O.U.G. nr. 104/2021

• DNSC = organ de specialitate al administrației publice centrale, în cadrul aparatului de lucru al Guvernului și în coordonarea prim-ministrului, cu personalitate juridică art. 1 alin. 1.
• Finanțare: integral de la bugetul de stat, prin bugetul Secretariatului General al Guvernului art. 1 alin. 1.
• CERT-RO (Centrul Național de Răspuns la Incidente de Securitate Cibernetică) se desființează la intrarea în vigoare a ordonanței art. 1 alin. 2.
• Preluarea: DNSC preia activitățile, atribuțiile și personalul CERT-RO, cu menținerea drepturilor salariale avute la data preluării art. 1 alin. 3.
• Sediul central: București, Strada Italiană nr. 22, sectorul 2 art. 1 alin. 4.
• COSC: DNSC este membru permanent în Consiliul Operativ de Securitate Cibernetică art. 1 alin. 5.
• Responsabilitate: securitatea cibernetică a spațiului cibernetic național civil, componentă a securității naționale art. 1 alin. 6.
• Structuri: compartimente funcționale și structuri în subordine, plus structuri regionale și județene, toate fără personalitate juridică art. 1 alin. 7–8.

• CSIRT = echipă de răspuns la incidente de securitate cibernetică, entitate specializată în prevenirea, analiza, identificarea și reacția la incidentele cibernetice art. 2 lit. a.
• Comunitatea CSIRT din România = ansamblul echipelor CSIRT din autorități, instituții publice ori alte persoane juridice de drept public sau privat, care relaționează cu DNSC pe bază de proceduri și protocoale de cooperare art. 2 lit. b.
• Spațiul cibernetic național civil = spațiul cibernetic național fără infrastructurile din sistemul de apărare, ordine publică și securitate națională și fără cele care vehiculează informații clasificate art. 2 lit. d.
• Amenințare cibernetică = orice circumstanță, eveniment sau acțiune potențială care ar putea cauza daune sau perturbări rețelelor, sistemelor informatice ori utilizatorilor lor art. 2 lit. f.
• Criza cibernetică = amenințare reală sau deteriorare a unei infrastructuri cibernetice, care poate crea daune rețelelor și sistemelor ce furnizează servicii esențiale, digitale sau de interes național art. 2 lit. k.
• Produs de securitate cibernetică = un element sau grup de elemente care asigură securitatea unei rețele sau a unui sistem informatic art. 2 lit. l.
• Serviciu de securitate cibernetică = asigură confidențialitatea, integritatea, disponibilitatea, autenticitatea, nonrepudierea unei rețele sau a unui sistem informatic art. 2 lit. m.
• Sistem de alertă timpurie = proceduri și sisteme tehnice care identifică premisele incidentelor cibernetice și avertizează când se produc art. 2 lit. j.
• Spațiul cibernetic și securitatea cibernetică se definesc prin trimitere la Strategia aprobată prin HG nr. 271/2013 (securitatea = „stare de normalitate”) art. 2 lit. c, e.

• De tip preventiv art. 2 lit. g:
  • anunțuri privind evenimente în domeniu și amenințări nou-identificate;
  • cercetare și informare privind noutățile tehnologice;
  • auditări, evaluări de securitate sau teste de penetrare, la cerere;
  • identificarea vulnerabilităților, situații privind încercările de intruziune, localizarea surselor atacurilor;
  • diseminarea informațiilor de securitate cibernetică.
• De tip reactiv art. 2 lit. h:
  • alerte și atenționări privind activitățile premergătoare atacurilor;
  • gestiunea incidentelor la nivel național, în cooperare cu celelalte echipe CSIRT;
  • diseminarea rezultatelor investigațiilor incidentelor.
• De consultanță pentru managementul securității art. 2 lit. i:
  • analize de risc la nivel local și național;
  • planificarea funcționării continue și a recuperării în caz de dezastre;
  • atestarea managementului securității cibernetice și a incidentelor;
  • autorizarea echipelor CSIRT și atestarea auditorilor de securitate informatică.

