Referință individuală · versiune 6 iulie 2026
Articolul 37
ORDONANȚĂ DE URGENȚĂ nr. 155 din 30 decembrie 2024 - privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil
Articolul 37
(1)
În vederea asigurării unui nivel comun ridicat de securitate cibernetică la nivel național, DNSC se consultă și cooperează cu următoarele:
a)
Autoritatea Națională pentru Administrare și Reglementare în Comunicații, denumită în continuare ANCOM, care este autoritate competentă sectorial în domeniul securității cibernetice, potrivit prevederilor prezentei ordonanțe de urgență, pentru sectorul „8. Infrastructură digitală“: „Furnizorii de IXP (internet exchange point)“, „Furnizorii de servicii de centre de date“, „Furnizorii de rețele publice de comunicații electronice“ și „Furnizorii de servicii de comunicații electronice destinate publicului“ din anexa nr. 1 și pentru sectorul „1. Servicii poștale și de curierat“ din anexa nr. 2;
b)
autoritățile, astfel cum acestea se identifică în temeiul art. 2 alin. (2) din Regulamentul delegat (UE) 2024/1.366 al Comisiei din 11 martie 2024 de completare a Regulamentului (UE) 2019/943 al Parlamentului European și al Consiliului prin stabilirea unui cod de rețea privind normele sectoriale pentru aspectele legate de securitatea cibernetică a fluxurilor transfrontaliere de energie electrică;
c)
Autoritatea pentru Digitalizarea României, denumită în continuare ADR, care este autoritate competentă sectorial în domeniul securității cibernetice, potrivit prevederilor prezentei ordonanțe de urgență, pentru sectorul „8. Infrastructură digitală“: „Prestatorii de servicii de încredere“;
d)
alte autorități competente sectorial în domeniul securității cibernetice, conform anexelor nr. 1 și 2.
(2)
În vederea asigurării unui nivel comun ridicat de securitate cibernetică la nivel național, DNSC se coordonează cu CNCPIC și face schimb de informații periodic pentru identificarea entităților esențiale identificate ca fiind entități critice în ceea ce privește riscurile, incidentele și amenințările cibernetice și de altă natură decât cibernetică care le privesc și le afectează, precum și cu privire la măsurile luate ca răspuns la acestea.
(3)
DNSC cooperează, colaborează și face schimb periodic de informații cu Banca Națională a României, denumită în continuare BNR, și Autoritatea de Supraveghere Financiară, denumită în continuare ASF, pentru evaluarea și gestionarea riscurilor cibernetice, identificarea vulnerabilităților și implementarea măsurilor de protecție adecvate entităților esențiale și entităților importante din domeniul bancar și al infrastructurilor pieței financiare, astfel:
Istoric modificaresursa și data modificării
(la 10-07-2025, Partea introductivă a alineatului (3) , Articolul 37 , Sectiunea 1 , Capitolul VI a fost modificată de Punctul 11. , ARTICOLUL UNIC din LEGEA nr. 124 din 7 iulie 2025, publicată în MONITORUL OFICIAL nr. 638 din 7 iulie 2025 )
a)
BNR și ASF transmit în timp util către DNSC informații privind incidentele majore legate de TIC și amenințările cibernetice semnificative, raportate de către entitățile cărora li se aplică cerințele Regulamentului DORA, iar DNSC transmite către BNR și ASF informații privind incidentele majore și amenințările cibernetice, raportate de către entitățile esențiale sau importante cărora li se aplică prezenta ordonanță de urgență și care au fost desemnate conform Regulamentului DORA drept furnizori terți esențiali de servicii TIC;
b)
BNR și ASF pot solicita orice tip de consultanță și asistență tehnică relevantă din partea DNSC, în limita capacităților și resurselor DNSC, și pot stabili acorduri de cooperare pentru a permite crearea unor mecanisme de coordonare eficace și rapide.
(4)
DNSC aplică dispozițiile art. 3 alin. (4) și art. 5 lit. h) pct. 8 și 9 din Ordonanța de urgență a Guvernului nr. 104/2021.
(5)
Autoritatea competentă sectorial va fi desemnată de către ministerele de resort, prin hotărâre a Guvernului.
