Întrebări din Legea nr. 58/2023

Răspuns corect: a) De îndată, dar nu mai târziu de 48 de ore de la constatarea incidentului

„de a notifica incidentele de securitate cibernetică prin intermediul PNRISC de îndată, dar nu mai târziu de 48 de ore de la constatarea incidentului” — art. 21 alin. (1)

Răspuns corect: b) În cel mult 5 zile calendaristice de la notificarea inițială

„acestea se transmit în cel mult 5 zile calendaristice de la notificarea inițială” — art. 21 alin. (2)

Răspuns corect: c) DNSC

„DNSC dezvoltă și asigură managementul Platformei naționale pentru raportarea incidentelor de securitate cibernetică” — art. 20 alin. (1)

Răspuns corect: a) 5 ani, fără a colecta date de conținut

„să păstreze pe o perioadă de 5 ani datele referitoare la incidentele de securitate cibernetică” — art. 23 lit. e)

Răspuns corect: b) Consiliul Suprem de Apărare a Țării (CSAT)

„Activitățile SNSC sunt coordonate, la nivel strategic, de către Consiliul Suprem de Apărare a Țării” — art. 7 alin. (1)

Răspuns corect: c) COSC

„Activitățile SNSC sunt coordonate unitar, la nivel operațional, de către COSC.” — art. 7 alin. (2)

Răspuns corect: a) Serviciul Român de Informații

„Serviciul Român de Informații, denumit în continuare SRI, asigură secretariatul tehnic al COSC” — art. 7 alin. (3)

Răspuns corect: b) Organ consultativ, fără personalitate juridică, în coordonarea CSAT

„COSC este un organ consultativ, fără personalitate juridică, în coordonarea CSAT” — art. 8 alin. (1)

Răspuns corect: c) Prin consens

„COSC emite avize consultative și recomandări, adoptate prin consens” — art. 8 alin. (2)

Răspuns corect: a) Consilierul prezidențial pentru probleme de securitate națională

„Conducerea COSC este asigurată de un președinte - consilierul prezidențial pentru probleme de securitate națională” — art. 8 alin. (3)

Răspuns corect: b) Nu, participă fără drept de vot

„sunt invitați să participe în cadrul ședințelor COSC, fără a avea drept de vot” — art. 8 alin. (4)

Răspuns corect: c) DNSC

„DNSC, pentru spațiul cibernetic național civil” — art. 10 alin. (1) lit. a)

Răspuns corect: a) MApN

„MApN este autoritate competentă la nivel național în domeniul apărării cibernetice” — art. 11

Răspuns corect: b) MAE

„MAE este autoritate competentă, la nivel național, în domeniul diplomației cibernetice” — art. 13 alin. (1)

Răspuns corect: c) SRI

„SRI este autoritate competentă la nivel național în domeniul cyber intelligence” — art. 14 alin. (1)

Răspuns corect: a) ORNISS

„ORNISS coordonează activitățile desfășurate în vederea asigurării securității cibernetice a rețelelor și sistemelor informatice care stochează, procesează sau transmit informații clasificate” — art. 18

Răspuns corect: b) SPP

„coordonează măsurile de securitate cibernetică pentru demnitarii cărora le asigură protecție” — art. 17

Răspuns corect: c) SRI, în toate celelalte cazuri

„f) de către SRI, în toate celelalte cazuri.” — art. 14 alin. (2) lit. f)

Răspuns corect: a) Maximum 48 de ore de la data primirii solicitării

„în termen de maximum 48 de ore de la data primirii solicitării, date și informații privind incidente” — art. 25 alin. (1)

Răspuns corect: b) Maximum 5 zile de la data primirii solicitării

„în maximum 5 zile de la data primirii solicitării, cu privire la amenințări, riscuri sau vulnerabilități” — art. 25 alin. (1)

Răspuns corect: c) Directorul DNSC, cu avizul consultativ și prealabil sau la propunerea COSC

„Instituirea nivelurilor de alertă, precum și trecerea de la un nivel la altul se decid de către directorul DNSC” — art. 28 alin. (2)

Răspuns corect: a) După încetarea cauzelor care au generat ridicarea nivelului de alertă

„se face după încetarea cauzelor care au generat ridicarea nivelului de alertă” — art. 28 alin. (3)

Răspuns corect: b) Să elaboreze planuri proprii de acțiune pentru fiecare tip de alertă cibernetică

„au obligația să elaboreze planuri proprii de acțiune pentru fiecare tip de alertă cibernetică” — art. 29 alin. (1)

Răspuns corect: c) Persoanei fizice sau juridice care îl deține, organizează, administrează și/sau utilizează

„revine persoanei fizice sau juridice care le deține în proprietate, le organizează, administrează și/sau utilizează, după caz” — art. 5 lit. a)

Răspuns corect: a) Stare de normalitate rezultată din aplicarea unor măsuri proactive și reactive care asigură confidențialitatea, integritatea, disponibilitatea, autenticitatea și nonrepudierea informațiilor

„stare de normalitate rezultată în urma aplicării unui ansamblu de măsuri proactive și reactive” — art. 2 lit. y)

