H.G. nr. 585/2002

STANDARD NAȚIONAL din 13 iunie 2002 de protecție a informațiilor clasificate în România

Forma la zi, adusă de pe Portalul Legislativ la 13 octombrie 2026, fără notele de modificare. Rezumat · Întrebări

Capitolul 4 PROTECȚIA INFORMAȚIILOR SECRETE DE STAT › Secţiunea a 5-a Protecția personalului

Articolul 151

(1) În termen de 7 zile lucrătoare de la primirea răspunsului de la autoritatea desemnată de securitate, ORNISS va decide asupra acordării certificatului de securitate/autorizației de acces la informații secrete de stat și va comunica unității solicitante - anexa nr. 21.

(2) Adresa de comunicare a deciziei ORNISS se realizează în trei exemplare, din care unul se transmite unității solicitante, iar al doilea instituției care a efectuat verificările.

(3) Dacă avizul este pozitiv, conducătorul unității solicitante va elibera certificatul de securitate sau autorizația de acces persoanei în cauză, după notificarea prealabilă la ORNISS - anexa nr. 22.

Articolul 152

(1) Verificarea în vederea avizării pentru accesul la informații secrete de stat se efectuează cu respectarea legislației în vigoare privind responsabilitatile în domeniul protecției unor asemenea informații, de către următoarele instituții:

a) Serviciul Român de Informații, pentru:

– personalul propriu;

– personalul autorităților și instituțiilor publice din zona de competență, potrivit legii;

– personalul agenților economici cu capital integral sau parțial de stat și al persoanelor juridice de drept public sau privat, altele decât cele date în competența instituțiilor menționate la lit. b), c) și d);

– personalul din cadrul Parchetului Național Anticorupție.

b) Ministerul Apărării Naționale, pentru:

– personalul militar și civil propriu;

– personalul Oficiului Central de Stat pentru Probleme Speciale, Administrației Naționale a Rezervelor de Stat și altor persoane juridice stabilite prin lege și personalul militar care își desfășoară activitatea în străinătate;

c) Serviciul de Informații Externe, pentru:

– personalul militar sau civil propriu;

– personalul român al reprezentanțelor diplomatice, misiunilor permanente, consulare, centrelor culturale, organismelor internaționale și altor reprezentante ale statului român în străinătate;

– cetatenii români aflați în străinătate în cadrul unor contracte, stagii de perfecționare, programe de cercetare sau în calitate de angajați la firme;

d) Ministerul Administrației și Internelor, Serviciul de Protecție și Pază și Serviciul de Telecomunicații Speciale, pentru personalul propriu și al persoanelor juridice a căror activitate o coordonează.

-------------------

Litera d) a alin. (1) al art. 152 a fost modificată de pct. 3 din HOTĂRÂREA nr. 2.202 din 30 noiembrie 2004, publicată în MONITORUL OFICIAL nr. 1.225 din 20 decembrie 2004.

e) Ministerul Justiției, pentru personalul propriu și al persoanelor juridice a căror activitate o coordonează, altul decât cel pentru care verificarea este de competența Serviciului Român de Informații.

(2) Instituțiile menționate la alin. (1) sunt abilitate să solicite și să primească informații de la persoane juridice și fizice, în vederea acordării avizului de acces la informații clasificate.

Articolul 153

Instituțiile competente în realizarea verificărilor de securitate cooperează, pe bază de protocoale, în îndeplinirea sarcinilor și obiectivelor propuse.

Articolul 154

Certificatul de securitate/autorizația de acces se emite în două exemplare originale, unul fiind păstrat de structura/funcționarul de securitate, iar celălalt se trimite la ORNISS, care va informa instituția competentă care a efectuat verificările.

Articolul 155

Valabilitatea certificatului de securitate/autorizației de acces eliberate unei persoane este de până la patru ani, în această perioadă verificările putând fi reluate oricând sunt îndeplinite condițiile prevăzute la art. 167.

Articolul 156

Pentru cadrele proprii, Ministerul Apărării Naționale, Ministerul de Interne, Ministerul Justiției, Serviciul Român de Informații, Serviciul de Informații Externe, Serviciul de Telecomunicații Speciale și Serviciul de Protecție și Pază vor elabora instrucțiuni interne privind verificarea, avizarea, eliberarea și evidența certificatelor de securitate/autorizațiilor de acces.

Articolul 157

Decizia privind avizarea eliberării certificatului de securitate/autorizației de acces va fi luată pe baza tuturor informațiilor disponibile și va avea în vedere:

a) loialitatea indiscutabilă a persoanei;

b) caracterul, obiceiurile, relațiile și discreția persoanei, care să ofere garanții asupra:

– corectitudinii în gestionarea informațiilor secrete de stat;

– oportunității accesului neînsoțit în compartimente, obiective, zone și locuri de securitate în care se află informații secrete de stat;

– respectării reglementărilor privind protecția informațiilor secrete de stat din domeniul său de activitate.

Articolul 158

(1) Principalele criterii de evaluare a compatibilității în acordarea avizului pentru eliberarea certificatului de securitate/autorizației de acces vizează atât trasăturile de caracter, cât și situațiile sau împrejurările din care pot rezultă riscuri și vulnerabilități de securitate.

(2) Sunt relevante și vor fi luate în considerare, la acordarea avizului de securitate, caracterul, conduita profesională sau socială, concepțiile și mediul de viață al soțului/sotiei sau concubinului/concubinei persoanei solicitante.

Articolul 159

Următoarele situații imputabile atât solicitantului, cât și soțului/soției sau concubinului/concubinei acestuia reprezintă elemente de incompatibilitate pentru acces la informații secrete de stat:

a) dacă a comis sau a intenționat să comită, a fost complice, a complotat sau a instigat la comiterea de acte de spionaj, terorism, trădare ori alte infracțiuni contra siguranței statului;

b) dacă a încercat, a susținut, a participat, a cooperat sau a sprijinit acțiuni de spionaj, terorism ori persoane suspectate de a se încadra în această categorie sau de a fi membre ale unor organizații ori puteri străine inamice ordinii de drept din țara noastră;

c) dacă este sau a fost membru al unei organizații care a încercat, încearcă sau susține răsturnarea ordinii constituționale prin mijloace violente, subversive sau alte forme ilegale;

d) dacă este sau a fost un susținător al vreunei organizații prevăzute la lit. c), este sau a fost în relații apropiate cu membrii unor astfel de organizații intr-o formă de natură să ridice suspiciuni temeinice cu privire la încrederea și loialitatea persoanei.

Articolul 160

Constituie elemente de incompatibilitate pentru accesul solicitantului la informații secrete de stat oricare din următoarele situații:

a) dacă în mod deliberat a ascuns, a interpretat eronat sau a falsificat informații cu relevanță în planul siguranței naționale ori a mințit în completarea formularelor tip sau în cursul interviului de securitate;

b) are antecedente penale sau a fost sancționat contravențional pentru fapte care indică tendințe infracționale;

c) are dificultăți financiare serioase sau există o discordanță semnificativă între nivelul său de trai și veniturile declarate;

d) consumă în mod excesiv băuturi alcoolice ori este dependent de alcool, droguri sau de alte substanțe interzise prin lege care produc dependență;

e) are sau a avut comportamente imorale sau deviații de comportament care pot genera riscul ca persoana să fie vulnerabilă la șantaj sau presiuni;

f) a demonstrat lipsa de loialitate, necinste, incorectitudine sau indiscreție;

g) a încălcat reglementările privind protecția informațiilor clasificate;

h) suferă sau a suferit de boli fizice sau psihice care îi pot cauza deficiențe de discernământ confirmate prin investigație medicală efectuată cu acordul persoanei solicitante;

i) poate fi supus la presiuni din partea rudelor sau persoanelor apropiate care ar putea genera vulnerabilități exploatabile de către serviciile de informații ale căror interese sunt ostile României și aliaților săi.

Articolul 161

(1) Solicitările pentru efectuarea verificărilor de securitate în vederea avizării eliberării certificatelor de securitate/autorizațiilor de acces la informații secrete vor avea în vedere persoanele care:

a) în exercitarea atribuțiilor profesionale lucrează cu date și informații de nivel secret;

b) fac parte din personalul de execuție sau administrativ și, în virtutea acestui fapt, pot intra în contact cu date și informații de acest nivel;

c) este de presupus că vor lucra cu date și informații de nivel secret, datorită funcției pe care o dețin;

d) se presupune că nu pot avansa profesional în funcție, dacă nu au acces la astfel de informații.

(2) Avizarea pentru acces la informații secrete de stat, de nivel secret se va baza pe:

a) verificarea corectitudinii datelor menționate în formularul de bază, anexa nr. 15;

b) referințe de la locurile de muncă și din mediile frecventate, de la cel puțin trei persoane.

(3) În situația în care este necesară clarificarea anumitor aspecte sau la solicitarea persoanei verificate, reprezentantul instituției abilitate să efectueze verificările de securitate poate avea o întrevedere cu aceasta.

Articolul 162

(1) Pentru eliberarea certificatelor de securitate/autorizațiilor de acces la informații strict secrete se efectuează verificări asupra persoanelor care:

a) în exercitarea atribuțiilor profesionale lucrează cu date și informații de nivel strict secret;

b) fac parte din personalul de execuție sau administrativ și, în virtutea acestui fapt, pot intra în contact cu date și informații de acest nivel;

c) este de presupus că vor lucra cu date și informații de nivel strict secret, datorită funcției pe care o dețin;

d) se presupune că nu pot avansa profesional în funcție, dacă nu au acces la astfel de informații.

(2) Avizarea pentru acces la informații strict secrete se va baza pe:

a) verificarea corectitudinii datelor personale menționate în formularul de bază și în formularul suplimentar, anexele nr. 15 și 16;

b) referințe minime de la locurile de muncă și din mediile frecventate de la cel puțin trei persoane;

c) verificarea datelor prezentate în formular, despre membrii de familie;

d) investigații la locul de muncă și la domiciliu, care să acopere o perioadă de zece ani anteriori datei avizului sau începând de la vârsta de 18 ani;

e) un interviu cu persoana verificată, dacă se consideră că ar putea clarifica aspecte rezultate din verificările efectuate.

Articolul 163

(1) Pentru eliberarea certificatelor de securitate/autorizațiilor de acces la informații strict secrete de importanță deosebită se efectuează verificări asupra persoanelor care:

a) în exercitarea atribuțiilor profesionale lucrează cu date și informații de nivel strict secret de importanță deosebită;

b) fac parte din personalul de execuție sau administrativ și, în virtutea acestui fapt, pot intra în contact cu informații de acest nivel.

(2) Avizarea accesului la informațiile strict secrete de importanță deosebită se va baza pe:

a) verificarea corectitudinii datelor menționate în formularul de bază, formularul suplimentar și formularul financiar, anexele nr. 15, 16 și 17;

b) investigații de cunoaștere a conduitei și antecedentelor la domiciliul actual și cele anterioare, la locul de muncă actual și la cele anterioare, precum și la instituțiile de învățământ urmate, începând de la vârsta de 18 ani, investigații care nu se vor limita la audierea persoanelor indicate de solicitantul avizului;

c) verificări ale mediului relațional pentru a identifica existența unor riscuri de securitate în cadrul acestuia;

d) un interviu cu persoana solicitantă, pentru a detalia aspectele rezultate din verificările efectuate;

e) în cazul în care, din verificările intreprinse, rezultă incertitudini cu privire la sănătatea psihică sau comportamentul persoanei verificate, cu acordul acesteia poate fi supusă unui test psihologic.

Articolul 164

(1) Dacă în cursul verificărilor, pentru orice nivel, apar informații ce evidențiază riscuri de securitate, se va realiza o verificare suplimentară, cu folosirea metodelor și mijloacelor specifice instituțiilor cu atribuții în domeniul siguranței naționale.

(2) În cazul verificării suplimentare menționate la alin. (1) termenele de efectuare a verificărilor vor fi prelungite în mod corespunzător.

