Comunica experienta
MonitorulJuridic.ro

Trimite prin Yahoo Messenger pagina: LEGE nr. 124 din 7 iulie 2025 pentru aprobarea Ordonanţei de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil

Cautare document

Termen: Tipul actului: Anul publicarii actului:

Cautare document

Termen: Tipul actului: Anul publicarii actului:

Copierea de continut din prezentul site este supusa regulilor precizate in Termeni si conditii! Click aici.
Prin utilizarea siteului sunteti de acord, in mod implicit cu Termenii si conditiile! Orice abatere de la acestea constituie incalcarea dreptului nostru de autor si va angajeaza raspunderea!

LEGE nr. 124 din 7 iulie 2025 pentru aprobarea Ordonanţei de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil

EMITENT: Parlamentul
PUBLICAT: Monitorul Oficial nr. 638 din 7 iulie 2025

Comenteaza legea

    Parlamentul României adoptă prezenta lege.
    ARTICOL UNIC
    Se aprobă Ordonanţa de urgenţă a Guvernului nr. 155 din 30 decembrie 2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil, publicată în Monitorul Oficial al României, Partea I, nr. 1332 din 31 decembrie 2024, cu următoarele modificări şi completări:
    1. La articolul 2, alineatul (5) se modifică şi va avea următorul cuprins:
    "(5) Prezenta ordonanţă de urgenţă se aplică fără a aduce atingere prevederilor Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal şi protecţia vieţii private în sectorul comunicaţiilor electronice, cu modificările şi completările ulterioare, ale Regulamentului (UE) 2016/679 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor), ale Legii nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor), cu modificările ulterioare, ale Legii nr. 286/2009 privind Codul penal, cu modificările şi completările ulterioare, şi dispoziţiilor legale privind rezilienţa entităţilor critice."

    2. La articolul 3, după alineatul (2) se introduc două noi alineate, alineatele (3) şi (4), cu următorul cuprins:
    "(3) În activităţile de înregistrare, de supraveghere şi control, cât şi de primire şi gestionare a raportărilor de incidente, precum şi în procesele interne, DNSC protejează interesele de securitate şi comerciale ale entităţilor, astfel cum acestea sunt definite de dispoziţiile art. 4 lit. f), precum şi confidenţialitatea informaţiilor furnizate de către acestea.
(4) Informaţiile prelucrate în sensul îndeplinirii obligaţiilor de la alin. (3) nu fac parte din categoria informaţiilor de interes public aşa cum acestea sunt reglementate în Legea nr. 544/2001 privind liberul acces la informaţiile de interes public, cu modificările şi completările ulterioare."

    3. La articolul 4, litera v) se modifică şi va avea următorul cuprins:
    "v) platformă de servicii de socializare în reţea înseamnă o platformă care permite utilizatorilor finali să se conecteze, să partajeze, să descopere şi să comunice între ei pe mai multe dispozitive, inclusiv prin conversaţii online, postări, materiale video şi recomandări;"

    4. La articolul 14, alineatele (2) şi (3) se modifică şi vor avea următorul cuprins:
    "(2) Membrii organelor de conducere ale entităţilor esenţiale şi ale entităţilor importante urmează cursuri de formare profesională acreditate în vederea asigurării unui nivel suficient de cunoştinţe şi competenţe pentru a identifica riscurile şi a evalua practicile de gestionare a riscurilor de securitate cibernetică, precum şi impactul acestora asupra serviciilor furnizate de entitate. Entităţile esenţiale şi importante asigură, în mod regulat, formarea profesională întregului personal în vederea asigurării unui nivel suficient de cunoştinţe şi competenţe.
(3) Organele de conducere ale entităţilor esenţiale şi ale entităţilor importante stabilesc mijloacele permanente de contact, asigură alocarea resurselor necesare pentru punerea în aplicare a măsurilor de gestionare a riscurilor de securitate cibernetică şi desemnează, în termen de 30 de zile de la data comunicării deciziei directorului DNSC pentru identificarea şi înscrierea în registru, responsabilii cu securitatea reţelelor şi sistemelor informatice care au rolul de a implementa şi supraveghea măsurile de gestionare a riscurilor de securitate cibernetică la nivelul entităţii."

