Legea nr. 58/2023
Privind securitatea și apărarea cibernetică a României, precum și pentru modificarea și completarea unor acte normative
52 întrebări cu răspuns Textul integral (de pe Portalul Legislativ)
Rezumat de învățat
Legea nr. 58/2023 stabilește cadrul juridic și instituțional pentru securitatea și apărarea cibernetică a României: cine coordonează, ce autorități sunt competente, cum se notifică incidentele, ce obligații au instituțiile publice și furnizorii de servicii și ce sancțiuni se aplică. Se cere de obicei la concursurile pentru posturi din instituții publice care lucrează cu sisteme informatice (referenți, operatori, informaticieni, personal administrativ).
Esențialul, în două minute
- Legea stabilește cadrul juridic și instituțional al securității și apărării cibernetice, mecanismele de cooperare și responsabilitățile instituțiilor (art. 1).
- Securitatea cibernetică = stare de normalitate care asigură confidențialitatea, integritatea, disponibilitatea, autenticitatea și nonrepudierea informațiilor electronice (art. 2 lit. y).
- Principiul personalității: răspunde de securitatea unui sistem cel care îl deține, organizează, administrează și/sau utilizează (art. 5).
- SNSC e coordonat strategic de CSAT și operațional de COSC, organ consultativ fără personalitate juridică, cu secretariatul tehnic la SRI (art. 7–8).
- Incidentele se notifică prin PNRISC (administrată de DNSC) de îndată, în cel mult 48 de ore; complet în cel mult 5 zile calendaristice (art. 20–21).
- DNSC răspunde de spațiul cibernetic civil, MApN de apărarea cibernetică, MAE de diplomația cibernetică, SRI de cyber intelligence (art. 10–14).
- Instituțiile de la art. 3 fac planuri proprii de acțiune pentru fiecare tip de alertă și asigură formarea personalului propriu (art. 29, 37).
- Amenda: 5.000–50.000 lei; la o nouă contravenție în 6 luni, maximum 200.000 lei; contestare la Curtea de Apel București în 30 de zile (art. 48–49).
Capcane la grilă
- Nu confunda CSAT (coordonare strategică) cu COSC (coordonare operațională) (art. 7).
- Nu confunda 48 de ore (notificarea incidentului) cu 5 zile calendaristice (comunicarea completă, de la notificarea inițială) (art. 21).
- Nu confunda termenele furnizorilor: 48 de ore pentru date despre incidente, 5 zile pentru amenințări, riscuri, vulnerabilități (art. 25).
- Nu confunda 15 zile (comunicarea actului de sancționare) cu 30 de zile (plata amenzii și contestarea) (art. 49).
- Nu confunda cine decide nivelul de alertă: directorul DNSC, nu COSC, care doar avizează sau propune (art. 28).
Cum înveți mai repede: citește o secțiune, răspunde la întrebările de sub ea fără să te uiți în text, apoi bifeaz-o. Secțiunile bifate se strâng; progresul rămâne salvat în browserul tău.
Bifele se țin doar în acest browser. Fă-ți cont gratuit (doar e-mailul sau Google) ca să le ai pe orice dispozitiv.
Obiectul, domeniul de aplicare și principiile (art. 1, 3–5)
- Obiectul: legea stabilește cadrul juridic și instituțional pentru activitățile din securitatea și apărarea cibernetică, mecanismele de cooperare și responsabilitățile instituțiilor art. 1 alin. 1.
- Cum se realizează: prin politici și măsuri pentru cunoașterea, prevenirea și contracararea vulnerabilităților, riscurilor și amenințărilor din spațiul cibernetic art. 1 alin. 2.
- Se aplică rețelelor și sistemelor informatice art. 3 alin. 1:
- lit. a) ale autorităților din apărare, ordine publică, securitate națională, justiție, situații de urgență și ale ORNISS;
- lit. b) ale persoanelor de drept privat care furnizează servicii de comunicații electronice către administrația publică centrală și locală;
- lit. c) ale celorlalte autorități ale administrației publice centrale și locale și ale celor care furnizează servicii publice ori de interes public.
- Apărarea cibernetică: legea stabilește cadrul general pentru rețelele și sistemele informatice specifice apărării naționale art. 3 alin. 2.
- Obiective: reziliența rețelelor care susțin apărarea, securitatea, ordinea publică și guvernarea; desemnarea autorităților competente; coordonarea unitară de către COSC; separarea responsabilităților; o cultură de securitate cibernetică la nivel național art. 4.
- Principiile art. 5:
- personalității – responsabilitatea revine celui care deține, organizează, administrează și/sau utilizează sistemul;
- protecției depline – responsabilul răspunde de managementul riscurilor și de măsurile tehnice și organizaționale;
- minimizării efectelor – la un incident, responsabilul ia măsuri ca efectele să nu se amplifice și să nu se extindă la alte sisteme;
- colaborării, cooperării și coordonării – activitățile se realizează în mod conjugat de persoanele responsabile.
