LEGE nr. 294 din 27 noiembrie 2024

(1) Prezenta lege stabilește cadrul legal privind identificarea entităților critice, sprijinirea acestora în vederea consolidării rezilienței, precum și îmbunătățirea cooperării transfrontaliere între autoritățile competente în vederea asigurării furnizării serviciilor esențiale pe piața internă a Uniunii Europene, denumită în continuare piața internă.

(2) Coordonarea activităților desfășurate de autoritățile competente desemnate conform art. 26 alin. (2) lit. b) pentru identificarea entităților critice revine, în condițiile prezentei legi, Centrului Național de Coordonare a Protecției Infrastructurilor Critice, structură fără personalitate juridică, din cadrul Ministerului Afacerilor Interne, denumit în continuare CNCPIC.

(3) CNCPIC inițiază norme privind identificarea entităților critice de importanță europeană deosebită, denumite în continuare ECIED, identificate în baza cerințelor prevăzute la art. 17, și privind evaluarea de către misiunile de consiliere a măsurilor pe care ECIED le-au pus în aplicare pentru a-și îndeplini obligațiile care le revin în temeiul cap. III, respectiv proceduri comune de cooperare și raportare în ceea ce privește aplicarea prevederilor prezentei legi, precum și măsuri menite să asigure un nivel ridicat al rezilienței entităților critice pentru a asigura furnizarea serviciilor esențiale și pentru a îmbunătăți funcționarea pieței interne.

(4) Autorităților competente sectoriale, denumite în continuare ACS, le revine responsabilitatea să asigure furnizarea neîngrădită pe piața internă a serviciilor esențiale pentru menținerea siguranței sau securității populației și funcționarea instituțiilor statului și să sprijine entitățile critice care desfășoară activități în domeniul lor de reglementare pentru a-și îndeplini obligațiile care le revin, sens în care:

(5) Normele, procedurile și măsurile prevăzute la alin. (3) se aprobă prin hotărâre a Guvernului, la propunerea Ministerului Afacerilor Interne, prin CNCPIC.

(6) Obligațiile prevăzute la alin. (4) lit. a) și normele prevăzute la alin. (4) lit. b) se aprobă prin ordine ale conducătorilor ACS.

(1) În temeiul prezentei legi, toate entitățile cu personalitate juridică de drept public sau privat care desfășoară activități în sectoarele și subsectoarele prevăzute în anexa care face parte integrantă din prezenta lege au obligația de a participa la procesul de identificare a entităților critice.

(2) Informațiile care fac obiectul schimbului între CNCPIC, alte autorități ce au responsabilități în domeniu și Comisia Europeană se limitează la informații relevante, proporționale cu scopul respectivului schimb și necesare pentru aplicarea la nivel național a Directivei (UE) 2022/2.557 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind reziliența entităților critice și de abrogare a Directivei 2008/114/CE a Consiliului, denumită în continuate Directiva (UE) 2022/2.557. Acest schimb de informații păstrează confidențialitatea informațiilor respective, securitatea și interesele comerciale ale entităților critice, respectând totodată securitatea națională.

(3) Prezenta lege nu aduce atingere responsabilităților de a proteja securitatea și apărarea națională sau competențelor de a proteja alte funcții esențiale ale statului, inclusiv asigurarea integrității teritoriale a statului și menținerea ordinii publice.

(4) Prezenta lege nu se aplică entităților administrației publice din domeniul apărării, ordinii publice și securității naționale, inclusiv în ceea ce privește cercetarea, depistarea și urmărirea penală a infracțiunilor.

(5) Art. 11 și cap. III, IV și VI nu se aplică entităților critice care furnizează servicii esențiale în domeniul apărării, ordinii publice și securității naționale, inclusiv în ceea ce privește cercetarea, depistarea și urmărirea penală a infracțiunilor, sau care prestează servicii exclusiv entităților menționate la alin. (4).

(6) Obligațiile prevăzute de prezenta lege nu implică furnizarea de informații a căror divulgare ar contraveni intereselor esențiale ale statului în materie de apărare, ordine publică și securitate națională.

(7) Prezenta lege nu aduce atingere dreptului privind protecția datelor cu caracter personal, în special Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), denumit în continuare Regulamentul (UE) 2016/679, Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, cu modificările și completările ulterioare, și Legii nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), cu modificările ulterioare.

(8) Având în vedere relația dintre securitatea fizică și securitatea cibernetică a entităților critice, prezenta lege se aplică într-o manieră coordonată cu legislația privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice și legislația privind securitatea cibernetică și nu se aplică domeniilor reglementate de acestea, fără a aduce atingere art. 8.

(9) Dispozițiile relevante ale prezentei legi, inclusiv dispozițiile privind supravegherea și asigurarea respectării legislației prevăzute în cap. VI, nu se aplică în cazul în care dispozițiile reglementărilor interne impun entităților critice să ia măsuri de consolidare a rezilienței, iar cerințele respective sunt recunoscute la nivel național ca fiind cel puțin echivalente cu obligațiile corespunzătoare prevăzute în prezenta lege.

