Secţiunea 1 - Managementul incidentelor de securitate cibernetică - Legea 58/2023 privind securitatea şi apărarea cibernetică a României, precum şi pentru modificarea şi completarea unor acte normative

M.Of. 214

În vigoare

Versiune de la: 15 Martie 2023

SECŢIUNEA 1:Managementul incidentelor de securitate cibernetică

(1)DNSC dezvoltă şi asigură managementul Platformei naţionale pentru raportarea incidentelor de securitate cibernetică, denumită în continuare PNRISC.

(2)Autorităţile prevăzute la art. 10 au acces la PNRISC, pentru îndeplinirea responsabilităţilor care le revin.

(3)Procesarea informaţiilor din PNRISC se realizează cu respectarea politicilor de confidenţialitate şi transparenţă stabilite şi implementate de DNSC.

Art. 21

(1)Persoanele prevăzute la art. 3 alin. (1) lit. b) şi c) au obligaţia de a notifica incidentele de securitate cibernetică prin intermediul PNRISC de îndată, dar nu mai târziu de 48 de ore de la constatarea incidentului.

(2)Dacă incidentele de securitate cibernetică nu pot fi comunicate complet în termenul prevăzut la alin. (1), acestea se transmit în cel mult 5 zile calendaristice de la notificarea iniţială, informaţiile putând fi completate şi ulterior cu cele care reies din investigaţiile realizate pe baza evenimentului.

(3)Fără a aduce atingere normelor aplicabile în materie de raportare, confidenţialitate, secret profesional şi protecţia informaţiilor clasificate, autorităţile care au în responsabilitate reţele şi sisteme informatice prevăzute la art. 3 alin. (1) lit. a) notifică incidentele de securitate cibernetică prin intermediul PNRISC.

Art. 22

Incidentele de securitate cibernetică sunt notificate în PNRISC în condiţiile capitolului IV secţiunea a 2-a din Legea nr. 362/2018, cu modificările şi completările ulterioare.

Art. 23

În domeniul managementului incidentelor de securitate cibernetică, autorităţile prevăzute la art. 10 alin. (1) lit. c) şi d) au următoarele responsabilităţi:

a)să colecteze notificările cu privire la incidente de securitate cibernetică din cadrul reţelelor şi sistemelor informatice aflate în domeniul lor de competenţă, activitate sau responsabilitate;

b)să evalueze datele şi informaţiile cu privire la incidentele şi atacurile cibernetice la adresa reţelelor şi sistemelor informatice aflate în domeniul lor de competenţă, activitate sau responsabilitate;

c)să coordoneze managementul incidentelor de securitate cibernetică identificate în cadrul reţelelor şi sistemelor informatice aflate în domeniul lor de competenţă, activitate sau responsabilitate;

d)să acorde sprijin, la cerere, proprietarilor, administratorilor, posesorilor şi/sau utilizatorilor de reţele şi sisteme informatice aflate în domeniul lor de competenţă, activitate sau responsabilitate, pentru adoptarea de măsuri reactive de primă urgenţă pentru remedierea efectelor incidentelor de securitate cibernetică;

e)să păstreze pe o perioadă de 5 ani datele referitoare la incidentele de securitate cibernetică şi rezultatele măsurilor de contracarare a acestora, fără a colecta date de conţinut.