Răspuns corect: b) Măsuri de rutină aplicate cu regularitate de persoanele fizice și juridice pentru a reduce expunerea la riscurile amenințărilor cibernetice

„măsuri de rutină aplicate cu regularitate de către persoanele fizice și juridice” — art. 2 lit. m)

Răspuns corect: c) Capacitatea unei rețele sau a unui sistem informatic de a rezista unui incident sau atac cibernetic și de a reveni la starea de normalitate

„capacitatea unei rețele sau a unui sistem informatic de a rezista unui incident sau atac cibernetic” — art. 2 lit. w)

Răspuns corect: a) De la 5.000 lei la 50.000 lei

„cu amendă de la 5.000 lei la 50.000 lei, iar în cazul săvârșirii unei noi contravenții” — art. 48 alin. (2) lit. a)

Răspuns corect: b) 200.000 lei

„în termen de 6 luni, de la data săvârșirii primei contravenții, limita maximă a amenzii este de 200.000 lei” — art. 48 alin. (2) lit. a)

Răspuns corect: c) Până la 1% din cifra de afaceri netă

„cu amendă în cuantum de până la 1% din cifra de afaceri netă” — art. 48 alin. (2) lit. b)

Răspuns corect: a) Între minimum unu și maximum 25 de salarii minime brute pe economie

„se stabilește în cuantum de minimum unu și maximum 25 de salarii minime brute pe economie” — art. 48 alin. (6)

Răspuns corect: b) Personalul de control din cadrul DNSC

„se realizează de către personalul de control din cadrul DNSC” — art. 49 alin. (1)

Răspuns corect: c) Un an de la data săvârșirii faptei

„se prescrie în termen de un an de la data săvârșirii faptei” — art. 49 alin. (4)

Răspuns corect: a) La Curtea de Apel București, în 30 de zile de la comunicare, fără procedură prealabilă

„pot fi atacate în contencios administrativ la Curtea de Apel București, fără parcurgerea procedurii prealabile, în termen de 30 de zile de la comunicarea acestora” — art. 49 alin. (9)

Răspuns corect: b) 30 de zile de la data comunicării actului

„obligativitatea achitării amenzii în termen de 30 de zile de la data comunicării actului” — art. 49 alin. (6)

Răspuns corect: c) 10%

„este de minimum 10% din bugetul alocat programelor de cercetare finanțate de MCID pentru anul respectiv” — art. 32 alin. (3)

Răspuns corect: a) Comandamentul Apărării Cibernetice

„planifică și execută operații defensive în spațiul cibernetic, pe timp de pace, prin Comandamentul Apărării Cibernetice” — art. 30 alin. (1) lit. c)

Răspuns corect: b) MApN

„asigură punctul unic de contact în relația cu NATO pentru operațiuni militare în spațiul cibernetic” — art. 30 alin. (1) lit. h)

Răspuns corect: c) Inserarea de componente software și hardware false sau contrafăcute

„inserarea de componente software și hardware false sau contrafăcute” — art. 41 alin. (2) lit. d)

Răspuns corect: a) 30 de zile

„Prevederile art. 48 și 49 intră în vigoare la 30 de zile de la data publicării prezentei legi” — art. 53

Răspuns corect: b) Integral la bugetul de stat

„Sumele provenite din amenzile aplicate în conformitate cu dispozițiile prezentului articol se fac venit integral la bugetul de stat.” — art. 49 alin. (8)

a) principiul personalității – responsabilitatea revine persoanei care deține, organizează, administrează și/sau utilizează sistemul; b) principiul protecției depline – responsabilul răspunde de managementul riscurilor și de implementarea măsurilor tehnice și organizaționale; c) principiul minimizării efectelor – la un incident, responsabilul ia măsuri de evitare a amplificării efectelor și a extinderii lor la alte sisteme; d) principiul colaborării, cooperării și coordonării – realizarea în mod conjugat a activităților de securitate de către persoanele responsabile.

„principiul minimizării efectelor - în cazul unui incident de securitate cibernetică” — art. 5

Incidentul de securitate cibernetică este un eveniment survenit în spațiul cibernetic care perturbă funcționarea uneia sau mai multor rețele și sisteme informatice și ale cărui consecințe sunt de natură a afecta securitatea cibernetică. Atacul cibernetic este o acțiune ostilă desfășurată în spațiul cibernetic de natură să afecteze securitatea cibernetică.

„eveniment survenit în spațiul cibernetic care perturbă funcționarea uneia sau mai multor rețele și sisteme informatice” — art. 2 lit. c) și n)

Trebuie să notifice incidentele prin intermediul PNRISC de îndată, dar nu mai târziu de 48 de ore de la constatarea incidentului. Dacă incidentele nu pot fi comunicate complet în acest termen, se transmit în cel mult 5 zile calendaristice de la notificarea inițială, iar informațiile pot fi completate și ulterior cu cele rezultate din investigații. Nerespectarea acestor termene constituie contravenție.