• Principala responsabilitate: securitatea cibernetică a spațiului cibernetic național civil, în colaborare cu instituțiile competente art. 3 alin. 1.
• Autoritate competentă la nivel național pentru spațiul cibernetic național civil și pentru gestionarea riscurilor și incidentelor art. 3 alin. 2.
• Se consultă și cooperează, ca autoritate competentă, cu art. 3 alin. 3:
  • SRI – când afectarea aduce atingere securității naționale;
  • MApN – când aduce atingere apărării țării;
  • MAI, SIE, STS și SPP – pe domeniul lor de activitate;
  • Administrația Prezidențială – pentru infrastructurile ei sau cele destinate CSAT.
• Alte cooperări, după caz art. 3 alin. 4:
  • ANSPDCP – incidente cu încălcarea securității datelor cu caracter personal;
  • ANCOM – incidente care afectează rețelele publice de comunicații electronice;
  • ORNISS – incidente asupra sistemelor cu informații clasificate;
  • MAE – incidente care afectează interesele externe ale României;
  • organele de urmărire penală.
• Limită: responsabilitățile DNSC nu aduc atingere legislației privind apărarea, ordinea publică, securitatea națională, infrastructurile critice și informațiile clasificate art. 3 alin. 7.

• Legalității – respectarea legii și a tratatelor la care România e parte art. 3 alin. 5 lit. a.
• Egalității – beneficiarii sunt tratați egal, nediscriminatoriu (lit. b).
• Transparenței – proiectele de acte normative se supun consultării publice; acces la informații de interes public potrivit Legii nr. 544/2001 (lit. c).
• Proporționalității – activitate echilibrată ca efecte asupra persoanelor (lit. d).
• Imparțialității – personalul lucrează fără subiectivism, indiferent de propriile convingeri sau interese (lit. e).
• Continuității – activitate fără întreruperi (lit. f).
• Neutralității tehnologice – nu favorizează o anumită marcă sau tehnologie (lit. g).
• Solidarității internaționale, sincronizării (cu evoluția din UE) și conștientizării (informare pe înțelesul tuturor) (lit. h, i, k).
• Satisfacerii interesului public – interesul public înaintea celui individual sau de grup; interesul public național e prioritar față de cel local (lit. j).

• Securitatea, confidențialitatea, integritatea, disponibilitatea și reziliența spațiului cibernetic național civil art. 4 lit. a.
• Cadrul de strategii, politici și reglementări în domeniu art. 4 lit. b.
• Cadrul național de cooperare între domeniul public, privat, educație și cercetare art. 4 lit. c.
• Platforma națională de colaborare pentru schimbul de informații despre incidente, vulnerabilități și crize art. 4 lit. d.
• Cadrele naționale de certificare, de instruire și de evaluare a noilor tehnologii art. 4 lit. e, f, h.
• Promovarea strategiei naționale pe plan internațional și atragerea de fonduri art. 4 lit. g, i.
• Planul de management al crizelor de securitate cibernetică la nivel național, împreună cu ceilalți membri permanenți din COSC art. 4 lit. j.

Strategie, reglementare și CSIRT art. 5 lit. a–f

• Strategie și planificare: realizează politica Guvernului în domeniu, elaborează planul de management al crizelor pe timp de pace, propune modificări legislative Guvernului art. 5 lit. a.
• Autoritate de reglementare, supraveghere și control: elaborează cadrul normativ, exercită atribuțiile din Legea nr. 362/2018 art. 5 lit. b pct. 1–3.
• Regulamente, norme, ghiduri – se aprobă prin decizia directorului DNSC și se publică în Monitorul Oficial sau pe site art. 5 lit. b pct. 4.
• Autoritate competentă pentru furnizorii de hosting, cloud și rețele de distribuție de conținut art. 5 lit. b pct. 5.
• Standardele naționale devin obligatorii odată cu publicarea în Monitorul Oficial, Partea I art. 5 lit. b pct. 6.
• CSIRT național: coordonează detecția, protecția și răspunsul la atacuri, evaluează riscurile, emite avertizări, identifică vulnerabilitățile site-urilor în limba română art. 5 lit. c pct. 1–8.
• PNRISC = Platforma Națională pentru Raportarea Incidentelor de Securitate Cibernetică, implementată și coordonată de DNSC art. 5 lit. c pct. 12.
• CSIRT guvernamental: monitorizează măsurile de securitate la nivelul instituțiilor Guvernului art. 5 lit. d.
• CSIRT-uri sectoriale: asigură sau participă la funcția de CSIRT sectorial pentru sectoarele din Legea nr. 362/2018 art. 5 lit. e.
• Produse guvernamentale: gestionează riscurile vulnerabilităților din produsele și serviciile informatice ale sectorului guvernamental art. 5 lit. f.