(6)
Atunci când o entitate desfășoară activitate în două sau mai multe sectoare, astfel cum sunt prevăzute în anexele nr. 1 și 2, acesteia i se aplică măsurile tehnice, operaționale și organizatorice proporționale și adecvate pentru a gestiona riscurile aferente securității rețelelor și a sistemelor informatice de nivelul cel mai ridicat.
(7)
Autoritățile, astfel cum sunt stabilite la alin. (1), pot:
a)
constitui CSIRT-uri sectoriale, sens în care monitorizează, identifică, analizează și răspund la amenințările de securitate cibernetică din sectorul corespunzător și oferă servicii publice de tip preventiv, de tip reactiv sau de consultanță pentru managementul securității cibernetice sau pot achiziționa servicii de specialitate de la furnizorii de servicii specifice CSIRT, autorizați de către DNSC;
b)
colecta raportări de incidente din propriul sector, potrivit ordinelor comune prevăzute la alin. (8) lit. b);
c)
derula activități de investigare a incidentelor, sub coordonarea CSIRT național;
d)
derula activități tehnice specifice de identificare a vulnerabilităților rețelelor și sistemelor informatice ale entităților care își desfășoară activitatea în domeniile de competență ale acestora, sens în care se consultă și cooperează cu CSIRT național;
e)
derula activități de evaluare a incidentelor în scopul identificării principalelor cauze, astfel încât să reducă riscul apariției unor astfel de incidente;
f)
elabora ghiduri și recomandări în domeniul securității cibernetice din domeniul de competență pentru asigurarea unei capacități adecvate de identificare, evaluare și adoptare a unor măsuri de management al riscului, răspuns la incidente și atacuri cibernetice, de asigurare a securității lanțului de aprovizionare, precum și de gestionare a situațiilor de criză.
(8)
Autoritățile, astfel cum sunt stabilite la alin. (1), au următoarele atribuții:
a)
transmit către DNSC, în măsura în care le dețin, informații și date privind amenințările cibernetice, inclusiv de indicatori de compromitere, tactici, tehnici și proceduri, alerte de securitate cibernetică și instrumente de configurare atunci când aceste schimburi de informații și date vizează sporirea rezilienței operaționale digitale a entităților din domeniul de competență a acestora prin sensibilizarea cu privire la amenințările cibernetice, limitarea sau împiedicarea răspândirii amenințărilor cibernetice, sprijinirea gamei de capacități defensive ale entităților, tehnicile de detectare a amenințărilor, strategiile de atenuare sau etapele proceselor de răspuns și de recuperare;
b)
emit ordine comune, împreună cu DNSC, în domeniul securității cibernetice din domeniul de competență, în vederea asigurării unui nivel comun ridicat de securitate cibernetică la nivel național, inclusiv în ceea ce privește măsurile tehnice, operaționale și organizatorice de gestionare a riscurilor, proporționale și adecvate pe care entitățile din domeniul de competență au obligația de a le lua în desfășurarea activității lor, procedura de notificare și de răspuns la incidentele de securitate cibernetică aplicabile entităților din domeniul de competență, pragurile specifice și criteriile de stabilire a impactului incidentelor de securitate din domeniul de competență;
c)
monitorizează respectarea actelor normative din domeniul securității cibernetice, elaborate potrivit lit. b), de către entitățile din domeniul de competență și realizează activități de supraveghere și control, potrivit prevederilor prezentei ordonanțe de urgență, aplicând în mod corespunzător art. 46 alin. (1) și (4)-(9), art. 47 alin. (1)-(7), art. 48-50, art. 51 alin. (1) și art. 57.