1. Potrivit principiului personalității, cui revine responsabilitatea asigurării securității cibernetice a unui sistem informatic?
Răspuns corect: c) Persoanei fizice sau juridice care îl deține, organizează, administrează și/sau utilizează
„revine persoanei fizice sau juridice care le deține în proprietate, le organizează, administrează și/sau utilizează, după caz” — art. 5 lit. a)
2. Enumerați principiile pe baza cărora se asigură securitatea și apărarea cibernetică potrivit Legii nr. 58/2023.
a) principiul personalității – responsabilitatea revine persoanei care deține, organizează, administrează și/sau utilizează sistemul; b) principiul protecției depline – responsabilul răspunde de managementul riscurilor și de implementarea măsurilor tehnice și organizaționale; c) principiul minimizării efectelor – la un incident, responsabilul ia măsuri de evitare a amplificării efectelor și a extinderii lor la alte sisteme; d) principiul colaborării, cooperării și coordonării – realizarea în mod conjugat a activităților de securitate de către persoanele responsabile.
„principiul minimizării efectelor - în cazul unui incident de securitate cibernetică” — art. 5
Definiții importante (art. 2)
- Securitate cibernetică = starea de normalitate rezultată din măsuri proactive și reactive care asigură confidențialitatea, integritatea, disponibilitatea, autenticitatea și nonrepudierea informațiilor în format electronic art. 2 lit. y.
- Apărare cibernetică = activitățile, mijloacele și măsurile folosite pentru a contracara amenințările cibernetice asupra sistemelor care susțin capabilitățile militare de apărare art. 2 lit. a.
- Spațiu cibernetic = mediul virtual generat de rețelele și sistemele informatice, cu conținutul procesat, stocat sau transmis și acțiunile utilizatorilor art. 2 lit. z.
- Atac cibernetic = acțiune ostilă în spațiul cibernetic de natură să afecteze securitatea cibernetică art. 2 lit. c.
- Incident de securitate cibernetică = eveniment în spațiul cibernetic care perturbă funcționarea uneia sau mai multor rețele și sisteme informatice art. 2 lit. n.
- Vulnerabilitate = slăbiciune în proiectarea, implementarea, dezvoltarea, configurarea și mentenanța rețelelor și sistemelor, care poate fi exploatată de o amenințare art. 2 lit. aa.
- Reziliența = capacitatea unei rețele sau a unui sistem de a rezista unui incident sau atac și de a reveni la starea de normalitate art. 2 lit. w.
- Igienă cibernetică = măsuri de rutină aplicate cu regularitate de persoanele fizice și juridice pentru a reduce expunerea la riscuri art. 2 lit. m.
- Centru operațional de securitate = echipă de experți care monitorizează, analizează și răspunde la incidente art. 2 lit. f.
- Audit de securitate cibernetică = evaluarea sistematică a tuturor politicilor, procedurilor și măsurilor de protecție, pentru identificarea disfuncționalităților și vulnerabilităților și remedierea lor art. 2 lit. d.
- Managementul incidentelor = detectarea, calificarea, raportarea, analiza și răspunsul la incidente art. 2 lit. p.
- Lanț de aprovizionare = circuitul de la producător până la beneficiarul final, inclusiv proiectarea, producția, utilizarea și casarea produselor software sau hardware art. 2 lit. o.
3. Cum definește legea securitatea cibernetică?
Răspuns corect: a) Stare de normalitate rezultată din aplicarea unor măsuri proactive și reactive care asigură confidențialitatea, integritatea, disponibilitatea, autenticitatea și nonrepudierea informațiilor
„stare de normalitate rezultată în urma aplicării unui ansamblu de măsuri proactive și reactive” — art. 2 lit. y)
4. Ce reprezintă „igiena cibernetică” în sensul legii?
Răspuns corect: b) Măsuri de rutină aplicate cu regularitate de persoanele fizice și juridice pentru a reduce expunerea la riscurile amenințărilor cibernetice
„măsuri de rutină aplicate cu regularitate de către persoanele fizice și juridice” — art. 2 lit. m)
5. Ce este „reziliența în spațiul cibernetic”?
Răspuns corect: c) Capacitatea unei rețele sau a unui sistem informatic de a rezista unui incident sau atac cibernetic și de a reveni la starea de normalitate
„capacitatea unei rețele sau a unui sistem informatic de a rezista unui incident sau atac cibernetic” — art. 2 lit. w)
6. Definiți incidentul de securitate cibernetică și atacul cibernetic.
Incidentul de securitate cibernetică este un eveniment survenit în spațiul cibernetic care perturbă funcționarea uneia sau mai multor rețele și sisteme informatice și ale cărui consecințe sunt de natură a afecta securitatea cibernetică. Atacul cibernetic este o acțiune ostilă desfășurată în spațiul cibernetic de natură să afecteze securitatea cibernetică.
