Referință individuală · versiune 6 iulie 2026
Articolul 36
ORDONANȚĂ DE URGENȚĂ nr. 155 din 30 decembrie 2024 - privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil
Articolul 36
(1)
DNSC, în calitate de CSIRT național, este responsabil de gestionarea procesului de divulgare coordonată a vulnerabilităților și este desemnat drept coordonator care acționează ca intermediar de încredere, facilitând, atunci când este necesar, interacțiunea dintre persoana fizică sau juridică care raportează o vulnerabilitate și producătorul sau furnizorul de produse TIC sau servicii TIC potențial vulnerabile, la cererea oricărei părți.
(1^1)
În îndeplinirea prevederilor alin. (1), DNSC se consultă cu un comitet consultativ, fără personalitate juridică, format din autoritățile prevăzute la art. 11, 12, 14-17 din Legea nr. 58/2023, care funcționează în baza unui statut elaborat de către DNSC și avizat de autoritățile membre.
Istoric modificaresursa și data modificării
(la 06-07-2026, Articolul 36 , Sectiunea a 4-a , Capitolul V a fost completat de Articolul I din LEGEA nr. 123 din 3 iulie 2026, publicată în MONITORUL OFICIAL nr. 550 din 3 iulie 2026 )
(2)
În îndeplinirea prevederilor alin. (1), DNSC:
a)
asigură primirea, stocarea și evaluarea raportărilor referitoare la orice vulnerabilitate a unui produs sau serviciu TIC, înaintate în condițiile alin. (3);
b)
asigură posibilitatea anonimatului persoanei care raportează o vulnerabilitate;
c)
identifică și contactează entitățile care produc, dețin sau administrează produse sau servicii TIC care fac obiectul raportării conform alin. (3), cărora le comunică vulnerabilitățile raportate;
d)
facilitează, în măsura în care este necesar, atunci când acționează drept intermediar de încredere, interacțiunea dintre persoana care raportează o vulnerabilitate și producătorul, deținătorul, administratorul sau furnizorul de produse sau servicii TIC potențial vulnerabile, la cererea uneia dintre părți și cu acordul celeilalte părți;
e)
dispune măsuri adecvate, conform atribuțiilor sale legale, în legătură cu gestionarea vulnerabilităților raportate de către entitățile care produc, dețin, administrează sau furnizează produse sau servicii TIC care fac obiectul raportării conform alin. (3);
f)
efectuează, după caz, verificări asupra vulnerabilităților în sistemele informatice, cu sprijinul producătorilor, deținătorilor, administratorilor sau furnizorilor de produse sau servicii TIC potențial vulnerabile;
g)
negociază cu entitățile afectate calendarele de divulgare și gestionare a vulnerabilităților care afectează mai multe entități;
h)
atunci când o vulnerabilitate raportată ar putea avea un impact semnificativ transfrontalier, cooperează, după caz, cu CSIRT-urile desemnate din cadrul Rețelei CSIRT;
i)
emite proceduri, norme tehnice și ghiduri conținând cerințe minime și recomandări pentru raportarea vulnerabilităților și conduita raportorilor, gestionarea acestora de către entități și îndeplinirea de către acestea a obligațiilor conexe, programele private de divulgare a vulnerabilităților și relațiile dintre entități și raportori;
j)
poate asista persoanele care raportează o vulnerabilitate.
(3)
Orice persoană fizică sau juridică poate raporta către DNSC vulnerabilități ale unor produse sau servicii TIC, cu respectarea prevederilor legale.
(4)
Producătorii și furnizorii de produse sau servicii TIC, care sunt entități esențiale sau importante, au obligațiile de a transmite către DNSC toate informațiile cu privire la vulnerabilitățile pe care le identifică, precum și cu privire la vulnerabilitățile care le sunt semnalate de către terți și care le afectează propriile produse sau servicii și de a remedia respectivele vulnerabilități într-un termen stabilit de comun acord cu DNSC.
Istoric modificaresursa și data modificării
(la 10-07-2025, Alineatul (4) , Articolul 36 , Sectiunea a 4-a , Capitolul V a fost modificat de Punctul 9. , ARTICOLUL UNIC din LEGEA nr. 124 din 7 iulie 2025, publicată în MONITORUL OFICIAL nr. 638 din 7 iulie 2025 )
(5)
Persoana fizică sau juridică care raportează conform alin. (3) respectă cel puțin următoarele:
a)
activitatea de cercetare pentru descoperirea de vulnerabilității raportate se efectuează cu bună-credință, exclusiv cu scopul de a contribui la îmbunătățirea securității cibernetice și cu respectarea prevederilor legale;
b)
activitatea de cercetare se desfășoară fără accesarea sau copierea neautorizată a conținutului fișierelor din sistemele informatice care fac obiectul activității de cercetare;
c)
în cadrul activității de cercetare nu sunt șterse sau modificate date din sistemele informatice care fac obiectul activității de cercetare;
d)
activitatea de cercetare se desfășoară fără încălcarea sau ocolirea unor bariere tehnice precum parole sau detalii de identificare, prin tehnici precum atacuri brute-force, prin phishing sau alte procedee de inginerie socială;
e)
nu se cauzează nicio întrerupere sau deteriorare a produselor sau serviciilor TIC ale terților;
f)
activitatea de cercetare nu se desfășoară pentru a derula atacuri, nu produce prejudicii și nu utilizează produse de tip malware sau tehnici de natură să afecteze disponibilitatea serviciilor TIC;
g)
nu a dezvăluit public informații cu privire la vulnerabilitatea identificată, anterior sau ulterior momentului raportării, fără acordul DNSC.
(6)
Raportarea de la alin. (3) se realizează în termen de cel mult 48 de ore de la identificarea vulnerabilității.
(7)
Entitățile care fac obiectul prezentei ordonanțe de urgență au obligația de a institui la nivelul acestora procese de management al vulnerabilităților TIC aferente produselor și serviciilor pe care le oferă și care includ cel puțin următoarele măsuri:
a)
asigură primirea raportărilor de vulnerabilități, analiza acestora în vederea confirmării sau infirmării validității celor semnalate, precum și pentru remedierea vulnerabilităților confirmate, inclusiv soluții temporare până la remediere pentru persoanele afectate;
b)
cooperarea cu DNSC în procesele de management al vulnerabilităților și de divulgare coordonată a vulnerabilităților;
c)
stabilirea și publicarea în cadrul detaliilor de contact tehnic în documente și pe pagina de internet a modalităților de contact și de comunicare privind vulnerabilitățile, precum și a termenilor și condițiilor pentru raportarea de vulnerabilități;
d)
asigurarea comunicării și cooperării cu raportorii și cu DNSC în procesul divulgare coordonată a vulnerabilităților, precum și, după caz, cu utilizatorii produselor sau serviciilor potențial vulnerabile.
(8)
DNSC notifică Comisiei Europene, fără întârzieri nejustificate, atât calitatea pe care o îndeplinește conform dispozițiilor alin. (1), cât și sarcinile ce îi revin în exercitarea acestei calități, precum și orice modificări ulterioare ale calității sale ori ale sarcinilor îndeplinite.
Istoric modificaresursa și data modificării
(la 10-07-2025, Articolul 36 , Sectiunea a 4-a , Capitolul V a fost completat de Punctul 10. , ARTICOLUL UNIC din LEGEA nr. 124 din 7 iulie 2025, publicată în MONITORUL OFICIAL nr. 638 din 7 iulie 2025 )