Articolul 165

În funcție de nivelul de secretizare a informațiilor secrete de stat la care se acordă accesul, investigația de cunoaștere a antecedentelor va avea în vedere, gradual, următoarele:

a) consultarea registrelor de stare civilă pentru verificarea datelor personale în vederea stabilirii, fără dubiu, a identității persoanei solicitante;

b) verificarea cazierului judiciar, în evidențele centrale și locale ale poliției, în baza de date a Registrului Comerțului, precum și în alte evidențe;

c) stabilirea naționalității persoanei și cetățeniei prezente și anterioare;

d) confirmarea pregătirii în școlile, universitățile și alte instituții de învățământ urmate de titular, de la împlinirea vârstei de 18 ani;

e) cunoașterea conduitei la locul de muncă actual și la cele anterioare, cu referințe obținute din dosarele de angajare, aprecierile anuale asupra performanțelor și eficienței activității, ori furnizate de șefii instituțiilor, șefii de compartimente sau colegi;

f) organizarea de interviuri și discuții cu persoane care pot face aprecieri asupra trecutului, activității, comportamentului și corectitudinii persoanei verificate;

g) cunoașterea comportării pe timpul serviciului militar și a modalității în care a fost trecut în rezervă;

h) existența unor riscuri de securitate datorate unor eventuale presiuni exercitate din străinătate;

i) solvabilitatea și reputația financiară a persoanei;

j) stabilirea indiciilor și obținerea de probe conform cărora persoana solicitantă este sau a fost membru ori afiliat al vreunei organizații, asociații, mișcări, grupări străine sau autohtone, care au sprijinit sau au susținut comiterea unor acte de violență, în scopul afectării drepturilor altor persoane, sau care încearcă să schimbe ordinea de stat prin mijloace neconstituționale.

Articolul 166

(1) În cazul în care o persoană deține certificat de securitate/autorizație de acces la informații naționale clasificate, acesteia i se poate elibera și certificat de securitate pentru acces la informații NATO clasificate valabil pentru același nivel de secretizare sau pentru un nivel inferior.

(2) Dacă informațiile NATO clasificate la care se solicită acces în condițiile alin. (1) sunt de nivel superior celui pentru care persoana în cauză deține certificat de securitate/autorizație de acces se vor efectua verificările necesare, potrivit standardelor în vigoare.

(3) Valabilitatea certificatului/autorizației eliberate în condițiile alin. (1) și (2) încetează la expirarea termenului de valabilitate al certificatului/autorizației initiale.

Articolul 167

(1) Revalidarea avizului privind accesul la informații clasificate presupune reverificarea persoanei deținătoare a unui certificat de securitate/autorizație de acces în vederea menținerii sau retragerii acesteia.

(2) Revalidarea poate avea loc la solicitarea unității în care persoana își desfășoară activitatea, sau a ORNISS, în oricare din următoarele situații:

a) atunci când pentru îndeplinirea sarcinilor de serviciu ale persoanei deținătoare este necesar accesul la informații de nivel superior;

b) la expirarea perioadei de valabilitate a certificatului de securitate/autorizației de acces deținute anterior;

c) în cazul în care apar modificări în datele de identificare ale persoanei;

d) la apariția unor riscuri de securitate din punct de vedere al compatibilității accesului la informații clasificate.

Articolul 168

La solicitarea revalidării nu se eliberează un nou certificat de securitate/autorizație de acces, în următoarele situații:

a) în cazul în care se constată neconcordanțe între datele declarate în formularele tip și cele reale;

b) în cazul în care, pe parcursul perioadei de valabilitate a certificatului de securitate/autorizației de acces s-au evidențiat riscuri de securitate;

c) În cazul în care ORNISS solicită acest lucru, în mod expres.

Articolul 169

Pentru revalidarea accesului la informații secrete de stat se derulează aceleași activități ca și la acordarea avizului inițial, verificările raportându-se la perioada scursă de la eliberarea certificatului de securitate sau autorizației de acces anterioare.

Articolul 170

(1) Persoanele cărora li se eliberează certificate de securitate/autorizații de acces vor fi instruite, obligatoriu, cu privire la protecția informațiilor clasificate, înaintea începerii activității și ori de câte ori este nevoie.

(2) Activitatea de pregătire se efectuează planificat, în scopul prevenirii, contracarării și eliminării riscurilor și amenințărilor la adresa securității informațiilor clasificate.

(3) Pregătirea personalului se realizează diferențiat, potrivit nivelului de secretizare a informațiilor la care certificatul de securitate sau autorizația de acces permite accesul și va fi înscrisă în fișa individuală de pregătire, care se păstrează la structura/funcționarul de securitate.

(4) Toate persoanele încadrate în funcții care presupun accesul la informații clasificate trebuie să fie instruite temeinic, atât în perioada premergătoare numirii în funcție, cat și la intervale prestabilite, asupra necesității și modalităților de asigurare a protecției acestor informații.

(5) După fiecare instruire, persoana care deține certificat de securitate sau autorizație de acces va semna că a luat act de conținutul reglementărilor privind protecția informațiilor secrete de stat.

Articolul 171

(1) Pregătirea personalului urmărește însușirea corectă a standardelor de securitate și a modului de implementare eficientă a măsurilor de protecție a informațiilor clasificate.

(2) Organizarea și coordonarea activității de pregătire a structurilor/funcționarilor de securitate sunt asigurate de autoritățile desemnate de securitate.

Articolul 172

(1) Planificarea și organizarea activității de pregătire a personalului se realizează de către structura/funcționarul de securitate.

(2) Autoritățile desemnate de securitate vor controla, potrivit competențelor, modul de realizare a activității de pregătire a personalului care accesează informații secrete de stat.

Articolul 173

(1) Pregătirea individuală a persoanelor care dețin certificate de securitate/autorizații de acces se realizează în raport cu atribuțiile profesionale.

(2) Toate persoanele care gestionează informații clasificate au obligația să cunoască reglementările privind protecția informațiilor clasificate și procedurile interne de aplicare a măsurilor de securitate specifice.

Articolul 174

(1) Pregătirea personalului se realizează sub formă de lecții, informări, prelegeri, simpozioane, schimb de experiență, seminarii, ședințe cu caracter aplicativ și se poate finaliza prin verificări sau certificări ale nivelului de cunoștințe.

(2) Activitățile de pregătire vor fi organizate de structura/funcționarul de securitate, conform tematicilor cuprinse în programele aprobate de conducerea unității.

Articolul 175

Certificatul de securitate sau autorizația de acces își încetează valabilitatea și se va retrage în următoarele cazuri:

a) la solicitarea ORNISS;

b) prin decizia conducătorului unității care a eliberat certificatul/autorizația;

c) la solicitarea autorității desemnate de securitate competente;

d) la plecarea din unitate sau la schimbarea locului de muncă al deținătorului în cadrul unității, dacă noul loc de muncă nu presupune lucrul cu astfel de informații secrete de stat;

e) la schimbarea nivelului de acces.

Articolul 176

La retragerea certificatului de securitate sau autorizației de acces, în cazurile prevăzute la art. 175 lit. a)-d), angajatului i se va interzice accesul la informații secrete de stat, iar conducerea unității va notifica despre aceasta la ORNISS.

Articolul 177

După luarea deciziei de retragere, unitatea va solicita ORNISS înapoierea exemplarului 2 al certificatului de securitate sau al autorizației de acces, după care va distruge ambele exemplare, pe bază de proces-verbal.

Capitolul 4 PROTECȚIA INFORMAȚIILOR SECRETE DE STAT › Secţiunea a 6-a Accesul cetățenilor străini, al cetățenilor români care au și cetățenia altui stat, precum și al persoanelor apatride la informațiile secrete de stat și în locurile în care se desfășoară activități, se expun obiecte sau se execută lucrări din această categorie

Articolul 178

Cetățenii străini, cetățenii români care au și cetățenia altui stat, precum și persoanele apatride pot avea acces la informații secrete de stat, cu respectarea principiului necesității de a cunoaște și a convențiilor, protocoalelor, contractelor și altor înțelegeri încheiate în condițiile legii.

Articolul 179

(1) Persoanele prevăzute la art. 178 vor fi verificate și avizate conform prezentelor standarde, la solicitarea conducătorului unității în cadrul căreia acestea urmează să desfășoare activități care presupun accesul la informații secrete de stat.

(2) Conducătorul unității va elibera persoanelor respective o autorizație de acces corespunzătoare nivelului de secretizare a informațiilor la care urmeaza să aibă acces, valabilă numai pentru perioada desfășurării activităților comune, în baza acordului comunicat de ORNISS.

Articolul 180

(1) Persoanele prevăzute la art. 178 care desfășoară activități de asistența tehnică, consultanță, colaborare știintifică ori specializare vor purta ecusoane distincte față de cele folosite de personalul propriu și vor fi însoțite permanent de persoane anume desemnate de conducerea unității respective.

(2) Conductorul unității este obligat să delimiteze strict sectoarele și compartimentele în care persoanele menționate la art. 178 pot avea acces și va stabili măsuri pentru prevenirea prezentei acestora în alte locuri în care se gestionează informații secrete de stat.

Articolul 181

(1) Structura/funcționarul de securitate are obligația de a instrui persoanele prevăzute la art. 178 în legătură cu regulile pe care trebuie să le respecte privind protecția informațiilor secrete de stat.

(2) Autorizația de acces se va elibera numai după însușirea reglementărilor privind protecția informațiilor clasificate și semnarea angajamentului de confidențialitate.

Articolul 182

Nerespectarea de către persoanele prevăzute la art. 178 a regulilor privind protecția informațiilor clasificate va determina, obligatoriu, retragerea autorizației de acces.

Capitolul 5 CONDIȚIILE DE FOTOGRAFIERE, FILMARE, CARTOGRAFIERE ȘI EXECUTARE A UNOR LUCRĂRI DE ARTE PLASTICE ÎN OBIECTIVE SAU LOCURI CARE PREZINTĂ IMPORTANȚĂ DEOSEBITĂ PENTRU PROTECȚIA INFORMAȚIILOR SECRETE DE STAT

Articolul 183

(1) Este interzisă fotografierea, filmarea, cartografierea sau executarea de lucrări de arte plastice pe teritoriul României, în obiective, zone sau locuri de importanță deosebită pentru protecția informațiilor secrete de stat, fără autorizație specială eliberată de către ORNISS, care va ține evidența acestora, conform anexei nr. 23.

(2) Autorizația specială va fi eliberată de către ORNISS în baza avizului dat de ADS, precum și de autoritățile sau instituțiile care au obiective, zone și locuri de importanță pentru protecția informațiilor clasificate în arealul în care urmează să se desfășoare activități de această natură.

(3) Obiectivele și mijloacele prevăzute la art. 17 din Legea nr. 182/2002 pot fi filmate și fotografiate de către personalul militar, pentru nevoile interne ale instituțiilor militare, pe baza aprobării scrise a miniștrilor sau conducătorilor instituțiilor respective, pentru obiectivele, zonele sau locurile din competența lor.

Articolul 184

Trupele Ministerului Apărării Naționale, Ministerului de Interne și Serviciului Român de Informații, aflate la instructie, în aplicații ori în interiorul obiectivelor prevăzute la art. 17 din Legea nr. 182/2002, pot fi fotografiate sau filmate în scopuri educative și de pregătire militară, cu aprobarea conducătorilor acestor instituții sau a împuterniciților desemnați.

Articolul 185

Fotografierea, filmarea, cartografierea sau executarea de lucrări de arte plastice în zonele de securitate și administrative ale unităților deținătoare de secrete de stat este permisă numai cu aprobarea scrisă a împuterniciților abilitați să atribuie niveluri de secretizare conform art. 19 din Legea 182/2002, potrivit competențelor materiale.

Articolul 186

(1) Cererea adresată ORNISS pentru eliberarea autorizației speciale de filmare, fotografiere, cartografiere sau de executare a lucrărilor de arte plastice va cuprinde, obligatoriu, menționarea obiectului și locului activității, aparatura folosită, perioada de timp în care urmează a se realiza, datele de identitate ale persoanei care le va efectua, precum și aprobarea prevăzută la art. 185.