„eveniment survenit în spațiul cibernetic care perturbă funcționarea uneia sau mai multor rețele și sisteme informatice” — art. 2 lit. c) și n)
Sistemul național de securitate cibernetică și COSC (art. 6–9)
- SNSC = cadrul general de cooperare care reunește autoritățile competente și alte instituții publice, pentru coordonarea acțiunilor la nivel național art. 6 alin. 1; cooperează cu sectorul privat, mediul academic, asociațiile profesionale și ONG-urile art. 6 alin. 2.
- Coordonare strategică: CSAT; coordonare operațională: COSC art. 7 alin. 1–2.
- Secretariatul tehnic al COSC este asigurat de SRI art. 7 alin. 3.
- COSC = organ consultativ, fără personalitate juridică, în coordonarea CSAT art. 8 alin. 1.
- Membrii COSC: consilierul prezidențial pentru securitate națională, consilierul prim-ministrului pe securitate națională, secretarul CSAT și reprezentanți ai MApN, MAI, MAE, MCID, SRI, SIE, STS, SPP, ORNISS, ANCOM și DNSC art. 8 alin. 1.
- Actele COSC: avize consultative și recomandări, adoptate prin consens art. 8 alin. 2.
- Conducerea: președinte – consilierul prezidențial; vicepreședinte – consilierul prim-ministrului art. 8 alin. 3.
- Invitați: reprezentanți ai altor entități, fără drept de vot art. 8 alin. 4.
- Convocarea se face de președinte, la propunerea oricăruia dintre membri art. 8 alin. 5.
- Atribuții: COSC înaintează CSAT sau DNSC propuneri privind nivelul de alertă, asistența internațională, planuri de acțiune, investiții, linii de mandat și răspunsul la atacuri art. 9 alin. 1; informează CSAT despre avizele privind nivelurile de alertă art. 9 alin. 2.
7. Cine coordonează la nivel strategic activitățile Sistemului național de securitate cibernetică (SNSC)?
Răspuns corect: b) Consiliul Suprem de Apărare a Țării (CSAT)
„Activitățile SNSC sunt coordonate, la nivel strategic, de către Consiliul Suprem de Apărare a Țării” — art. 7 alin. (1)
8. Cine coordonează unitar, la nivel operațional, activitățile SNSC?
Răspuns corect: c) COSC
„Activitățile SNSC sunt coordonate unitar, la nivel operațional, de către COSC.” — art. 7 alin. (2)
9. Ce instituție asigură secretariatul tehnic al COSC?
Răspuns corect: a) Serviciul Român de Informații
„Serviciul Român de Informații, denumit în continuare SRI, asigură secretariatul tehnic al COSC” — art. 7 alin. (3)
10. Ce natură juridică are COSC?
Răspuns corect: b) Organ consultativ, fără personalitate juridică, în coordonarea CSAT
„COSC este un organ consultativ, fără personalitate juridică, în coordonarea CSAT” — art. 8 alin. (1)
Autorități competente și responsabilități (art. 10–19)
- Autorități competente art. 10 alin. 1:
- DNSC – pentru spațiul cibernetic național civil;
- MCID – pentru elaborarea actelor normative și politicilor publice în domeniu;
- ANCOM – pentru rețelele proprii și cele ale furnizorilor de comunicații electronice art. 3 alin. 1 lit. b;
- MApN, MAI, MAE, SRI, SIE, STS, SPP și ORNISS, conform art. 11–18.
- Obligațiile autorităților: planuri de acțiune pentru fiecare nivel de alertă, sprijin la cererea proprietarilor de rețele, informare publică, sesiuni de formare, exerciții naționale, comunicarea reciprocă a datelor art. 10 alin. 2.
- MApN – competent la nivel național în apărarea cibernetică art. 11.
- MAI, prin structura specializată – securitatea cibernetică a sistemelor din domeniul său de competență art. 12.
- MAE – competent în diplomația cibernetică; reprezintă interesele României în formatele internaționale art. 13.
- SRI – competent în cyber intelligence și pentru incidentele care amenință securitatea națională art. 14 alin. 1.
- Amenințările APT le combate fiecare autoritate (MApN, MAI, SIE, STS, SPP) în limita competenței, iar SRI în toate celelalte cazuri art. 14 alin. 2.
- SRI informează ANCOM și DNSC când amenințările asupra sistemelor de la art. 3 alin. (1) lit. b) și c) ar aduce atingere securității naționale art. 14 alin. 3.
- SIE, STS, SPP – pentru rețelele proprii; SPP coordonează și măsurile pentru demnitarii cărora le asigură protecție art. 15–17.
- ORNISS – pentru rețelele care stochează, procesează sau transmit informații clasificate art. 18.
- Structuri specializate de audit și de securitate cibernetică se înființează prin act administrativ al conducătorului autorității art. 19.