(1) În sensul prezentei legi, termenii și expresiile de mai jos au următoarele semnificații:

(2) Entitatea administrației publice definită la alin. (1) lit. k) trebuie să îndeplinească următoarele criterii:

(1) CNCPIC elaborează, pe baza consultărilor cu ACS și cu părțile interesate relevante, strategia de consolidare a rezilienței entităților critice, denumită în continuare Strategia, care se aprobă prin hotărâre a Guvernului.

(2) Strategia stabilește obiective strategice și măsuri specifice, cu luarea în considerare a eventualelor strategii naționale și sectoriale relevante, a planurilor sau a unor documente programatice specifice, în vederea atingerii și menținerii unui nivel ridicat de reziliență a entităților critice și care acoperă sectoarele prevăzute în anexă.

(3) Strategia include cel puțin următoarele elemente:

(4) CNCPIC actualizează Strategia, pe baza consultărilor cu părțile interesate relevante, cel puțin o dată la fiecare 4 ani, prin hotărâre a Guvernului.

(5) CNCPIC transmite Comisiei Europene Strategia și orice actualizare substanțială a acesteia în termen de 3 luni de la adoptare.

(1) CNCPIC utilizează lista de servicii esențiale, adoptată la nivelul Comisiei Europene conform prevederilor Regulamentului delegat (UE) 2023/2.450 al Comisiei din 25 iulie 2023 de completare a Directivei (UE) 2022/2.557 a Parlamentului European și a Consiliului prin stabilirea unei liste de servicii esențiale, și solicită ACS date și informații în scopul elaborării unei evaluări a riscurilor.

(2) Evaluarea riscurilor menționată la alin. (1) se realizează până la 17 ianuarie 2026 și, ulterior, ori de câte ori este necesar, dar cel puțin o dată la fiecare 4 ani.

(3) Evaluarea riscurilor ia în considerare riscurile naturale și pe cele provocate de om relevante, inclusiv pe cele de ordin intersectorial sau transfrontalier, accidentele, dezastrele naturale, situațiile de urgență din domeniul sănătății publice și amenințările hibride, sau alte amenințări, inclusiv infracțiunile de terorism prevăzute de Legea nr. 535/2004 privind prevenirea și combaterea terorismului, cu modificările și completările ulterioare.

(4) La evaluarea riscurilor se iau în considerare următoarele:

(5) În scopul îndeplinirii obligației prevăzute la alin. (4) lit. c), CNCPIC cooperează cu autoritățile similare din statele membre și, după caz, cu autoritățile competente din țări terțe.

(6) CNCPIC utilizează evaluarea riscurilor prevăzută la alin. (1) pentru a identifica entitățile critice în conformitate cu art. 6 și, împreună cu ACS, le sprijină în ceea ce privește luarea măsurilor prevăzute la art. 13.

(7) ACS au obligația de a furniza, în termen de o lună de la primirea solicitării transmise de CNCPIC, datele și informațiile pentru elaborarea evaluării de risc menționate la alin. (1).

(8) CNCPIC, prin intermediul ACS, pune la dispoziția entităților critice identificate în conformitate cu art. 6 elementele relevante ale evaluării riscurilor efectuate conform alin. (1). Informațiile furnizate entităților critice sunt utilizate pentru evaluarea riscurilor efectuată de acestea în temeiul art. 12 și în luarea unor măsuri care să le asigure reziliența în temeiul art. 13.

(9) În termen de 3 luni de la evaluarea riscurilor, CNCPIC furnizează Comisiei Europene informațiile relevante privind tipurile de riscuri identificate și rezultatele respectivei evaluări a riscurilor, pentru fiecare sector și subsector prevăzut în anexă.

(10) Modelul comun de raportare voluntar elaborat de Comisia Europeană, în cooperare cu statele membre, poate fi utilizat de CNCPIC în scopul îndeplinirii obligației prevăzute la alin. (9).

(1) Până la 17 iulie 2026, CNCPIC identifică entitățile critice pentru sectoarele și subsectoarele prevăzute în anexă, cu sprijinul ACS.

(2) ACS au obligația de a furniza CNCPIC, cu 5 luni înainte de termenul prevăzut la alin. (1), date pentru identificarea entităților critice în temeiul alin. (1), iar CNCPIC, pe baza acestora, precum și a rezultatelor evaluării riscurilor elaborate conform art. 5 și a strategiei elaborate potrivit art. 4, aplică cumulativ următoarele criterii:

(3) Lista entităților critice identificate prin aplicarea criteriilor prevăzute la alin. (2) se aprobă, la propunerea CNCPIC, prin decizie a prim-ministrului. CNCPIC se asigură că respectivele entități critice sunt notificate de către ACS cu privire la identificarea lor ca entități critice în termen de o lună de la data identificării. ACS informează entitățile critice prin aceeași notificare și cu privire la obligațiile care le revin în temeiul cap. III și IV și cu privire la data de la care obligațiile respective le revin, fără a aduce atingere art. 8.