    5. La articolul 15, partea introductivă a alineatului (6) se modifică şi va avea următorul cuprins:
    "(6) Un incident este considerat semnificativ sau impactul unui incident este considerat semnificativ dacă este îndeplinită cel puţin una dintre condiţiile de mai jos:"

    6. La articolul 18, litera g) a alineatului (3) şi alineatul (10) se modifică şi vor avea următorul cuprins:
    "g) statele membre în care prestează servicii care se încadrează în anexa nr. 1 sau anexa nr. 2, după caz;
    ........................................
(10) Punctul unic de contact naţional transmite în legătură cu furnizorii de servicii DNS registrele de nume TLD, entităţile care furnizează servicii de înregistrare a numelor de domenii, furnizorii de servicii de cloud computing, operatorii de reţele de livrare de conţinut, furnizorii de servicii de centre de date, furnizorii de servicii gestionate, furnizorii de servicii de securitate gestionate şi furnizorii de servicii digitale, informaţiile prevăzute la alin. (3) către ENISA, după primirea acestora, cu excepţia informaţiilor cuprinse în alin. (3) lit. i) şi j) până cel târziu la 17 ianuarie 2025 şi ori de câte ori intervin modificări în legătură cu acestea. Punctul unic de contact revizuieşte informaţiile prevăzute în mod regulat şi cel puţin o dată la doi ani. O dată la doi ani, punctul unic de contact notifică Comisiei Europene şi Grupului de cooperare numărul entităţilor esenţiale şi importante identificate pentru fiecare sector şi subsector, conform anexelor nr. 1 şi 2, iar Comisiei Europene îi notifică numărul entităţilor esenţiale şi importante identificate în temeiul dispoziţiilor art. 9, sectorul şi subsectorul din care fac parte conform anexelor nr. 1 şi 2, tipul serviciului pe care îl furnizează, precum şi temeiul juridic în baza căruia acestea au fost identificate şi, la cererea Comisiei Europene, punctul unic de contact poate transmite denumirile acestora."

    7. La articolul 20, alineatul (4) se modifică şi va avea următorul cuprins:
    "(4) Acordurile privind schimbul de informaţii în materie de securitate cibernetică cuprind şi informaţii cu privire la elemente operaţionale, inclusiv utilizarea platformelor TIC dedicate şi a instrumentelor de automatizare, conţinutul şi condiţiile acordurilor privind schimbul de informaţii şi se notifică DNSC, de îndată, atât încheierea, cât şi retragerea din cadrul acestora."

    8. La articolul 23 alineatul (1), litera b) se modifică şi va avea următorul cuprins:
    "b) un cadru de guvernanţă pentru realizarea obiectivelor şi priorităţilor menţionate la lit. a), inclusiv politicile publice prevăzute la alin. (2);"

    9. La articolul 36, alineatul (4) se modifică şi va avea următorul cuprins:
    "(4) Producătorii şi furnizorii de produse sau servicii TIC, care sunt entităţi esenţiale sau importante, au obligaţiile de a transmite către DNSC toate informaţiile cu privire la vulnerabilităţile pe care le identifică, precum şi cu privire la vulnerabilităţile care le sunt semnalate de către terţi şi care le afectează propriile produse sau servicii şi de a remedia respectivele vulnerabilităţi într-un termen stabilit de comun acord cu DNSC."

    10. La articolul 36, după alineatul (7) se introduce un nou alineat, alineatul (8), cu următorul cuprins:
    "(8) DNSC notifică Comisiei Europene, fără întârzieri nejustificate, atât calitatea pe care o îndeplineşte conform dispoziţiilor alin. (1), cât şi sarcinile ce îi revin în exercitarea acestei calităţi, precum şi orice modificări ulterioare ale calităţii sale ori ale sarcinilor îndeplinite."