11. Care autoritate este competentă pentru spațiul cibernetic național civil?
Răspuns corect: c) DNSC
„DNSC, pentru spațiul cibernetic național civil” — art. 10 alin. (1) lit. a)
12. Care autoritate este competentă la nivel național în domeniul apărării cibernetice?
Răspuns corect: a) MApN
„MApN este autoritate competentă la nivel național în domeniul apărării cibernetice” — art. 11
13. Care autoritate este competentă la nivel național în domeniul diplomației cibernetice?
Răspuns corect: b) MAE
„MAE este autoritate competentă, la nivel național, în domeniul diplomației cibernetice” — art. 13 alin. (1)
14. Care autoritate este competentă la nivel național în domeniul cyber intelligence?
Răspuns corect: c) SRI
„SRI este autoritate competentă la nivel național în domeniul cyber intelligence” — art. 14 alin. (1)
Managementul incidentelor de securitate cibernetică (art. 20–23)
- PNRISC (Platforma națională pentru raportarea incidentelor) e dezvoltată și administrată de DNSC art. 20 alin. 1; autoritățile de la art. 10 au acces la ea art. 20 alin. 2.
- Notificarea: persoanele de la art. 3 alin. (1) lit. b) și c) notifică incidentele prin PNRISC de îndată, dar nu mai târziu de 48 de ore de la constatare art. 21 alin. 1.
- Notificarea completă: dacă nu se poate comunica complet în 48 de ore, se transmite în cel mult 5 zile calendaristice de la notificarea inițială; informațiile se pot completa și ulterior art. 21 alin. 2.
- Autoritățile din apărare, ordine publică etc. art. 3 alin. 1 lit. a notifică și ele incidentele prin PNRISC art. 21 alin. 3.
- Condițiile notificării sunt cele din Legea nr. 362/2018, cap. IV secțiunea a 2-a art. 22.
- Responsabilitățile ANCOM și ale autorităților de la art. 10 alin. (1) lit. d): colectează notificările, evaluează datele, coordonează managementul incidentelor, acordă sprijin la cerere pentru măsuri de primă urgență art. 23 lit. a–d.
- Păstrarea datelor despre incidente: 5 ani, fără a colecta date de conținut art. 23 lit. e.
15. Care este, potrivit Legii nr. 58/2023, termenul maxim în care persoanele prevăzute la art. 3 alin. (1) lit. b) și c) notifică un incident de securitate cibernetică prin PNRISC?
Răspuns corect: a) De îndată, dar nu mai târziu de 48 de ore de la constatarea incidentului
„de a notifica incidentele de securitate cibernetică prin intermediul PNRISC de îndată, dar nu mai târziu de 48 de ore de la constatarea incidentului” — art. 21 alin. (1)
16. Dacă un incident nu poate fi comunicat complet în termenul inițial, în ce termen se transmite?
Răspuns corect: b) În cel mult 5 zile calendaristice de la notificarea inițială
„acestea se transmit în cel mult 5 zile calendaristice de la notificarea inițială” — art. 21 alin. (2)
17. Cine dezvoltă și asigură managementul Platformei naționale pentru raportarea incidentelor de securitate cibernetică (PNRISC)?
Răspuns corect: c) DNSC
„DNSC dezvoltă și asigură managementul Platformei naționale pentru raportarea incidentelor de securitate cibernetică” — art. 20 alin. (1)
18. Pe ce perioadă păstrează autoritățile datele referitoare la incidentele de securitate cibernetică?
Răspuns corect: a) 5 ani, fără a colecta date de conținut
„să păstreze pe o perioadă de 5 ani datele referitoare la incidentele de securitate cibernetică” — art. 23 lit. e)
Reziliența în spațiul cibernetic (art. 24–26)
- Reziliența se asigură prin măsuri proactive și reactive luate de instituțiile și persoanele de la art. 3 art. 24 alin. 1.
- Măsuri proactive – pentru prevenirea incidentelor și descurajare art. 24 alin. 2, de exemplu:
- constituirea și antrenarea echipelor de răspuns la incidente;
- constituirea și operarea centrelor operaționale de securitate;
- o rezervă de resurse și capabilități de securitate cibernetică;
- soluții care cresc capacitatea de detecție și prevenție;
- instruirea personalului prin campanii periodice de informare, conștientizare și igienă cibernetică.
- Măsuri reactive – pentru reducerea efectelor atacurilor art. 24 alin. 3:
- aplicarea planurilor de răspuns la incidente și de contingență;
- utilizarea rezervei de resurse și capabilități;
- restabilirea funcționalității rețelelor și sistemelor;
- diseminarea informațiilor prin alerte interinstituționale;
- descurajarea prin atribuirea publică a autorilor atacurilor.
- Furnizorii de servicii tehnice de securitate cibernetică, la cererea motivată a autorităților, transmit în maximum 48 de ore date despre incidente și în maximum 5 zile date despre amenințări, riscuri sau vulnerabilități art. 25 alin. 1.
- Fără date personale: aceste date nu vizează date cu caracter personal și date de conținut art. 25 alin. 2; se transmit în scris, electronic sau altfel convenit, în formatul PNRISC art. 25 alin. 3.
- DNSC și instituțiile din apărare, ordine publică și securitate națională constituie, între altele, echipe de tip CSIRT art. 26 lit. d.