(4) CNCPIC informează ACS și entitățile critice din sectoarele prevăzute la pct. 3, 4 și 8 din tabelul din anexă cu privire la faptul că nu le revin obligații în temeiul cap. III și IV, cu excepția prevederilor art. 17 alin. (2).

(5) Dispozițiile cap. III se aplică entităților critice vizate după 10 luni de la data primirii notificării prevăzute la alin. (3), cu excepția prevederilor art. 12 alin. (1).

(6) CNCPIC notifică autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică cu privire la entitățile critice identificate în temeiul prezentului articol, în termen de o lună de la identificare. Notificarea respectivă precizează, dacă este cazul, faptul că entitățile critice vizate sunt entități din sectoarele prevăzute la pct. 3, 4 și 8 din tabelul din anexă și că acestora nu le revin obligații în temeiul cap. III și IV.

(7) Atunci când este necesar și, în orice caz, cel puțin o dată la fiecare 4 ani, pe baza datelor furnizate de ACS, CNCPIC revizuiește și, după caz, actualizează lista entităților critice identificate menționate la alin. (3), prin decizie a prim-ministrului. În cazul în care actualizările respective conduc la identificarea unor entități critice suplimentare, acelor entități critice suplimentare li se aplică alin. (3)-(6). Datele furnizate de ACS în cadrul procesului de revizuire sunt obligatorii.

(8) CNCPIC notifică, în timp util, entitățile care nu mai sunt identificate ca entități critice, în urma unei astfel de actualizări, cu privire la aceasta și cu privire la faptul că, de la primirea notificării respective, nu le mai revin obligațiile prevăzute în cap. III.

(9) CNCPIC participă, la solicitarea Comisiei Europene, la elaborarea de recomandări și orientări fără caracter obligatoriu pentru a sprijini procesul de identificare a entităților critice.

(1) CNCPIC, pe baza datelor furnizate de ACS, determină importanța unui efect perturbator, astfel cum se menționează la art. 6 alin. (2) lit. c), aplicând următoarele criterii:

(2) După identificarea entităților critice în temeiul art. 6 alin. (1), CNCPIC transmite Comisiei Europene, în maximum două zile de la data publicării deciziei prim-ministrului prevăzute la art. 6 alin. (3), următoarele informații:

(3) CNCPIC transmite Comisiei Europene informațiile prevăzute la alin. (2) ulterior informării inițiale, ori de câte ori este necesar și cel puțin o dată la fiecare 4 ani.

(4) CNCPIC poate utiliza orientările, fără caracter obligatoriu, adoptate de Comisia Europeană pentru a facilita aplicarea criteriilor menționate la alin. (1).

(5) Criteriile prevăzute la alin. (1) și pragurile prevăzute la alin. (2) lit. c) se stabilesc prin decizie a prim-ministrului.

(1) Coordonarea la nivel național a activităților privind reziliența entităților critice se realizează de către prim-ministru. În vederea îndeplinirii responsabilităților stabilite prin prezenta lege, prim-ministrul emite decizii.

(2) Responsabilitatea pentru organizarea și desfășurarea activităților necesare implementării legislației specifice domeniului rezilienței entităților critice revine CNCPIC, în calitate de autoritate competentă la nivel național.

(3) CNCPIC asigură punctul unic de contact, care exercită funcția de legătură pentru a asigura cooperarea transfrontalieră cu punctele unice de contact ale altor state membre și cu Grupul privind reziliența entităților critice, denumit în continuare GREC, înființat la nivelul Comisiei Europene, precum și cooperarea cu țările terțe.

(4) Se înființează Grupul de lucru interinstituțional pentru reziliența entităților critice, denumit în continuare grup de lucru, organism cu rol consultativ, constituit din reprezentanți ai ACS și CNCPIC, ale cărui componență și regulament de organizare și funcționare se stabilesc prin decizie a prim-ministrului. Nominalizarea reprezentanților ACS în cadrul grupului de lucru se face prin ordine ale conducătorilor acestora și se comunică CNCPIC.

(5) Rolul grupului de lucru este de a asigura coordonarea coerentă și unitară a activităților desfășurate, precum și a măsurilor ce se impun pentru îmbunătățirea activității în domeniul rezilienței entităților critice.

(6) Coordonarea grupului de lucru se realizează de către un consilier desemnat de prim-ministru.

(7) Secretariatul tehnic al grupului de lucru este realizat de către CNCPIC.

(8) Până la 17 iulie 2028 și, ulterior, la fiecare 2 ani, CNCPIC prezintă Comisiei Europene și GREC un raport de sinteză care să cuprindă numărul de notificări primite, natura incidentelor notificate și măsurile luate în conformitate cu art. 15 alin. (5).

(9) CNCPIC poate utiliza în mod voluntar modelul comun de raportare, elaborat de Comisia Europeană, în cooperare cu GREC, în temeiul art. 9 alin. (3) paragraful 2 din Directiva (UE) 2022/2.557, în scopul transmiterii rapoartelor de sinteză menționate la alin. (8).