    11. La articolul 37, partea introductivă a alineatului (3) se modifică şi va avea următorul cuprins:
    "(3) DNSC cooperează, colaborează şi face schimb periodic de informaţii cu Banca Naţională a României, denumită în continuare BNR, şi Autoritatea de Supraveghere Financiară, denumită în continuare ASF, pentru evaluarea şi gestionarea riscurilor cibernetice, identificarea vulnerabilităţilor şi implementarea măsurilor de protecţie adecvate entităţilor esenţiale şi entităţilor importante din domeniul bancar şi al infrastructurilor pieţei financiare, astfel:"

    12. La articolul 37 alineatul (9), după litera e) se introduce o nouă literă, litera f), cu următorul cuprins:
    "f) fac schimb de informaţii relevante în mod periodic, inclusiv în ceea ce priveşte incidentele şi ameninţările cibernetice relevante."

    13. La articolul 47, alineatul (5) se modifică şi va avea următorul cuprins:
    "(5) În cel mult 15 zile lucrătoare de la data primirii notei de constatare conform alin. (3) sau transmiterii punctului de vedere conform alin. (3), după caz, entităţile sunt obligate să întocmească şi să transmită către DNSC planul de măsuri pentru remedierea tuturor deficienţelor constatate şi termenele asumate pentru implementarea acestora. Entităţile sunt obligate să implementeze planul de măsuri în termenul asumat, să notifice DNSC cu privire la implementarea tuturor măsurilor prevăzute în cadrul planului şi să pună la dispoziţie acte doveditoare în acest sens, în cel mult cinci zile de la împlinirea termenului asumat."

    14. La articolul 50, alineatele (2) şi (4) se modifică şi vor avea următorul cuprins:
    "(2) Următoarele fapte constituie încălcări grave:
    a) încălcări repetate;
    b) obstrucţionarea auditurilor, a activităţii de monitorizare dispuse de DNSC în urma constatărilor sau a activităţii de control desfăşurate de către DNSC ori de către autoritatea competentă sectorial;
    c) furnizarea de informaţii false sau vădit denaturate în ceea ce priveşte măsurile de gestionare a riscurilor în materie de securitate cibernetică prevăzute la art. 11-14 sau obligaţiile de raportare prevăzute la art. 15;
    d) îngrădirea accesului personalului desemnat în acest sens de către DNSC în spaţiile supuse controlului, precum şi asupra datelor şi informaţiilor necesare controlului;
    e) nerespectarea dispoziţiilor DNSC emise în temeiul art. 48 alin. (2).
    ................................................
(4) Adunarea generală a acţionarilor şi consiliul de administraţie nu sunt organe de conducere a entităţilor esenţiale şi importante în sensul prezentei ordonanţe de urgenţă."

    15. La articolul 60 alineatul (1), literele n), bb) şi cc) se modifică şi vor avea următorul cuprins:
    "n) neîndeplinirea de către entităţile esenţiale şi importante a obligaţiei de notificare sau de remediere a incidentelor semnificative sau a obligaţiei de remediere a deficienţelor constatate de către autorităţile competente cu respectarea termenelor şi condiţiilor indicate de către respectivele autorităţi;
    .....................................................
bb) nerespectarea de către producătorii şi furnizorii de produse sau servicii TIC care sunt entităţi esenţiale sau importante a obligaţiei de a transmite informaţii conform art. 36 alin. (4), în termenul stabilit de comun acord;
cc) nerespectarea de către producătorii şi furnizorii de produse sau servicii TIC care sunt entităţi esenţiale sau importante a obligaţiei de a remedia vulnerabilităţile conform art. 36 alin. (4);"

    16. La articolul 60 alineatul (1), după litera oo) se introduc două noi litere, literele pp) şi qq), cu următorul cuprins:
    "pp) nerespectarea de către entităţile esenţiale şi importante a obligaţiei de implementare conform art. 47 alin. (5), în termenul asumat;
qq) nerespectarea de către entităţile esenţiale şi importante a obligaţiei de notificare şi punere la dispoziţie a actelor doveditoare conform art. 47 alin. (5), în termenul indicat."