Prevenire, cooperare, certificare art. 5 lit. g–k

• Alertare și conștientizare: informează populația și entitățile despre riscuri, face campanii de prevenire art. 5 lit. g.
• Cooperare: reprezintă România în formatele internaționale (UE, ONU, OSCE, NATO), încheie memorandumuri și protocoale art. 5 lit. h.
• PNCDSC = Platforma Națională de Cooperare în Domeniul Securității Cibernetice, între stat, mediul privat, academic și ONG-uri art. 5 lit. h pct. 5.
• Autoritate națională de certificare pentru spațiul cibernetic civil: certifică tehnologii, produse și servicii art. 5 lit. i pct. 1.
• RNAPSSC = Registrul Național al Activelor, Produselor și Serviciilor de Securitate Cibernetică, înființat și gestionat de DNSC art. 5 lit. i pct. 3.
• Laboratoarele civile de testare, evaluare și certificare sunt autorizate de DNSC art. 5 lit. i pct. 4.
• Avizare din punct de vedere al securității cibernetice a proiectelor finanțate din fonduri publice care implică rețele din Legea nr. 362/2018 art. 5 lit. j.
• Reprezentare a României ca autoritate națională în organismele naționale, europene și internaționale art. 5 lit. k.

Cercetare, crize, educație, proiecte art. 5 lit. l–s

• Cercetare-dezvoltare: studii, proceduri și recomandări privind securitatea cibernetică art. 5 lit. l.
• Analiză și prognoză: avertizări, analize, buletine de informare și de prognoză art. 5 lit. m.
• CNGCSC = Centrul Național de Gestionare a Crizelor de Securitate Cibernetică, constituit la nivelul DNSC, cu reprezentanți ai instituțiilor competente art. 5 lit. o pct. 1.
• Managementul crizelor cibernetice – asigurat de CNGCSC prin colaborare cu ceilalți membri permanenți din COSC art. 5 lit. o pct. 3.
• Evaluarea noilor tehnologii, a sistemelor de control industrial și a rețelelor complexe art. 5 lit. p.
• Evaluare și certificare de produse și servicii, pentru nevoi proprii sau la cererea SNAOPSN ori a Guvernului art. 5 lit. q.
• Educație: parteneriate cu școli, licee, universități; centre de excelență; certifică, la cerere, programe de formare art. 5 lit. r.
• Proiecte: proiecte cu finanțare internă sau externă; poate crea structuri fără personalitate juridică pe durata lor art. 5 lit. s.

• Conducerea: directorul DNSC (rang de secretar de stat) și cinci adjuncți (rang de subsecretar de stat) art. 6 alin. 1.
• Numirea și eliberarea: prin decizie a prim-ministrului, cu avizul CSAT art. 6 alin. 2.
• Incompatibilități: cele ale secretarului și subsecretarului de stat, din Legea nr. 161/2003 art. 6 alin. 3.
• Mandatul directorului: 5 ani, prelungibil o singură dată, cu cel mult 5 ani art. 6 alin. 4.
• Încetarea mandatului art. 6 alin. 5:
  • imposibilitatea exercitării peste 120 de zile calendaristice consecutive dintr-un interval de 140 de zile;
  • condamnare penală definitivă, fără reabilitare;
  • retragerea avizului CSAT;
  • demisie, deces, expirarea mandatului.
• Vacanța funcției: se numește o persoană nouă pentru durata rămasă; până atunci, interimatul îl asigură unul dintre adjuncți art. 6 alin. 6–7.
• Directorul reprezintă instituția, este ordonator terțiar de credite și emite decizii și ordine; cele normative se publică în Monitorul Oficial, Partea I art. 7 alin. 1–4.
• Contestarea deciziilor și ordinelor: în contencios administrativ art. 7 alin. 5.
• Atribuțiile directorului art. 8 alin. 1:
  • supune prim-ministrului, cu avizul CSAT, strategia instituțională și planul anual;
  • aprobă planurile de investiții și regulamentul intern;
  • convoacă și prezidează Comitetul director;
  • stabilește sediile structurilor regionale și județene;
  • aprobă încadrarea, promovarea și încetarea raporturilor de muncă ale personalului;
  • prezintă anual în CSAT raportul de activitate.
• Delegare și lipsă: directorul poate delega atribuțiile adjuncților; în lipsa lui lucrează adjunctul desemnat prin decizia directorului art. 8 alin. 2–3.

