentelor cibernetice și pentru răspunsul la astfel de evenimente.

(4) Planul de securitate cibernetică trebuie să descrie modul în care titularul de autorizație va asigura următoarele:

(1) Titularul de autorizație trebuie să asigure, ca parte a planului de securitate cibernetică, următoarele:

(2) Pentru implementarea eficientă a planului de securitate cibernetică, titularul de autorizație trebuie să realizeze următoarele acțiuni:

(1) Titularul de autorizație trebuie să aibă în permanență o echipă proprie de specialiști care să asigure detecția și răspunsul rapid la un incident de securitate cibernetică, inclusiv protecția SCE identificate în conformitate cu cerințele art. 6 și limitarea consecințelor materializării amenințărilor cibernetice.

(2) Titularul de autorizație trebuie să dezvolte și să implementeze o procedură de detecție și răspuns la incidente cibernetice, care să specifice următoarele aspecte:

(1) Titularul de autorizație trebuie să implementeze măsuri pentru colectarea, evaluarea și utilizarea experienței de exploatare interne și externe, în vederea îmbunătățirii continue a protecției împotriva amenințărilor cibernetice, respectiv a planului de securitate cibernetică.

(2) În scopul implementării cerinței de la alin. (1) trebuie stabilite, consultate și analizate în mod continuu sursele de informații și experiență de exploatare disponibile, la nivel național și internațional, care prezintă cele mai recente vulnerabilități identificate în diferitele componente și echipamente ale sistemelor de control industrial, relevante pentru SCE din cadrul instalației nucleare, identificate în conformitate cu cerințele art. 6, precum și cele mai recente incidente și atacuri cibernetice cunoscute. Titularul de autorizație trebuie să elaboreze și să implementeze o procedură specifică în acest scop.

(1) Titularul de autorizație trebuie să asigure evaluarea periodică a eficacității planului de securitate cibernetică. În acest scop, trebuie constituită și desemnată o echipă de specialiști în securitate cibernetică, cu pregătire, experiență și calificări adecvate pentru specificul instalației nucleare și a SCE aferente acesteia.

(2) Evaluarea eficacității planului de securitate cibernetică trebuie efectuată:

(3) Evaluarea eficacității planului de securitate cibernetică trebuie să includă exerciții periodice, de testare a măsurilor de protecție împotriva amenințărilor cibernetice, ținând cont și de specificul SCE.

(4) Titularul de autorizație trebuie să confirme, prin verificare și validare, că măsurile și procedurile specifice implementate îndeplinesc cerințele de protecție împotriva amenințărilor cibernetice, ținând cont și de specificul SCE.

(1) Titularul de autorizație trebuie să demonstreze că a implementat toate măsurile necesare, la nivelul celor mai noi standarde și bune practici recunoscute la nivel internațional, pentru asigurarea protecției instalațiilor nucleare împotriva amenințărilor cibernetice.

(2) Documentele de referință menționate în anexa nr. 2 reprezintă standarde și ghiduri privind bune practici recunoscute pe plan național și internațional și se recomandă ca acestea, precum și orice nouă revizie a acestora să fie luate în considerare de către titularul de autorizație, în vederea îmbunătățirii protecției instalațiilor nucleare împotriva amenințărilor cibernetice.

(3) Titularul de autorizație trebuie să utilizeze standardele și ghidurile tehnice menționate în anexa nr. 2, relevante pentru instalațiile nucleare pentru care este responsabil, în procesul de autoevaluare. Rapoartele privind autoevaluarea față de cerințele și recomandările din aceste standarde și ghiduri trebuie transmise la CNCAN pentru informare.

(4) Titularul de autorizație trebuie să utilizeze standardele și ghidurile tehnice menționate în anexa nr. 2, relevante pentru instalațiile nucleare pentru care este responsabil, în pregătirea și calificarea personalului de specialitate implicat în dezvoltarea, evaluarea, implementarea și îmbunătățirea continuă a planului, procedurilor și măsurilor tehnice și administrative de securitate cibernetică.

(1) Titularul de autorizație trebuie să stabilească și să impună un set de cerințe și reguli de securitate cibernetică pentru furnizorii de produse și servicii pentru instalațiile nucleare, în scopul prevenirii incidentelor cibernetice. Titularul de autorizație trebuie să asigure, prin procedurile proprii, includerea cerințelor de securitate cibernetică în documentația de procurare pentru furnizorii de produse și servicii pentru instalațiile nucleare.