„Dacă incidentele de securitate cibernetică nu pot fi comunicate complet în termenul prevăzut la alin. (1)” — art. 21 alin. (1)–(2), art. 48 alin. (1) lit. a)–b)

COSC este un organ consultativ, fără personalitate juridică, în coordonarea CSAT. Este format din consilierul prezidențial pentru securitate națională, consilierul prim-ministrului pe securitate națională, secretarul CSAT și reprezentanți ai MApN, MAI, MAE, MCID, SRI, SIE, STS, SPP, ORNISS, ANCOM și DNSC. Președinte este consilierul prezidențial pentru probleme de securitate națională, iar vicepreședinte consilierul prim-ministrului. Secretariatul tehnic este asigurat de SRI.

„un vicepreședinte - consilierul prim-ministrului pe probleme de securitate națională” — art. 7 alin. (3), art. 8 alin. (1) și (3)

a) DNSC, pentru spațiul cibernetic național civil; b) MCID, pentru elaborarea și inițierea actelor normative și politicilor publice în domeniul securității cibernetice; c) ANCOM, pentru coordonarea securității cibernetice a rețelelor proprii și a celor ale furnizorilor de comunicații electronice către administrația publică; d) MApN, MAI, MAE, SRI, SIE, STS, SPP și ORNISS, conform atribuțiilor de la art. 11–18.

„MApN, MAI, MAE, SRI, SIE, STS, SPP și ORNISS, conform atribuțiilor prevăzute la art. 11-18.” — art. 10 alin. (1)

a) să adopte planuri de acțiune pentru fiecare nivel de alertă cibernetică; b) să acorde sprijin, la solicitarea proprietarilor de rețele și sisteme din domeniul lor, pentru măsurile corespunzătoare nivelurilor de alertă; c) să desfășoare activități de informare și comunicare publică; d) să organizeze sesiuni de formare și instruire; e) să organizeze sau să participe la exerciții naționale de securitate cibernetică; f) să comunice reciproc date de interes despre securitatea cibernetică.

„să adopte planuri de acțiune corespunzătoare fiecărui nivel de alertă cibernetică” — art. 10 alin. (2)

Măsurile reactive sunt destinate reducerii efectelor atacurilor cibernetice și includ: a) punerea în aplicare a planurilor de răspuns la incidente și de contingență; b) utilizarea rezervei de resurse și de capabilități de securitate cibernetică; c) restabilirea funcționalității rețelelor și sistemelor informatice ale instituțiilor afectate; d) diseminarea informațiilor despre evenimentele cibernetice prin alerte în mediul interinstituțional; e) descurajarea prin atribuirea publică a autorilor atacurilor, conform atribuțiilor legale.

„Măsurile reactive sunt destinate reducerii efectelor atacurilor cibernetice și includ:” — art. 24 alin. (3)

Riscurile includ cel puțin: a) livrarea de soluții informatice false sau contrafăcute; b) producția neautorizată; c) manipularea frauduloasă a produselor și serviciilor software și hardware și a sistemelor; d) inserarea de componente software și hardware false sau contrafăcute; e) servicii software și hardware periculoase pentru funcționare; f) spionajul cibernetic; g) compromiterile neintenționate ale sistemelor și rețelelor; h) practicile deficitare de fabricație și dezvoltare de produse software și hardware.

„livrarea de soluții informatice false sau contrafăcute” — art. 41 alin. (2)

Sunt contravenții, dacă nu sunt infracțiuni: a) nenotificarea incidentelor prin PNRISC în termenul de 48 de ore; b) necomunicarea completă a incidentelor în termenul și condițiile prevăzute; c) nerespectarea de către furnizorii de servicii de securitate cibernetică a obligației de a pune la dispoziția autorităților datele cerute. Se sancționează cu amendă de la 5.000 la 50.000 lei (la o nouă contravenție în 6 luni, maximum 200.000 lei), iar operatorii cu cifra de afaceri netă de peste 1.000.000 lei cu amendă de până la 1% din cifra de afaceri (la repetare, maximum 3%).

„limita maximă a amenzii este de 3% din cifra de afaceri netă” — art. 48 alin. (1)–(2)

Trebuie să asigure, pentru personalul propriu, formarea profesională, educația și instruirea în domeniul securității și apărării cibernetice prin cursuri, exerciții, conferințe, seminarii și alte activități. De asemenea, trebuie să elaboreze planuri proprii de acțiune pentru fiecare tip de alertă cibernetică, potrivit metodologiei DNSC, și să pună în aplicare măsurile din aceste planuri la declararea stărilor de alertă.

„formarea profesională, educația și instruirea în domeniul securității și apărării cibernetice prin cursuri, exerciții, conferințe, seminarii” — art. 29, art. 37

a) datele de identificare ale contravenientului; b) data săvârșirii faptei; c) descrierea faptei și a împrejurărilor avute în vedere la individualizarea sancțiunii; d) temeiul legal; e) sancțiunea aplicată; f) termenul și modalitatea de plată a amenzii; g) termenul de exercitare a căii de atac și instanța competentă. Actul se comunică în 15 zile de la emitere.

„descrierea faptei contravenționale și a împrejurărilor care au fost avute în vedere la individualizarea sancțiunii” — art. 49 alin. (3) și (5)