(9)
Autoritățile, astfel cum sunt stabilite la alin. (1), au următoarele obligații:
a)
sprijină DNSC în identificarea entităților esențiale și entităților importante din domeniul de competență conform art. 5-10;
b)
participă la elaborarea criteriilor de stabilire a impactului incidentelor, la cererea DNSC;
c)
asigură armonizarea reglementărilor sectoriale în domeniul securității cibernetice cu dispozițiile actelor de reglementare emise de către DNSC;
d)
se coordonează cu DNSC cu privire la planificarea și derularea activităților de control care au ca obiect aspecte de securitate cibernetică;
e)
transmit către DNSC informațiile privitoare la încălcările dispozițiilor prezentei ordonanțe de urgență, în vederea sprijinirii DNSC în stabilirea măsurilor de remediere și a sancțiunii.
f)
fac schimb de informații relevante în mod periodic, inclusiv în ceea ce privește incidentele și amenințările cibernetice relevante.
Istoric modificaresursa și data modificării
(la 10-07-2025, Alineatul (9) , Articolul 37 , Sectiunea 1 , Capitolul VI a fost completat de Punctul 12. , ARTICOLUL UNIC din LEGEA nr. 124 din 7 iulie 2025, publicată în MONITORUL OFICIAL nr. 638 din 7 iulie 2025 )
(10)
Autoritățile competente sectorial sunt, de asemenea, împuternicite să asigure supravegherea, controlul și sancționarea în aplicarea prevederilor prezentei ordonanțe de urgență, precum și ale regulamentelor Uniunii Europene din domeniul securității cibernetice și ale actelor de punere în aplicare a dispozițiilor Directivei (UE) 2022/2.555 care vizează entitățile din sectorul lor de competență potrivit prezentei ordonanțe de urgență, în cazul în care competențele de supraveghere, control și sancționare ale Regulamentelor, respectiv ale actelor de punere în aplicare nu au fost acordate altei autorități.
(11)
Controlul realizat în temeiul alin. (10) se desfășoară, după caz, împreună cu personal de control sau de specialitate din cadrul DNSC.
(12)
Autoritățile competente sectorial își pot exercita atribuțiile de supraveghere și control prevăzute de prezenta ordonanță de urgență inclusiv la solicitarea motivată a CNCPIC, pentru entitățile identificate critice conform dispozițiilor legale privind reziliența entităților critice.
(13)
Aplicarea actelor juridice ale Uniunii Europene nu derogă de la celelalte obligații care revin entităților esențiale și entităților importante conform dispozițiilor prezentei ordonanțe de urgență.
(14)
În cazul în care actele juridice sectoriale ale Uniunii Europene impun entităților esențiale sau entităților importante să adopte măsuri de gestionare a riscurilor în materie de securitate cibernetică sau să raporteze incidentele semnificative, iar cerințele respective au un efect cel puțin echivalent cu efectul obligațiilor prevăzute în prezenta ordonanță de urgență, dispozițiile prezentei ordonanțe de urgență privind măsurile de gestionare a riscurilor, raportarea incidentelor, precum și supravegherea, verificarea și controlul nu se aplică acestor entități. În cazul în care actele juridice sectoriale ale Uniunii Europene nu acoperă toate entitățile dintr-un anumit sector care intră în domeniul de aplicare a prezentei ordonanțe de urgență, dispozițiile relevante ale prezentei ordonanțe de urgență se aplică în continuare entităților care nu fac obiectul respectivelor acte juridice sectoriale ale Uniunii Europene.
(15)
Cerințele menționate la alin. (14) sunt considerate echivalente în privința efectului cu obligațiile prevăzute în prezenta ordonanță de urgență, în cazul în care îndeplinește cel puțin o condiție dintre următoarele:
a)
măsurile de gestionare a riscurilor în materie de securitate cibernetică sunt cel puțin echivalente în privința efectului cu cele prevăzute la art. 13;
b)
actul juridic sectorial al Uniunii Europene prevede accesul imediat, după caz, automat și direct, la raportarea incidentelor pentru CSIRT-uri, autoritățile competente sau punctele unice de contact în temeiul prezentei ordonanțe de urgență și dacă cerințele de raportare a incidentelor semnificative au un efect cel puțin echivalent cu cele prevăzute la art. 15.
(16)
Dispozițiile alin. (7)-(14) nu se aplică BNR și ASF.
(17)
Prin ordinul comun prevăzut la alin. (8) lit. b) se pot stabili modalitățile de implementare a dispozițiilor art. 11, art. 13, art. 15 alin. (1), (3), (5)-(10) și art. 16.