(2) Termenul de răspuns este de 60 de zile lucrătoare de la data primirii cererii. Pentru zborurile aerofotogrammetrice efectuate la scări de zbor mai mari de 1:20.000 în scopul realizării pe planuri topografice și cadastrale, termenul este de 30 de zile lucrătoare.

-----------

Alin. (2) al art. 186 a fost modificat pct. 1 al articolului unic din HOTĂRÂREA nr. 185 din 9 martie 2005, publicată în MONITORUL OFICIAL nr. 247 din 24 martie 2005.

(3) Titularii autorizației speciale sunt obligați să se prezinte, înaintea începerii lucrărilor, la conducătorii instituțiilor unde acestea vor fi executate, pentru a se pune de acord cu privire la modalitatea de acțiune și verificarea aparaturii ce va fi folosită.

Articolul 187

Dacă solicitantul poseda autorizație de nivel corespunzător obiectivului vizat, autorizația specială va fi eliberată în termen de 15 zile lucrătoare de la data primirii solicitării, cu respectarea principiului nevoii de a cunoaște.

Articolul 188

Obiectivele, zonele și locurile în care fotografierea, filmarea, cartografierea sau executarea de lucrări de arte plastice se efectuează numai cu autorizare vor fi marcate cu indicatoare de interdicție în acest sens, care vor fi instalate prin grija instituțiilor cărora le aparțin, cu avizul de specialitate al organelor administrației publice locale.

Articolul 189

(1) Emiterea, deținerea sau folosirea de date și documente geodezice, topo-fotogrammetrice și cartografice, ce constituie secrete de stat, urmează, în privința clasificării, marcării, inscripționării, procesării, manipulării, evidenței, întocmirii, multiplicării, transmiterii, păstrării, transportului și distrugerii acestora, regimul prevăzut de reglementările în vigoare privitoare la protecția informațiilor clasificate în România.

(2) Ministerele și celelalte organe ale administrației publice centrale și locale, care întocmesc documente geodezice, topo-fotogrammetrice și cartografice cu caracter secret de stat, le vor nominaliza în listele proprii de informații clasificate, potrivit dispozițiilor legale în vigoare.

Articolul 190

(1) Activitatea de aerofotografiere cu camere fotogrammetrice digitale sau analogice a teritoriului României, la o scară de zbor mai mare de 1:20.000, se efectuează pe baza autorizației speciale eliberate de ORNISS și în prezența reprezentantului Ministerului Apărării Naționale.

(2) În vederea eliberării autorizației menționate la alin. (1), cererea adresată ORNISS trebuie să conțină, pe lângă datele prevăzute la art. 186 alin. (1), și scara de zbor la care vor fi efectuate activitățile de aerofotografiere.

(3) Activitățile de developare a materialului fotografic și scanarea negativelor, după caz, se pot realiza, în prezența reprezentantului Ministerului Apărării Naționale, de către persoane juridice care îndeplinesc condițiile legale privind protecția informațiilor clasificate.

(4) Materialele obținute din activitățile de aerofotografiere prevăzute la alin. (1) se predau persoanelor juridice autorizate, pe bază de documente justificative, în prezența reprezentantului Ministerului Apărării Naționale.

(5) ORNISS ține evidența autorizațiilor speciale și dispune retragerea acestora, la propunerea motivată a organelor de control abilitate.

(6) Developarea materialului fotografic și scanarea negativelor de către persoanele juridice autorizate se realizează exclusiv pe teritoriul național.

(7) Materialele rezultate în urma procesului de developare și scanare, precum și cele rezultate în urma activităților de aerofotografiere cu camere fotogrammetrice digitale sunt declasificate, cu avizul Autorităților Desemnate de Securitate (ADS), de către Ministerul Apărării Naționale, în termen de 30 de zile lucrătoare de la primirea acestora.

(8) În termenul prevăzut la alin. (7) produsele finale rezultate în urma declasificării se vor preda la ORNISS, prin grija reprezentantului Ministerului Apărării Naționale, pentru a fi puse la dispoziție beneficiarului.

(9) Se exceptează de la obligația îndeplinirii procedurii prevăzute la alin. (1)-(8) activitățile de aerofotografiere, efectuate pe teritoriul României, la o scară de zbor mai mică sau egală cu 1:20.000.

----------

Art. 190 a fost modificat prin pct. 2 al articolului unic din HOTĂRÂREA nr. 185 din 9 martie 2005, publicată în MONITORUL OFICIAL nr. 247 din 24 martie 2005.

Capitolul 6 EXERCITAREA CONTROLULUI ASUPRA MĂSURILOR PRIVITOARE LA PROTECȚIA INFORMAȚIILOR CLASIFICATE

Articolul 191

(1) Serviciul Român de Informații, prin unitatea sa specializată, are competența generală de exercitare a controlului asupra modului de aplicare a măsurilor de protecție de către instituțiile publice și unitățile deținătoare de informații clasificate.

(2) Activitatea de control în cadrul Ministerului Apărării Naționale, Ministerului de Interne, Ministerului de Justiție, Serviciului Român de Informații, Serviciului de Informații Externe, Serviciului de Protecție și Pazâ și Serviciului de Telecomunicații Speciale se reglementează prin ordine ale conducătorilor acestor instituții, potrivit legii.

(3) Controlul privind măsurile de protecție a informațiilor clasificate în cadrul Parlamentului, Administrației Prezidențiale, Guvernului și Consiliului Suprem de Apărare a Țării se organizează conform legii.

(4) Activitatea de control în cadrul reprezentanțelor României în străinătate se reglementează și se realizează de către Serviciul de Informații Externe.

Articolul 192

Controlul are ca scop:

a) evaluarea eficienței măsurilor concrete de protecție adoptate la nivelul deținătorilor de informații clasificate, în conformitate cu legea, cu prevederile prezentelor standarde și altor norme în materie, precum și cu programele de prevenire a scurgerii de informații clasificate;

b) identificarea vulnerabilităților existente în sistemul de protecție a informațiilor clasificate, care ar putea conduce la compromiterea acestor informații, în vederea luării măsurilor de prevenire necesare;

c) luarea măsurilor de remediere a deficiențelor și de perfecționare a cadrului organizatoric și funcțional la nivelul structurii controlate;

d) constatarea cazurilor de nerespectare a normelor de protecție a informațiilor clasificate și aplicarea sancțiunilor contravenționale sau, după caz, sesizarea organelor de urmărire penală, în situația în care fapta constituie infracțiune;

e) informarea Consiliului Suprem de Apărare a Țării și Parlamentului cu privire la modul în care unitățile deținătoare de informații clasificate aplică reglementările în materie.

Articolul 193

(1) Fiecare acțiune de control se încheie printr-un document de constatare, întocmit de echipa/persoana care l-a efectuat.

(2) În cazul în care controlul relevă fapte și disfuncționalități de natură să reprezinte riscuri majore de securitate pentru protecția informațiilor clasificate va fi informat, de îndată, Consiliul Suprem de Apărare a Țării, iar instituția controlată va dispune măsuri imediate de remediere a deficiențelor constatate, va iniția cercetarea administrativă și, după caz, va aplica măsurile sancționatorii și va sesiza organele de urmărire penală, în situația în care rezultă indicii că s-ar fi produs infracțiuni.

Articolul 194

În funcție de obiectivele urmărite, controalele pot fi:

a) controale de fond, care urmăresc verificarea întregului sistem organizatoric, structural și funcțional de protecție a informațiilor clasificate;

b) controale tematice, care vizează anumite domenii ale activității de protecție a informațiilor clasificate;

c) controale în situații de urgență, care au ca scop verificarea unor aspecte punctuale, stabilite ca urmare a identificării unui risc de securitate.

Articolul 195

În funcție de modul în care sunt stabilite și organizate, controalele pot fi:

a) planificate;

b) inopinate;

c) determinate de situații de urgență.

Articolul 196

Conducătorii unităților care fac obiectul controlului au obligația sa pună la dispoziția echipelor de control toate informațiile solicitate privind modul de aplicare a măsurilor prevăzute de lege pentru protecția informațiilor clasificate.

Articolul 197

Conducătorii unităților deținătoare de informații clasificate au obligația să organizeze anual și ori de câte ori este nevoie controale interne privind gestionarea acestora.

Capitolul 7 SECURITATEA INDUSTRIALĂ › Secţiunea 1 Dispoziții generale

Articolul 198

Prevederile prezentului capitol se vor aplica tuturor persoanelor juridice de drept public sau privat care desfășoară ori solicită să desfășoare activități contractuale ce presupun accesul la informații clasificate.

Capitolul 7 SECURITATEA INDUSTRIALĂ › Secţiunea a 2-a Atribuțiile Oficiului Registrului Național al Informațiilor Secrete de Stat și ale autorităților desemnate de securitate în domeniul protectiei informațiilor clasificate care fac obiectul activităților contractuale

Articolul 199

În domeniul protecției informațiilor clasificate care fac obiectul activităților contractuale, ORNISS are următoarele atribuții:

a) stabilește strategia de implementare unitară la nivel național a măsurilor de protecție a informațiilor clasificate care fac obiectul activităților contractuale;

b) eliberează autorizația și certificatul de securitate industrială, la cererea persoanelor juridice interesate;

c) gestionează, la nivel național, evidențele privind: persoanele juridice deținătoare de autorizații de securitate industrială; persoanele juridice deținătoare de certificate de securitate industrială; persoanele fizice care dețin certificate de securitate sau autorizații de acces eliberate în scopul negocierii sau executării unui contract clasificat.

Articolul 200

În sfera lor de competență legală, autoritățile desemnate de securitate au următoarele atribuții:

a) efectuează verificările de securitate necesare acordării avizului de securitate industrială, pe care îl transmite la ORNISS în vederea eliberării autorizației sau, după caz, a certificatului de securitate industrială;

b) asigura asistența de specialitate obiectivelor industriale în vederea implementării standardelor de securitate în domeniul protecției informațiilor clasificate vehiculate în cadrul activităților industriale;

c) desfășoară activități de pregătire a personalului cu atribuții pe linia protecției informațiilor clasificate, vehiculate în cadrul activităților industriale;

d) efectuează verificări în situațiile în care s-au semnalat încălcări ale reglementărilor de protecție, distrugeri, dispariții, dezvăluiri neautorizate de informații clasificate, furnizate sau produse în cadrul unui contract clasificat;

e) se asigură că fiecare obiectiv industrial, în cadrul căruia urmeaza să fie gestionate informații clasificate, a desemnat o structură/funcționar de securitate în vederea exercitării efective a atribuțiilor pe linia protecției acestora, în cadrul contractelor clasificate;

f) monitorizează, în condițiile legii, modul de asigurare a protecției informațiilor clasificate în procesul de negociere și derulare a contractelor, iar în cazul în care constată factori de risc și vulnerabilități, informează imediat ORNISS și propune măsurile necesare;

g) avizează programele de prevenire a scurgerii informațiilor clasificate din obiectivele industriale, anexele de securitate ale contractelor clasificate și monitorizează respectarea prevederilor acestora;

h) efectuează controale de securitate și informează ORNISS asupra concluziilor rezultate;

i) verifică și prezintă ORNISS propuneri de soluționare a sesizărilor, reclamațiilor și observațiilor referitoare la modul de aplicare și respectare a standardelor de protecție în cadrul contractelor clasificate.

Capitolul 7 SECURITATEA INDUSTRIALĂ › Secţiunea a 3-a Protecția informațiilor clasificate care fac obiectul activităților contractuale

Articolul 201

(1) Clauzele și procedurile de protecție vor fi stipulate în anexa de securitate a fiecărui contract clasificat, care presupune acces la informații clasificate.

(2) Anexa de securitate prevăzută la alin. (1) va fi întocmită de partea contractantă deținătoare de informații clasificate ce vor fi utilizate în derularea contractului clasificat.