(10) CNCPIC și ACS se consultă și cooperează, în condițiile prezentei legi și, după caz, potrivit prevederilor actelor normative de organizare și funcționare proprii, cu alte autorități naționale, inclusiv cu cele responsabile de protecția civilă, de asigurarea respectării legii și de protecția datelor cu caracter personal, precum și cu entitățile critice și cu alte autorități similare din statele membre și, după caz, cu autoritățile competente din țări terțe, ce fac obiectul prezentei legi.

(11) CNCPIC și ACS cooperează și fac schimb de informații cu autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică în ceea ce privește riscurile de securitate cibernetică, amenințările și incidentele cibernetice, precum și riscurile, amenințările și incidentele noncibernetice care afectează entitățile critice, precum și în ceea ce privește eventualele măsuri ce pot fi luate de CNCPIC și de ACS, în condițiile prezentei legi, și de autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică potrivit legislației specifice acestora.

(12) CNCPIC notifică Comisia Europeană cu privire la desemnarea sa ca autoritate competentă și punct unic de contact, precum și cu privire la desemnarea ACS, în termen de 3 luni de la intrarea în vigoare a prezentei legi, inclusiv cu privire la sarcinile și responsabilitățile care îi revin, datele de contact și orice modificare ulterioară a acestora.

(13) În ceea ce privește entitățile critice din sectoarele prevăzute la pct. 3 și 4 din tabelul din anexă, autoritățile competente sunt Ministerul Finanțelor și Banca Națională a României.

(14) În ceea ce privește entitățile critice din sectorul prevăzut la pct. 8 din tabelul din anexă, autoritățile competente sunt autoritățile responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică.

(15) CNCPIC informează Comisia Europeană cu privire la desemnarea unei alte autorități decât autoritățile competente menționate la alin. (13) și (14) drept autoritate competentă în ceea ce privește entitățile critice din sectoarele prevăzute la pct. 3, 4 și 8 din tabelul din anexă.

(1) CNCPIC acordă, la solicitare, sprijin entităților critice în vederea consolidării rezilienței acestora prin elaborarea de materiale de orientare și metodologii, organizării de exerciții pentru a testa reziliența acestor entități și furnizării de consiliere și formare a personalului entităților critice.

(2) Fără a aduce atingere normelor în materie de concurență prevăzute la art. 107 alin. (1) din Tratatul privind funcționarea Uniunii Europene (TFUE), respectiv normelor aplicabile privind ajutoarele de stat reglementate prin Ordonanța de urgență a Guvernului nr. 77/2014 privind procedurile naționale în domeniul ajutorului de stat, precum și pentru modificarea și completarea Legii concurenței nr. 21/1996, aprobată cu modificări și completări prin Legea nr. 20/2015, cu modificările și completările ulterioare, entitățile critice, cu sprijinul ACS, pot beneficia de resurse financiare atunci când acest lucru este necesar și justificat de îndeplinirea unor obiective de interes public.

(3) CNCPIC asigură cooperarea și schimbul de informații și de bune practici cu ACS și cu entitățile critice din sectoarele prevăzute în anexă.

(4) CNCPIC diseminează către ACS și entitățile critice materiale de orientare și metodologii transmise de Comisia Europeană și participă la activități de formare și exerciții transfrontaliere pentru a testa reziliența entităților critice.

(5) CNCPIC facilitează schimbul voluntar de informații între entitățile critice în ceea ce privește aspectele reglementate de prezenta lege, în conformitate cu dreptul Uniunii Europene și cu cadrul normativ național privind, în special, informațiile clasificate și sensibile, concurența și protecția datelor cu caracter personal.

(1) CNCPIC se consultă cu autoritățile similare din celelalte state membre cu privire la entitățile critice, ori de câte ori acest lucru este necesar, în scopul asigurării aplicării consecvente a Directivei (UE) 2022/2.557.

(2) Consultările prevăzute la alin. (1) au loc în special în ceea ce privește entitățile critice:

(3) Consultările prevăzute la alin. (1) și (2) vizează consolidarea rezilienței entităților critice și, acolo unde este posibil, reducerea sarcinii administrative care incumbă acestora.

(1) Entitățile critice efectuează o evaluare a riscurilor proprie în termen de 9 luni de la primirea notificării menționate la art. 6 alin. (3) ultima teză și, ulterior, ori de câte ori este necesar, dar cel puțin o dată la fiecare 4 ani, pe baza evaluării riscurilor efectuate de CNCPIC conform art. 5 și a altor surse relevante de informații, în vederea evaluării tuturor riscurilor care ar putea perturba furnizarea serviciilor lor esențiale.

(2) Evaluarea riscurilor efectuată de entitatea critică conform alin. (1) ține seama de toate riscurile naturale și de cele provocate de om care ar putea provoca producerea unui incident, inclusiv cele intersectoriale sau transfrontaliere, accidentele, dezastrele naturale, situațiile de urgență din domeniul sănătății publice și amenințările hibride, precum și alte amenințări, inclusiv infracțiunile de terorism prevăzute de Legea nr. 535/2004, cu modificările și completările ulterioare.