    17. La articolul 60, alineatul (2) se modifică şi va avea următorul cuprins:
    "(2) Prin derogare de la dispoziţiile art. 8 alin. (2) lit. a) din Ordonanţa Guvernului nr. 2/2001 privind regimul juridic al contravenţiilor, aprobată cu modificări şi completări prin Legea nr. 180/2002, cu modificările şi completările ulterioare, contravenţiile prevăzute la alin. (1) se sancţionează după cum urmează:
    a) pentru entităţile importante, amendă de la 5.000 lei la cel mult 7.000.000 euro în echivalentul în lei sau cel mult 1,4% din cifra de afaceri anuală la nivel mondial, luându-se în considerare valoarea cea mai mare dintre acestea, pentru contravenţiile prevăzute la alin. (1) lit. a)-d), f)-m), dd), jj) şi mm);
    b) pentru entităţile esenţiale, amendă de la 10.000 lei la cel mult 10.000.000 euro în echivalentul în lei sau cel mult 2% din cifra de afaceri anuală la nivel mondial, luându-se în considerare valoarea cea mai mare dintre acestea, pentru contravenţiile prevăzute la alin. (1) lit. a)-m), dd), jj) şi mm);
    c) pentru entităţile importante, amendă de la 1.000 lei la 300.000 lei, pentru contravenţiile prevăzute la alin. (1) lit. n)-t), ee), ff), kk), ll) şi nn)-qq);
    d) pentru entităţile esenţiale, amendă de la 1.500 lei la 500.000 lei, în cazul alin. (1) lit. n)-t), ee), ff), kk), ll) şi nn)-qq);
    e) amendă de la 1.000 lei la 100.000 lei, pentru contravenţiile prevăzute la alin. (1) lit. u)-z), aa)-cc) şi gg)-ii)."

    18. La articolul 60, după alineatul (2) se introduce un nou alineat, alineatul (2^1), cu următorul cuprins:
    "(2^1) Prin derogare de la dispoziţiile art. 8 alin. (2) lit. a) din Ordonanţa Guvernului nr. 2/2001, aprobată cu modificări şi completări prin Legea nr. 180/2002, cu modificările şi completările ulterioare, încălcările grave prevăzute la art. 50 alin. (2) constituie contravenţii şi se sancţionează cu amendă de la 3.000 lei la 600.000 lei."

    19. La articolul 60, alineatele (3) şi (4) se modifică şi vor avea următorul cuprins:
    "(3) Cifra de afaceri anuală la nivel mondial prevăzută la alin. (2) lit. a) şi b) este cea înregistrată de către entitatea importantă sau esenţială în ultimul exerciţiu financiar.
(4) În vederea individualizării sancţiunii prevăzute la alin. (2) se iau în considerare criteriile prevăzute la art. 50 alin. (1). În cazurile prevăzute la art. 50 alin. (2) lit. a), cuantumul limitelor prevăzute la alin. (2^1) se majorează cu jumătate."

    20. La articolul 61, alineatul (2) se modifică şi va avea următorul cuprins:
    "(2) Constatarea contravenţiilor prevăzute la art. 60 alin. (1) lit. a)-n), ee), ff), jj)-qq) se realizează de către DNSC sau de către personalul de control al autorităţilor competente sectorial conform art. 37 alin. (1), pentru entităţile esenţiale sau importante, după caz, care îşi desfăşoară activitatea în domeniul de competenţă al acestor autorităţi, aplicarea sancţiunii realizându-se, în cazul autorităţilor competente sectorial, prin decizie a conducerii acestora, cu aplicarea în mod corespunzător a alin. (3)-(8). Constatarea contravenţiilor prevăzute la art. 60 alin. (1) lit. o)-dd), gg)-ii) şi alin. (2^1) se realizează de către DNSC, aplicarea sancţiunii realizându-se prin decizie a directorului DNSC."