• Rol: sprijină conducerea DNSC; funcționează după un statut elaborat de DNSC, aprobat de prim-ministru, cu avizul CSAT art. 9 alin. 1.
• Componență: câte un reprezentant de la 15 instituții – Administrația Prezidențială, prim-ministru, MAI, MApN, MAE, Finanțe, Muncă, Cercetare-Digitalizare, Educație, SRI, SIE, STS, SPP, ANCOM, ORNISS art. 9 alin. 2.
• Membri de drept: directorul și adjuncții DNSC art. 9 alin. 4.
• Atribuții art. 9 alin. 5:
  • avizează strategiile și politicile publice ale DNSC;
  • avizează proiectul bugetului anual, planul anual și raportul anual de activitate;
  • avizează actele de organizare (stat de funcții, structură, ROF);
  • formulează recomandări și analizează activitatea DNSC.
• Ședințe: ordinare trimestriale; extraordinare ori de câte ori e nevoie art. 9 alin. 6.
• Vot: avize, recomandări, decizii de numire și revocare a membrilor Comitetului de reglementare – cu majoritatea simplă a membrilor prezenți art. 9 alin. 7.
• Secretariatul îl asigură DNSC art. 9 alin. 8.

• Rol: garant al obiectivității, transparenței, neutralității, echidistanței, nediscriminării și legalității reglementării; rol consultativ art. 10 alin. 1–2.
• Componență: trei membri din DNSC desemnați de director + câte un membru din instituțiile din Comitetul director art. 10 alin. 2.
• Numirea și revocarea: de către Comitetul director, la propunerea instituțiilor art. 10 alin. 3.
• Președinția: unul dintre membrii DNSC convoacă și prezidează reuniunile art. 10 alin. 4.
• Condiții pentru membri art. 10 alin. 5:
  • cetățeni români cu domiciliul stabil în România, bună reputație atestată prin scrisoare de recomandare;
  • studii superioare tehnice, economice sau juridice și vechime în muncă de minimum 10 ani;
  • minimum 5 ani în funcții de conducere în domeniu sau din SNAOPSN.
• Mandatul: 3 ani art. 10 alin. 6.
• Imposibilitate definitivă = indisponibilizare mai mare de 90 de zile consecutive; se desemnează altă persoană pentru restul mandatului art. 10 alin. 7–8.

• Cheltuielile curente și de capital: integral de la bugetul de stat, prin bugetul SGG art. 11 alin. 1.
• Tarife și venituri încasate de DNSC art. 11 alin. 2:
  • tarife pentru înscrierea în RNAPSSC și pentru autorizarea laboratoarelor civile;
  • tarife pentru avizare, verificare, validarea conformității și certificare;
  • venituri din servicii de specialitate, produse, drepturi de proprietate intelectuală, comisioane din proiecte.
• Virarea: sumele se fac venit la bugetul de stat și se virează în cel mult două zile lucrătoare de la încasare art. 11 alin. 3.
• Analiza activității: de către CSAT, pe baza raportului anual pentru anul anterior art. 12 alin. 1.
• Raportul anual se depune la CSAT până la 31 martie, după avizarea de către Comitetul director art. 12 alin. 2.
• Rapoarte și analize se prezintă prim-ministrului, președintelui, CSAT, COSC, instituțiilor din SNAOPSN și Comitetului director art. 12 alin. 3.

• Componență: personal contractual propriu și personal detașat din SNAOPSN art. 13 alin. 1.
• Statul de funcții, structura și ROF se aprobă de CSAT art. 13 alin. 2.
• Numărul maxim de posturi: 1.250, cu structurile centrale, regionale și județene, fără demnitari și cabinetele lor art. 13 alin. 3.
• Funcții specifice de conducere: manager superior, manager, coordonator superior, coordonator securitate cibernetică art. 13 alin. 4 lit. a.
• Execuție, studii superioare: funcții de „expert” (de ex. expert securitate cibernetică, expert investigații digitale și analiză malware) art. 13 alin. 4 lit. b.
• Execuție, studii medii: funcții de „asistent” (de ex. asistent securitate cibernetică, asistent preluare, analiză primară și răspuns la incidente) art. 13 alin. 4 lit. c.
• Angajarea: pe bază de concurs sau examen organizat în condițiile legii; salarizarea după anexa nr. VIII la Legea-cadru nr. 153/2017 art. 14.

