Capitolul x - Securitatea lanţului de aprovizionare - Legea 58/2023 privind securitatea şi apărarea cibernetică a României, precum şi pentru modificarea şi completarea unor acte normative

M.Of. 214

În vigoare

Versiune de la: 15 Martie 2023

CAPITOLUL X:Securitatea lanţului de aprovizionare

(1)Persoanele prevăzute la art. 3 implementează procesele de management al riscurilor de securitate cibernetică specifice lanţului de aprovizionare, în conformitate cu prevederile art. 52 alin. (1).

(2)Riscurile lanţului de aprovizionare includ cel puţin următoarele:

a)livrarea de soluţii informatice false sau contrafăcute;

b)producţie neautorizată;

c)manipulare frauduloasă a produselor şi serviciilor software şi hardware, respectiv a sistemelor şi reţelelor informatice;

d)inserarea de componente software şi hardware false sau contrafăcute;

e)servicii software şi hardware periculoase pentru funcţionare;

f)spionaj cibernetic;

g)compromiteri neintenţionate ale sistemelor şi reţelelor informatice;

h)practici deficitare de fabricaţie şi dezvoltare de produse software şi hardware.

Art. 42

Persoanele prevăzute la art. 3 desemnează responsabili de securitate cibernetică, în conformitate cu prevederile art. 52 alin. (1), pentru:

a)stabilirea politicilor, strategiilor şi proceselor de management al riscurilor de securitate cibernetică specifice lanţului de aprovizionare;

b)includerea în conţinutul politicilor, strategiilor şi proceselor existente a cerinţelor noi şi emergente privind managementul riscurilor cibernetice specifice lanţului de aprovizionare;

c)stabilirea standardelor de management al riscurilor de securitate cibernetică obligatorii pentru autorităţile contractante în cadrul procedurilor de achiziţii;

d)stabilirea măsurilor de stimulare a potenţialilor furnizori în cadrul proceselor de achiziţii, raportat la nivelul de implementare a practicilor de securitate cibernetică ale acestora;

e)stabilirea metodologiilor şi aplicaţiilor folosite în evaluarea riscurilor de securitate cibernetică, specifice lanţului de aprovizionare;

f)schimbul de informaţii cu celelalte instituţii referitoare la ameninţările, riscurile şi vulnerabilităţile de natură cibernetică specifice lanţului de aprovizionare;

g)elaborarea metodologiei de evaluare a nivelului de maturitate şi a capacităţii operatorilor de pe lanţurile de aprovizionare de a realiza managementul riscurilor de securitate cibernetică;

h)colectarea şi actualizarea datelor referitoare la eficienţa furnizorilor în eliminarea sau diminuarea riscurilor de securitate cibernetică.

Art. 43

Persoanele prevăzute la art. 3 dispun măsurile necesare pentru organizarea de cursuri de instruire în domeniul managementului riscurilor de securitate cibernetică specifice lanţului de aprovizionare, respectiv introducerea de teme noi în cadrul cursurilor şi programelor de instruire existente.

Art. 44

Persoanele prevăzute la art. 3 pot dezvolta capabilităţi avansate de testare şi evaluare a riscurilor de securitate cibernetică în scopul identificării vulnerabilităţilor cibernetice ale echipamentelor, produselor software sau pieselor componente achiziţionate sau dezvoltate la nivel instituţional.