19. În ce termen trebuie furnizorii de servicii tehnice de securitate cibernetică să pună la dispoziția autorităților date privind incidente, la cererea motivată a acestora?
Răspuns corect: a) Maximum 48 de ore de la data primirii solicitării
„în termen de maximum 48 de ore de la data primirii solicitării, date și informații privind incidente” — art. 25 alin. (1)
20. În ce termen transmit furnizorii de servicii tehnice de securitate cibernetică datele privind amenințări, riscuri sau vulnerabilități?
Răspuns corect: b) Maximum 5 zile de la data primirii solicitării
„în maximum 5 zile de la data primirii solicitării, cu privire la amenințări, riscuri sau vulnerabilități” — art. 25 alin. (1)
21. Enumerați măsurile reactive prin care se asigură reziliența în spațiul cibernetic.
Măsurile reactive sunt destinate reducerii efectelor atacurilor cibernetice și includ: a) punerea în aplicare a planurilor de răspuns la incidente și de contingență; b) utilizarea rezervei de resurse și de capabilități de securitate cibernetică; c) restabilirea funcționalității rețelelor și sistemelor informatice ale instituțiilor afectate; d) diseminarea informațiilor despre evenimentele cibernetice prin alerte în mediul interinstituțional; e) descurajarea prin atribuirea publică a autorilor atacurilor, conform atribuțiilor legale.
„Măsurile reactive sunt destinate reducerii efectelor atacurilor cibernetice și includ:” — art. 24 alin. (3)
Sistemul Național de Alertă Cibernetică (art. 27–29)
- SNAC = ansamblu de măsuri tehnice și procedurale pentru prevenirea, descurajarea și combaterea amenințărilor la adresa securității cibernetice art. 27 alin. 1.
- Notificare publică a nivelului de alertă: la nivel național, pentru o zonă geografică sau pentru un domeniu de activitate art. 27 alin. 2.
- Metodologia nivelurilor de alertă: elaborată de DNSC, avizată conform de COSC, aprobată prin ordin al directorului DNSC art. 28 alin. 1.
- Instituirea și schimbarea nivelului de alertă: decide directorul DNSC, cu avizul consultativ și prealabil sau la propunerea COSC art. 28 alin. 2.
- Coborârea nivelului se face după încetarea cauzelor care l-au ridicat art. 28 alin. 3.
- Planuri proprii de acțiune pentru fiecare tip de alertă: obligatorii pentru persoanele de la art. 3 art. 29 alin. 1, aplicate la declararea alertei art. 29 alin. 2.
22. Cine decide instituirea nivelurilor de alertă cibernetică și trecerea de la un nivel la altul?
Răspuns corect: c) Directorul DNSC, cu avizul consultativ și prealabil sau la propunerea COSC
„Instituirea nivelurilor de alertă, precum și trecerea de la un nivel la altul se decid de către directorul DNSC” — art. 28 alin. (2)
23. Când se face trecerea de la un nivel de alertă cibernetică superior la unul inferior?
Răspuns corect: a) După încetarea cauzelor care au generat ridicarea nivelului de alertă
„se face după încetarea cauzelor care au generat ridicarea nivelului de alertă” — art. 28 alin. (3)
24. Ce obligație au persoanele prevăzute la art. 3 în legătură cu alertele cibernetice?
Răspuns corect: b) Să elaboreze planuri proprii de acțiune pentru fiecare tip de alertă cibernetică
„au obligația să elaboreze planuri proprii de acțiune pentru fiecare tip de alertă cibernetică” — art. 29 alin. (1)
25. Ce obligații au persoanele prevăzute la art. 3 privind formarea personalului și alertele cibernetice?
Trebuie să asigure, pentru personalul propriu, formarea profesională, educația și instruirea în domeniul securității și apărării cibernetice prin cursuri, exerciții, conferințe, seminarii și alte activități. De asemenea, trebuie să elaboreze planuri proprii de acțiune pentru fiecare tip de alertă cibernetică, potrivit metodologiei DNSC, și să pună în aplicare măsurile din aceste planuri la declararea stărilor de alertă.
„formarea profesională, educația și instruirea în domeniul securității și apărării cibernetice prin cursuri, exerciții, conferințe, seminarii” — art. 29, art. 37
Apărarea cibernetică (art. 30–31)
- MApN apără și protejează sistemele proprii art. 30 alin. 1 lit. a.
- Centrul Național Militar de Comandă – prin el MApN planifică și conduce operații în spațiul cibernetic art. 30 alin. 1 lit. b.
- Comandamentul Apărării Cibernetice – operații defensive pe timp de pace și capabilități militare art. 30 alin. 1 lit. c–d.
- Răspuns ofensiv: MApN dezvoltă capabilități utilizabile la atacuri care contravin dreptului internațional art. 30 alin. 1 lit. f.
- Punctul unic de contact cu NATO pentru operațiuni militare în spațiul cibernetic: MApN art. 30 alin. 1 lit. h.
- Dreptul internațional, inclusiv cel umanitar, se respectă în toate aceste activități art. 30 alin. 3.