• Patrimoniul: DNSC preia patrimoniul, arhiva și creditele bugetare ale CERT-RO art. 15 alin. 1.
• Subrogare: DNSC preia toate drepturile și obligațiile CERT-RO, inclusiv litigiile, și calitatea procesuală art. 15 alin. 2.
• Protocolul de predare-preluare: întocmit în 30 de zile de la intrarea în vigoare art. 15 alin. 3.
• Cooperare internațională: reprezintă România la instituțiile UE; poate fi membru cotizant în organizații naționale și internaționale art. 16 alin. 2, 4.
• Regulamentul CNGCSC: elaborat de DNSC în 180 de zile, aprobat de directorul DNSC după consultarea membrilor permanenți din COSC art. 17 alin. 1.

• Cine testează: produsele și serviciile de securitate cibernetică sunt testate, evaluate și certificate de laboratoare civile autorizate art. 18 alin. 1.
• Autorizația DNSC: funcționarea e condiționată de obținerea prealabilă a autorizației art. 18 alin. 1.
• Regulamentul de autorizare: elaborat de DNSC, aprobat prin hotărâre a Guvernului art. 18 alin. 2.
• Valabilitatea autorizației: maximum 3 ani art. 18 alin. 2.
• Cererea: în format fizic sau electronic, cu documentația din regulament art. 18 alin. 3.
• 10 zile de la cerere: DNSC spune dacă dosarul e complet sau cere informații suplimentare art. 18 alin. 4.
• 60 de zile de la primirea tuturor informațiilor: DNSC eliberează autorizația sau comunică decizia negativă art. 18 alin. 5.
• Refuzul trebuie justificat corespunzător art. 18 alin. 6.
• Controlul laboratoarelor civile îl face DNSC art. 18 alin. 7; art. 19 alin. 1–2.

• Contravenții (dacă nu sunt infracțiuni) art. 19 alin. 3:
  • folosirea titulaturii de laborator civil autorizat fără autorizație DNSC;
  • rapoarte sau certificate emise de laboratoare neautorizate sau fără autorizație valabilă;
  • refuzul laboratorului de a se supune controlului DNSC.
• Amenda generală: 5.000–50.000 lei; la o nouă contravenție în 6 luni, maximul crește la 200.000 lei art. 19 alin. 4 lit. a.
• Cifra de afaceri peste 1.000.000 lei: până la 5% din cifra de afaceri netă; la repetare în 6 luni, până la 10% art. 19 alin. 4 lit. b.
• Entități nou-înființate sau fără cifră de afaceri: între 1 și 25 de salarii minime brute pe economie art. 19 alin. 8.
• Individualizarea: după gradul de pericol social concret și durata încălcării art. 19 alin. 6.
• Constatarea – personalul de control al DNSC; sancționarea – prin decizia directorului DNSC art. 19 alin. 10.
• Prescripția aplicării sancțiunii: un an de la săvârșirea faptei art. 19 alin. 13.
• Comunicarea deciziei: în 15 zile de la emitere; amenda se plătește în 30 de zile de la comunicare art. 19 alin. 14–15.
• Decizia este titlu executoriu; amenzile se fac venit integral la bugetul de stat, executarea prin ANAF art. 19 alin. 16–17.
• Contestarea: la Curtea de Apel București, fără procedură prealabilă, în 30 de zile de la comunicare art. 19 alin. 18.
• Consiliul Concurenței este sesizat de DNSC pentru posibile fapte anticoncurențiale art. 19 alin. 12, 19.

• Nu se aplică domeniilor de apărare, ordine publică și securitate națională, infrastructurilor critice naționale și celor cu informații clasificate art. 20 alin. 1.
• Lista bunurilor preluate de DNSC: prin hotărâre a Guvernului, în 30 de zile art. 20 alin. 2.
• Ocuparea posturilor vacante începe după aprobarea de către CSAT a statului de funcții, organigramei și ROF art. 20 alin. 4.
• Regulamentul laboratoarelor civile: prin HG, în 180 de zile art. 20 alin. 5.
• Normele registrului RNAPSSC: în 120 de zile, prin ordin al directorului DNSC art. 20 alin. 6.
• Normele de avizare a proiectelor: în 180 de zile, prin ordin al secretarului general al Guvernului art. 20 alin. 7.
• Concursuri pe durata stării de alertă: permise pentru posturile DNSC, prin derogare de la Legea nr. 55/2020 art. 20 alin. 8.
• În Legea nr. 362/2018, „CERT-RO” se înlocuiește cu „DNSC”, iar „secretarul general al Guvernului” cu „directorul DNSC” art. 20 alin. 9.
• Se abrogă HG nr. 494/2011 privind înființarea CERT-RO art. 20 alin. 10.