(3) Evaluarea riscurilor efectuată de entitatea critică, potrivit prezentei legi, ține seama de gradul de dependență al altor sectoare prevăzute în anexă față de serviciul esențial furnizat și de gradul de dependență al entității critice față de serviciile esențiale furnizate de alte entități în sectoarele respective, inclusiv în statele membre și țările terțe învecinate.

(4) Entitatea critică poate utiliza evaluări ale riscurilor și documente relevante pentru acestea, specifice responsabilităților sectorului de activitate, pentru a îndeplini cerințele prevăzute la prezentul articol.

(5) În exercitarea atribuțiilor conform prevederilor prezentei legi, CNCPIC și ACS examinează și constată, în baza unor proceduri de verificare a conformității elaborate în cadrul grupului de lucru înființat conform prevederilor menționate la art. 9 alin. (4), că o evaluare existentă a riscurilor efectuată de o entitate critică care abordează riscurile și gradul de dependență menționate la alin. (2) și (3) este conformă, integral sau parțial, cu respectarea obligațiilor prevăzute în prezentul articol.

(1) Entitățile critice iau măsuri tehnice, de securitate și organizatorice adecvate și proporționale pentru a-și asigura reziliența, pe baza informațiilor relevante furnizate în evaluarea riscurilor efectuată de CNCPIC, precum și a rezultatelor evaluării riscurilor efectuate de entitatea critică, inclusiv măsuri necesare pentru:

(2) În sensul alin. (1) lit. e), entitățile critice iau în considerare, atunci când determină categoriile de personal care exercită funcții critice, nu numai propriii angajați, ci și personalul prestatorilor externi de servicii.

(3) Entitățile critice sunt obligate să instituie și să pună în aplicare un plan de reziliență sau un document sau documente echivalente, care descriu măsurile luate în temeiul alin. (1). Atunci când entitățile critice au elaborat documente sau au luat măsuri în temeiul obligațiilor stabilite în alte acte normative incidente domeniului propriu de responsabilitate, care sunt relevante pentru măsurile menționate la alin. (1), acestea pot utiliza documentele și măsurile respective pentru a îndeplini cerințele prevăzute în prezentul articol.

(4) Atunci când își exercită funcțiile de supraveghere, CNCPIC și ACS, în baza unei proceduri de verificare a conformității elaborate în cadrul grupului de lucru înființat conform prevederilor menționate la art. 9 alin. (4), pot declara măsurile existente de consolidare a rezilienței luate de o entitate critică, care abordează în mod adecvat și proporțional măsurile tehnice, de securitate și organizatorice menționate la alin. (1), ca fiind conforme, integral sau parțial, cu respectarea obligațiilor prevăzute la prezentul articol.

(5) Fiecare entitate critică desemnează un ofițer de legătură sau un echivalent al acestuia ca punct de contact în relația cu CNCPIC și ACS.

(6) CNCPIC pune la dispoziția ACS și entităților critice, prin canalele oficiale de comunicare, orientările fără caracter obligatoriu adoptate de Comisia Europeană pentru a detalia măsurile tehnice, de securitate și organizatorice în vederea îndeplinirii responsabilităților stabilite la alin. (1).

(1) O entitate critică poate să depună, în condițiile respectării prevederilor art. 2 alin. (7), în cazuri justificate în mod corespunzător și ținând seama de evaluarea riscurilor efectuată în condițiile art. 5 alin. (1), cereri de verificare a antecedentelor persoanelor care:

(2) Cererile menționate la alin. (1) sunt analizate la nivelul ACS în termen de 60 de zile și prelucrate în conformitate cu prevederile Regulamentului (UE) 2016/679, ale Legii nr. 190/2018, cu modificările ulterioare, și ale Legii nr. 363/2018 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date.

(3) Verificările prevăzute la alin. (1) se realizează prin schimbul de date personale între ACS și entitățile critice din responsabilitatea acestora.

(4) Verificările antecedentelor sunt proporționale și strict limitate la ceea ce este necesar în vederea soluționării cererilor menționate la alin. (1). Acestea se efectuează exclusiv în scopul evaluării unui potențial risc de securitate pentru entitatea critică în cauză, iar informațiile obținute vor fi valorificate doar pe perioada efectuării verificărilor de la alin. (5).

(5) Verificarea antecedentelor prevăzută la alin. (1) are în vedere cel puțin următoarele:

(6) Atunci când efectuează verificarea antecedentelor, pentru a obține informații din cazierele judiciare păstrate în alte state membre, ACS solicită sprijin Inspectoratului General al Poliției Române, prin Direcția cazier judiciar, statistică și evidențe operative, care va face verificări utilizând Sistemul european de informații cu privire la cazierele judiciare (ECRIS), în conformitate cu procedurile prevăzute în Decizia-cadru 2009/315/JAI a Consiliului din 26 februarie 2009 privind organizarea și conținutul schimbului de informații extrase din cazierele judiciare între statele membre și, dacă este relevant și aplicabil, în Regulamentul (UE) 2019/816 al Parlamentului European și al Consiliului din 17 aprilie 2019 de stabilire a unui sistem centralizat pentru determinarea statelor membre care dețin informații privind condamnările resortisanților țărilor terțe și ale apatrizilor (ECRIS-TCN), destinat să completeze sistemul european de informații cu privire la cazierele judiciare, și de modificare a Regulamentului (UE) 2018/1.726.