- Rezerva de specialiști în apărarea cibernetică: condițiile se stabilesc prin hotărâre a Guvernului art. 31.
26. Prin ce structură planifică și execută MApN operații defensive în spațiul cibernetic, pe timp de pace?
Răspuns corect: a) Comandamentul Apărării Cibernetice
„planifică și execută operații defensive în spațiul cibernetic, pe timp de pace, prin Comandamentul Apărării Cibernetice” — art. 30 alin. (1) lit. c)
27. Cine asigură punctul unic de contact în relația cu NATO pentru operațiuni militare în spațiul cibernetic?
Răspuns corect: b) MApN
„asigură punctul unic de contact în relația cu NATO pentru operațiuni militare în spațiul cibernetic” — art. 30 alin. (1) lit. h)
Cercetare, dezvoltare și inovare (art. 32–33)
- Program multianual de finanțare a cercetării în securitate cibernetică, elaborat de MCID art. 32 alin. 2.
- Bugetul programului: minimum 10% din bugetul programelor de cercetare finanțate de MCID în anul respectiv art. 32 alin. 3.
- Finanțarea se face pe criterii transparente și competitive, prin metodologie de concurs aprobată prin ordin al ministrului art. 32 alin. 4.
- Entitate responsabilă pentru cercetare, desemnată de conducătorul fiecărei autorități de la art. 10 art. 33 alin. 2.
28. Ce procent minim din bugetul programelor de cercetare finanțate de MCID se alocă programului multianual pentru securitate cibernetică?
Răspuns corect: c) 10%
„este de minimum 10% din bugetul alocat programelor de cercetare finanțate de MCID pentru anul respectiv” — art. 32 alin. (3)
29. Enumerați autoritățile competente în sensul Legii nr. 58/2023.
a) DNSC, pentru spațiul cibernetic național civil; b) MCID, pentru elaborarea și inițierea actelor normative și politicilor publice în domeniul securității cibernetice; c) ANCOM, pentru coordonarea securității cibernetice a rețelelor proprii și a celor ale furnizorilor de comunicații electronice către administrația publică; d) MApN, MAI, MAE, SRI, SIE, STS, SPP și ORNISS, conform atribuțiilor de la art. 11–18.
„MApN, MAI, MAE, SRI, SIE, STS, SPP și ORNISS, conform atribuțiilor prevăzute la art. 11-18.” — art. 10 alin. (1)
30. Ce obligații au autoritățile competente prevăzute la art. 10 alin. (1)?
a) să adopte planuri de acțiune pentru fiecare nivel de alertă cibernetică; b) să acorde sprijin, la solicitarea proprietarilor de rețele și sisteme din domeniul lor, pentru măsurile corespunzătoare nivelurilor de alertă; c) să desfășoare activități de informare și comunicare publică; d) să organizeze sesiuni de formare și instruire; e) să organizeze sau să participe la exerciții naționale de securitate cibernetică; f) să comunice reciproc date de interes despre securitatea cibernetică.
„să adopte planuri de acțiune corespunzătoare fiecărui nivel de alertă cibernetică” — art. 10 alin. (2)
Cooperarea națională și internațională (art. 34–36)
- Obiectivele cooperării naționale: răspuns dinamic la incidente, schimb de bune practici, cultură de securitate și igienă cibernetică, comunicare publică coordonată art. 34 alin. 1.
- Activități de cooperare (cel puțin): dezvoltare de capabilități, raportarea incidentelor, programe de cercetare, cursuri, exerciții, conferințe art. 34 alin. 2.
- Cooperarea internațională: informare reciprocă, exerciții multinaționale, interoperabilitate, proiecte comune de cercetare art. 35.
- Cooperarea în apărarea cibernetică cu NATO și armatele statelor aliate se face prin MApN art. 36 alin. 2; activitățile externe se fac în cooperare cu MAE art. 36 alin. 3.
Formarea profesională și conștientizarea (art. 37–40)
- Formarea personalului propriu în securitate și apărare cibernetică e obligatorie pentru persoanele de la art. 3: cursuri, exerciții, conferințe, seminarii art. 37.
- Plan de exerciții anual și multianual pentru instituțiile din apărare, ordine publică și securitate națională art. 38 alin. 2.
- Exercițiile NATO de apărare cibernetică: participarea se face sub coordonarea MApN art. 39 alin. 2.
- DNSC și instituțiile din apărare, ordine publică și securitate națională informează și pregătesc populația, promovează comportamentul responsabil online și desfășoară campanii de prevenire art. 40.
Securitatea lanțului de aprovizionare (art. 41–44)
- Managementul riscurilor lanțului de aprovizionare se implementează de persoanele de la art. 3 art. 41 alin. 1.
- Riscurile lanțului includ cel puțin art. 41 alin. 2:
- livrarea de soluții informatice false sau contrafăcute;
- producția neautorizată;
- manipularea frauduloasă a produselor și serviciilor;
- inserarea de componente false sau contrafăcute;
- servicii periculoase pentru funcționare;
- spionajul cibernetic;
- compromiterile neintenționate ale sistemelor;
- practicile deficitare de fabricație și dezvoltare.