(2) Cerințele pentru SCE noi din categoria celor identificate conform cu cerințele art. 6, precum și pentru modernizările SCE existente trebuie să includă remedierea vulnerabilităților pentru toată durata de viață a SCE respective.

(3) Titularul de autorizație trebuie să asigure procurarea de componente și piese de schimb pentru SCE identificate conform cu cerințele art. 6 direct de la producătorii/fabricanții originali ai acestora sau de la furnizorii agreați de aceștia, în măsura în care este practic posibil, pentru menținerea proiectului aprobat/ autorizat în conformitate cu cerințele privind controlul configurației de proiectare, pentru evitarea modificărilor inadvertente, precum și pentru evitarea produselor contrafăcute, frauduloase sau suspecte, inclusiv a celor care pot induce vulnerabilități de securitate cibernetică.

(4) Titularul de autorizație trebuie să stabilească și să implementeze proceduri de acces și control pentru furnizorii de servicii cu impact asupra SCE din categoria celor identificate conform cu cerințele art. 6, în vederea asigurării securității cibernetice.

(1) Titularul de autorizație trebuie să asigure analiza și evaluarea modificărilor permanente și temporare din punctul de vedere al impactului asupra protecției la amenințări cibernetice. Această cerință se aplică atât modificărilor de proiect care privesc SCE din categoria celor identificate conform cerințelor art. 6, cât și modificărilor administrative și procedurale relevante.

(2) Titularul de autorizație trebuie să stabilească, în procedurile proprii, cerințele pentru implementarea uniformă a prevederilor din art. 16 și art. 17 alin. (2), la evaluarea și implementarea modificărilor de proiect permanente și temporare.

(1) Titularul de autorizație trebuie să definească și să documenteze, ca proces-suport în cadrul sistemului de management, procesul pentru protecția instalațiilor nucleare împotriva amenințărilor cibernetice, astfel încât să asigure sustenabilitatea pe termen lung a conformității cu cerințele de reglementare naționale și standardele internaționale în acest domeniu, precum și îmbunătățirea continuă a securității cibernetice.

(2) Titularul de autorizație trebuie să stabilească responsabilitățile pentru dezvoltarea, monitorizarea, implementarea, evaluarea și îmbunătățirea continuă a procesului și măsurilor de securitate cibernetică.

(3) Titularul de autorizație trebuie să asigure coordonarea diferitelor departamente responsabile pentru implementarea procesului și măsurilor de securitate cibernetică, precum și integrarea acțiunilor implementate de acestea.

(4) Titularul de autorizație trebuie să asigure resursele materiale și resursele umane, de personal tehnic pregătit și calificat în domeniul securității cibernetice pentru SCE specifice instalațiilor nucleare, inclusiv pentru sistemele de control industrial.

(1) Titularul de autorizație trebuie să raporteze imediat la CNCAN orice condiție anormală cu impact real sau potențial asupra securității cibernetice a SCE identificate în conformitate cu cerințele art. 6, inclusiv incidentele cibernetice.

(2) De asemenea, titularul de autorizație trebuie să raporteze imediat la CNCAN orice incident de securitate cibernetică în care sunt accesate neautorizat sau afectate în orice alt mod bazele de date sau rețeaua de intranet în care sunt stocate informații privind SSCE ale instalației nucleare, procedurile tehnice și administrative și date privind angajații titularului de autorizație.

(1) În termen de un an de la intrarea în vigoare a prezentelor norme, titularii de autorizație pentru instalațiile nucleare aflate în faza de exploatare trebuie să transmită la CNCAN spre evaluare un raport care să prezinte analiza conformității cu cerințele prezentelor norme și acțiunile întreprinse pentru asigurarea implementării integrale a cerințelor.

(2) În termen de un an de la intrarea în vigoare a prezentelor norme, titularii de autorizație pentru instalațiile nucleare aflate în faza de exploatare trebuie să transmită la CNCAN, spre evaluare și avizare, actualizarea planului de securitate cibernetică pentru instalațiile nucleare de care răspund, prin care să demonstreze:

(3) Actualizarea planului de securitate cibernetică trebuie să includă măsurile de implementare și termenele aferente.

(4) Conținutul minim recomandat al planului de securitate cibernetică este cel din anexa nr. 3.