(18)
DNSC cooperează și colaborează cu Autoritatea Aeronautică Civilă Română, denumită în continuare AACR, autoritate competentă în temeiul art. 6 alin. (1) din Regulamentul de punere în aplicare (UE) 2023/203 al Comisiei din 27 octombrie 2022 de stabilire a normelor de aplicare a Regulamentului (UE) 2018/1.139 al Parlamentului European și al Consiliului în ceea ce privește cerințele referitoare la managementul riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației, impuse organizațiilor care intră sub incidența Regulamentelor (UE) nr. 1.321/2014, (UE) nr. 965/2012, (UE) nr. 1.178/2011, (UE) 2015/340 ale Comisiei și a Regulamentelor de punere în aplicare (UE) 2017/373 și (UE) 2021/664 ale Comisiei, precum și autorităților competente care intră sub incidența Regulamentelor (UE) nr. 748/2012, (UE) nr. 1.321/2014, (UE) nr. 965/2012, (UE) nr. 1.178/2011, (UE) 2015/340 și (UE) nr. 139/2014 ale Comisiei și a Regulamentelor de punere în aplicare (UE) 2017/373 și (UE) 2021/664 ale Comisiei, și de modificare a Regulamentelor (UE) nr. 1.178/2011, (UE) nr. 748/2012, (UE) nr. 965/2012, (UE) nr. 139/2014, (UE) nr. 1.321/2014, (UE) 2015/340 ale Comisiei și a Regulamentelor de punere în aplicare (UE) 2017/373 și (UE) 2021/664 ale Comisiei și la art. 5 alin. (1) din Regulamentul delegat (UE) 2022/1.645 al Comisiei din 14 iulie 2022 de stabilire a normelor de aplicare a Regulamentului (UE) 2018/1.139 al Parlamentului European și al Consiliului în ceea ce privește cerințele referitoare la managementul riscurilor în materie de securitate a informațiilor cu impact potențial asupra siguranței aviației impuse organizațiilor care intră sub incidența Regulamentelor (UE) nr. 748/2012 și (UE) nr. 139/2014 ale Comisiei și de modificare a Regulamentelor (UE) nr. 748/2012 și (UE) nr. 139/2014 ale Comisiei, pentru evaluarea și gestionarea riscurilor cibernetice, identificarea vulnerabilităților și implementarea măsurilor de protecție adecvate entităților din domeniul transporturilor aeriene prevăzute în anexa nr. 1, sectorul Transporturi, subsectorul Transport aerian la prezenta ordonanță de urgență, astfel:
a)
AACR și DNSC cooperează pentru gestionarea incidentelor și amenințărilor cibernetice semnificative, raportate de către entitățile care intră în competența AACR, iar DNSC transmite către AACR informații privind incidentele și amenințările cibernetice, raportate de către entitățile care intră în competența AACR și cărora li se aplică prezenta ordonanță de urgență;
b)
AACR poate solicita consultanță și asistență tehnică relevantă din partea DNSC, în limita capacităților și resurselor DNSC, și se pot stabili acorduri de cooperare între cele două autorități pentru a permite crearea unor mecanisme de coordonare eficace și rapide.
(19)
DNSC informează Forumul de supraveghere instituit în temeiul art. 32 alin. (1) din Regulamentul (UE) 2022/2.554 atunci când își exercită competențele de supraveghere și control menite să asigure respectarea prezentei ordonanțe de urgență de către o entitate esențială sau importantă, care este desemnată ca fiind un furnizor terț de servicii TIC critice în temeiul art. 31 din Regulamentul (UE) 2022/2.554.
(20)
În vederea asigurării unui nivel comun ridicat de securitate cibernetică la nivel național în domeniul transformării digitale și societății informaționale, DNSC cooperează cu ADR în ceea ce privește riscurile, incidentele și amenințările cibernetice.
(21)
În vederea îndeplinirii atribuțiilor ce le revin în temeiul prevederilor prezentei ordonanțe de urgență, autoritățile competente sectorial se asigură că dețin personal suficient și competent și că dispun de resurse adecvate pentru a-și îndeplini în mod eficace și eficient atribuțiile.