(7) Inspectoratul General al Poliției Române, prin Direcția cazier judiciar, statistică și evidențe operative, răspunde cererii de informații prevăzute la alin. (6), cu respectarea termenului prevăzut la art. 20 alin. (5) din Legea nr. 290/2004 privind cazierul judiciar, republicată, cu modificările și completările ulterioare.

(8) Prin derogare de la dispozițiile art. 25 alin. (3) din Legea nr. 290/2004, republicată, cu modificările și completările ulterioare, atunci când autoritățile dintr-un alt stat membru solicită informații din cazierul judiciar al României în scopul verificărilor prevăzute la alin. (1), Inspectoratul General al Poliției Române, prin Direcția cazier judiciar, statistică și evidențe operative, răspunde acestor cereri de informații în termen de 10 zile lucrătoare de la data primirii cererii, prin intermediul Sistemului european de informații cu privire la cazierele judiciare (ECRIS).

(1) Entitățile critice notifică CNCPIC și ACS, prin canale oficiale de comunicare, cu privire la incidentele care perturbă în mod semnificativ sau care au potențialul de a perturba în mod semnificativ furnizarea serviciilor esențiale.

(2) Notificarea prevăzută la alin. (1) se face fără întârzieri nejustificate, dar nu mai târziu de 24 de ore de la constatarea incidentului, cu excepția cazului în care entitatea critică nu este în măsură din punct de vedere operațional să facă acest lucru. Notificarea este urmată, după caz, de un raport detaliat prezentat ulterior, în cel mult o lună de la incident.

(3) Pentru a determina importanța perturbării, se iau în considerare, în special, următorii parametri:

(4) În cazul unui incident produs la nivelul unei entități critice de pe teritoriul național care are sau ar putea avea un efect semnificativ asupra continuității furnizării de servicii esențiale pentru șase sau mai multe state membre sau pe teritoriul acestora, CNCPIC notifică în termen de 72 de ore incidentul respectiv Comisiei Europene.

(5) Notificările prevăzute la alin. (1) includ toate informațiile disponibile de care CNCPIC și ACS au nevoie pentru a înțelege natura, cauza și posibilele consecințe ale incidentului, inclusiv toate informațiile necesare pentru a determina orice efect transfrontalier al incidentului. Notificările respective nu agravează răspunderea entităților critice, în sensul că nu trebuie să devieze resursele acestora de la activitățile legate de gestionarea incidentelor, care au prioritate.

(6) Pe baza informațiilor furnizate de entitatea critică în notificarea menționată la alin. (1), CNCPIC informează punctul unic de contact al altor state membre afectate dacă incidentul are sau ar putea avea un efect semnificativ asupra entităților critice și asupra continuității furnizării de servicii esențiale pentru unul sau mai multe state membre sau pe teritoriul acestora.

(7) CNCPIC primește informări din partea punctelor unice de contact din alte state membre dacă un incident are sau ar putea avea un efect semnificativ asupra entităților critice și asupra continuității furnizării de servicii esențiale României sau pe teritoriul național.

(8) Atunci când transmite sau primește informații potrivit alin. (6), respectiv alin. (7), CNCPIC tratează informațiile într-un mod care respectă confidențialitatea acestora și protejează securitatea și interesele comerciale ale entității critice în cauză, în conformitate cu legislația Uniunii Europene și legislația națională privind protecția informațiilor clasificate și privind secretul comercial.

(9) În urma notificării prevăzute la alin. (1), ACS furnizează, în termen de 24 de ore, entității critice în cauză informații complementare relevante, inclusiv informații care ar putea contribui la răspunsul eficace al entității critice la incidentul în cauză. În cazul în care consideră că aceste informații ar fi de interes public, ACS informează în acest sens printr-un comunicat oficial destinat publicului larg.

(1) O entitate este ECIED atunci când îndeplinește cumulativ următoarele condiții:

(2) Fiecare entitate critică identificată în temeiul art. 6 alin. (1) este obligată să informeze ACS și CNCPIC, în termen de 5 zile de la data notificării prevăzute la art. 6 alin. (3) dacă furnizează servicii esențiale în 6 sau mai multe state membre sau pe teritoriul acestora.

(3) Informarea de la alin. (2) detaliază care sunt serviciile esențiale pe care le furnizează acelor state membre și care sunt statele membre cărora sau pe teritoriul cărora furnizează serviciile esențiale respective. CNCPIC notifică Comisia Europeană, fără întârzieri nejustificate, cu privire la identitatea entităților critice în cauză și informațiile puse la dispoziție în temeiul prezentului alineat.

(4) CNCPIC, în urma notificării de către Comisia Europeană cu privire la decizia acesteia de a considera o entitate critică drept ECIED, transmite notificarea, fără întârzieri nejustificate, ACS și respectivei entități critice. Entitatea critică duce la îndeplinire obligațiile stabilite de Comisia Europeană în notificarea în cauză.

(5) În situația în care o entitate critică a fost consultată de către Comisia Europeană în urma notificării CNCPIC de la alin. (3), aceasta are obligația de a răspunde respectivei solicitări și de a informa CNCPIC și ACS, cu privire la acest aspect.

(6) CNCPIC, în situația în care este consultat de către Comisia Europeană cu privire la o entitate critică identificată de către alt stat membru, are obligația să transmită dacă serviciile furnizate de aceasta României sau pe teritoriul național sunt servicii esențiale.

(7) Prezentul capitol se aplică respectivei ECIED de la data primirii notificării menționate la alin. (4).

(8) Lista ECIED identificate potrivit alin. (1) se stabilește prin decizie a prim-ministrului, la propunerea CNCPIC.

(1) CNCPIC poate solicita Comisiei Europene să organizeze o misiune de consiliere, în vederea evaluării măsurilor puse în aplicare de ECIED identificată ca entitate critică în temeiul art. 6 alin. (1) sau de către ECIED identificată ca entitate critică de alt stat membru și care furnizează serviciul esențial României sau pe teritoriul național, pentru a-și îndeplini obligațiile în temeiul cap. III.

(2) La cererea motivată a Comisiei Europene sau a unuia sau mai multor state membre cărora sau pe teritoriul cărora este furnizat serviciul esențial de către o ECIED identificată de către CNCPIC ca entitate critică în temeiul art. 6 alin. (1), CNCPIC, pe baza datelor furnizate de ACS, pune la dispoziția Comisiei Europene:

(3) CNCPIC poate solicita, motivat, statului membru care a identificat o ECIED ca entitate critică în temeiul propriei legislații și care furnizează serviciul esențial României sau pe teritoriul național să pună la dispoziția Comisiei Europene informațiile de la alin. (2).

(4) CNCPIC poate solicita Comisiei Europene, cu acordul entității critice în cauză, organizarea unor misiuni de consiliere pentru a oferi consultanță entității critice respective în vederea îndeplinirii obligațiilor care îi revin în temeiul cap. III.

(5) CNCPIC și ECIED care au făcut obiectul misiunii de consiliere primesc constatările rezultate în urma acesteia.

(6) CNCPIC analizează conținutul datelor conform constatărilor raportate de misiunea de consiliere și, dacă este necesar, transmite Comisiei Europene opinia cu privire la respectarea sau nerespectarea, de către ECIED care furnizează serviciul esențial României sau pe teritoriul național, a obligațiilor care îi revin în temeiul cap. III, inclusiv cu luarea în considerare a prevederilor alin. (4) și (5) și, după caz, cu privire la măsurile care ar putea fi luate pentru a îmbunătăți reziliența entității critice respective, în vederea primirii avizului Comisiei Europene.

(7) CNCPIC, ACS și ECIED identificată ca entitate critică în temeiul art. 6 alin. (1) și care a făcut obiectul unei misiuni de consiliere țin seama în mod corespunzător de avizul Comisiei Europene cu privire la respectarea sau nerespectarea, de către entitatea critică în cauză, a obligațiilor care îi revin în temeiul cap. III și furnizează informații Comisiei Europene și statelor membre cărora sau pe teritoriul cărora este furnizat serviciul esențial, cu privire la măsurile pe care le-au luat în temeiul avizului respectiv.

(8) CNCPIC și ACS, corespunzător responsabilităților și sectorului în care este identificată ECIED de pe teritoriul național, respectiv ECIED care furnizează serviciul esențial României sau pe teritoriul național, desemnează experți pentru fiecare misiune de consiliere, care sunt selectați de Comisia Europeană.

(9) La solicitarea scrisă a CNCPIC, realizată prin intermediul ACS, ECIED asigură misiunii de consiliere acces la informațiile, sistemele și instalațiile legate de furnizarea serviciilor sale esențiale care sunt necesare strict în scopul desfășurării misiunii de consiliere și în condițiile alin. (10).

(10) Misiunile de consiliere care au loc pe teritoriul național se desfășoară în conformitate cu prevederile naționale în ceea ce privește securitatea națională și protecția intereselor naționale în materie de securitate, respectând responsabilitatea autorităților naționale competente în aceste domenii.

(11) În situația în care misiunea de consiliere se desfășoară în România, CNCPIC informează GREC cu privire la principalele constatări ale misiunii de consiliere și la lecțiile desprinse în vederea promovării învățării reciproce.

(1) CNCPIC reprezintă România în cadrul GREC, sprijină Comisia Europeană și facilitează cooperarea dintre statele membre și schimbul de informații privind aspectele referitoare la prezenta lege.

(2) Reprezentanții desemnați de către CNCPIC dețin autorizații de acces la informații clasificate conform prevederilor legislației naționale în domeniul protecției informațiilor clasificate, după caz.

(1) Pentru a evalua respectarea de către entitățile identificate drept entități critice în temeiul art. 6 alin. (1) a obligațiilor care le revin în temeiul prezentei legi, CNCPIC și ACS au obligația de a întreprinde demersuri cu scopul de a dispune de mijloacele necesare pentru:

(2) Entitățile care au fost identificate ca entități critice în temeiul art. 6 alin. (1) transmit CNCPIC și ACS, la cererea și în termenul stabilit de acestea:

(3) Pentru informațiile solicitate la alin. (2), CNCPIC și ACS menționează scopul solicitării și precizează informațiile solicitate. Pentru punerea în aplicare a prevederilor alin. (2) lit. b), prin ordine ale conducătorilor ACS, se vor stabili procedura de selecție a auditorilor și cerințele pentru persoanele care desfășoară auditul.

(4) CNCPIC și ACS stabilesc mecanismele și căile de comunicare de comun acord cu autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică.

(5) Fără a aduce atingere posibilității de a aplica sancțiuni în conformitate cu art. 23, ACS pot, în urma acțiunilor de supraveghere menționate la alin. (1) sau după evaluarea informațiilor menționate la alin. (2), să solicite, în scris, entităților critice în cauză să ia măsurile necesare și proporționale pentru a remedia orice încălcare identificată a prevederilor prezentei legi, într-un termen rezonabil stabilit de ACS, și să furnizeze CNCPIC informații cu privire la măsurile luate. Aceste solicitări țin seama, în special, de gravitatea încălcării.

(6) Atunci când își exercită competențele prevăzute la alin. (1)-(3), CNCPIC și ACS se asigură că o astfel de exercitare are loc în mod obiectiv, transparent și proporțional, iar drepturile și interesele legitime ale entităților critice afectate, cum ar fi protecția secretelor comerciale și de afaceri, sunt protejate în mod corespunzător, inclusiv dreptul acestora de a fi ascultate, dreptul la apărare și dreptul la o cale de atac efectivă în fața unei instanțe independente.

(7) CNCPIC informează autoritățile competente responsabile cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică, inclusiv autoritățile desemnate ale altor state membre interesate, atunci când ACS evaluează, în condițiile prezentului articol, respectarea de către o entitate critică a obligațiilor care îi revin.

(8) În acest scop, CNCPIC și ACS pot solicita acestor autorități să își exercite competențele de supraveghere și de asigurare a respectării legislației în legătură cu o entitate care intră sub incidența legislației specifice securității cibernetice și sarcinilor de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică și care a fost identificată drept entitate critică în temeiul art. 6 alin. (1) sau de către un alt stat membru.

(1) Contravențiile prevăzute la art. 22 se sancționează după cum urmează:

(2) Constatarea contravențiilor și aplicarea sancțiunilor prevăzute în prezenta lege se fac de către personalul împuternicit din cadrul CNCPIC și de către personalul împuternicit din cadrul ACS pentru entitățile critice din responsabilitate.

(3) Împuternicirea prevăzută la alin. (2) se realizează prin ordin al ministrului afacerilor interne, respectiv prin ordine ale conducătorilor ACS, după caz.

(4) Contravențiilor prevăzute la art. 22 le sunt aplicabile dispozițiile Ordonanței Guvernului nr. 2/2001 privind regimul juridic al contravențiilor, aprobată cu modificări și completări prin Legea nr. 180/2002, cu modificările și completările ulterioare.

(1) Prezenta lege intră în vigoare la 3 zile de la data publicării în Monitorul Oficial al României, Partea I, cu excepția prevederilor art. 22 și 23, care intră în vigoare la 10 zile de la data publicării acesteia în Monitorul Oficial al României, Partea I.

(2) Referirile la noțiunea de infrastructură critică europeană (ICE) din cuprinsul actelor normative în vigoare sunt considerate ca referiri la noțiunea de infrastructură critică națională reglementată la art. 3 lit. a) din Ordonanța de urgență a Guvernului nr. 98/2010, aprobată cu modificări prin Legea nr. 18/2011, cu modificările și completările ulterioare.

(1) Până la data de 17 ianuarie 2026, CNCPIC elaborează un raport privind evaluarea riscurilor, prevăzută la art. 5 alin. (6).

(2) Prin decizie a prim-ministrului se aprobă:

(3) Prin hotărâre a Guvernului se aprobă Strategia privind reziliența entităților critice, prevăzută la art. 4, până la data de 17 ianuarie 2026.

(4) Hotărârea Guvernului prevăzută la art. 1 alin. (5) se adoptă în termen de 90 de zile de la data intrării în vigoare a prezentei legi.

(5) Ordinele prevăzute la art. 23 alin. (3) se emit în termen de 45 de zile de la data intrării în vigoare a prezentei legi.

(6) Ordinele prevăzute la art. 1 alin. (6) se emit în termen de 45 de zile de la data intrării în vigoare a prezentei legi.

(7) Ordinele prevăzute la art. 21 alin. (3) se emit în termen de 90 de zile de la data intrării în vigoare a prezentei legi.