    21. La articolul 67, alineatul (12) se modifică şi va avea următorul cuprins:
    "(12) Detaşarea funcţionarilor publici cu statut special - poliţişti se realizează în condiţiile Legii nr. 360/2002 privind Statutul poliţistului, cu modificările şi completările ulterioare. În mod excepţional, perioada detaşării poate fi prelungită pentru motive obiective ce impun prezenţa funcţionarului public cu statut special - poliţist în cadrul autorităţilor prevăzute la alin. (1), cu acordul său scris, din şase în şase luni, dar nu mai târziu de data de 31 decembrie 2027."

    22. La anexa nr. 1, sectorul 5 - Sectorul sănătăţii şi sectorul 8 - Infrastructură digitală se modifică şi vor avea următorul cuprins:
    "


┌──────────────┬─┬─────────────────────┐
│1             │2│3                    │
├──────────────┼─┼─────────────────────┤
│              │ │- Furnizorii de      │
│              │ │servicii medicale,   │
│              │ │astfel cum sunt      │
│              │ │definiţi de art. 347 │
│              │ │lit. c) din Legea nr.│
│              │ │95/2006 privind      │
│              │ │reforma în domeniul  │
│              │ │sănătăţii,           │
│              │ │republicată, cu      │
│              │ │modificările şi      │
│              │ │completările         │
│              │ │ulterioare           │
│              │ ├─────────────────────┤
│              │ │- Laboratoarele de   │
│              │ │referinţă ale UE,    │
│              │ │astfel cum sunt      │
│              │ │definite la art. 15  │
│              │ │din Regulamentul (UE)│
│              │ │2022/2.371 al        │
│              │ │Parlamentului        │
│              │ │European şi al       │
│              │ │Consiliului din 23   │
│              │ │noiembrie 2022       │
│              │ │privind ameninţările │
│              │ │transfrontaliere     │
│              │ │grave pentru sănătate│
│              │ │şi de abrogare a     │
│              │ │Deciziei nr. 1.082/  │
│              │ │2013/UE              │
│              │ ├─────────────────────┤
│              │ │- Entităţile care    │
│              │ │desfăşoară activităţi│
│              │ │de cercetare şi      │
│              │ │dezvoltare a         │
│              │ │medicamentelor în    │
│              │ │sensul definiţiei de │
│              │ │la art. 699 pct. 1   │
│              │ │din Legea nr. 95/    │
│              │ │2006, republicată, cu│
│              │ │modificările şi      │
│              │ │completările         │
│              │ │ulterioare           │
│              │ │- Entităţile care    │
│              │ │fabrică produse      │
│              │ │farmaceutice de bază │
│              │ │şi preparate         │
│              │ │farmaceutice         │
│              │ │menţionate în        │
│              │ │secţiunea C          │
│              │ │diviziunea 21 din    │
│              │ │NACE Rev. 2          │
│5. Sectorul   │ │- Entităţile care    │
│sănătăţii     │ │fabrică dispozitive  │
│              │ │medicale considerate │
│              │ │a fi esenţiale în    │
│              │ │contextul unei       │
│              │ │urgenţe de sănătate  │
│              │ │publică (lista       │
│              │ │dispozitivelor       │
│              │ │esenţiale pentru     │
│              │ │urgenţa de sănătate  │
│              │ │publică) în sensul   │
│              │ │art. 22 din          │
│              │ │Regulamentul (UE)    │
│              │ │2022/123 al          │
│              │ │Parlamentului        │
│              │ │European şi al       │
│              │ │Consiliului din 25   │
│              │ │ianuarie 2022 privind│
│              │ │consolidarea rolului │
│              │ │Agenţiei Europene    │
│              │ │pentru Medicamente în│
│              │ │ceea ce priveşte     │
│              │ │pregătirea pentru    │
│              │ │situaţii de criză în │
│              │ │domeniul             │
│              │ │medicamentelor şi al │
│              │ │dispozitivelor       │
│              │ │medicale şi          │
│              │ │gestionarea acestora │
│              │ │- Entităţile titulare│
│              │ │ale unei autorizaţii │
│              │ │de distribuţie a     │
│              │ │medicamentelor       │
│              │ │menţionate la art.   │
│              │ │803 din Legea nr. 95/│
│              │ │2006, republicată, cu│
│              │ │modificările şi      │
│              │ │completările         │
│              │ │ulterioare           │
│              │ │- Întreprinderile    │
│              │ │care desfăşoară      │
│              │ │oricare dintre       │
│              │ │activităţile         │
│              │ │economice menţionate │
│              │ │în diviziunea 4646 - │
│              │ │Comerţ cu ridicata al│
│              │ │produselor           │
│              │ │farmaceutice şi      │
│              │ │medicale şi 4773 -   │
│              │ │Comerţ cu amănuntul  │
│              │ │al produselor        │
│              │ │farmaceutice, în     │
│              │ │magazine specializate│
│              │ │din CAEN Rev. 3      │
├──────────────┴─┴─────────────────────┤
│…                                     │
├──────────────┬─┬─────────────────────┤
│              │ │- Furnizorii de IXP  │
│              │ │(internet exchange   │
│              │ │point)               │
│              │ ├─────────────────────┤
│              │ │- Furnizorii de      │
│              │ │servicii DNS, cu     │
│              │ │excepţia operatorilor│
│              │ │de servere pentru    │
│              │ │nume primare         │
│              │ ├─────────────────────┤
│              │ │- Registrele de nume │
│              │ │TLD                  │
│              │ ├─────────────────────┤
│              │ │- Furnizorii de      │
│              │ │servicii de cloud    │
│              │ │computing            │
│              │ ├─────────────────────┤
│8.            │ │- Furnizorii de      │
│Infrastructură│ │servicii de centre de│
│digitală      │ │date                 │
│              │ ├─────────────────────┤
│              │ │- Furnizorii de      │
│              │ │reţele de furnizare  │
│              │ │de conţinut          │
│              │ ├─────────────────────┤
│              │ │- Prestatorii de     │
│              │ │servicii de încredere│
│              │ ├─────────────────────┤
│              │ │- Furnizorii de      │
│              │ │reţele publice de    │
│              │ │comunicaţii          │
│              │ │electronice          │
│              │ ├─────────────────────┤
│              │ │- Furnizorii de      │
│              │ │servicii de          │
│              │ │comunicaţii          │
│              │ │electronice destinate│
│              │ │publicului           │
└──────────────┴─┴─────────────────────┘