(3) Clauzele și procedurile de protecție vor fi supuse, periodic, inspecțiilor și verificărilor de către autoritatea desemnată de securitate competentă.

Articolul 202

Partea contractantă deținătoare de informații clasificate ce vor fi utilizate în derularea unui contract este responsabilă pentru clasificarea și definirea tuturor componentelor acestuia, în conformitate cu normele în vigoare, sens în care poate solicita sprijin de la ADS, conform competențelor materiale stabilite prin lege.

Articolul 203

La clasificarea contractelor se vor aplica următoarele reguli generale:

a) în toate stadiile de planificare și execuție, contractul se clasifica pe niveluri corespunzătoare, în functie de conținutul informațiilor;

b) clasificările se aplică numai acelor părți ale contractului care trebuie protejate;

c) când în derularea unui contract se folosesc informații din mai multe surse, cu niveluri de clasificare diferite, contractul va fi clasificat în funcție de nivelul cel mai înalt al informațiilor, iar măsurile de protecție vor fi stabilite în mod corespunzător;

d) declasificarea sau trecerea la o altă clasă sau nivel de secretizare a unei informații din cadrul contractului se aprobă de conducătorul persoanei juridice care a autorizat clasificarea inițială.

Articolul 204

În cazul în care apare necesitatea protejării informațiilor dintr-un contract care, anterior, nu a fost necesar a fi clasificat, contractorul are obligația declanșării procedurilor de clasificare și protejare conform reglementărilor în vigoare.

Articolul 205

În cazul în care contractantul cedează unui subcontractant realizarea unei părți din contractul clasificat, se va asigura că acesta deține autorizație sau certificat de securitate industrială și este obligat sa înștiințeze contractorul, iar la încheierea subcontractului să prevadă clauze și proceduri de protecție în conformitate cu prevederile prezentelor standarde.

Articolul 206

(1) În procesul de negociere a unui contract clasificat pot participa doar reprezentanți autorizați ai obiectivelor industriale care dețin autorizație de securitate industrială eliberată de către ORNISS, care va ține evidența acestora.

(2) Autorizațiile de securitate industrială se eliberează pentru fiecare contract clasificat în parte.

(3) În cazul în care obiectivul industrial nu deține autorizații de securitate industrială pentru participarea la negocierea acelui contract, este obligatorie inițierea procedurii de autorizare.

Articolul 207

(1) Invitațiile la licitații sau prezentări de oferte, în cazul contractelor clasificate, trebuie să conțină o clauză prin care potențialul ofertant este obligat sa înapoieze documentele clasificate care i-au fost puse la dispoziție, în cazul în care nu depune oferta până la data stabilită sau nu câștigă competiția într-un termen precizat de organizator, care să nu depășească 15 zile de la comunicarea rezultatului.

(2) În situațiile menționate la alin. (1), ofertantul care a pierdut licitația are obligația să păstreze confidențialitatea informațiilor la care a avut acces.

Articolul 208

Contractorul păstrează evidența tuturor participanților la întâlnirile de negociere, datele de identificare ale acestora și angajamentele de confidențialitate, organizațiile pe care le reprezintă, tipul și scopul întâlnirilor, precum și informațiile la care aceștia au avut acces.

Articolul 209

Contractanții care intenționează să deruleze activități industriale cu subcontractanți sunt obligați să respecte procedurile prevăzute în acest capitol.

Articolul 210

Contractantul și subcontractanții sunt obligați să implementeze și să respecte toate măsurile de protecție a informațiilor clasificate puse la dispoziție sau care au fost generate pe timpul derulării contractelor.

Articolul 211

Autoritățile desemnate de securitate vor verifica, potrivit competențelor, dacă obiectivul industrial îndeplinește următoarele cerințe:

a) posedă structura/funcționar de securitate responsabilă cu protecția informațiilor clasificate care fac obiectul activităților contractuale;

b) asigură sprijinul necesar pentru efectuarea inspecțiilor de securitate periodice, pe întreaga durată a contractului clasificat;

c) nu permite diseminarea, fără autorizație scrisă din partea emitentului, a nici unei informații clasificate ce i-a fost încredințată în cadrul derulării unui contract clasificat;

d) aprobă accesul la informațiile vehiculate în cadrul contractului clasificat numai persoanelor care dețin certificat de securitate sau autorizație de acces, în conformitate cu principiul necesității de a cunoaște;

e) dispune de posibilitățile necesare pentru a informa asupra oricărei compromiteri, divulgări, distrugeri, sustrageri, sabotaje sau activități subversive ori altor riscuri la adresa securității informațiilor clasificate vehiculate sau a persoanelor angajate în derularea contractului respectiv și orice schimbări privind proprietatea, controlul sau managementul obiectivului industrial cu implicații asupra statutului de securitate al acestuia;

f) impune subcontractanților obligații de securitate similare cu cele aplicate contractantului;

g) nu utilizează în alte scopuri decât cele specifice contractului informațiile clasificate la care are acces, fără permisiunea scrisă a emitentului;

h) înapoiază toate informațiile clasificate ce i-au fost încredințate, precum și pe cele generate pe timpul derulării contractului, cu excepția cazului în care asemenea informații au fost distruse autorizat sau păstrarea lor a fost autorizată de către contractor pentru o perioadă de timp strict determinată;

i) respectă procedura stabilită pentru protecția informațiilor clasificate legate de contract.

Articolul 212

După adjudecarea contractului clasificat, contractantul are obligația de a informa ORNISS, în vederea inițierii procedurii de obținere a certificatului de securitate industrială.

Articolul 213

Contractul clasificat va putea fi pus în executare numai în condițiile în care:

a) ORNISS a emis certificatul de securitate industrială;

b) au fost eliberate certificate de securitate sau autorizații de acces pentru persoanele care, în îndeplinirea sarcinilor ce le revin, necesită acces la informații secrete de stat;

c) personalul autorizat al contractantului a fost instruit asupra reglementărilor de securitate industrială de către structura/funcționarul de securitate și a semnat fișa individuală de pregătire.

Capitolul 7 SECURITATEA INDUSTRIALĂ › Secţiunea a 4-a Procedura de verificare, avizare și certificare a obiectivelor industriale care negociază și derulează contracte clasificate

Articolul 214

Verificarea, avizarea și eliberarea autorizației și certificatului de securitate industrială reprezintă ansamblul procedural de securitate ce se aplică numai obiectivelor industriale care au sau vor avea acces la informații clasificate în cadrul contractelor sau subcontractelor secrete de stat, încheiate cu deținătorii unor astfel de informații.

Articolul 215

(1) Pentru participarea la negocieri în vederea încheierii unui contract clasificat, conducătorul obiectivului industrial adresează ORNISS o cerere pentru eliberarea autorizației de securitate industrială - anexa nr. 24, la care anexează chestionarul de securitate industrială - anexa nr. 25.

(2) După obținerea avizului de la autoritatea desemnată de securitate competentă, ORNISS eliberează autorizația de securitate industrială - anexa nr. 28.

(3) Evidența autorizațiilor de securitate industrială eliberate potrivit alin. (2) se realizează conform anexei nr. 31.

Articolul 216

(1) Pentru derularea contractelor clasificate, ORNISS eliberează obiectivelor industriale, certificate de securitate industrială - anexa nr. 29.

(2) Procedura de avizare a eliberării certificatului de securitate industrială se realizează pe baza cererii pentru eliberarea certificatului de securitate industrială - anexa nr. 30, chestionarului de securitate - anexele nr. 26 și 27 și a copiei anexei de securitate menționată la art. 201.

(3) ORNISS va tine evidența certificatelor de securitate industrială potrivit anexei nr. 32.

Articolul 217

Activitatea de verificare în vederea eliberării autorizației și a certificatelor de securitate trebuie să asigure îndeplinirea următoarelor obiective principale:

a) prevenirea accesului persoanelor neautorizate la informații clasificate;

b) garantarea că informațiile clasificate sunt distribuite pe baza existenței certificatului de securitate industrială și a principiului necesității de a cunoaște;

c) identificarea persoanelor care, prin acțiunile lor, pot pune în pericol protecția informațiilor clasificate și interzicerea accesului acestora la astfel de informații;

d) garantarea faptului că obiectivele industriale au capacitatea de a proteja informațiile clasificate în procesul de negociere, respectiv de derulare a contractului.

Articolul 218

(1) Pentru a i se elibera autorizația și certificatul de securitate, obiectivul industrial trebuie să îndeplinească următoarele cerințe:

a) să posede program de prevenire a scurgerii de informații clasificate, avizat conform reglementărilor în vigoare;

b) să fie stabil din punct de vedere economic;

c) să nu fi înregistrat o greșeală de management cu implicații grave asupra stării de securitate a informațiilor clasificate pe care le gestionează;

d) să fi respectat obligațiile de securitate din cadrul contractelor clasificate derulate anterior;

e) personalul implicat în derularea contractului să dețină certificat de securitate de nivel egal celui al informațiilor vehiculate în cadrul contractului clasificat.

(2) Neîndeplinirea cerințelor menționate la alin. (1), precum și furnizarea intenționată a unor informații inexacte în completarea chestionarului sau în documentele prezentate în vederea certificării constituie elemente de incompatibilitate în procesul de eliberare a autorizației sau certificatului de securitate industrială.

Articolul 219

Obiectivul industrial nu este considerat stabil din punct de vedere economic dacă:

a) este în proces de lichidare;

b) este în stare de faliment ori se află în procedura reorganizării judiciare sau a falimentului;

c) este implicat într-un litigiu care îi afectează stabilitatea economică;

d) nu își îndeplinește obligațiile financiare către stat;

e) nu și-a îndeplinit la timp, în mod sistematic, obligațiile financiare către persoane fizice sau juridice.

Articolul 220

(1) Un obiectiv industrial nu corespunde din punct de vedere al protecției informațiilor clasificate dacă se constată că prezintă riscuri de securitate.

(2) Sunt considerate riscuri de securitate:

a) derularea unor activități ce contravin intereselor de siguranță națională sau angajamentelor pe care România și le-a asumat în cadrul acordurilor bilaterale sau multinaționale;

b) relațiile cu persoane fizice sau juridice străine ce ar putea aduce prejudicii intereselor statului român;

c) asociațiile, persoane fizice și juridice, care pot reprezenta factori de risc pentru interesele de stat ale României.

Articolul 221

(1) Pentru eliberarea autorizației sau certificatului de securitate industrială, solicitantul va transmite la ORNISS următoarele documente:

a) cererea de eliberare a autorizației, respectiv a certificatului de securitate industrială;

b) chestionarul de securitate completat, introdus într-un plic separat, sigilat.

(2) Pentru eliberarea certificatului de securitate industrială, solicitantul va atașa și o copie a anexei de securitate.

Articolul 222

În termen de 7 zile lucrătoare de la primirea cererii, ORNISS va solicita autorității desemnate de securitate competente să efectueze verificările de securitate.

Articolul 223

Avizul de securitate eliberat de autoritatea desemnată de securitate competentă trebuie să garanteze că:

a) agentul economic nu prezintă riscuri de securitate;

b) sunt aplicate în mod corespunzător măsurile de securitate fizică, prevăzute de reglementările în vigoare, precum și normele privind accesul persoanelor la informații clasificate;

c) obiectivul industrial este solvabil din punct de vedere financiar;

d) obiectivul industrial nu a fost și nu este implicat sub nici o formă în activitatea unor organizații, asociații, mișcări, grupări de persoane străine sau autohtone care au adoptat sau adoptă o politică de sprijinire sau aprobare a comiterii de acte de sabotaj, subversive sau teroriste.

Articolul 224

Verificările de securitate se realizează astfel:

a) verificarea de securitate de nivel I - pentru eliberarea avizului necesar autorizației de securitate industrială;

b) verificarea de securitate de nivel II - pentru eliberarea avizului necesar certificatului de securitate industrială de nivel secret;

c) verificarea de securitate de nivel III - pentru eliberarea avizului necesar certificatului de securitate industrială de nivel strict secret;

d) verificarea de securitate de nivel IV - pentru eliberarea avizului necesar certificatului de securitate industrială de nivel strict secret de importanță deosebită.

Articolul 225

În cadrul verificării de securitate se desfășoară următoarele activități:

(1) Pentru verificările de securitate de nivel I:

a) verificarea corectitudinii datelor consemnate în chestionarul de securitate industrială, conform anexei nr. 25;

b) verificarea modului de aplicare a prevederilor programului de prevenire a scurgerii de informații clasificate;

c) evaluarea statutului de securitate a fiecărei persoane cu putere de decizie - asociați/acționari, administratori, persoanele din comitetul director și structura de securitate - ori executiva implicată în negocierea contractului clasificat;

d) verificarea datelor minime referitoare la bonitatea și stabilitatea economică a obiectivului industrial - domeniu și obiect de activitate, statut juridic, acționari, garanții bancare.

(2) Pentru verificările de securitate de nivel II:

a) verificarea corectitudinii datelor consemnate în chestionarul de securitate industrială - anexa nr. 26;

b) evaluarea statutului de securitate a fiecărei persoane cu putere de decizie - asociați/acționari, administratori, persoanele din comitetul director și structura de securitate - ori executivă implicată în derularea contractului clasificat;

c) verificarea unor date minime referitoare la bonitatea și stabilitatea economică a obiectivului industrial - domeniu și obiect de activitate, statut juridic, acționari, garanții bancare;

d) verificarea modului de implementare și de aplicare a normelor și măsurilor de securitate fizică, de securitate a personalului și a documentelor, prevăzute pentru nivelul secret.

(3) Pentru verificarea de securitate de nivel III:

a) verificarea corectitudinii datelor consemnate în chestionarul de securitate industrială - anexa nr. 27;

c) verificarea datelor referitoare la bonitatea și stabilitatea economică a agentului economic - domeniu și obiect de activitate, statut juridic, acționari, garanții bancare - incluzând și aspecte referitoare la sucursale, filiale, firme la care este asociat, date financiare;

d) verificarea existenței autorizării sistemului informatic și de comunicații propriu, pentru nivelul strict secret;

e) verificarea modului de implementare și de aplicare a normelor și măsurilor de securitate fizică, de securitate a personalului și a documentelor, prevăzute pentru nivelul strict secret;

f) discuții cu proprietarii, membrii consiliului director, funcționarii de securitate, angajații, în vederea clarificării datelor rezultate din chestionar, după caz.

(4) Pentru verificarea de securitate de nivel IV:

a) verificarea corectitudinii datelor consemnate în chestionarul de securitate industrială - anexa nr. 27;

c) verificarea informațiilor detaliate referitoare la bonitatea și stabilitatea economică a agentului economic - domeniu și obiect de activitate, statut juridic, acționari, garanții bancare - incluzând și aspecte referitoare la sucursale, filiale, firme la care este asociat, date financiare;

d) verificarea existenței autorizării sistemului informatic și de comunicații propriu, pentru nivel strict secret de importanță deosebită;

e) verificarea modului de implementare și de aplicare a normelor și măsurilor de securitate fizică, de securitate a personalului și a documentelor, prevăzute pentru nivelul strict secret de importanță deosebită;

f) discuții cu proprietarii, membrii consiliului director, funcționarii de securitate, angajații, în vederea clarificării datelor rezultate din chestionar, după caz.

Articolul 226

În cazul unui obiectiv industrial la al cărui management/acționariat participă cetățeni străini, cetățeni români care au și cetățenia altui stat sau/și persoane apatride, ORNISS, împreună cu ADS competentă, va evalua măsura în care interesul strain ar putea reprezenta o amenințare la adresa protecției informațiilor secrete de stat, care vor fi încredințate acelui obiectiv industrial.

Articolul 227

În indeplinirea sarcinilor și obiectivelor ce le revin, pe linia protecției informațiilor clasificate, ADS competente cooperează pe baza protocoalelor ce vor fi încheiate între ele cu avizul ORNISS.

Articolul 228

În vederea desfășurării procedurilor de avizare, obiectivul industrial are obligația de a permite accesul reprezentanților ADS în sediile, la echipamentele, operațiunile și la alte activități, respectiv de a prezenta documentele necesare și de a furniza, la cerere, alte date și informații.

Articolul 229

(1) Dacă în urma verificării de securitate se constată că sunt îndeplinite cerințele de securitate necesare asigurării protecției la nivelul de clasificare corespunzător informațiilor vehiculate în cadrul contractului clasificat, ORNISS eliberează și transmite obiectivului industrial autorizația sau certificatul de securitate industrială.

(2) Dacă se constată că obiectivul industrial nu îndeplinește condițiile de securitate necesare, ORNISS nu eliberează autorizația sau certificatul de securitate industrială și informează obiectivul industrial în acest sens. ORNISS nu este obligat să prezinte motivele refuzului. Refuzul eliberării autorizației sau certificatului de securitate industrială va fi comunicat și la ADS care a efectuat verificările de securitate.

(3) Când sunt semnalate elemente care nu constituie riscuri, dar sunt relevante din punct de vedere al securității, în luarea deciziei de eliberare a autorizației sau certificatului de securitate industrială vor avea prioritate interesele de securitate.

Articolul 230

În termen de 7 zile lucrătoare de la primirea avizului de securitate din partea autorităților desemnate de securitate, ORNISS va elibera autorizația sau certificatul de securitate industrială ori, după caz, va comunica obiectivului industrial refuzul eliberării acestora.

Articolul 231

Obiectivul industrial are obligația de a comunica ORNISS toate modificările survenite privind datele de securitate incluse în chestionarul completat, pe întreaga durată de valabilitate a autorizației sau certificatului de securitate industrială.

Articolul 232

Termenele pentru eliberarea autorizației sau certificatului de securitate industrială sunt:

a) pentru autorizația de securitate industrială - 60 de zile lucrătoare;

b) pentru certificat de securitate industrială de nivel secret - 90 de zile lucrătoare;

c) pentru certificat de securitate industrială de nivel strict secret - 120 de zile lucrătoare;

d) pentru certificat de securitate industrială de nivel strict secret de importanță deosebită - 180 de zile lucrătoare.

Articolul 233

(1) Autorizația de securitate are valabilitate până la încheierea contractului sau până la retragerea de la negocieri.

(2) Dacă în perioada menționată la alin. (1) contractul clasificat care a făcut obiectul negocierilor este adjudecat, contractantul este obligat să solicite la ORNISS eliberarea certificatului de securitate industrială.

(3) Termenul de valabilitate al certificatului de securitate industrială este determinat de perioada derulării contractului clasificat, dar nu mai mult de 3 ani, după care contractantul este obligat să solicite revalidarea acestuia.

Articolul 234

În situația în care ORNISS decide retragerea autorizației sau certificatului de securitate industrială va înștiința contractantul, contractorul și autoritatea desemnată de securitate competentă.

Articolul 235

Autorizația sau certificatul de securitate industrială se retrage de ORNISS în următoarele cazuri:

a) la solicitarea obiectivului industrial;

b) la propunerea motivată a autorității desemnate de securitate competente;

c) la expirarea termenului de valabilitate;

d) la încetarea contractului;

e) la schimbarea nivelului de certificare acordat inițial.

Capitolul 8 PROTECȚIA SURSELOR GENERATOARE DE INFORMAȚII - INFOSEC › Secţiunea 1 Dispoziții generale

Articolul 236

Modalitățile și măsurile de protecție a informațiilor clasificate care se prezintă în format electronic sunt similare celor pe suport de hârtie.

Articolul 237

Termenii specifici, folosiți în prezentul capitol, cu aplicabilitate în domeniul INFOSEC, se definesc după cum urmează:

– INFOSEC - ansamblul măsurilor și structurilor de protecție a informațiilor clasificate care sunt prelucrate, stocate sau transmise prin intermediul sistemelor informatice de comunicații și al altor sisteme electronice, împotriva amenințărilor și a oricăror acțiuni care pot aduce atingere confidențialității, integrității, disponibilității autenticității și nerepudierii informațiilor clasificate precum și afectarea funcționării sistemelor informatice, indiferent dacă acestea apar accidental sau intenționat. Măsurile INFOSEC acoperă securitatea calculatoarelor, a transmisiilor, a emisiilor, securitatea criptografică, precum și depistarea și prevenirea amenințărilor la care sunt expuse informațiile și sistemele;

– informațiile în format electronic - texte, date, imagini, sunete, înregistrate pe dispozitive de stocare sau pe suporturi magnetice, optice, electrice ori transmise sub formă de curenți, tensiuni sau câmp electromagnetic, în eter sau în rețele de comunicații;

– sistemul de prelucrare automată a datelor - SPAD - ansamblul de elemente interdependente în care se includ: echipamentele de calcul, produsele software de bază și aplicative, metodele, procedeele și, dacă este cazul, personalul, organizate astfel încât să asigure îndeplinirea funcțiilor de stocare, prelucrare automată și transmitere a informațiilor în format electronic, și care se află sub coordonarea și controlul unei singure autorități. Un SPAD poate să cuprindă subsisteme, iar unele dintre acestea pot fi ele insele SPAD;

– componentele specifice de securitate ale unui SPAD, necesare asigurării unui nivel corespunzător de protecție pentru informațiile clasificate care urmează a fi stocate sau procesate într-un SPAD, sunt:

– funcții și caracteristici hardware/firmware/software;

– proceduri de operare și moduri de operare;

– proceduri de evidență;

– controlul accesului;

– definirea zonei de operare a SPAD;

– definirea zonei de operare a posturilor de lucru/a terminalelor la distanță;

– restricții impuse de politica de management;

– structuri fizice și dispozitive;

– mijloace de control pentru personal și comunicații;

– rețele de transmisii de date - RTD - ansamblul de elemente interdependente în care se includ: echipamente, programe și dispozitive de comunicație, tehnică de calcul hardware și software, metode și proceduri pentru transmisie și recepție de date și controlul rețelei, precum și, dacă este cazul, personalul aferent. Toate acestea sunt organizate astfel încât să asigure îndeplinirea funcțiilor de transmisie a informațiilor în format electronic între două sau mai multe SPAD sau să permită interconectarea cu alte RTD-uri. O RTD poate utiliza serviciile unuia sau mai multor sisteme de comunicații; mai multe RTD pot utiliza serviciile unuia și aceluiași sistem de comunicații.

Caracteristicile de securitate ale unei RTD cuprind: caracteristicile de securitate ale sistemelor SPAD individuale conectate, împreună cu toate componentele și facilitatile asociate retelei - facilități de comunicatii ale retelei, mecanisme și proceduri de identificare și etichetare, controlul accesului, programe și proceduri de control și revizie - necesare pentru a asigura un nivel corespunzător de protecție pentru informațiile clasificate, care sunt transmise prin intermediul RTD;

– RTD locală - rețea de transmisii de date care interconectează mai multe computere sau echipamente de rețea, situate în același perimetru;

– sistemul informatic și de comunicații - SIC - ansamblu informatic prin intermediul căruia se stochează, se procesează și se transmit informații în format electronic, alcătuit din cel puțin un SPAD, izolat sau conectat la o RTD. Poate avea o configurație complexă, formată din mai multe SPAD-uri și/sau RTD-uri interconectate;

– securitatea SPAD, RTD și SIC - aplicarea măsurilor de securitate la SPAD și RTD - SIC cu scopul de a preveni sau împiedica extragerea sau modificarea informațiilor clasificate stocate, procesate, transmise prin intermediul acestora - prin interceptare, alterare, distrugere, accesare neautorizată cu mijloace electronice, precum și invalidarea de servicii sau funcții, prin mijloace specifice;

– confidențialitatea - asigurarea accesului la informații clasificate numai pe baza certificatului de securitate al persoanei, în acord cu nivelul de secretizare a informației accesate și a permisiunii rezultate din aplicarea principiului nevoii de a cunoaște;

– integritatea - interdicția modificării - prin ștergere sau adăugare - ori a distrugerii în mod neautorizat a informațiilor clasificate;

– disponibilitatea asigurarea condițiilor necesare regăsirii și folosirii cu ușurință, ori de câte ori este nevoie, cu respectarea strictă a condițiilor de confidențialitate și integritate a informațiilor clasificate;

– autenticitatea - asigurarea posibilității de verificare a identității pe care un utilizator de SPAD sau RTD pretinde că o are;

– nerepudierea - măsura prin care se asigură faptul că, după emiterea/recepționarea unei informații într-un sistem de comunicații securizat, expeditorul/destinatarul nu poate nega, în mod fals, că a expediat/primit informații;

– risc de securitate - probabilitatea ca o amenințare sau o vulnerabilitate ale SPAD sau RTD - SIC să se materializeze în mod efectiv;

– managementul de risc - are ca scop identificarea, controlul și minimizarea riscurilor de securitate și este o activitate continuă de stabilire și menținere a unui nivel de securitate în domeniul tehnologiei informației și comunicațiilor - TIC - într-o unitate, în sensul că, pornind de la analiza de risc, identifică și evaluează amenințările și vulnerabilitățile și propune aplicarea măsurilor adecvate de contracarare, proiectate la un preț de cost corelat cu consecințele care ar decurge din divulgarea, modificarea sau ștergerea informațiilor care trebuie protejate;

– regula celor doi - obligativitatea colaborării a două persoane pentru îndeplinirea unei activități specifice;

– produs informatic de securitate - componenta de securitate care se incorporeaza într-un SPAD sau RTD - SIC și care servește la sporirea sau asigurarea confidențialității, integrității, disponibilității, autenticității și nerepudierii informațiilor stocate, procesate sau transmise;

– securitatea calculatoarelor - COMPUSEC - aplicarea la nivelul fiecărui calculator a facilităților de securitate hardware, software și firmware, pentru a preveni divulgarea, manevrarea, modificarea sau ștergerea neautorizată a informațiilor clasificate ori invalidarea neautorizată a unor funcții;

– securitatea comunicațiilor - COMSEC - aplicarea măsurilor de securitate în telecomunicații, cu scopul de a proteja mesajele dintr-un sistem de telecomunicații, care ar putea fi interceptate, studiate, analizate și, prin reconstituire, pot conduce la dezvăluiri de informații clasificate.

COMSEC reprezintă ansamblul de proceduri, incluzând :

a) măsuri de securitate a transmisiilor;

b) măsuri de securitate împotriva radiațiilor - TEMPEST;

c) măsuri de acoperire criptologică;

d) măsuri de securitate fizică, procedurală, de personal și a documentelor;

e) măsuri COMPUSEC;

– TEMPEST - ansamblul măsurilor de testare și de realizare a securității împotriva scurgerii de informații, prin intermediul emisiilor electromagnetice parazite;

– evaluarea - examinarea detaliată, din punct de vedere tehnic și funcțional, a aspectelor de securitate ale SPAD și RTD - SIC sau a produselor de securitate, de către o autoritate abilitată în acest sens.

Prin procesul de evaluare se verifică:

a) prezența facilităților/funcțiilor de securitate cerute;

b) absența efectelor secundare compromițătoare care ar putea decurge din implementarea facilităților de securitate;

c) funcționalitatea globală a sistemului de securitate;

d) satisfacerea cerințelor de securitate specifice pentru un SPAD și RTD - SIC;

e) stabilirea nivelului de încredere al SPAD sau RTD - SIC ori al produselor informatice de securitate implementate;

f) existența performanțelor de securitate ale produselor informatice de securitate instalate în SPAD sau RTD-SIC;

– certificarea - emiterea unui document de constatare, la care se atașează unul de analiză, în care sunt prezentate modul în care a decurs evaluarea și rezultatele acesteia, în documentul de constatare se menționează măsurile în care SPAD și RTD - SIC satisfac cerințele de securitate, precum și măsura în care produsele informatice de securitate răspund exigențelor referitoare la protecția informațiilor clasificate în format electronic;

– acreditarea - etapa de acordare a autorizării și aprobării unui SPAD sau RTD - SIC de a prelucra informații clasificate, în spațiul/mediul operațional propriu.

Etapa de acreditare trebuie să se desfășoare după ce s-au implementat toate procedurile de securitate și după ce s-a atins un nivel suficient de protecție a resurselor de sistem. Acreditarea se face, în principal, pe baza CSS și include următoarele:

a) nota justificativă despre obiectivul acreditării sistemului, nivelul/nivelurile de clasificare a informațiilor care urmează să fie procesate și vehiculate; modul/modurile de operare protejată propuse;

b) nota justificativă despre managementul riscurilor - modul de tratare, gestionare și rezolvare a riscurilor - în care se specifică pericolele și punctele vulnerabile, precum și măsurile adecvate de contracarare a acestora;

c) o descriere detaliată a facilităților de securitate și a procedurilor propuse, destinate SPAD sau RTD - SIC. Această descriere va reprezenta elementul esențial pentru finalizarea procesului de acreditare;

d) planul de implementare și întreținere a caracteristicilor de securitate;

e) planul de desfășurare a etapelor de testare, evaluare și certificare a securității SPAD sau RTD - SIC;

f) certificatul și, acolo unde este necesar, elemente de acreditare suplimentare;

– zona SPAD - reprezintă o zonă de lucru în care se gasesc și operează unul sau mai multe calculatoare, unități periferice locale și de stocare, mijloace de control și echipament specific de rețea și de comunicații. Zona SPAD nu include zona în care sunt amplasate terminale, echipamente periferice sau stații de lucru la distanță, chiar dacă aceste echipamente sunt conectate la echipamentul central de calcul din zona SPAD;

– zonă terminal/stație de lucru la distanță - reprezintă o zonă, separată de zona SPAD, în care se găsesc :

a) elemente de tehnică de calcul;

b) echipamentele periferice locale, terminale sau stații de lucru la distanță, conectate la echipamentele din zona SPAD;

c) echipamente de comunicații;

– amenințarea - posibilitatea de compromitere accidentală sau deliberată a securității SPAD sau RTD -SIC, prin pierderea confidențialității, a integrității sau disponibilității informațiilor în format electronic sau prin afectarea funcțiilor care asigură autenticitatea și nerepudierea informațiilor;

– vulnerabilitatea - slăbiciune sau lipsă de control care ar putea permite sau facilita o manevră tehnică, procedurală sau operațională, prin care se amenință o valoare sau țintă specifică.

Articolul 238

Abrevierile utilizate în prezentul capitol semnifică:

a) CSTIC - componenta de securitate pentru tehnologia informației și comunicațiilor instituită în unitățile deținătoare de informații clasificate;

b) TIC - tehnologia informației și comunicațiilor;

c) CSS - cerințele de securitate specifice.

Articolul 239

(1) Informațiile care se prezintă în format electronic pot fi:

a) stocate și procesate în cadrul SPAD sau transmise prin intermediul RTD;

b) stocate și transportate prin intermediul suporturilor de memorie, dispozitivelor electronice - cipuri de memorie, hârtie perforată sau alte suporturi specifice.

(2) Încărcarea informațiilor pe mediile prevăzute în alin. (1) lit. b, precum și interpretarea lor pentru a deveni inteligibile, se face cu ajutorul echipamentelor electronice specializate.

Articolul 240

(1) Sistemele SPAD și RTD - SIC au dreptul să stocheze, să proceseze sau să transmită informații clasificate, numai dacă sunt autorizate potrivit prezentei hotărâri.

(2) În vederea autorizării SPAD și RTD - SIC unitățile vor întocmi, cu aprobarea organelor lor de conducere, strategia proprie de securitate, în baza căreia vor implementa sisteme proprii de securitate, care vor include utilizarea de produse specifice tehnologiei informației și comunicațiilor, personal instruit și măsuri de protecție a informației, incluzând controlul accesului la sistemele și serviciile informatice și de comunicatii, pe baza principiului necesității de a cunoaște și al nivelului de secretizare atribuit.

(3) SPAD și RTD - SIC vor fi supuse procesului de acreditare, urmat de evaluări periodice, în vederea menținerii acreditării.

Articolul 241

(1) Aplicarea reglementărilor în vigoare referitoare la protecția informațiilor clasificate în format electronic funcționează unitar la nivel național. Sistemul de emitere și implementare a măsurilor de securitate adresate protecției informațiilor clasificate care sunt stocate, procesate sau transmise de SPAD sau RTD - SIC, precum și controlul modului de implementare a măsurilor de securitate se realizează de către o structură funcțională cu atribuții de reglementare, control și autorizare, care include:

a) o agenție pentru acordarea acreditării de funcționare în regim de securitate;

b) o agenție care elaborează și implementează metode, mijloace și măsuri de securitate;

c) o agenție responsabilă cu protecția criptografică.

(2) Agențiile menționate la alin. (1) sunt subordonate instituției desemnate la nivel național, pentru protecția informațiilor clasificate, ORNISS.

(3) Măsurile de protecție a informațiilor clasificate în format electronic trebuie reactualizate permanent, prin depistare, documentare și gestionare a amenințărilor și vulnerabilităților la adresa informațiilor clasificate și sistemelor care le prelucrează, stochează și transmit.

Articolul 242

Măsurile de securitate INFOSEC vor fi structurate după nivelul de clasificare al informațiilor pe care le protejează și în conformitate cu conținutul acestora.

Articolul 243

Conducatorul unității deținătoare de informații clasificate răspunde de securitatea propriilor informații care sunt stocate, procesate sau transmise în SPAD sau RTD - SIC.

Articolul 244

(1) În fiecare unitate care administrează SPAD și RTD - SIC în care se stochează, se procesează sau se transmit informații clasificate, se va institui o componentă de securitate pentru tehnologia informației și a comunicațiilor - CSTIC, în subordinea structurii/funcționarului de securitate.

(2) În funcție de volumul de activitate și dacă cerințele de securitate permit, atribuțiile CSTIC pot fi îndeplinite numai de către funcționarul de securitate TIC sau pot fi preluate, în totalitate, de către structura/funcționarul de securitate din unitate.

(3) CSTIC îndeplinește atribuții privind:

a) implementarea metodelor, mijloacelor și măsurilor necesare protecției informațiilor în format electronic;

b) exploatarea operațonală a SPAD și RTD - SIC în condiții de securitate;

c) coordonarea cooperării dintre unitatea deținătoare a SPAD sau RTD - SIC și autoritatea care asigură acreditarea;

d) implementarea măsurilor de securitate și protecția criptografică ale SPAD sau RTD - SIC.

(4) CSTIC reprezintă punctul de contact al agențiilor competente cu unitățile care dețin în administrare SPAD sau RTD - SIC și, după caz, poate fi investită, temporar, de către aceste agenții, cu unele dintre atribuțiile lor.

(5) Propunerile pe linie de securitate avansate de către CSTIC devin operaționale numai după ce au fost aprobate de către conducerea unității care deține în administrare respectivul SPAD sau RTD - SIC.

Articolul 245

CSTIC se instituie la nivelul fiecărei SPAD și RTD - SIC și reprezintă persoana sau compartimentul cu responsabilitatea delegată de către agenția de securitate pentru informatică și comunicații de a implementa metodele, mijloacele și măsurile de securitate și de a exploata SPAD și RTD - SIC în condiții de securitate.

Articolul 246

CSTIC este condusă de către funcționarul de securitate TIC și are în compunere administratorii de securitate și, după caz, și alti specialiști din SPAD sau RTD - SIC. Toata structura CSTIC face parte din personalul unității care administrează SPAD sau RTD - SIC.

Articolul 247

Exercitarea atribuțiilor CSTIC trebuie să cuprindă întregul ciclu de viață al SPAD sau RTD - SIC, începând cu proiectarea, continuând cu elaborarea specificațiilor, testarea instalării, acreditarea, testarea periodică în vederea reacreditării, exploatarea operațională, modificarea și încheind cu scoaterea din uz. În anumite situații, rolul CSTIC poate fi preluat de către alte componente ale unității, în decursul ciclului de viață.

Articolul 248

CSTIC mijlocește cooperarea dintre conducerea unității căreia îi aparține SPAD sau RTD - SIC și agenția pentru acreditare de securitate, atunci când unitatea:

a) planifică dezvoltarea sau achiziția de SPAD sau RTD;

b) propune schimbări ale unei configurații de sistem existente;

c) propune conectarea unui SPAD sau a unei RTD - SIC cu un alt SPAD sau RTD - SIC;

d) propune schimbări ale modului de operare de securitate ale SPAD sau RTD - SIC;

e) propune schimbări în programele existente sau utilizarea de noi programe, pentru optimizarea securității SPAD sau RTD - SIC;

f) inițiază proceduri de modificare a nivelului de clasificare a SPAD și RTD - SIC care au fost deja acreditate;

g) planifică sau propune intreprinderea oricărei alte activități referitoare la îmbunătățirea securității SPAD sau RTD - SIC deja acreditate.

Articolul 249

CSTIC, cu aprobarea autorității de acreditare de securitate, stabilesște standardele și procedurile de securitate care trebuie respectate de către furnizorii de echipamente, pe parcursul dezvoltării, instalarii și testării SPAD și RTD - SIC și răspunde pentru justificarea, selecția, implementarea și controlul componentelor de securitate, care constituie parte a SPAD și RTD - SIC.

Articolul 250

CSTIC stabilește, pentru structurile de securitate și management ale SPAD și RTD - SIC, încă de la înființare, responsabilitățile pe care le vor exercita pe tot ciclul de viață al SPAD și RTD - SIC respective.

Articolul 251

Activitatea INFOSEC din SPAD și RTD - SIC, desfășurată de către CSTIC, trebuie condusă și coordonată de persoane care dețin certificat de securitate corespunzător, cu pregătire de specialitate în domeniul sistemelor TIC precum și al securității acestora, obtinută în instituții de învățământ acreditate INFOSEC, sau care au lucrat în domeniu cel puțin 5 ani.

Articolul 252

Protecția SPAD și RTD - SIC din compunerea sistemelor de armament și de detecție va fi definită în contextul general al sistemelor din care acestea fac parte și va fi realizata prin aplicarea prevederilor prezentelor standarde.

Capitolul 8 PROTECȚIA SURSELOR GENERATOARE DE INFORMAȚII - INFOSEC › Secţiunea a 2-a Structuri organizatorice cu atribuții specifice în domeniul INFOSEC

Articolul 253

Agenția de acreditare de securitate este subordonată instituției desemnate la nivel național pentru protecția informațiilor clasificate, are reprezentanți delegați din cadrul ADS implicate, în funcție de SPAD și RTD - SIC care trebuie acreditate, și îndeplinește următoarele atribuții principale:

a) asigură, la nivel național, acreditarea de securitate și reacreditarea SPAD și RTD - SIC care stochează, procesează sau transmit informații clasificate, în funcție de nivelul de clasificare a acestora;

b) asigură evaluarea și certificarea sistemelor SPAD și RTD - SIC sau a unor elemente componente ale acestora;

c) stabilește criteriile de acreditare de securitate pentru SPAD și RTD - SIC.

Articolul 254

Agenția de acreditare de securitate își exercită atribuțiile în domeniul INFOSEC în numele instituției desemnate la nivel național pentru protecția informațiilor clasificate și are responsabilitatea de a impune standarde de securitate în acest domeniu.

Articolul 255

Agenția de securitate pentru informatică și comunicații este structura subordonată instituției desemnate la nivel național pentru protecția informațiilor electronice clasificate, având reprezentanți delegați din cadrul ADS implicate care acționează la nivel național.

Articolul 256

Agentia este responsabilă de conceperea și implementarea mijloacelor, metodelor și masurilor de protecție a informațiilor clasificate care sunt stocate, procesate sau transmise prin intermediul SPAD și RTD - SIC și are, în principal, următoarele atribuții:

a) coordonează activitățile de protecție a informațiilor clasificate care sunt stocate, procesate sau transmise prin intermediul SPAD și RTD - SIC;

b) elaborează și promovează reglementări și standarde specifice;

c) analizeaza cauzele incidentelor de securitate și gestionează baza de date privind amenințările și vulnerabilitatile din sistemele de comunicație și informatice, necesare pentru elaborarea managementul de risc;

d) semnalează agenției de acreditare de securitate incidentele de securitate în domeniu;

e) integrează măsurile privind protecția fizică, de personal, a documentelor administrative, COMPUSEC, COMSEC, TEMPEST și criptografică;

f) execută inspecții periodice asupra SPAD și RTD - SIC în vederea reacreditării;

g) supune certificării și autorizării sistemele de securitate specifice SPAD și RTD - SIC.

Articolul 257

Pentru îndeplinirea atribuțiilor sale, agenția de securitate pentru informatică și comunicații cooperează cu agenția de acreditare de securitate, cu agenția de protecție criptografică și cu alte structuri cu atribuții în domeniu.

Articolul 258

Agentia de protecție criptografica se organizeaza la nivel național, este subordonata institutiei desemnate la nivel național pentru protectia informațiilor clasificate și are urmatoarele atribuții principale:

a) asigură managementul materialelor și echipamentelor criptografice;

b) realizează distribuirea materialelor și echipamentelor criptografice;

c) raportează instituției desemnate la nivel național pentru protectia informațiilor clasificate incidentele de securitate cu care s-a confruntat;

d) cooperează cu agenția de acreditare de securitate, cu agenția de concepere și implementare a metodelor, mijloacelor și măsurilor de securitate și cu alte structuri cu atribuții în domeniu.

Capitolul 8 PROTECȚIA SURSELOR GENERATOARE DE INFORMAȚII - INFOSEC › Secţiunea a 3-a Măsuri, cerințe și moduri de operare

Articolul 259

(1) Măsurile de protecție a informațiilor clasificate în format electronic se aplică sistemelor SPAD și RTD - SIC care stochează, procesează sau transmit asemenea informații.

(2) Unitățile deținătoare de informații clasificate au obligația de a stabili și implementa un ansamblu de măsuri de securitate a sistemelor SPAD și RTD - SIC - fizice, de personal, administrative, de tip TEMPEST și criptografic.

Articolul 260

Măsurile de securitate destinate protecției SPAD și RTD - SIC trebuie să asigure controlul accesului pentru prevenirea sau detectarea divulgării neautorizate a informațiilor. Procesul de certificare și acreditare va stabili dacă aceste măsuri sunt corespunzătoare.

Articolul 261

(1) Cerințele de securitate specifice - CSS se constituie într-un document încheiat între agenția de acreditare de securitate și CSTIC, ce va cuprinde principii și măsuri de securitate care trebuie să stea la baza procesului de certificare și acreditare a SPAD sau RTD - SIC.

(2) CSS se elaborează pentru fiecare SPAD și RTD - SIC care stochează, procesează sau transmite informații clasificate, sunt stabilite de către CSTIC și aprobate de către agenția de acreditare de securitate.

Articolul 262

CSS vor fi formulate încă din faza de proiectare a SPAD sau RTD - SIC și vor fi dezvoltate pe tot ciclul de viață al sistemului.

Articolul 263

CSS au la bază standardele naționale de protecție, parametrii esențiali ai mediului operațional, nivelul minim de autorizare a personalului, nivelul de clasificare a informațiilor gestionate și modul de operare a sistemului care urmează să fie acreditat.

Articolul 264

SPAD și RTD - SIC care stochează, procesează sau transmit informații clasificate vor fi certificate și acreditate să opereze, pe anumite perioade de timp, în unul din următoarele moduri de operare:

a) dedicat;

b) de nivel înalt;

c) multi-nivel.

Articolul 265

(1) În modul de operare dedicat, toate persoanele cu drept de acces la SPAD sau la RTD trebuie să aibă certificat de securitate pentru cel mai înalt nivel de clasificare a informațiilor stocate, procesate sau transmise prin aceste sisteme. Necesitatea de a cunoaște pentru aceste persoane se stabilește cu privire la toate informațiile stocate, procesate sau transmise în cadrul SPAD sau RTD - SIC.

(2) În acest mod de operare, principiul necesității de a cunoaște nu impune o separare a informațiilor în cadrul SPAD sau RTD, ca mijloc de securitate a SIC. Celelalte măsuri de protecție prevăzute vor asigura îndeplinirea cerințelor impuse de cel mai înalt nivel de clasificare a informațiilor gestionate și de toate categoriile de informații cu destinație specială stocate, procesate sau transmise în cadrul SPAD sau RTD.

Articolul 266

(1) În modul de operare de nivel înalt, toate persoanele cu drept de acces la SPAD sau la RTD - SIC trebuie să aibă certificat de securitate pentru cel mai înalt nivel de clasificare a informațiilor stocate, procesate sau transmise în cadrul SPAD sau RTD - SIC, iar accesul la informații se va face diferențiat, conform principiului necesității de a cunoaște.

(2) Pentru a asigura accesul diferențiat la informații, conform principiului necesității de a cunoaște, se instituie facilități de securitate care să asigure un acces selectiv la informații în cadrul SPAD sau RTD - SIC.

(3) Celelalte măsuri de protecție vor satisface cerințele pentru cel mai înalt nivel de clasificare și pentru toate categoriile de informații cu destinație specială stocate, procesate, transmise în cadrul SPAD sau RTD - SIC.

(4) Toate informațiile stocate, procesate sau vehiculate în cadrul unui SPAD sau RTD - SIC în acest mod de operare vor fi protejate ca informații cu destinație specială, având cel mai înalt nivel de clasificare care a fost constatat în mulțimea informațiilor stocate, procesate sau vehiculate prin sistem.

Articolul 267

(1) În modul de operare multi-nivel, accesul la informațiile clasificate se face diferențiat, potrivit principiului necesității de a cunoaște, conform următoarelor reguli:

a) nu toate persoanele cu drept de acces la SPAD sau RTD - SIC au certificat de securitate pentru acces la informații de cel mai înalt nivel de clasificare care sunt stocate, procesate sau transmise prin aceste sisteme;

b) nu toate persoanele cu acces la SPAD sau RTD - SIC au acces la toate informațiile stocate, procesate sau transmise prin aceste sisteme.

(2) Aplicarea regulilor prevăzute la alin. (1) impune instituirea, în compensatie, a unor facilități de securitate care să asigure un mod selectiv, individual, de acces la informațiile clasificate din cadrul SPAD sau RTD - SIC.

Articolul 268

(1) Securitatea SPAD a rețelei și a obiectivului SIC se asigură prin funcțiile de administrator de securitate.

(2) Administratorii de securitate sunt:

a) administratorul de securitate al SPAD;

b) administratorul de securitate al rețelei;

c) administratorul de securitate al obiectivului SIC.

(3) Funcțiile de administratori de securitate trebuie să asigure îndeplinirea atribuțiilor CSTIC. Dacă este cazul, aceste funcții pot fi cumulate de către un singur specialist.

Articolul 269

(1) CSTIC desemnează un administrator de securitate al SPAD responsabil cu supervizarea dezvoltării, implementării și administrării măsurilor de securitate dintr-un SPAD, inclusiv participarea la elaborarea procedurilor operaționale de securitate.

(2) La recomandarea autorității de acreditare de securitate, CSTIC poate desemna structuri de administrare ale SPAD care îndeplinesc aceleași atribuții.

Articolul 270

Administratorul de securitate al rețelei este desemnat de CSTIC pentru un SIC de mari dimensiuni sau în cazul interconectării mai multor SPAD și îndeplinește atribuții privind managementul securității comunicațiilor.

Articolul 271

(1) Administratorul de securitate al obiectivului SIC este desemnat de CSTIC sau de autoritatea de securitate competentă și răspunde de asigurarea implementării și menținerea măsurilor de securitate aplicabile obiectivului SIC respectiv.

(2) Responsabilitățile unui administrator de securitate al obiectivului SIC pot fi îndeplinite de către structura/funcționarul de securitate al unității, ca parte a îndatoririlor sale profesionale.

