Articolul I
Ordonanța de urgența a Guvernului nr. 89/2022 privind înființarea, administrarea și dezvoltarea infrastructurilor și serviciilor informatice de tip cloud utilizate de autoritățile și instituțiile publice, publicata în Monitorul Oficial al României, Partea I, nr. 638 din 28 iunie 2022, aprobata cu modificări și completări prin Legea nr. 180/2023, se modifica și se completează după cum urmează:
1. La articolul 1, după alineatul (2) se introduce un nou alineat, alin. (2^1), cu următorul cuprins:
(2^1) Cloudul privat guvernamental este compus din doua componente: componenta de cloud intern, denumita în continuare cloud intern, și componenta de cloud dedicat, denumita în continuare cloud dedicat.
2. La articolul 1, după alineatul (5) se introduc trei noi alineate, alin. (5^1)-(5^3), cu următorul cuprins:
(5^1) Cloudul intern include infrastructura de baza, astfel cum aceasta este definita la art. 2 lit. k), asigura furnizarea de servicii de tip IaaS, PaaS, SaaS, printr-un ansamblu de resurse informatice, de comunicații și de securitate cibernetica, se afla în proprietatea statului român și este interconectat la nivel de servicii cu cloudul dedicat și cu alte clouduri publice și/sau private din Platforma.
(5^2) Cloudul dedicat asigura furnizarea de servicii de tip IaaS, PaaS, SaaS, inclusiv licențele necesare, de pe o infrastructura informatica distincta de cea a cloudului intern, ce utilizeaza din infrastructura de baza, în limita resurselor disponibile, clădirile, instalațiile, dotările și echipamentele tehnologice aferente și comunicațiile necesare asigurării transportului de date și interconectării cu rețelele publice de comunicații electronice.
(5^3) Cloudul dedicat se interconecteaza la nivel de servicii cu cloudul intern în vederea utilizării de resurse de comunicații și tehnologia informației, prin API-uri, de catre sistemele informatice din Cloudul privat guvernamental, în conformitate cu prevederile art. 17 alin. (5).
3. La articolul 2, după litera w) se introduc trei noi litere, lit. x)-z), cu următorul cuprins:
x) cloud intern - model de cloud privat scalabil și elastic, care permite accesul la cerere, prin rețea, la resurse fizice și/sau virtuale, în mod partajat, necesare utilizatorilor, sub forma de servicii de cloud, respectiv IaaS, PaaS și SaaS, și care dispune de o platforma de monitorizare unitara a resurselor;
y) cloud dedicat - model de cloud privat care permite accesul prin rețea la un grup scalabil și elastic de resurse fizice și/sau virtuale care pot fi folosite de catre utilizatori, în mod partajat, la cerere, în sistem self-service, sub forma de servicii de cloud, respectiv IaaS, PaaS și SaaS, și care dispune de o platforma de management unitara a resurselor la nivel de CPG, asigurata de ADR;
z) API - interfața de programare a aplicației, respectiv un set de funcții, proceduri, definiții și protocoale pentru comunicarea dintre mașini și schimbul fara sincope de date.
4. La articolul 3, după alineatul (5) se introduce un nou alineat, alin. (5^1), cu următorul cuprins:
(5^1) Guvernul României, prin MCID, încheie cu producătorii de tehnologie software acorduri guvernamentale de stabilire a condițiilor de licențiere pentru nevoile statului român, necesare implementării și utilizării Cloudului privat guvernamental, în condițiile stabilite prin hotarâre a Guvernului.
5. La articolul 4, alineatul (3) se modifică și va avea următorul cuprins:
(3) ADR asigura implementarea, administrarea tehnica și operaționala, mentenanța, precum și dezvoltarea ulterioara pentru serviciile SaaS specifice cloudului intern, inclusiv asigurarea, prin acorduri-cadru, conform legislației achizițiilor publice, a licențelor necesare migrării în Cloudul privat guvernamental a sistemelor informatice și serviciilor publice electronice.
6. La articolul 4, după alineatul (3) se introduce un nou alineat, alin. (3^1), cu următorul cuprins:
(3^1) ADR este responsabila de proiectarea și achiziționarea cloudului dedicat și de asigurarea implementării, administrării tehnice și operaționale, securității cibernetice, mentenanței, precum și dezvoltării ulterioare a serviciilor specifice acestuia.
7. La articolul 5, alineatele (1), (2) și (4) se modifică și vor avea următorul cuprins:
Articolul 5
(1) Infrastructura de baza a cloudului intern este asigurata de STS.
(2) STS asigura implementarea, administrarea tehnica și operaționala, securitatea cibernetica, mentenanța, precum și dezvoltarea ulterioara a infrastructurii de baza și a serviciilor de cloud de tip IaaS și PaaS furnizate de cloudul intern.
...............................
(4) STS asigura securitatea cibernetica a cloudului intern prin prevenirea și contracararea atacurilor cibernetice îndreptate împotriva infrastructurii de baza și a serviciilor de cloud de tip IaaS și PaaS furnizate de cloudul intern, inclusiv a atacurilor de tip DDoS, în conformitate cu atribuțiile prevăzute prin actele normative în vigoare.
8. La articolul 6, alineatele (1), (2) și (4) se modifică și vor avea următorul cuprins:
Articolul 6
(1) SRI asigura securitatea cibernetica a serviciilor de cloud de tip SaaS furnizate entităților găzduite din cloudul intern prin cunoașterea, prevenirea și contracararea atacurilor, amenințărilor, riscurilor și vulnerabilităților cibernetice, inclusiv a celor complexe, de tip APT.
(2) SRI cooperează cu STS, conform competențelor fiecărei instituții, pentru cunoașterea, prevenirea și contracararea atacurilor cibernetice complexe, de tip APT, îndreptate împotriva serviciilor IaaS și PaaS furnizate din cloudul intern, prin schimbul nemijlocit și automat al informațiilor referitoare la incidentele de securitate, fără a transfera date de conținut.
(4) SRI asigură implementarea, administrarea tehnică și operațională, mentenanța, precum și dezvoltarea ulterioară a serviciilor de securitate cibernetică din cloudul intern, prevăzute la alin. (1), și sprijină ADR, la cerere, în realizarea securității cibernetice a cloudului dedicat din Cloudul privat guvernamental.
9. La articolul 6, după alineatul (4) se introduce un nou alineat, alin. (5), cu următorul cuprins:
(5) SRI asigură securitatea cibernetică a Cloudului privat guvernamental prin cunoașterea, prevenirea și contracararea atacurilor, amenințărilor, riscurilor și vulnerabilităților cibernetice, inclusiv a celor complexe, de tip APT, îndreptate împotriva serviciilor Cloudului privat guvernamental și a entităților găzduite și nominalizarea de experți în comisiile de recepție ale ADR și STS, care să valideze recepția calitativă și cantitativă a echipamentelor și soluțiilor destinate securității cibernetice, pentru cloudul intern și cloudul dedicat.
10. La articolul 10, alineatele (1), (3) și (6) se modifică și vor avea următorul cuprins:
Articolul 10
(1) Infrastructura de bază, laaS și PaaS aferente cloudului intern sunt proprietate a statului și în administrarea STS, care le achiziționează conform prevederilor legale în vigoare privind achizițiile publice.
................................
(3) Software-ul și licențele aferente migrării în Cloudul privat guvernamental a sistemelor informatice sunt proprietate privată a statului și în administrarea ADR, care le achiziționează sau le preia, după caz, conform prevederilor legale în vigoare privind achizițiile publice, prin intermediul unor proceduri competitive, transparente, necondiționate și nediscriminatorii și le pune la dispoziția utilizatorilor de servicii cloud, în condițiile stabilite în acordul de migrare prevăzut la art. 4 alin. (4).
(6) Administratorii cloudului intern și cloudului dedicat din care sunt furnizate serviciile de laaS, PaaS și SaaS în Cloudul privat guvernamental, precum și administratorii de securitate cibernetică menționați la art. 5-7 asigură jurnalizarea evenimentelor și accesului la datele entităților găzduite în Cloudul privat guvernamental, conform responsabilităților prevăzute de prezenta ordonanță de urgență, în scopul efectuării unor activități de audit de conformitate periodice pe linia protecției, calității, securității și trasabilității datelor, în vederea asigurării transparenței utilizării acestora.
11. La articolul 10, după alineatul (1) se introduce un nou alineat, alin. (1^1), cu următorul cuprins:
(1^1) Cloudul dedicat este proprietate privată a statului și este achiziționat și administrat de ADR, conform prevederilor legale în vigoare privind achizițiile publice, cu excepția acelor componente pentru care se achiziționează dreptul de utilizare.
12. La articolul 10, după alineatul (10) se introduc șase noi alineate, alin. (11)-(16), cu următorul cuprins:
(11) STS achiziționează pe bază de acorduri-cadru, încheiate în conformitate cu legislația în vigoare privind achizițiile publice, în limita resurselor disponibile, licențele de sisteme de operare și baze de date necesare funcționării sistemelor informatice aparținând utilizatorilor de servicii de cloud din cloudul intern.
(12) Încheierea de către STS a contractelor subsecvente având ca obiect licențele prevăzute la alin. (1) se realizează în baza unei solicitări scrise transmise de ADR către STS, în urma analizei de migrare a utilizatorilor de servicii de cloud în cloudul intern.
(13) În termen de 5 zile lucrătoare de la recepționare, licențele prevăzute la alin. (2) se transferă fără plată către ADR, pe bază de proces-verbal de predare-preluare, care constituie document justificativ pentru înregistrarea acestora în contabilitate.
(14) Prevederile alin. (11)-(13) se aplică exclusiv pe perioada de implementare a cloudului intern, obligația de asigurare a acestor licențe ulterior finalizării implementării cloudului intern revenind utilizatorilor de servicii de cloud de tip laaS și PaaS furnizate din Cloudul privat guvernamental sau ADR.
(15) ADR achiziționează, în conformitate cu legislația în vigoare privind achizițiile publice, resurse necesare funcționării sistemelor informatice aparținând utilizatorilor de servicii de cloud din cloudul dedicat.
(16) Ulterior finalizării implementării Cloudului privat guvernamental, costurile generate de utilizarea resurselor necesare funcționării sistemelor informatice găzduite în Cloudul privat guvernamental sunt suportate de către utilizatorii de servicii de cloud, în conformitate cu prevederile acordului încheiat în acest sens cu ADR.