- Responsabili de securitate cibernetică desemnați de persoanele de la art. 3, pentru politici, standarde obligatorii în achiziții, metodologii de evaluare și schimb de informații art. 42.
- Cursuri de instruire despre riscurile lanțului de aprovizionare art. 43; posibilitatea de a dezvolta capabilități avansate de testare art. 44.
31. Care dintre următoarele este, potrivit legii, un risc al lanțului de aprovizionare?
Răspuns corect: c) Inserarea de componente software și hardware false sau contrafăcute
„inserarea de componente software și hardware false sau contrafăcute” — art. 41 alin. (2) lit. d)
32. Enumerați riscurile lanțului de aprovizionare prevăzute de Legea nr. 58/2023.
Riscurile includ cel puțin: a) livrarea de soluții informatice false sau contrafăcute; b) producția neautorizată; c) manipularea frauduloasă a produselor și serviciilor software și hardware și a sistemelor; d) inserarea de componente software și hardware false sau contrafăcute; e) servicii software și hardware periculoase pentru funcționare; f) spionajul cibernetic; g) compromiterile neintenționate ale sistemelor și rețelelor; h) practicile deficitare de fabricație și dezvoltare de produse software și hardware.
„livrarea de soluții informatice false sau contrafăcute” — art. 41 alin. (2)
Confidențialitatea și protecția datelor (art. 45–47)
- Protecția intereselor: autoritățile care primesc date iau măsuri pentru a proteja interesele de securitate și comerciale ale celor care le furnizează art. 45 alin. 1.
- Transmiterea datelor de la persoane de drept privat se face numai pentru atribuțiile legale, cu păstrarea confidențialității art. 45 alin. 2.
- Datele personale se prelucrează cu respectarea legislației de protecție a datelor; notificările nu afectează obligațiile din art. 33 și 34 ale Regulamentului (UE) 2016/679 art. 46 alin. 1–2.
- Drepturi fundamentale: legea respectă Carta drepturilor fundamentale a UE – viața privată, protecția datelor, proprietatea art. 47 alin. 2.
Contravenții și sancțiuni (art. 48–49)
- Contravenții (dacă nu sunt infracțiuni) art. 48 alin. 1:
- nenotificarea incidentelor prin PNRISC în termenul de la art. 21 alin. (1);
- necomunicarea completă a incidentelor în termenul de la art. 21 alin. (2);
- netransmiterea de către furnizorii de servicii de securitate cibernetică a datelor cerute de autorități, la termenul de la art. 25 alin. (1).
- Amenda: de la 5.000 la 50.000 lei; pentru o nouă contravenție în 6 luni, maximul devine 200.000 lei art. 48 alin. 2 lit. a.
- Operatorii cu cifră de afaceri peste 1.000.000 lei: amendă de până la 1% din cifra de afaceri netă; la repetare în 6 luni, maximum 3% art. 48 alin. 2 lit. b.
- Persoane juridice nou-înființate sau fără cifră de afaceri: între 1 și 25 de salarii minime brute pe economie art. 48 alin. 6.
- Individualizarea: se ține cont de gradul de pericol social și de perioada în care obligația a fost încălcată art. 48 alin. 4.
- Cine constată: pentru nenotificare – personalul de control al DNSC, sancțiunea prin decizia directorului DNSC; pentru furnizori – personalul autorității care a cerut datele art. 49 alin. 1–2.
- Prescripția aplicării sancțiunii: un an de la săvârșirea faptei art. 49 alin. 4.
- Comunicarea actului: în 15 zile de la emitere art. 49 alin. 5; amenda se plătește în 30 de zile de la comunicare art. 49 alin. 6.
- Contestarea: la Curtea de Apel București, fără procedură prealabilă, în 30 de zile de la comunicare art. 49 alin. 9.
- Banii din amenzi se fac venit integral la bugetul de stat art. 49 alin. 8.
33. Care este cuantumul general al amenzii pentru contravențiile prevăzute de Legea nr. 58/2023?
Răspuns corect: a) De la 5.000 lei la 50.000 lei
„cu amendă de la 5.000 lei la 50.000 lei, iar în cazul săvârșirii unei noi contravenții” — art. 48 alin. (2) lit. a)
34. Care este limita maximă a amenzii dacă se săvârșește o nouă contravenție în termen de 6 luni de la prima?
Răspuns corect: b) 200.000 lei
„în termen de 6 luni, de la data săvârșirii primei contravenții, limita maximă a amenzii este de 200.000 lei” — art. 48 alin. (2) lit. a)
35. Ce amendă se aplică operatorilor economici cu o cifră de afaceri netă de peste 1.000.000 lei?
Răspuns corect: c) Până la 1% din cifra de afaceri netă
„cu amendă în cuantum de până la 1% din cifra de afaceri netă” — art. 48 alin. (2) lit. b)
36. Cum se stabilește amenda pentru persoanele juridice nou-înființate?
Răspuns corect: a) Între minimum unu și maximum 25 de salarii minime brute pe economie
„se stabilește în cuantum de minimum unu și maximum 25 de salarii minime brute pe economie” — art. 48 alin. (6)
Modificări aduse altor legi (art. 50–51)
- Legea nr. 51/1991: printre amenințările la securitatea națională intră amenințările sau atacurile cibernetice asupra infrastructurilor de interes național, riscurile de tip hibrid și campaniile de propagandă sau dezinformare în spațiul cibernetic care afectează ordinea constituțională art. 50.