(3) Obiectivul SIC reprezintă un amplasament specific sau un grup de amplasamente în care funcționează un SPAD și/sau RTD. Responsabilitatile și măsurile de securitate pentru fiecare zonă de amplasare a unui terminal/stație de lucru care funcționează la distanță trebuie explicit determinate.

Articolul 272

(1) Toți utilizatorii de SPAD sau RTD - SIC poartă responsabilitatea în ce privește securitatea acestor sisteme - raportate, în principal, la drepturile acordate și sunt îndrumați de către administratorii de securitate.

(2) Utilizatorii vor fi autorizați pentru clasa și nivelul de secretizare a informațiilor clasificate stocate, procesate sau transmise în SPAD sau RTD - SIC. La acordarea accesului la informații, individual, se va urmări respectarea principiului necesității de a cunoaște.

(3) Informarea și conștientizarea utilizatorilor asupra îndatoririlor lor de securitate trebuie să asigure o eficacitate sporită a sistemului de securitate.

Articolul 273

Vizitatorii trebuie să aibă autorizare de securitate de nivel corespunzător și sa îndeplinească principiul necesității de a cunoaște, în situația în care accesul unui vizitator fără autorizare de securitate este considerat necesar, vor fi luate măsuri de securitate suplimentare pentru ca acesta să nu poată avea acces la informațiile clasificate.

Capitolul 8 PROTECȚIA SURSELOR GENERATOARE DE INFORMAȚII - INFOSEC › Secţiunea a 4-a Componentele INFOSEC

Articolul 274

(1) Utilizatorii SPAD și RTD - SIC sunt autorizați și li se permite accesul la informații clasificate pe baza principiului necesității de a cunoaște și în funcție de nivelul de clasificare a informațiilor stocate, procesate sau transmise prin aceste sisteme.

(2) Unitățile deținătoare de informații clasificate în format electronic au obligația de a institui măsuri speciale pentru instruirea și supravegherea personalului, inclusiv a personalului de proiectare de sistem care are acces la SPAD și RTD, în vederea prevenirii și înlăturării vulnerabilităților față de accesarea neautorizată.

Articolul 275

În proiectarea SPAD și RTD - SIC trebuie să se aibă în vedere ca atribuirea sarcinilor și răspunderilor personalului să se faca în așa fel încât să nu existe o persoană care să aibă cunoștință sau acces la toate programele și cheile de securitate - parole, mijloace de identificare personală.

Articolul 276

Procedurile de lucru ale personalului din SPAD și RTD - SIC trebuie să asigure separarea între operațiunile de programare și cele de exploatare a sistemului sau rețelei. Este interzis, cu excepția unor situații speciale, ca personalul să facă atât programarea, cât și operarea sistemelor sau rețelelor și trebuie instituite proceduri speciale pentru depistarea acestor situații.

Articolul 277

Pentru orice fel de modificare aplicată unui sistem SPAD sau RTD - SIC este obligatorie colaborarea a cel puțin două persoane - regula celor doi. Procedurile de securitate vor menționa explicit situațiile în care regula celor doi trebuie aplicată.

Articolul 278

Pentru a asigura implementarea corectă a măsurilor de securitate, personalul SPAD și RTD - SIC și personalul care răspunde de securitatea acestora trebuie să fie instruit și informat astfel încât să își cunoască reciproc atribuțiile.

Articolul 279

Zonele în care sunt amplasate SPAD și/sau RTD - SIC și cele cu terminale la distanță, în care sunt prezentate, stocate, procesate sau transmise informații clasificate ori în care este posibil accesul potențial la astfel de informații, se declară zone de securitate clasa I sau clasa II ale obiectivului și se supun măsurilor de protecție fizică stabilite prin prezentele standarde.

Articolul 280

În zonele în care sunt amplasate sisteme SPAD și terminale la distanță - stații de lucru, unde se procesează și/sau pot fi accesate informații clasificate, se aplică următoarele măsuri generale de securitate:

a) intrarea personalului și a materialelor, precum și plecarea în/din aceste zone sunt controlate prin mijloace bine stabilite;

b) zonele și locurile în care securitatea SPAD sau RID - SIC sau a terminalelor la distanță poate fi modificată nu trebuie să fie niciodată ocupate de un singur angajat autorizat;

c) persoanelor care solicită acces temporar sau cu intermitențe în aceste zone trebuie să li se autorizeze accesul, ca vizitatori, de către responsabilul pe probleme de securitate al zonei, desemnat de către administratorul de securitate al obiectivului SIC. Vizitatorii vor fi însoțiți permanent, pentru a avea garanția că nu pot avea acces la informații clasificate și nici la echipamentele utilizate.

Articolul 281

În funcție de riscul de securitate și de nivelul de secretizare al informațiilor stocate, procesate și transmise, se impune cerința de aplicare a regulii de lucru cu două persoane și în alte zone, ce vor fi stabilite în stadiul inițial al proiectului și prezentate în cadrul CSS.

Articolul 282

Când un SPAD este exploatat în mod autonom, deconectat în mod permanent de alte SPAD, ținând cont de condițiile specifice, de alte măsuri de securitate, tehnice sau procedurale și de rolul pe care îl are respectivul SPAD în funcționarea de ansamblu a sistemului, agenția de acreditare de securitate trebuie să stabilească măsuri specifice de protecție, adaptate la structura acestui SPAD, conform nivelului de clasificare a informațiilor gestionate.

Articolul 283

Toate informațiile și materialele care privesc accesul la un SPAD sau RTD - SIC sunt controlate și protejate prin reglementări corespunzătoare nivelului de clasificare cel mai înalt și specificului informațiilor la care respectivul SPAD sau RTD - SIC permite accesul.

Articolul 284

Când nu mai sunt utilizate, informațiile și materialele de control specificate la articolul precedent trebuie să fie distruse conform prevederilor prezentelor standarde.

Articolul 285

Informațiile clasificate în format electronic trebuie să fie controlate conform regulilor INFOSEC, înainte de a fi transmise din zonele SPAD și RTD - SIC sau din cele cu terminale la distanță.

Articolul 286

Modul în care este prezentată informația în clar, chiar dacă se utilizează codul prescurtat de transmisie sau reprezentarea binară ori alte forme de transmitere la distanță, nu trebuie să influențeze nivelul de clasificare acordat informațiilor respective.

Articolul 287

Când informațiile sunt transferate între diverse SPAD sau RTD - SIC, ele trebuie să fie protejate atât în timpul transferului, cât și la nivelul sistemelor informatice ale beneficiarului, corespunzător cu nivelul de clasificare al informațiilor transmise.

Articolul 288

Toate mediile de stocare a informațiilor se păstrează într-o modalitate care să corespundă celui mai înalt nivel de clasificare a informațiilor stocate sau suporților, fiind protejate permanent.

Articolul 289

Copierea informațiilor clasificate situate pe medii de stocare specifice TIC se execută în conformitate cu prevederile din procedurile operaționale de securitate.

Articolul 290

Mediile refolosibile de stocare a informațiilor utilizate pentru înregistrarea informațiilor clasificate își mențin cea mai înaltă clasificare pentru care au fost utilizate anterior, până când respectivelor informații li se reduce nivelul de clasificare sau sunt declasificate, moment în care mediile susmenționate se reclasifică în mod corespunzător sau sunt distruse în conformitate cu prevederile procedurilor operaționale de securitate.

Articolul 291

(1) Evidența automată a accesului la informațiile clasificate în format electronic se ține în registrele de acces și trebuie realizată necondiționat prin software.

(2) Registrele de acces se păstrează pe o perioadă stabilită de comun acord între agenția de acreditare de securitate și CSTIC.

(3) Perioada minimă de păstrare a registrelor de acces la informațiile strict secrete de importanță deosebită este de 10 ani, iar a registrelor de acces la informațiile strict secrete și secrete, de cel puțin 3 ani.

Articolul 292

(1) Mediile de stocare care conțin informații clasificate utilizate în interiorul unei zone SPAD pot fi manipulate ca unic material clasificat, cu condiția ca materialul să fie identificat, marcat cu nivelul său de clasificare și controlat în interiorul zonei SPAD, până în momentul în care este distrus, redus la o copie de arhivă sau pus într-un dosar permanent.

(2) Evidențele acestora vor fi menținute în cadrul zonei SPAD până când sunt supuse controlului sau distruse, conform prezentelor standarde.

Articolul 293

În cazul în care un mediu de stocare este generat într-un SPAD sau RTD - SIC, iar apoi este transmis într-o zonă cu terminal/stație de lucru la distanță, se stabilesc proceduri adecvate de securitate, aprobate de către agenția de acreditare de securitate. Procedurile trebuie să cuprindă și instrucțiuni specifice privind evidența informațiilor în format electronic.

Articolul 294

(1) Toate mediile de stocare secrete de stat se identifică și se controlează în mod corespunzător nivelului de secretizare.

(2) Pentru informațiile neclasificate sau secrete de serviciu se aplică regulamente de securitate interne.

(3) Identificarea și controalele trebuie să asigure următoarele cerințe:

a) Pentru nivelul secret:

– un mijloc de identificare - număr de serie și marcajul nivelului de clasificare - pentru fiecare astfel de mediu, în mod separat;

– proceduri bine definite pentru emiterea, primirea, retragerea, distrugerea sau păstrarea mediilor de stocare;

– evidențele manuale sau tipărite la imprimantă, indicând conținutul și nivelul de secretizare a informațiilor înregistrate pe mediile de stocare.

b) Pentru nivelul strict secret și strict secret de importanță deosebită, informațiile detaliate asupra mediului de stocare, incluzând conținutul și nivelul de clasificare, se țin într-un registru adecvat.

Articolul 295

Controlul punctual și de ansamblu al mediilor de stocare, pentru a asigura compatibilitatea cu procedurile de identificare și control în vigoare, trebuie să asigure îndeplinirea următoarelor cerințe:

a) pentru nivelul secret - controalele punctuale ale prezentei fizice și continutului mediilor de stocare se efectueaza periodic, verificandu-se dacă acele medii de stocare nu conțin informații cu un nivel de clasificare superior;

b) pentru nivelul strict secret - toate mediile de stocare se inventariaza periodic, controland punctual prezenta lor fizica și conținutul, pentru a verifica dacă pe acele medii nu sunt stocate informații cu un nivel de clasificare superior;

c) pentru nivelul strict secret de importanța deosebită, toate mediile se verifica periodic, cel puțin anual și se controlează punctual, în legătură cu prezenta fizica și conținutul lor.

Articolul 296

Informațiile clasificate înregistrate pe medii de stocare refolosibile se șterg doar în conformitate cu procedurile operaționale de securitate.

Articolul 297

(1) Când un mediu de stocare urmează sa iasă din uz, trebuie să fie declasificat suprimându-se orice marcaje de clasificare, ulterior putând fi utilizat ca mediu de stocare nesecret. Dacă acesta nu poate fi declasificat, trebuie distrus printr-o procedură aprobată.

(2) Sunt interzise declasificarea și refolosirea mediilor de stocare care conțin informații strict secrete de importanță deosebită, acestea putând fi numai distruse, în conformitate cu procedurile operaționale de securitate.

Articolul 298

Informațiile clasificate în format electronic stocate pe un mediu de unică folosință - cartele, benzi perforate - trebuie distruse conform prevederilor procedurilor operaționale de securitate.

Capitolul 8 PROTECȚIA SURSELOR GENERATOARE DE INFORMAȚII - INFOSEC › Secţiunea a 5-a Reguli generale de securitate TIC

Articolul 299

Toate mijloacele folosite pentru transmiterea electromagnetică a informațiilor clasificate se supun instrucțiunilor de securitate a comunicațiilor emise de către instituția desemnată la nivel național pentru protecția informațiilor clasificate.

Articolul 300

Într-un SPAD - SIC trebuie să se dispună mijloace de interzicere a accesului la informațiile clasificate de la toate terminalele/stațiile de lucru la distanță, atunci când se solicită acest lucru, prin deconectare fizică sau prin proceduri software speciale, aprobate de către autoritatea de acreditare de securitate.