Referință individuală · versiune 6 iulie 2026
Articolul 46
ORDONANȚĂ DE URGENȚĂ nr. 155 din 30 decembrie 2024 - privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil
Articolul 46
(1)
În scopul asigurării respectării dispozițiilor prezentei ordonanțe de urgență, precum și a actelor normative subsecvente de către entități, DNSC poate:
a)
derula activități de supraveghere, verificare și control efectuate de persoane desemnate în acest sens prin decizie a directorului DNSC;
b)
dispune efectuarea de audituri de securitate ad-hoc, realizate de un auditor de securitate cibernetică atestat;
c)
solicita informații necesare pentru a evalua măsurile de gestionare a riscurilor în materie de securitate cibernetică adoptate de entitatea în cauză, inclusiv politicile de securitate cibernetică documentate, precum și respectarea obligației de a transmite informații către DNSC în temeiul art. 18;
d)
solicita acces la date, la documente și la orice informații necesare pentru îndeplinirea sarcinilor lor de supraveghere;
e)
solicita date, documente și orice informații care atestă punerea în aplicare a politicilor în materie de securitate cibernetică, cum ar fi rezultatele auditurilor de securitate cibernetică efectuate de un auditor atestat și mijloacele de probă care stau la baza acestora.
(2)
Activitatea de control se realizează în baza planului de control anual aprobat prin decizie a directorului DNSC, după avizarea acestuia de către adjunctul directorului DNSC care coordonează activitatea de reglementare și control, sau în următoarele cazuri, fără a fi limitate la acestea:
a)
un incident semnificativ;
b)
indicii temeinice cu privire la încălcarea dispozițiilor prezentei ordonanțe de urgență de către o entitate.
(3)
Activitatea de supraveghere și control se realizează de către DNSC inclusiv la solicitarea motivată a CNCPIC pentru entitățile identificate critice conform dispozițiilor legale privind reziliența entităților critice.
(4)
În cazul entităților importante, supravegherea conform alin. (1) lit. a) se realizează doar pentru punerea în aplicare a art. 48 alin. (2) lit. b)-g).
(5)
În vederea punerii în aplicare a alin. (1) lit. a) cu privire la entitățile esențiale și entitățile importante, DNSC poate efectua scanări de securitate cibernetică neintruzive și proactive, bazate pe criterii obiective, nediscriminatorii, echitabile și transparente pentru evaluarea riscurilor, cu notificarea prealabilă a entității în cauză și, după caz, în cooperare cu aceasta.
(6)
În vederea punerii în aplicare a alin. (2), DNSC poate solicita accesul la date, echipamente hardware și software, precum și informații de la personalul entităților în vederea îndeplinirii sarcinilor de supraveghere și control.
(7)
Cu ocazia desfășurării auditului de securitate cibernetică în condițiile prevăzute la art. 11 alin. (5) sau, după caz, alin. (6), se realizează o evaluare sistematică a tuturor politicilor, procedurilor și măsurilor de protecție implementate la nivelul unor rețele și sisteme informatice, în vederea identificării disfuncționalităților și vulnerabilităților și recomandării măsurilor de remediere a acestora.
(8)
În termen de cel mult 5 zile de la finalizarea oricărui audit de securitate cibernetică, entitatea auditată transmite către DNSC și, după caz, autorității competente sectorial rezultatele acestuia.
(9)
Costurile generate de auditul de securitate cibernetică, inclusiv cel ad-hoc, sunt suportate de către entitatea auditată.