- OUG nr. 1/1999: starea de asediu include adaptarea capacității de apărare, „inclusiv apărarea cibernetică”; pentru măsuri excepționale din cauze cibernetice, emitenții ordonanțelor militare cer avizul prealabil și consultativ al COSC art. 51.
Dispoziții finale (art. 52–53)
- Categoriile de persoane de la art. 3 alin. (1) lit. c) se stabilesc prin hotărâre a Guvernului, inițiată de MCID, în maximum 60 de zile art. 52 alin. 1.
- Metodologia nivelurilor de alertă se emite prin ordin al directorului DNSC în maximum 6 luni art. 52 alin. 6.
- Măsurile proprii de reziliență ale autorităților: în maximum 120 de zile art. 52 alin. 4.
- Sancțiunile art. 48 și 49 intră în vigoare la 30 de zile de la publicarea legii în Monitorul Oficial art. 53.
37. La câte zile de la publicarea în Monitorul Oficial intră în vigoare prevederile privind contravențiile (art. 48 și 49)?
Răspuns corect: a) 30 de zile
„Prevederile art. 48 și 49 intră în vigoare la 30 de zile de la data publicării prezentei legi” — art. 53
38. Ce fapte constituie contravenții potrivit Legii nr. 58/2023 și cum se sancționează?
Sunt contravenții, dacă nu sunt infracțiuni: a) nenotificarea incidentelor prin PNRISC în termenul de 48 de ore; b) necomunicarea completă a incidentelor în termenul și condițiile prevăzute; c) nerespectarea de către furnizorii de servicii de securitate cibernetică a obligației de a pune la dispoziția autorităților datele cerute. Se sancționează cu amendă de la 5.000 la 50.000 lei (la o nouă contravenție în 6 luni, maximum 200.000 lei), iar operatorii cu cifra de afaceri netă de peste 1.000.000 lei cu amendă de până la 1% din cifra de afaceri (la repetare, maximum 3%).
„limita maximă a amenzii este de 3% din cifra de afaceri netă” — art. 48 alin. (1)–(2)
Cifre și termene de reținut
| Ce | Cât | Articolul |
|---|---|---|
| Notificarea incidentului în PNRISC | de îndată, cel mult 48 de ore de la constatare | art. 21 alin. (1) |
| Comunicarea completă a incidentului | cel mult 5 zile calendaristice de la notificarea inițială | art. 21 alin. (2) |
| Păstrarea datelor despre incidente | 5 ani | art. 23 lit. e) |
| Furnizori – date despre incidente | maximum 48 de ore de la solicitare | art. 25 alin. (1) |
| Furnizori – date despre amenințări, riscuri, vulnerabilități | maximum 5 zile de la solicitare | art. 25 alin. (1) |
| Bugetul programului de cercetare în securitate cibernetică | minimum 10% din bugetul programelor de cercetare ale MCID | art. 32 alin. (3) |
| Amenda | 5.000 – 50.000 lei; la repetare în 6 luni, maximum 200.000 lei | art. 48 alin. (2) lit. a) |
| Amenda pentru cifră de afaceri peste 1.000.000 lei | până la 1%; la repetare în 6 luni, maximum 3% | art. 48 alin. (2) lit. b) |
| Persoane juridice nou-înființate | 1 – 25 de salarii minime brute | art. 48 alin. (6) |
| Prescripția aplicării sancțiunii | un an de la săvârșirea faptei | art. 49 alin. (4) |
| Comunicarea actului de sancționare | 15 zile de la emitere | art. 49 alin. (5) |
| Plata amenzii | 30 de zile de la comunicare | art. 49 alin. (6) |
| Contestarea la Curtea de Apel București | 30 de zile de la comunicare | art. 49 alin. (9) |
| Intrarea în vigoare a sancțiunilor | 30 de zile de la publicare | art. 53 |
Rezumatul e făcut din textul actului valabil la 17 octombrie 2026 și nu înlocuiește legea: la concurs se cer formulările din text.
Gata cu rezumatul?
Fă un test din tot actul: 52 întrebări, cu verificare pe loc și scor.
Concursuri deschise care cer acest act
© lastat.ro — rezumatele, „Esențialul" și întrebările sunt realizate de lastat.ro. Pregătirea proprie, citarea cu link și distribuirea unei pagini sunt libere; copierea automată sau sistematică nu e permisă (termeni).