"

    23. La anexa nr. 2, denumirea sectorului 4 - „4. Producţia, prelucrarea şi distribuţia de alimente“ se modifică şi va avea următorul cuprins:
    "4. Producţia, prelucrarea şi/sau distribuţia de alimente"

    Această lege a fost adoptată de Parlamentul României, cu respectarea prevederilor art. 75 şi ale art. 76 alin. (2) din Constituţia României, republicată.

                    p. PREŞEDINTELE CAMEREI DEPUTAŢILOR,
                    VASILE-DANIEL SUCIU
                    PREŞEDINTELE SENATULUI
                    ILIE-GAVRIL BOLOJAN

    Bucureşti, 7 iulie 2025.
    Nr. 124.

    ------

Newsletter GRATUIT

Aboneaza-te si primesti zilnic Monitorul Oficial pe email

Tags: Monitorul Oficial, Acte Monitorul Oficial, LEGE nr. 124 din 7 iulie 2025

Comentarii

Fii primul care comenteaza.

MonitorulJuridic.ro este un proiect:

Atentie, Juristi!

5 Modele de Contracte Civile si Acte Comerciale conforme cu Noul Cod civil si GDPR

Legea GDPR a modificat Contractele, Cererile sau Notificarile obligatorii

Va oferim Modele de Documente conform GDPR + Clauze speciale

Descarcati GRATUIT Raportul Special "5 Modele de Contracte Civile si Acte Comerciale conforme cu Noul Cod civil si GDPR"

﻿ LEGE nr. 124 din 7 iulie 2025 pentru aprobarea Ordonanţei de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil

Comentarii

Atentie, Juristi!

LEGE nr. 124 din 7 iulie 2025 pentru aprobarea Ordonanţei de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil