CELEX: 52013PC0048
Language: ro
Date: 2013-02-07
Title: Propunere de DIRECTIVĂ A PARLAMENTULUI EUROPEAN ŞI A CONSILIULUI privind măsuri de asigurare a unui nivel comun ridicat de securitate a rețelelor și a informației în Uniune

|
			
		
		
		52013PC0048
		
			Propunere de DIRECTIVĂ A PARLAMENTULUI EUROPEAN ŞI A CONSILIULUI privind măsuri de asigurare a unui nivel comun ridicat de securitate a rețelelor și a informației în Uniune /* COM/2013/048 final - 2013/0027 (COD) */
			
				
		
		
			
			   	EXPUNERE DE MOTIVE
Scopul directivei
propuse este de a asigura un nivel comun ridicat de securitate a rețelelor și a
informației. Acest lucru înseamnă îmbunătățirea securității internetului
și a rețelelor private, precum și a sistemelor informatice pe care se bazează
funcționarea societății și a economiei. În acest scop, li se va solicita
statelor membre să își îmbunătățească nivelul de pregătire și cooperarea
reciprocă, iar operatorilor de infrastructuri critice, precum cele de energie
și transport, principalilor furnizorii de servicii ale societății
informaționale (platforme de comerț electronic, rețele de socializare etc.) și
administrațiilor publice li se va solicita să adopte măsurile corespunzătoare
pentru gestionarea riscurilor de securitate și raportarea incidentelor grave
către autoritățile naționale competente.
Prezenta propunere este prezentată în corelare
cu Comunicarea comună a Comisiei și a Înaltului Reprezentant al Uniunii pentru
afaceri externe și politica de securitate privind o strategie europeană de
securitate cibernetică. Obiectivul strategiei este de a oferi un mediu digital
sigur și demn de încredere, promovând și protejând în același timp drepturile
fundamentale și alte valori centrale ale UE. Prezenta propunere constituie
acțiunea principală a strategiei. Alte acțiuni ale strategiei, din același
domeniu, se concentrează pe sensibilizare, pe dezvoltarea unei piețe interne
pentru produse și servicii de securitate cibernetică și pe încurajarea
investițiilor în cercetare și dezvoltare. Aceste acțiuni vor fi completate de
altele care vizează intensificarea luptei împotriva criminalității informatice
și elaborarea unei politici a UE privind securitatea cibernetică la nivel
internațional.
1.1.        Motivele și obiectivele
propunerii
Securitatea rețelelor
și a informației (Network and information security - NIS) este din ce în
ce mai importantă pentru economie și societate. NIS este, de asemenea, o
condiție prealabilă importantă de creare a unui mediu fiabil pentru comerțul
mondial cu servicii. Sistemele informatice pot fi însă afectate de incidente de
securitate, cum ar fi greșeli umane, evenimente naturale, deficiențe tehnice
sau atacuri răuvoitoare. Amploarea, frecvența și complexitatea acestor
incidente crește din ce în ce mai mult. Un procent de 57 % dintre
respondenții la consultarea publică online privind „Îmbunătățirea securității
rețelelor și a informației în UE”[1]
organizată de Comisie au afirmat că s-au confruntat în anul precedent cu
incidente de securitate a rețelelor și a informației care le-au afectat grav
activitatea. Lipsa NIS poate compromite
servicii vitale care depind de integritatea rețelelor și a sistemelor
informatice. Acest lucru poate provoca întreruperea funcționării unor
întreprinderi, poate genera pierderi financiare substanțiale pentru economia UE
și poate avea un impact negativ asupra bunăstării sociale.
În plus, ca
instrumente de comunicare fără frontiere, sistemele de informare digitale ale
statelor membre, în special internetul, sunt interconectate și au un rol
esențial în facilitarea circulației transfrontaliere a mărfurilor, serviciilor
și persoanelor. O perturbare majoră a funcționării acestor sisteme într-un stat
membru poate afecta alte state membre și UE în ansamblul său. Prin urmare,
reziliența și stabilitatea rețelelor și a sistemelor informatice este esențială
pentru definitivarea pieței digitale unice și pentru buna funcționare a pieței
interne. Probabilitatea de producere și frecvența incidentelor, precum și
incapacitatea de a asigura o protecție eficientă subminează, de asemenea,
încrederea publicului în serviciile furnizate de rețele și de sistemele
informatice: de exemplu, sondajul Eurobarometru din 2012 privind securitatea cibernetică
a arătat că 38 % dintre utilizatorii de internet din UE sunt preocupați de
siguranța plăților online și și-au schimbat comportamentul în urma temerilor
legate de securitate: 18 % sunt mai puțin înclinați să cumpere bunuri
online și 15 % sunt mai puțin înclinați să utilizeze servicii bancare
online[2].
Situația actuală din UE, care reflectă
abordarea pur voluntară urmată până în prezent, nu asigură o protecție
suficientă împotriva incidentelor și a riscurilor de securitate a rețelelor și
a informației în întreaga UE. Capacitățile și mecanismele existente în domeniul
NIS sunt pur și simplu insuficiente pentru a ține pasul cu evoluția rapidă a
amenințărilor din acest sector și a asigura un nivel comun ridicat de protecție
în toate statele membre.
În pofida inițiativelor întreprinse, statele
membre au niveluri foarte diferite de capacitate și de pregătire, ceea ce
conduce la fragmentarea abordărilor în UE. Ca urmare a faptului că rețelele și
sistemele sunt interconectate, securitatea globală a rețelelor și a informației
din UE este slăbită de statele membre cu un nivel insuficient de protecție.
Această situație împiedică, de asemenea, formarea încrederii inter pares, care
constituie o condiție preliminară pentru cooperare și schimb de informații. În
consecință, numai un număr mic de state membre cu un nivel ridicat al
capacităților cooperează între ele.
Ca urmare, nu există în prezent la nivelul UE
un mecanism eficace de cooperare și colaborare eficientă între statele membre
și de schimb de informații în condiții de încredere cu privire la incidentele
și riscurile de securitate a rețelelor și a informației. Acest fapt
poate conduce la intervenții necoordonate în domeniul reglementării, la
strategii necoerente și standarde divergente, având ca rezultat o protecție
insuficientă împotriva incidentelor și a riscurilor de securitate a rețelelor
și a informației în întreaga UE. Pot apărea, de asemenea, obstacole în cadrul
pieței interne generând costuri de conformitate pentru întreprinderile care
operează în mai multe state membre.
În sfârșit,
părților care administrează infrastructura critică sau care furnizează servicii
esențiale pentru funcționarea societății nu li se impun obligații adecvate de a
adopta măsuri de gestionare a riscurilor și de a face schimb de informații cu
autoritățile relevante. Pe de o parte, întreprinderilor le lipsesc, prin urmare,
stimulentele necesare pentru a aplica o gestionare serioasă a riscurilor, care
implică evaluarea acestora și luarea de măsuri adecvate pentru asigurarea NIS.
Pe de altă parte, multe dintre incidente nu sunt aduse la cunoștința
autorităților competente și trec neobservate. Este însă esențial ca
autoritățile publice să fie informate cu privire la incidente, pentru ca
acestea să reacționeze, să ia măsuri corespunzătoare de atenuare și să
stabilească priorități strategice adecvate în materie de NIS. 
Cadrul actual
de reglementare impune numai companiilor de telecomunicații să adopte măsuri de
gestionare a riscurilor și să raporteze incidentele grave de securitate a
rețelelor și a informației. Cu toate acestea, funcționarea multor altor
sectoare se bazează pe TIC și, prin urmare, acestea ar trebui să fie
preocupate, de asemenea, de NIS. O serie de furnizori de infrastructură și
servicii specifice sunt deosebit de vulnerabili din cauza dependenței lor
ridicate de funcționarea corectă a rețelelor și a sistemelor informatice.
Aceste sectoare au un rol esențial în furnizarea principalelor servicii de
suport pentru economie și societate, iar securitatea sistemelor lor este
deosebit de importantă pentru funcționarea pieței interne. Sectoarele
respective includ băncile, bursele, producția, transportul și distribuția de
energie, transporturile (aeriene, feroviare, maritime), sănătatea, serviciile
de internet și administrațiile publice.
Prin urmare,
este nevoie de o schimbare majoră a modului în care este tratată în UE
securitatea rețelelor și a informației. Sunt necesare obligații de reglementare
pentru a crea condiții de concurență echitabile și a elimina actualele lacune
legislative. Pentru a soluționa aceste probleme și a crește nivelul de
securitate a rețelelor și a informației în Uniunea Europeană, directiva propusă
vizează obiectivele expuse în continuare.
În primul rând, propunerea solicită tuturor
statelor membre să se asigure că este instituit un nivel minim de capacități
naționale prin înființarea autorităților competente în materie de NIS, crearea
de echipe de intervenție în caz de urgență informatică (Computer Emergency
Response Teams - CERT) și adoptarea strategiilor naționale privind NIS și a
planurilor naționale de cooperare în domeniul NIS.
În al doilea rând, autoritățile naționale
competente trebuie să coopereze în cadrul unei rețele care să permită o
coordonare sigură și eficace, inclusiv schimbul coordonat de informații, precum
și detectarea și răspunsul la nivelul UE. Prin această rețea, statele membre
trebuie să facă schimb de informații și să coopereze pentru a contracara
amenințările și incidentele în materie de NIS, pe baza planului european de
cooperare în domeniul NIS.
În al treilea rând, conform modelului
Directivei-cadru privind comunicațiile electronice, propunerea urmărește să
asigure dezvoltarea unei culturi a gestionării riscurilor și partajarea
informațiilor de către sectoarele public și privat. Se va solicita
întreprinderilor din sectoarele critice evidențiate mai sus și administrațiilor
publice să evalueze riscurile cu care se confruntă și să adopte măsuri adecvate
și proporționate de asigurare a NIS. Aceste entități vor trebui să raporteze
autorităților competente orice incidente care afectează grav rețelele și
sistemele lor informatice și care au un impact semnificativ asupra
continuității serviciilor critice și a aprovizionării cu bunuri.
1.2.        Contextul general
Încă din 2001, în comunicarea sa intitulată Network
and Information Security: Proposal for A European Policy Approach
(Securitatea rețelelor și a informației: Propunere pentru o abordare de
politică europeană), Comisia a subliniat importanța crescândă a NIS[3]. Comunicarea a fost urmată de
adoptarea în 2006 a Strategiei pentru o societate informațională sigură (Strategy
for a Secure Information Society)[4] care
urmărea dezvoltarea unei culturi a securității rețelelor și a informației în
Europa. Principalele elemente ale acesteia au fost aprobate printr-o rezoluție
a Consiliului[5].
Comisia a adoptat
apoi, la 30 martie 2009, o comunicare privind protecția infrastructurilor
critice de informații (CIIP)[6] care s-a concentrat asupra protecției Europei împotriva perturbării
funcționării sistemelor informatice, prin întărirea securității. Comunicarea a
lansat un plan de acțiune pentru a sprijini eforturile depuse de statele membre
în materie de prevenire și răspuns. Planul de acțiune a fost aprobat în cadrul
concluziilor Președinției Conferinței ministeriale privind CIIP desfășurată la
Tallinn în 2009. La 18 decembrie 2009, Consiliul a adoptat Rezoluția privind o
abordare europeană a securității rețelelor și a informațiilor bazată pe
colaborare[7].
Agenda digitală
pentru Europa[8]
adoptată în mai 2010 și concluziile aferente ale Consiliului[9] au subliniat viziunea comună
conform căreia încrederea și securitatea sunt condiții prealabile fundamentale
pentru adoptarea pe scară largă a TIC și pentru realizarea în acest fel a
obiectivelor dimensiunii „creștere inteligentă” a Strategiei Europa 2020[10]. La capitolul „Încredere și
securitate”, Agenda digitală pentru Europa a evidențiat necesitatea ca toate
părțile interesate să își unească forțele într-un efort global pentru
asigurarea securității și a rezilienței infrastructurii TIC, punând accentul pe
prevenire și pe gradul de pregătire și de conștientizare, precum și pentru
elaborarea de mecanisme de securitate eficace și coordonate. În special
acțiunea-cheie 6 a Agendei digitale pentru Europa prevede luarea de măsuri în
vederea instituirii unei politici consolidate și la nivel înalt privind NIS.
În comunicarea sa
din martie 2011 privind CIIP intitulată „Realizări și etape următoare: către un
context global de securitate cibernetică”[11], Comisia
a evaluat rezultatele obținute de la adoptarea Planului de acțiune pentru CIIP
în 2009, concluzionând că implementarea planului a arătat că abordările pur
naționale ale provocărilor în materie de securitate și reziliență nu sunt
suficiente și că Europa trebuie să-și continue eforturile de elaborare a unei
abordări coerente și cooperative la nivelul întregii UE. Comunicarea din 2011
privind CIIP a anunțat o serie de acțiuni, Comisia solicitând statelor membre
să înființeze capacități în domeniul NIS și să instituie o cooperare
transfrontalieră. Acțiunile nu au fost încă puse în aplicare, deși majoritatea
acestora ar fi trebuit să fie finalizată până în 2012.
În concluziile
sale din 27 mai 2011 privind CIIP, Consiliul Uniunii Europene a subliniat
necesitatea stringentă de a asigura reziliența și securitatea sistemelor și a
rețelelor TIC în condițiile oricăror perturbări accidentale sau intenționate,
de a înființa în întreaga UE capacități de nivel ridicat în domeniul
pregătirii, al securității și al rezilienței, de a extinde competențele tehnice
pentru a permite Europei să răspundă provocării reprezentate de protecția
rețelelor și a infrastructurilor de informații și de a încuraja cooperarea
dintre statele membre prin dezvoltarea mecanismelor de cooperare dintre acestea
în caz de incident.
1.3.        Dispozițiile Uniunii Europene
și internaționale în vigoare în acest domeniu
În temeiul Regulamentului (CE) nr. 460/2004,
Comunitatea Europeană a instituit în 2004 Agenția Europeană pentru Securitatea
Rețelelor Informatice și a Datelor (ENISA)[12], cu
scopul de a contribui la asigurarea unui nivel ridicat al NIS și de a dezvolta
o cultură a NIS în UE. La 30 septembrie 2010 a fost adoptată o propunere de
modernizare a mandatului ENISA[13],
care este în prezent examinată de Consiliu și de Parlamentul European. Cadrul
revizuit de reglementare pentru comunicații electronice[14], în
vigoare din noiembrie 2009, impune obligații în materie de securitate
furnizorilor de comunicații electronice[15].
Aceste obligații trebuiau transpuse la nivel național până în mai 2011.
Toți actorii care sunt operatori de date (de
exemplu, băncile sau spitalele) sunt obligați, prin cadrul de reglementare
privind protecția datelor[16],
să instituie măsuri de securitate pentru protecția datelor cu caracter
personal. De asemenea, în conformitate cu propunerea din 2012 a Comisiei
referitoare la Regulamentul general privind protecția datelor[17], operatorii de date trebuie să
raporteze autorităților naționale de supraveghere orice încălcare a securității
datelor cu caracter personal. Aceasta înseamnă că, de exemplu, o încălcare a
NIS care afectează furnizarea unui serviciu fără să compromită datele cu
caracter personal (de exemplu, o avarie a sistemelor TIC ale unei centrale
electrice care conduce la o pană de curent) nu trebuie notificată.
În temeiul Directivei 2008/114/CE privind
identificarea și desemnarea infrastructurilor critice europene și evaluarea
necesității de îmbunătățire a protecției acestora, Programul european pentru
protecția infrastructurii critice (EPCIP)[18]
stabilește abordarea globală a protecției infrastructurilor critice în UE.
Obiectivele EPCIP sunt pe deplin coerente cu prezenta propunere, iar directiva
trebuie să se aplice fără a aduce atingere Directivei 2008/114/CE. EPCIP nu
obligă operatorii să raporteze încălcările grave ale securității și nu
stabilește mecanisme de cooperare între statele membre și de răspuns în caz de
incidente.
Colegislatorii discută în prezent propunerea
Comisiei de directivă privind atacurile împotriva sistemelor informatice[19], care vizează armonizarea
criminalizării unor tipuri specifice de comportament. Aceasta acoperă doar
criminalizarea unor tipuri specifice de comportament, nu și prevenirea
riscurilor și a incidentelor de NIS, răspunsul la incidentele de NIS și
atenuarea impactului acestora. Prezenta directivă trebuie să se aplice fără a
aduce atingere Directivei privind atacurile împotriva sistemelor informatice.
La 28 martie 2012, Comisia a adoptat o
comunicare privind instituirea unui Centru european de combatere a
criminalității informatice (EC3)[20].
Acest centru a fost înființat la 11 ianuarie 2013 în cadrul Oficiului European
de Poliție (EUROPOL) și reprezintă punctul focal al luptei împotriva
criminalității informatice în UE. EC3 are scopul de a concentra experiența și
cunoștințele europene în materie de criminalitate informatică pentru a ajuta
statele membre la dezvoltarea capacităților, de a acorda sprijin statelor
membre în investigațiile privind criminalitatea informatică și, în strânsă
cooperare cu Eurojust, de a deveni vocea colectivă a investigatorilor europeni
din domeniul criminalității informatice care activează în cadrul autorităților de
aplicare a legii și al autorităților judiciare.
Instituțiile, agențiile și organismele
europene și-au creat propria Echipă de intervenție în caz de urgență
informatică, denumită CERT-EU.
La nivel internațional, activitatea UE în
domeniul securității cibernetice se desfășoară atât în plan bilateral, cât și
multilateral. În urma reuniunii la nivel înalt UE-SUA din 2010[21] a fost înființat Grupul de
lucru UE-SUA privind securitatea cibernetică și criminalitatea informatică. UE
este activă și în alte foruri multilaterale relevante, cum ar fi Organizația
pentru Cooperare și Dezvoltare Economică (OCDE), Adunarea Generală a
Organizației Națiunilor Unite, Uniunea Internațională a Telecomunicațiilor
(ITU), Organizația pentru Securitate și Cooperare în Europa (OSCE), Summitul
mondial privind societatea informațională (WSIS) și Forumul privind guvernanța
internetului (FGI). 
2.           REZULTATELE CONSULTĂRILOR CU PĂRȚILE
INTERESATE ȘI ALE EVALUĂRII IMPACTULUI
2.1.        Consultarea părților
interesate și utilizarea avizului experților
În perioada 23 iulie - 15 octombrie 2012
s-a desfășurat o consultare publică online privind „Îmbunătățirea NIS în UE”.
Comisia a primit în total 160 de răspunsuri la chestionarul online.
Concluzia
principală a fost că necesitatea de a îmbunătăți NIS în întreaga UE este
general recunoscută de către părțile interesate. Mai precis: în opinia a 82,8 %
dintre respondenți, guvernele din UE ar trebui să acționeze mai mult în
direcția asigurării un nivel ridicat de NIS; 82,8 % au fost de părere că
utilizatorii informațiilor și ai sistemelor nu sunt conștienți de actualele
amenințări și incidente în materie de NIS; 66,3 % ar fi, în principiu, în
favoarea introducerii prin reglementare a unei cerințe privind gestionarea
riscurilor de NIS și 84,8 % au declarat că astfel de cerințe ar trebui
stabilite la nivelul UE. Un număr mare de respondenți au considerat că ar fi
important să se adopte cerințe privind NIS în special în următoarele sectoare:
bănci și finanțe (91,1 %), energie (89,4 %), transporturi (81,7 %),
sănătate (89,4 %), servicii de internet (89,1 %) și administrații
publice (87,5 %). Respondenții au considerat, de asemenea, că în cazul
introducerii unei cerințe de raportare către autoritatea națională competentă a
cazurilor de încălcare a NIS, aceasta ar trebui să fie stabilită la nivelul UE
(65,1 %) și să se aplice și administrațiilor publice (93,5%). În sfârșit,
respondenții au afirmat că cerința de a aplica gestionarea riscurilor de NIS în
conformitate cu cea mai avansată tehnologie nu ar implica pentru ei costuri
suplimentare semnificative (63,4 %) și că cerința de a raporta cazurile de
încălcare a securității nu ar conduce la costuri suplimentare semnificative (72,3 %).
Statele membre au
fost consultate în cadrul unei serii de configurații relevante ale Consiliului,
în contextul Forumului european al statelor membre (FESM), la Conferința
privind securitatea cibernetică organizată de Comisie și de Serviciul European
de Acțiune Externă la 6 iulie 2012, precum și cu ocazia reuniunilor bilaterale
dedicate acestui subiect și convocate la cererea unui stat membru.
Au avut loc, de asemenea, discuții cu sectorul
privat în cadrul Parteneriatului public-privat european pentru reziliență[22], precum și al unor reuniuni
bilaterale. În ceea ce privește sectorul public, Comisia a purtat discuții cu
ENISA și cu CERT pentru instituțiile UE.
2.2.        Evaluarea impactului
Comisia a efectuat o evaluare a impactului a
trei opțiuni de politică.
Opțiunea 1: statu quo (scenariul
de bază), respectiv menținerea abordării actuale;
Opțiunea 2: abordare a
reglementării, constând dintr-o propunere legislativă de instituire a unui
cadru juridic comun al UE în materie de NIS referitor la capacitățile statelor
membre, mecanismele de cooperare la nivelul UE și cerințele pentru principalii
actori din sectorul privat și pentru administrațiile publice;
Opțiunea 3:
abordare mixtă care combină inițiativele voluntare privind capacitățile
statelor membre în domeniul NIS și mecanismele de cooperare la nivelul UE cu
cerințele impuse prin reglementare principalilor actorii din sectorul privat și
administrațiilor publice.
Comisia a concluzionat că opțiunea 2 are cel
mai mare impact pozitiv, deoarece îmbunătățește considerabil protecția
consumatorilor, a întreprinderilor și a guvernelor din UE împotriva incidentelor
de NIS. În special obligațiile impuse statelor membre asigură un grad adecvat
de pregătire la nivel național și contribuie la crearea unui climat de
încredere reciprocă ce constituie o condiție prealabilă pentru o cooperare
eficace la nivelul UE. Instituirea de mecanisme de cooperare la nivelul UE prin
intermediul rețelei asigură acțiuni coerente și coordonate de prevenire și
răspuns la incidentele și riscurile transfrontaliere de NIS. Introducerea
pentru administrațiile publice și principalii actori din sectorul privat a
cerințelor privind aplicarea gestionării riscurilor de NIS creează un puternic
stimulent pentru gestionarea eficace a riscurilor de securitate. Obligația de a raporta incidentele de NIS cu impact
semnificativ îmbunătățește capacitatea de răspuns în caz de incident și
încurajează transparența. În plus, prin
rezolvarea problemelor în domeniu pe plan intern, UE ar putea să își extindă
prezența pe scena internațională și să devină un partener și mai credibil de
cooperare la nivel bilateral și multilateral. În acest fel UE ar fi, de
asemenea, mai bine plasată pentru a promova pe plan extern drepturile
fundamentale și valorile sale centrale.
Evaluarea cantitativă a arătat că opțiunea 2
nu impune o sarcină disproporționată asupra statelor membre. De asemenea,
costurile care trebuie suportate de sectorul privat sunt limitate, deoarece se
presupune că multe dintre entitățile în cauză respectă deja cerințele de
securitate existente (și anume, obligația operatorilor de date de a lua măsuri
tehnice și organizatorice pentru a asigura protecția datelor cu caracter
personal, inclusiv măsuri privind NIS). Cheltuielile actuale legate de
securitate ale sectorului privat au fost, de asemenea, luate în considerare.
Prezenta propunere respectă principiile recunoscute
de Carta drepturilor fundamentale a Uniunii Europene, în special dreptul la
respectarea vieții private și a secretului comunicațiilor, dreptul la protecția
datelor cu caracter personal, libertatea de a desfășura o activitate
comercială, dreptul de proprietate, dreptul la o cale de atac eficientă în fața
unei instanțe judecătorești și dreptul de a fi ascultat. Prezenta directivă
trebuie pusă în aplicare în conformitate cu aceste drepturi și principii.
3.           ELEMENTELE JURIDICE ALE PROPUNERII
3.1.        Temeiul juridic
Uniunea Europeană este împuternicită să adopte
măsuri pentru instituirea sau asigurarea funcționării pieței interne, în
conformitate cu dispozițiile incidente ale tratatelor (articolul 26 din
Tratatul privind funcționarea Uniunii Europene – TFUE).
În conformitate cu articolul 114 din TFUE, UE poate adopta „măsurile
privind apropierea actelor cu putere de lege și a actelor administrative ale
statelor membre care au ca obiect instituirea și funcționarea pieței
interne”.
După cum s-a indicat mai sus, rețelele și
sistemele informatice au un rol esențial în facilitarea circulației
transfrontaliere a mărfurilor, serviciilor și persoanelor. Acestea sunt adesea
interconectate, iar internetul este o rețea mondială. Ca urmare a acestei
dimensiuni transnaționale intrinseci, o perturbare care are loc într-un stat
membru poate afecta alte state membre și UE în ansamblul său. Prin urmare,
reziliența și stabilitatea rețelelor și a sistemelor informatice este esențială
pentru buna funcționare a pieței interne.
Legislatorul european a recunoscut deja
necesitatea de a armoniza normele de NIS pentru a asigura dezvoltarea pieței
interne. Un caz concret în acest sens este Regulamentul (CE) nr. 460/2004
privind instituirea ENISA[23],
care se bazează pe articolul 114 din TFUE.
Disparitățile dintre statele membre în ceea ce
privește capacitățile naționale, politicile și nivelul de protecție în domeniul
NIS creează obstacole în calea funcționării pieței interne și justifică o
acțiune a UE.
3.2.        Subsidiaritate
Intervenția
europeană în domeniul securității rețelelor și a informației este justificată
de principiul subsidiarității.
În primul rând,
luând în considerare caracterul transfrontalier al NIS, lipsa de intervenție la
nivelul UE ar conduce la o situație în care fiecare stat membru ar acționa pe
cont propriu, fără a ține seama de interdependențele dintre rețelele și
sistemele informatice din UE. Un grad adecvat de coordonare între statele
membre ar asigura posibilitatea de a gestiona corect riscurile de NIS în
contextul transfrontalier în care apar. Divergențele reglementărilor din
domeniul NIS reprezintă o barieră în calea societăților care doresc să opereze
în mai multe țări și în calea realizării, la nivel mondial, de economii de
scară.
În al doilea rând, sunt necesare obligații de
reglementare la nivelul UE pentru a crea condiții de concurență echitabile și a
elimina lacunele legislative. Rezultatul abordării pur voluntare este că numai
un număr mic de state membre cu un nivel ridicat al capacităților cooperează
între ele. Pentru a implica toate statele membre, este necesar să se asigure
faptul că acestea au nivelul de capacitate minim cerut. Măsurile privind NIS
adoptate de guverne trebuie să fie coerente între ele și coordonate pentru a
limita incidentele de NIS și a reduce la minimum consecințele acestora.
Autoritățile competente și Comisia vor coopera în cadrul rețelei, prin schimb
de bune practici și implicarea continuă a ENISA, pentru a facilita punerea în
aplicare a directivei în mod convergent în întreaga UE. În plus, acțiunile
concertate de politică în domeniul NIS pot avea un puternic impact pozitiv
asupra protecției eficace a drepturilor fundamentale, în special a dreptului la
protecția datelor cu caracter personal și a vieții private. Prin urmare,
acțiunea la nivelul UE crește eficacitatea politicilor naționale existente și
facilitează dezvoltarea acestora.
Măsurile
propuse sunt justificate și din punctul de vedere al proporționalității.
Cerințele pentru statele membre sunt stabilite la nivelul minim necesar pentru
a atinge un nivel adecvat de pregătire și a facilita cooperarea bazată pe
încredere. Acest lucru permite, de asemenea, statelor membre să țină seama în
mod cuvenit de aspectele naționale specifice și asigură aplicarea în mod
proporționat a principiilor comune ale UE. Domeniul larg de aplicare va permite
statelor membre să pună în aplicare directiva ținând seama de riscurile
efective cu care se confruntă la nivel național și care sunt identificate în
strategia națională privind NIS. Cerințele de aplicare a gestionării riscurilor
vizează numai entitățile critice și impun măsuri proporționale cu riscurile.
Consultarea publică a scos în evidență importanța asigurării securității
acestor entități critice. Cerințele de raportare privesc numai incidentele cu
impact semnificativ. După cum s-a indicat mai sus, măsurile nu impun costuri
disproporționate, deoarece, în temeiul actualelor norme de protecție a datelor,
multe dintre aceste entități, în calitate de operatori de date, au deja
obligația de a asigura protecția datelor cu caracter personal.
Pentru
a evita impunerea unei sarcini disproporționate asupra micilor operatori, în
special asupra IMM-urilor, cerințele sunt proporționale cu riscurile la care
sunt expuse rețeaua sau sistemul informatic în cauză și nu se aplică
microîntreprinderilor. Riscurile vor trebui identificate în primul rând de
către entitățile supuse acestor obligații, care vor decide ce măsuri trebuie
adoptate pentru a atenua riscurile respective.
Obiectivele declarate pot fi mai bine
realizate la nivelul UE, decât de către statele membre în mod individual, având
în vedere aspectele transfrontaliere ale incidentelor și riscurilor de NIS.
Prin urmare, UE poate adopta măsuri în conformitate cu principiul
subsidiarității stabilit la articolul 5 din Tratatul privind Uniunea Europeană.
În conformitate cu principiul proporționalității, directiva propusă nu
depășește ceea ce este necesar pentru atingerea obiectivelor respective.
În
vederea realizării obiectivelor, Comisia trebuie să fie împuternicită să adopte
acte delegate în conformitate cu articolul 290 din Tratatul privind
funcționarea Uniunii Europene, pentru a completa sau a modifica anumite
elemente neesențiale ale actului de bază. Propunerea Comisiei este orientată și
către susținerea proporționalității în punerea în aplicare a obligațiilor
impuse operatorilor privați și publici
În
vederea asigurării unor condiții uniforme de punere în aplicare a actului de
bază, Comisia trebuie să fie împuternicită să adopte acte de punere în aplicare
în conformitate cu articolul 291 din Tratatul privind funcționarea Uniunii
Europene.
Având
în vedere în special domeniul larg de aplicare al directivei propuse și faptul
că aceasta abordează domenii puternic reglementate, precum și obligațiile
legale care decurg din capitolul IV al directivei, este necesar ca notificarea
măsurilor de transpunere să fie însoțită de documente explicative. În
conformitate cu Declarația politică comună a statelor membre și a Comisiei din 28
septembrie 2011 privind documentele explicative, statele membre s-au angajat să
transmită, în cazuri justificate, împreună cu notificarea măsurilor de
transpunere unul sau mai multe documente care să explice relația dintre
componentele unei directive și părțile corespunzătoare din instrumentele
naționale de transpunere. În cazul prezentei directive, legislatorul consideră
că transmiterea unor astfel de documente este justificată.
4.           IMPLICAȚIILE BUGETARE
Statele membre trebuie să utilizeze pentru
cooperare și schimb de informații o infrastructură securizată. Propunerea va
avea implicații pentru bugetul UE numai dacă statele membre optează pentru
adaptarea infrastructurii existente (de exemplu sTESTA) și încredințează
Comisiei această sarcină în contextul CFM 2014-2020. Costul unic este estimat
la 1 250 000 EUR și urmează să fie suportat din bugetul UE, linia
bugetară 09.03.02 (promovarea interconectării și a interoperabilității
serviciilor publice naționale online, precum și a accesului la astfel de rețele
– capitolul 09.03, mecanismul „Conectarea Europei” – rețele de
telecomunicații), cu condiția să existe suficiente fonduri disponibile în
cadrul MCE. În mod alternativ, statele membre pot fie să-și asume împreună
costul unic de adaptare a unei infrastructuri existente, fie să decidă crearea
unei noi infrastructuri și să suporte costurile aferente, estimate la
aproximativ 10 milioane EUR pe an.
2013/0027 (COD)
Propunere de
DIRECTIVĂ A PARLAMENTULUI EUROPEAN ŞI A
CONSILIULUI
privind măsuri de asigurare a unui nivel
comun ridicat de securitate a rețelelor și a informației în Uniune
PARLAMENTUL EUROPEAN ȘI CONSILIUL
UNIUNII EUROPENE,
având în vedere
Tratatul privind funcționarea Uniunii Europene, în special articolul 114,
având în vedere
propunerea Comisiei Europene,
după transmiterea
proiectului de act legislativ către parlamentele naționale, 
având în vedere
avizul Comitetului Economic și Social European[24],
după consultarea
Autorității Europene pentru Protecția Datelor,
hotărând în
conformitate cu procedura legislativă ordinară,
întrucât:
(1)       Rețelele împreună cu sistemele
și serviciile informatice îndeplinesc un rol vital în societate. Fiabilitatea
și securitatea lor sunt esențiale pentru activitățile economice și bunăstarea
socială și, în special, pentru funcționarea pieței interne.
(2)       Amploarea și frecvența
incidentelor de securitate provocate deliberat sau întâmplătoare este în
creștere și reprezintă o amenințare majoră pentru funcționarea rețelelor și a
sistemelor informatice. Astfel de incidente pot să împiedice desfășurarea
activităților economice, să genereze pierderi financiare substanțiale, să
submineze încrederea utilizatorilor și să provoace pagube majore economiei
Uniunii.
(3)       Ca instrumente de comunicare
fără frontiere, sistemele de informare digitale și, în principal, internetul au
un rol esențial în facilitarea circulației transfrontaliere a mărfurilor,
serviciilor și persoanelor. Din cauza naturii lor transnaționale, o perturbare
majoră a acestor sisteme survenită într-un stat membru poate afecta, de
asemenea, alte state membre și Uniunea în ansamblul său. Prin urmare,
reziliența și stabilitatea rețelelor și a sistemelor informatice este esențială
pentru buna funcționare a pieței interne.
(4)       Trebuie stabilit un mecanism
de cooperare la nivelul Uniunii, care să permită schimbul de informații, precum
și detectarea și răspunsul coordonate în ceea ce privește securitatea rețelelor
și a informației (network and information security - NIS). Pentru ca
acest mecanism să fie eficace și să includă toate statele membre, este esențial
ca acestea să dispună de capacitățile minime necesare și de o strategie care să
asigure un nivel ridicat de NIS pe teritoriul lor. Administrațiile publice și
operatorii infrastructurilor critice de informație trebuie să fie supuși, de
asemenea, unor cerințe minime de securitate, pentru a promova o cultură a
gestionării riscurilor și a asigura raportarea celor mai grave incidente.
(5)       Pentru a putea acoperi toate
incidentele și riscurile relevante, prezenta directivă trebuie să se aplice
tuturor rețelelor și sistemelor informatice. Obligațiile impuse
administrațiilor publice și operatorilor de piață nu trebuie să se aplice însă
întreprinderilor care furnizează rețele de comunicații publice sau servicii de
comunicații electronice accesibile publicului în sensul Directivei 2002/21/CE a
Parlamentului European și a Consiliului din 7 martie 2002 privind un cadru de
reglementare comun pentru rețelele și serviciile de comunicații electronice
(Directiva‑cadru)[25],
care sunt supuse cerințelor specifice de securitate și integritate stabilite la
articolul 13a din directiva respectivă, și nici furnizorilor de servicii de
asigurare a încrederii.
(6)       Capacitățile existente nu
sunt suficiente pentru a asigura un nivel ridicat de securitate a rețelelor și
a informației în Uniune. Statele membre au niveluri de pregătire foarte
diferite care conduc la existența în Uniune a unor abordări fragmentate. Acest
lucru determină un nivel inegal de protecție a consumatorilor și a
întreprinderilor și subminează nivelul general de securitate a rețelelor și a
informației în Uniune. La rândul său, lipsa unor cerințe minime comune pentru
administrațiile publice și operatorii de piață face imposibilă instituirea unui
mecanism global eficace de cooperare la nivelul Uniunii. 
(7)       Prin urmare, pentru a
răspunde cu eficacitate la provocările din domeniul securității rețelelor și a
sistemelor informatice este necesară o abordare globală la nivelul Uniunii,
care să includă crearea capacităților comune minime și cerințele de
planificare, schimbul de informații și coordonarea acțiunilor, precum și
cerințele minime comune de securitate pentru toți operatorii de piață în cauză
și pentru administrațiile publice.
(8)       Dispozițiile prezentei
directive nu trebuie să aducă atingere posibilității de care dispune fiecare
stat membru de a lua măsurile necesare pentru a asigura protecția intereselor
sale de securitate esențiale, a apăra ordinea și siguranța publică și a permite
investigarea, detectarea și urmărirea infracțiunilor. În conformitate cu
articolul 346 din TFUE, niciun stat membru nu are obligația de a furniza
informații a căror divulgare o consideră contrară intereselor esențiale ale
siguranței sale.
(9)       Pentru a atinge și menține un
nivel comun ridicat de securitate a rețelelor și a sistemelor informatice,
fiecare stat membru trebuie să aibă o strategie națională de securitate a
rețelelor și a informației, care să definească obiectivele strategice și
acțiunile concrete de politică ce trebuie puse în aplicare. Pentru a atinge
niveluri ale capacității de răspuns care să permită o cooperare eficace și
eficientă la nivel național și al Uniunii în caz de incidente, trebuie
elaborate la nivel național planuri de cooperare în domeniul securității
rețelelor și informației, care să respecte cerințele esențiale.
(10)     Pentru a asigura aplicarea
eficace a dispozițiilor adoptate în temeiul prezentei directive, trebuie
înființat sau identificat în fiecare stat membru un organism responsabil cu
coordonarea problemelor de securitate a rețelelor și a informației, care să
constituie punctul focal al cooperării transfrontaliere la nivelul Uniunii.
Aceste organisme trebuie să dispună de resurse tehnice, financiare și umane
adecvate, pentru a-și îndeplini în mod eficace și eficient sarcinile atribuite
și a realiza astfel obiectivele prezentei directive.
(11)     Toate statele membre trebuie
să fie echipate în mod adecvat, din punctul de vedere al capacității atât
tehnice, cât și organizatorice, pentru a preveni, a detecta, a combate și a
atenua incidentele și riscurile la care sunt supuse rețelele și sistemele
informatice. Prin urmare, în toate statele membre trebuie înființate echipe de
intervenție în caz de urgență informatică funcționale și care să respecte
cerințele esențiale, pentru a garanta existența capacităților eficace și
compatibile care să administreze incidentele și riscurile și să asigure o
cooperare eficientă la nivelul Uniunii.
(12)     Pe baza progreselor
semnificative obținute în cadrul Forumului european al statelor membre (FESM)
în încurajarea dezbaterilor și a schimburilor de bune practici, inclusiv a elaborării
principiilor de cooperare în caz de criză informatică europeană, statele membre
și Comisia trebuie să formeze o rețea prin intermediul căreia să comunice
permanent și care să susțină cooperarea lor. Acest mecanism de cooperare sigur
și eficace trebuie să permită schimbul de informații, detectarea și răspunsul
structurate și coordonate la nivelul Uniunii. 
(13)     Este necesar ca Agenția
Europeană pentru Securitatea Rețelelor Informatice și a Datelor (ENISA) să
asiste statele membre și Comisia, oferind experiența sa, asigurând consiliere
și facilitând schimbul de bune practici. În special la aplicarea prezentei
directive, Comisia trebuie să consulte ENISA. Pentru a asigura o informare
eficace și în timp util a statelor membre și a Comisiei, în rețeaua de
cooperare trebuie să poată fi transmise alerte rapide cu privire la incidente
și riscuri. În vederea dezvoltării capacităților și a cunoștințelor statelor
membre, rețeaua de cooperare trebuie să funcționeze, de asemenea, ca un
instrument pentru schimbul de bune practici, asistând membrii săi la crearea
capacităților și coordonând organizarea evaluărilor inter pares și a
exercițiilor de NIS.
(14)     Trebuie creată o
infrastructură de schimb de informații securizată, care să permită schimbul de
informații sensibile și confidențiale în rețeaua de cooperare. Fără a aduce
atingere obligației de a notifica rețelei de cooperare incidentele și riscurile
care ating o dimensiune europeană, accesul la informațiile confidențiale
provenind de la alte state membre trebuie acordat numai statelor membre care
demonstrează că procedurile și resursele lor tehnice, financiare și umane,
precum și infrastructura lor de comunicații le garantează o participare în
rețea eficace, eficientă și sigură.
(15)     Deoarece majoritatea rețelelor
și a sistemelor informatice au operatori privați, cooperarea dintre sectorul
public și cel privat este esențială. Operatorii de piață trebuie încurajați
să-și creeze propriile mecanisme de cooperare informală pentru asigurarea
securității rețelelor și a informației. Aceștia trebuie, de asemenea, să
coopereze cu sectorul public și să facă schimb de informații și de bune
practici, în schimbul sprijinului operațional în caz de incident.
(16)     Pentru a asigura transparența
și informarea adecvată a cetățenilor și a operatorilor de piață din UE,
autoritățile competente trebuie să creeze un site web comun, pe care să publice
informații neconfidențiale despre incidente și riscuri.
(17)     Dacă informațiile sunt
considerate confidențiale în conformitate cu normele Uniunii și cele naționale
privind secretul comercial, această confidențialitate trebuie asigurată atunci
când se efectuează activitățile și se îndeplinesc obiectivele stabilite de
prezenta directivă.
(18)     În special pe baza
experiențelor naționale în materie de gestionare a crizelor și în cooperare cu
ENISA, Comisia și statele membre elaborează un plan al Uniunii de cooperare în
domeniul securității rețelelor și a informației, care definește mecanismele de
cooperare pentru contracararea riscurilor și a incidentelor. La administrarea
avertismentelor rapide în cadrul rețelei de cooperare, trebuie să se țină seama
în mod corespunzător de acest plan.
(19)     Transmiterea în rețea a unei
alerte rapide trebuie impusă numai dacă amploarea și gravitatea incidentului
sau a riscului în cauză ating sau pot atinge un nivel la care este necesară o
informare sau o coordonare a răspunsului la nivelul Uniunii. Prin urmare,
alertele rapide trebuie să se limiteze la incidentele sau la riscurile reale
sau potențiale care se extind rapid, depășesc capacitatea națională de răspuns
sau afectează mai multe state membre. Pentru a permite o evaluare corectă,
toate informațiile relevante pentru evaluarea riscului sau a incidentului
trebuie comunicate rețelei de cooperare.
(20)     După primirea și evaluarea
unei alerte rapide, autoritățile competente trebuie să convină asupra unui
răspuns coordonat, în conformitate cu planul Uniunii de cooperare în domeniul
securității rețelelor și a informației. Autoritățile competente și Comisia
trebuie informate cu privire la măsurile adoptate la nivel național ca urmare a
răspunsului coordonat.
(21)     Având în vedere dimensiunea
mondială a problemelor de securitate a rețelelor și a informației, este nevoie
de o cooperare internațională mai strânsă pentru a îmbunătăți standardele de
securitate și schimbul de informații și pentru a promova o abordare
internațională comună a acestor probleme.
(22)     Responsabilitatea asigurării
securității rețelelor și a informației revine în mare măsură administrațiilor
publice și operatorilor de piață. Trebuie promovată și dezvoltată prin
intermediul unor cerințe adecvate de reglementare și al practicilor voluntare
din sector o cultură a gestionării riscurilor, care să implice evaluarea
riscurilor și aplicarea unor măsuri de securitate adecvate riscurilor
întâmpinate. Pentru ca rețeaua de cooperare să funcționeze în mod eficace, este
esențială, de asemenea, stabilirea unor condiții uniforme care să asigure o
cooperare eficientă între toate statele membre.
(23)     În conformitate cu Directiva 2002/21/CE,
întreprinderile furnizoare de rețele de comunicații publice sau de servicii de
comunicații electronice accesibile publicului trebuie să ia măsurile adecvate
pentru a garanta integritatea și securitatea acestora și trebuie să introducă
cerințe de notificare a încălcării securității și a pierderii integrității. În
conformitate cu Directiva 2002/58/CE a Parlamentului European și a Consiliului
din 12 iulie 2002 privind prelucrarea datelor personale și protejarea
confidențialității în sectorul comunicațiilor publice (Directiva asupra
confidențialității și comunicațiilor electronice)[26], furnizorul unor servicii de
comunicații electronice accesibile publicului trebuie să ia măsurile tehnice și
organizatorice adecvate pentru a garanta securitatea acestora.
(24)     Aceste obligații trebuie
extinse dincolo de sectorul comunicațiilor electronice la principalii furnizori
de servicii ale societății informaționale, definite în Directiva 98/34/CE a
Parlamentului European și a Consiliului din 22 iunie 1998 referitoare la
procedura de furnizare de informații în domeniul standardelor, reglementărilor
tehnice și al normelor privind serviciile societății informaționale[27], pe care se bazează serviciile
din aval ale societății informaționale sau activitățile online, cum ar fi
platformele de comerț electronic, serviciile de procesare a plăților online,
rețelele de socializare, motoarele de căutare, serviciile de cloud computing
sau vânzarea de aplicații. Perturbarea acestor servicii suport ale societății
informaționale împiedică furnizarea altor servicii ale societății
informaționale care se bazează pe primele ca elemente‑cheie. Dezvoltatorii de
programe informatice și producătorii de echipamente informatice nu sunt
furnizori de servicii ale societății informaționale și, prin urmare, se exclud.
Aceste obligații trebuie extinse, de asemenea, la administrațiile publice și la
operatorii de infrastructură critică, ce utilizează intens tehnologia
informației și comunicațiilor și sunt esențiali pentru funcționarea sectoarelor
vitale ale economiei sau societății, cum ar fi energia electrică și gazele
naturale, transporturile, instituțiile de credit, bursele și sănătatea.
Perturbarea acestor rețele și sisteme informatice ar afecta piața internă.
(25)     Măsurile tehnice și
organizatorice impuse administrațiilor publice și operatorilor de piață nu
trebuie să implice proiectarea, dezvoltarea sau fabricarea într-un anumit mod a
unui anumit produs comercial al tehnologiei informației și comunicațiilor.
(26)     Administrațiile publice și
operatorii de piață trebuie să asigure securitatea rețelelor și a sistemelor
aflate sub controlul lor. Acestea sunt în principal rețele și sisteme private,
gestionarea securității lor fiind fie efectuată de către personalul IT intern,
fie externalizată. Obligațiile în materie de securitate și notificare trebuie
să se aplice operatorilor de piață relevanți și administrațiilor publice,
indiferent dacă aceștia asigură ei înșiși întreținerea propriilor rețele și
sisteme informatice sau externalizează această activitate.
(27)     Pentru a evita impunerea unei
sarcini financiare și administrative disproporționate asupra micilor operatori
și a utilizatorilor, cerințele trebuie să fie proporționale cu riscurile la
care este expusă rețeaua sau sistemul informatic în cauză, ținând seama de cea
mai avansată tehnologie corespunzătoare unor astfel de măsuri. Aceste cerințe
nu trebuie să se aplice microîntreprinderilor.
(28)     Autoritățile competente
trebuie să acorde atenția cuvenită menținerii unor canale informale și sigure
pentru schimbul de informații dintre operatorii de pe piață și dintre sectorul
public și cel privat. Anunțarea publică a incidentelor raportate autorităților
competente trebuie să găsească echilibrul cuvenit între interesul publicului de
a fi informat cu privire la amenințări și eventualele daune comerciale sau în
domeniul reputației pe care le pot suferi administrațiile publice și operatorii
de piață care raportează incidentele. Atunci când sunt puse în aplicare
obligațiile de notificare, autoritățile competente trebuie să acorde o atenție
deosebită necesității de a păstra stricta confidențialitate a informațiilor
despre vulnerabilitățile unui produs, înainte de apariția unor soluții de
securitate adecvate.
(29)     Autoritățile competente
trebuie să dispună de mijloacele necesare pentru a-și îndeplini sarcinile,
inclusiv de împuternicirea de a solicita operatorilor de piață și
administrațiilor publice suficiente informații pentru a putea evalua nivelul de
securitate al rețelelor și al sistemelor informatice, precum și date credibile
și cuprinzătoare privind incidentele reale care au avut impact asupra
funcționării rețelelor și a sistemelor informatice.
(30)     În multe cazuri, incidentele
sunt rezultatul activităților infracționale. Caracterul penal al incidentelor
poate fi presupus, chiar dacă dovezile care îl atestă nu sunt suficient de
clare de la început. În acest context, cooperarea adecvată dintre autoritățile
competente și autoritățile de aplicare a legii trebuie să facă parte din
răspunsul global eficace dat amenințării pe care o reprezintă incidentele de
securitate. Pentru promovarea unui mediu sigur, securizat și mai rezilient este
nevoie, în special, de raportarea în mod sistematic către autoritățile de
aplicare a legii a incidentelor cu presupus caracter penal grav. Caracterul
penal grav al incidentelor trebuie evaluat în lumina legislației UE privind
criminalitatea informatică. 
(31)     În multe cazuri, datele cu
caracter personal sunt compromise în urma unor incidente. În acest context,
autoritățile competente și autoritățile de protecție a datelor trebuie să
coopereze și să facă schimb de informații cu privire la toate aspectele
relevante pentru abordarea cazurilor de încălcare a securității datelor cu
caracter personal în urma unor incidente. Statele membre trebuie să pună în
aplicare obligația de a notifica incidentele de securitate într-un mod care
reduce la minimum sarcina administrativă în cazurile în care incidentul de
securitate este și o încălcare a securității datelor cu caracter personal în
conformitate cu Regulamentul Parlamentului European și al Consiliului privind
protecția persoanelor fizice referitor la prelucrarea datelor cu caracter
personal și libera circulație a acestor date[28].
Colaborând cu autoritățile competente și cu autoritățile de protecție a datelor,
ENISA poate contribui la elaborarea unor mecanisme și formulare de schimb de
informații, care să evite necesitatea de a utiliza două formulare de
notificare. Formularul unic de notificare facilitează raportarea incidentelor
care compromit datele cu caracter personal, reducând astfel sarcina
administrativă impusă întreprinderilor și administrațiilor publice.
(32)     Standardizarea cerințelor de
securitate este un proces impulsionat de piață. Pentru a asigura o aplicare
convergentă a standardelor de securitate, statele membre trebuie să încurajeze
respectarea standardelor indicate sau conformitatea cu acestea, în vederea
garantării unui nivel ridicat de securitate la nivelul Uniunii. În acest scop,
ar putea fi necesară elaborarea unor standarde armonizate în conformitate cu
Regulamentul (UE) nr. 1025/2012 al Parlamentului European și al Consiliului din
25 octombrie 2012 privind standardizarea europeană, de modificare a
Directivelor 89/686/CEE și 93/15/CEE ale Consiliului și a Directivelor 94/9/CE,
94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE și 2009/105/CE
ale Parlamentului European și ale Consiliului și de abrogare a Deciziei 87/95/CEE
a Consiliului și a Deciziei nr. 1673/2006/CE a Parlamentului European și a
Consiliului[29].
(33)     Comisia trebuie să revizuiască
periodic prezenta directivă, în special pentru a stabili dacă este necesară
efectuarea unor modificări ca urmare a evoluției tehnologiei sau a condițiilor
de piață.
(34)     Pentru a permite buna
funcționare a rețelei de cooperare, Comisiei trebuie să i se delege competența
de a adopta acte în conformitate cu articolul 290 din Tratatul privind
funcționarea Uniunii Europene referitoare la definirea criteriilor pe care
trebuie să le îndeplinească un stat membru pentru a fi autorizat să participe
la sistemul securizat de schimb de informații, specificarea mai detaliată a
evenimentelor care declanșează alerta rapidă și definirea circumstanțelor în
care operatorii de piață și administrațiile publice au obligația de a notifica
incidentele.
(35)     Este deosebit de important ca,
în cursul activităților sale pregătitoare, Comisia să organizeze consultări
adecvate, inclusiv la nivel de experți. Atunci când pregătește și redactează
acte delegate, Comisia trebuie să asigure transmiterea simultană, în timp util
și în mod adecvat a documentelor relevante către Parlamentul European și
Consiliu.
(36)     În vederea asigurării unor
condiții uniforme de punere în aplicare a prezentei directive, Comisiei trebuie
să i se confere competențe de executare în ceea ce privește cooperarea dintre
autoritățile competente și Comisie în cadrul rețelei de cooperare, accesul la
infrastructura securizată de schimb de informații, planul Uniunii de cooperare
în domeniul securității rețelelor și a informației, formularele și procedurile
aplicabile pentru informarea publicului cu privire la incidente și standardele
și/sau specificațiile tehnice relevante pentru securitatea rețelelor și a
informației. Aceste competențe trebuie exercitate în conformitate cu
Regulamentul (UE) nr. 182/2011 al Parlamentului European și al Consiliului din 16
februarie 2011 de stabilire a normelor și principiilor generale privind
mecanismele de control de către statele membre al exercitării competențelor de
executare de către Comisie[30].
(37)     În ceea ce privește aplicarea
prezentei directive, Comisia trebuie să colaboreze, după caz, cu comitetele
sectoriale relevante și cu organismele relevante instituite la nivelul UE în
special în domeniile energiei, transporturilor și sănătății.
(38)     Informațiile considerate
confidențiale de către o autoritate competentă în conformitate cu normele
Uniunii și cele naționale privind secretul comercial trebuie să facă obiectul
schimbului de informații cu Comisia și cu alte autorități competente, numai
dacă acest lucru este strict necesar pentru aplicarea prezentei directive.
Schimbul de informații trebuie să se limiteze la informațiile relevante și să
fie proporțional cu scopul urmărit.
(39)     Schimbul de informații cu
privire la riscuri și incidente desfășurat în cadrul rețelei de cooperare și
îndeplinirea cerințelor de notificare a incidentelor către autoritățile
naționale competente pot necesita prelucrarea datelor cu caracter personal. O
astfel de prelucrare este necesară pentru realizarea obiectivelor de interes
public urmărite de prezenta directivă și, prin urmare, este legitimă în temeiul
articolului 7 din Directiva 95/46/CE. Aceasta nu constituie, din
perspectiva obiectivelor legitime respective, o intervenție disproporționată și
intolerabilă care să afecteze substanța însăși a dreptului la protecția datelor
cu caracter personal garantat prin articolul 8 din Carta drepturilor
fundamentale. În aplicarea prezentei directive, Regulamentul (CE) nr. 1049/2001
al Parlamentului European și al Consiliului din 30 mai 2001 privind accesul
public la documentele Parlamentului European, ale Consiliului și ale Comisiei[31] se aplică, după caz. Atunci
când datele sunt prelucrate de instituțiile și organele Uniunii în scopul
punerii în aplicare a prezentei directive, o astfel de prelucrare trebuie să
respecte Regulamentul (CE) nr. 45/2001 al Parlamentului European și al
Consiliului din 18 decembrie 2000 privind protecția persoanelor fizice cu
privire la prelucrarea datelor cu caracter personal de către instituțiile și
organele comunitare și privind libera circulație a acestor date.
(40)     Deoarece obiectivele prezentei
directive, și anume asigurarea unui nivel ridicat de securitate a rețelelor și
a informației în Uniune, nu pot fi realizate în măsură suficientă de către
statele membre în mod individual și, prin urmare, din motive de efect al
acțiunii, pot fi realizate mai bine la nivelul Uniunii, Uniunea poate adopta
măsuri în conformitate cu principiul subsidiarității stabilit la articolul 5
din Tratatul privind Uniunea Europeană. În
conformitate cu principiul proporționalității prevăzut la același articol,
prezenta directivă nu depășește ceea ce este necesar pentru atingerea
obiectivelor respective.
(41)     Prezenta directivă respectă
drepturile fundamentale și principiile recunoscute de Carta drepturilor
fundamentale a Uniunii Europene, în special dreptul la respectarea vieții
private și a secretului comunicațiilor, dreptul la protecția datelor cu
caracter personal, libertatea de a desfășura o activitate comercială, dreptul
de proprietate, dreptul la o cale de atac eficientă în fața unei instanțe
judecătorești și dreptul de a fi ascultat. Prezenta directivă trebuie pusă în
aplicare în conformitate cu aceste drepturi și principii.
ADOPTĂ PREZENTA DIRECTIVĂ:
CAPITOLUL I
DISPOZIȚII
GENERALE
Articolul 1
Obiect
și domeniu de aplicare
1.           Prezenta directivă stabilește
măsuri de asigurare a unui nivel comun ridicat de securitate a rețelelor și a
informației (network and information security - NIS) în Uniune.
2.           În acest scop, prezenta
directivă:
(a)                   
stabilește obligații pentru toate statele membre în
ceea ce privește prevenirea și administrarea riscurilor și a incidentelor care
afectează rețelele și sistemele informatice, precum și răspunsul la acestea;
(b)                   
creează un mecanism de cooperare între statele
membre pentru a asigura o aplicare uniformă a prezentei directive în Uniune și,
dacă este necesar, o administrare și un răspuns coordonate și eficiente în caz
de riscuri și incidente care afectează rețelele și sistemele informatice;
(c)                   
stabilește cerințele de securitate pentru
operatorii de piață și administrațiile publice.
3.           Cerințele de securitate
prevăzute la articolul 14 nu se aplică întreprinderilor care furnizează rețele
de comunicații publice sau servicii de comunicații electronice accesibile
publicului în sensul Directivei 2002/21/CE și care trebuie să respecte
cerințele specifice de securitate și integritate prevăzute la articolele 13a și
13b din directiva respectivă și nici furnizorilor de servicii de asigurare a
încrederii. 
4.           Prezenta directivă nu aduce
atingere legislației UE privind criminalitatea informatică și nici Directivei 2008/114/CE
a Consiliului din 8 decembrie 2008 privind identificarea și desemnarea
infrastructurilor critice europene și evaluarea necesității de îmbunătățire a
protecției acestora[32].

5.           De asemenea, prezenta
directivă nu aduce atingere Directivei 95/46/CE a Parlamentului European și a
Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea
ce privește prelucrarea datelor cu caracter personal și libera circulație a
acestor date[33]
și nici Directivei 2002/58/CE a Parlamentului European și a Consiliului din 12
iulie 2002 privind prelucrarea datelor personale și protejarea
confidențialității în sectorul comunicațiilor publice sau Regulamentului
Parlamentului European și Consiliului privind protecția persoanelor fizice
referitor la prelucrarea datelor cu caracter personal și libera circulație a
acestor date[34].

6.           Schimbul de informații în
cadrul rețelei de cooperare prevăzut la capitol III și notificarea incidentelor
de securitate a rețelelor și a informației prevăzută la articolul 14 pot
necesita prelucrarea datelor cu caracter personal. O astfel de prelucrare, care
este necesară pentru realizarea obiectivelor de interes public urmărite de
prezenta directivă, trebuie autorizată de statul membru în temeiul articolului 7
din Directiva 95/46/CE și al Directivei 2002/58/CE, astfel cum au fost
transpuse în legislația națională.
Articolul 2
Armonizarea
minimă
Statele membre nu
sunt împiedicate să adopte sau să mențină dispoziții care asigură un nivel de
securitate mai ridicat și nu aduc atingere obligațiilor lor prevăzute de
legislația Uniunii.
Articolul 3
Definiții

În sensul prezentei directive, se aplică
următoarele definiții: 
(1)                   
„rețea și sistem informatic” înseamnă:
(a)         
o rețea de comunicații electronice în sensul
Directivei 2002/21/CE și 
(b)         
orice dispozitiv sau grup de dispozitive
interconectate sau legate între ele, dintre care unul sau mai multe efectuează,
în conformitate cu un program, o prelucrare automată a datelor electronice,
precum și 
(c)         
datele electronice stocate, prelucrate, recuperate
sau transmise de elementele prevăzute la literele (a) și (b) în vederea
funcționării, utilizării, protejării și întreținerii lor.
(2)                   
„securitate” înseamnă capacitatea unei rețele sau a
unui sistem informatic de a rezista, la un nivel de încredere dat, unei acțiuni
accidentale sau răuvoitoare care compromite disponibilitatea, autenticitatea,
integritatea sau confidențialitatea datelor stocate sau transmise ori a
serviciilor conexe oferite de rețeaua sau de sistemul informatic respectiv sau
accesibile prin intermediul acestora;
(3)                   
„risc” înseamnă orice circumstanță sau eveniment
care are un efect negativ potențial asupra securității;
(4)                   
„incident” înseamnă orice circumstanță sau
eveniment care are un efect negativ real asupra securității;
(5)                   
„serviciu al societății informaționale” înseamnă un
serviciu în sensul articolului 1 punctul 2 din Directiva 98/34/CE;
(6)                   
„plan de cooperare în domeniul securității
rețelelor și a informației” înseamnă un plan care stabilește un cadru pentru
rolurile organizaționale, responsabilitățile și procedurile de menținere sau de
restabilire a funcționării rețelelor și sistemelor informatice în cazul în care
acestea sunt afectate de un risc sau de un incident;
(7)                   
„administrarea incidentului” înseamnă toate
procedurile utilizate pentru analiză, limitare și răspuns în cazul unui
incident;
(8)                   
„operator de piață” înseamnă:
(a)         
un furnizor de servicii ale societății
informaționale care permit furnizarea altor servicii ale societății
informaționale; o listă neexhaustivă a acestor furnizori este prevăzută în
anexa II;
(b)         
un operator al unei infrastructuri critice care
este esențială pentru menținerea activităților economice și societale vitale în
domeniile energiei, transporturilor, serviciilor bancare, burselor și
sănătății; o listă neexhaustivă a acestor operatori este prevăzută în anexa II.
(9)                   
„standard” înseamnă un standard menționat în
Regulamentul (UE) nr. 1025/2012;
(10)               
„specificație” înseamnă o specificație menționată
în Regulamentul (UE) nr. 1025/2012;
(11)               
„furnizor de servicii de asigurare a încrederii”
înseamnă o persoană fizică sau juridică ce furnizează orice serviciu electronic
constând în crearea, verificarea, validarea, administrarea și păstrarea
semnăturilor electronice, a sigiliilor electronice, a mărcilor temporale
electronice, a documentelor electronice, a serviciilor de distribuție
electronică, a autentificării unui site web și a certificatelor electronice,
inclusiv a certificatelor pentru semnături electronice și sigilii electronice.
CAPITOLUL
II
CADRELE
NAȚIONALE DE SECURITATE A REȚELELOR ȘI A INFORMAȚIILOR
Articolul 4
Principiu
Statele membre asigură un nivel ridicat de
securitate a rețelelor și a sistemelor informatice pe teritoriul lor în
conformitate cu prezenta directivă.
Articolul 5
Strategia
națională privind securitatea rețelelor și a informației și planul național de
cooperare în domeniul securității rețelelor și a informației 
1.                Fiecare
stat membru adoptă o strategie națională privind securitatea rețelelor și a
informației care definește obiectivele strategice și măsurile concrete de
politică și de reglementare necesare pentru a atinge și menține un nivel
ridicat de securitate a rețelelor și a informației. Strategia națională privind
NIS se referă, în special, la următoarele aspecte:
(a)                   
definirea obiectivelor și a priorităților, pe baza
unei analize actualizate a riscurilor și a incidentelor;
(b)                   
un cadru de guvernanță pentru realizarea obiectivelor
și a priorităților, inclusiv o definire clară a rolurilor și a
responsabilităților organismelor guvernamentale și ale altor actori relevanți;
(c)                   
identificarea măsurilor generale referitoare la
gradul de pregătire, răspuns și redresare, inclusiv a mecanismelor de cooperare
dintre sectorul public și cel privat;
(d)                   
indicarea programelor de instruire, sensibilizare
și formare;
(e)                   
planurile de cercetare și dezvoltare și o descriere
a modului în care aceste planuri reflectă prioritățile identificate.
2.           Strategia națională privind
NIS include un plan național de cooperare în domeniul NIS care cuprinde cel
puțin următoarele: 
(a)                   
un plan de evaluare a riscurilor pentru a
identifica riscurile și a evalua impactul unor incidente potențiale;
(b)                   
definirea rolurilor și a responsabilităților
diferiților actori implicați în punerea în aplicare a planului;
(c)                   
definirea procedurilor de cooperare și de
comunicare care asigură prevenirea, detectarea, răspunsul, repararea și
redresarea, modulate în funcție de nivelul de alertă;
(d)                   
o foaie de parcurs pentru exercițiile și formarea
în domeniul NIS, destinate consolidării, validării și testării planului.
Învățămintele desprinse trebuie documentate și integrate în actualizările
planului. 
3.           Strategia națională privind
NIS și planul național de cooperare în domeniul NIS sunt comunicate Comisiei în
termen de o lună de la adoptarea lor.
Articolul 6
Autoritatea
națională competentă în domeniul securității rețelelor și a sistemelor
informatice
1.           Fiecare stat membru
desemnează o autoritate națională competentă în domeniul securității rețelelor
și a sistemelor informatice (denumită în continuare „autoritatea competentă”).
2.           Autoritățile competente
monitorizează aplicarea prezentei directive la nivel național și contribuie la
aplicarea uniformă a acesteia în întreaga Uniune.
3.           Statele membre se asigură că
autoritățile competente dispun de resursele tehnice, financiare și umane
adecvate pentru a-și îndeplini în mod eficace și eficient sarcinile atribuite
și a realiza astfel obiectivele prezentei directive. Statele membre asigură
cooperarea eficace, eficientă și sigură a autorităților competente prin
intermediul rețelei menționate la articolul 8. 
4.           Statele membre se asigură că
autoritățile competente primesc de la administrațiile publice și de la operatorii
de piață notificările incidentelor, astfel cum prevede articolul 14 alineatul (2),
și că le sunt conferite competențele de punere în aplicare și de executare
menționate la articolul 15.
5.           Autoritățile competente se
consultă și cooperează, după caz, cu autoritățile naționale de aplicare a legii
și cu autoritățile de protecție a datelor competente.
6.           Fiecare stat membru notifică
fără întârziere Comisiei autoritatea competentă desemnată și sarcinile sale,
precum și orice modificări ulterioare ale acestora. Fiecare stat membru
comunică publicului autoritatea competentă desemnată.
Articolul 7
Echipa
de intervenție în caz de urgență informatică
1.           Fiecare stat membru
înființează o Echipă de intervenție în caz de urgență informatică (denumită în
continuare „CERT”) care este responsabilă pentru administrarea incidentelor și
a riscurilor în conformitate cu o procedură bine definită și respectă cerințele
stabilite în anexa I punctul (1). CERT poate fi înființată în cadrul
autorității competente.
2.           Statele membre se asigură că
CERT dispun de resursele tehnice, financiare și umane adecvate pentru a-și
îndeplini în mod eficace sarcinile stabilite în anexa I punctul (2).
3.           Statele membre se asigură că
CERT au la dispoziție o infrastructură securizată și rezilientă de comunicare
și informare la nivel național, care este compatibilă și interoperabilă cu
sistemul securizat de schimb de informații menționat la articolul 9.
4.           Statele membre comunică
Comisiei resursele și mandatul CERT, precum și procedura acestora de administrare
a incidentelor.
5.           CERT acționează sub
supravegherea autorității competente, care reexaminează cu regularitate
caracterul adecvat al resurselor și al mandatului, precum și eficacitatea
procedurii de administrare a incidentelor.
CAPITOLUL III
COOPERAREA
DINTRE AUTORITĂȚILE COMPETENTE
Articolul 8
Rețeaua
de cooperare
1.           Autoritățile competente și
Comisia formează o rețea („rețeaua de cooperare”) pentru a coopera în domeniul
combaterii riscurilor și incidentelor care afectează rețelele și sistemele informatice.
2.           Prin intermediul rețelei de
cooperare, Comisia și autoritățile competente se află în contact permanent. La
cerere, Agenția Europeană pentru Securitatea Rețelelor Informatice și a Datelor
(ENISA) asistă rețeaua de cooperare, oferind experiență și consiliere.
3.           În cadrul rețelei de
cooperare, autoritățile competente:
(a)         
transmit alerte rapide privind riscurile și
incidentele în conformitate cu articolul 10; 
(b)         
asigură un răspuns coordonat în conformitate cu
articolul 11; 
(c)         
publică cu regularitate pe un site web comun
informații neconfidențiale privind alertele rapide și răspunsul coordonat în
curs;
(d)         
la cererea unui stat membru sau a Comisiei, discută
și evaluează împreună una sau mai multe strategii naționale privind NIS sau
planuri naționale de cooperare în domeniul NIS, menționate la articolul 5, în
domeniul de aplicare al prezentei directive;
(e)         
la cererea unui stat membru sau a Comisiei, discută
și evaluează împreună eficacitatea echipelor CERT, în special atunci când au
loc la nivelul Uniunii exerciții de NIS;
(f)           
cooperează și fac schimb de informații cu privire
la toate aspectele relevante cu Centrul european de combatere a criminalității
informatice din cadrul Europol și cu alte organisme europene relevante, în
special în domeniile protecției datelor, energiei, transporturilor, serviciilor
bancare, burselor și sănătății;
(g)         
fac schimb de informații și bune practici între ele
și cu Comisia și își acordă reciproc asistență în ceea ce privește crearea
capacităților din domeniul NIS;
(h)         
organizează cu regularitate evaluări
inter pares privind capacitățile și nivelul de pregătire;
(i)           
organizează exerciții de NIS la nivelul Uniunii și
participă, după caz, la exercițiile internaționale de NIS.
4.           Comisia stabilește, prin acte
de punere în aplicare, măsurile necesare pentru a facilita cooperarea dintre
autoritățile competente și Comisie menționată la alineatele (2) și (3). Actele
de punere în aplicare respective se adoptă în conformitate cu procedura de
consultare menționată la articolul 19 alineatul (2).
Articolul 9
Sistemul
securizat de schimb de informații 
1.           Pentru schimbul de informații
sensibile și confidențiale desfășurat în rețeaua de cooperare este utilizată o
infrastructură securizată.
2.           Comisia este împuternicită să
adopte, în conformitate cu articolul 18, acte delegate privind definirea
criteriilor pe care trebuie să le îndeplinească un stat membru pentru a fi
autorizat să participe la sistemul securizat de schimb de informații,
referitoare la: 
(a)         
disponibilitatea unei infrastructuri securizate și
reziliente de comunicare și informare la nivel național, compatibilă și
interoperabilă cu infrastructura securizată a rețelei de cooperare în
conformitate cu articolul 7 alineatul (3) și
(b)         
existența unor resurse tehnice, financiare și umane
și a unor proceduri adecvate pentru participarea eficace, eficientă și sigură a
autorităților competente și a CERT la sistemul securizat de schimb de
informații în temeiul articolului 6 alineatul (3), al articolului 7 alineatul (2)
și al articolului 7 alineatul (3). 
3.           Comisia adoptă, prin acte de
punere în aplicare, decizii privind accesul statelor membre la această
infrastructură securizată, în conformitate cu criteriile menționate la
alineatele (2) și (3). Actele de punere în aplicare respective se adoptă în
conformitate cu procedura de examinare menționată la articolul 19 alineatul (3).
Articolul 10
Alertele rapide
1.           Autoritățile competente sau
Comisia transmit alerte rapide în cadrul rețelei de cooperare cu privire la
riscurile și incidentele care îndeplinesc cel puțin una dintre următoarele
condiții:
(a)         
cresc rapid sau pot crește rapid în amploare;
(b)         
depășesc sau pot depăși capacitatea națională de
răspuns;
(c)         
afectează sau pot afecta mai multe state membre.
2.           În cadrul alertelor rapide,
autoritățile competente și Comisia comunică orice informațiile relevante aflate
în posesia lor și care pot fi utile pentru evaluarea riscului sau a
incidentului.
3.           La cererea unui stat membru
sau din proprie inițiativă, Comisia poate solicita altui stat membru să
furnizeze orice informații relevante cu privire la un risc sau la un incident
specific.
4.           Dacă riscul sau incidentul
care face obiectul alertei rapide are un presupus caracter penal, autoritățile
competente sau Comisia informează Centrul european de combatere a
criminalității informatice din cadrul Europol.
5.           Comisia este împuternicită să
adopte, în conformitate cu articolul 18, acte delegate privind specificarea mai
detaliată a riscurilor și a incidentelor care declanșează alerta rapidă
menționată la alineatul (1). 
Articolul 11
Răspunsul coordonat
1.           După transmiterea alertei
rapide menționate la articolul 10, autoritățile competente convin, în urma
evaluării informațiilor relevante, asupra unui răspuns coordonat în
conformitate cu planul Uniunii de cooperare în domeniul NIS menționat la articolul
12.
2.           Diferitele măsuri adoptate la
nivel național ca urmare a răspunsului coordonat se comunică rețelei de
cooperare.
Articolul 12
Planul
Uniunii de cooperare în domeniul securității rețelelor și a informației 
1.           Comisia este împuternicită să
adopte, prin acte de punere în aplicare, un plan al Uniunii de cooperare în
domeniul securității rețelelor și informației. Actele de punere în aplicare
respective se adoptă în conformitate cu procedura de examinare menționată la
articolul 19 alineatul (3).
2.           Planul Uniunii de cooperare
în domeniul NIS prevede:
(a)         
în scopul aplicării articolului 10: 
–              
definirea formatului și a procedurilor pentru
colectarea și schimbul de informații compatibile și comparabile cu privire la
riscuri și incidente de către autoritățile competente,
–              
definirea procedurilor și a criteriilor de evaluare
a riscurilor și a incidentelor de către rețeaua de cooperare.
(b)         
procedurile care trebuie urmate pentru a da
răspunsul coordonat prevăzut la articolul 11, inclusiv identificarea rolurilor
și a responsabilităților și procedurile de cooperare; 
(c)         
o foaie de parcurs pentru exercițiile și formarea
în domeniul NIS, destinate consolidării, validării și testării planului.
(d)         
un program de transfer de cunoștințe între statele
membre pentru crearea capacităților și învățarea inter pares; 
(e)         
un program de sensibilizare și de formare între
statele membre.
3.           Planul Uniunii de cooperare
în domeniul NIS se adoptă în termen de cel mult un an de la intrarea în vigoare
a prezentei directive și se revizuiește cu regularitate.
Articolul 13
Cooperarea internațională
Fără a aduce
atingere posibilității de care dispune rețeaua de cooperare de a desfășura o
cooperare internațională informală, Uniunea poate încheia acorduri
internaționale cu țări terțe sau cu organizații internaționale, care permit și
organizează participarea acestora la unele activități ale rețelei de cooperare.
Astfel de acorduri trebuie să țină seama de necesitatea de a asigura o
protecție adecvată a datelor cu caracter personal diseminate în rețeaua de
cooperare. 
CAPITOLUL
IV
SECURITATEA
REȚELELOR ȘI A SISTEMELOR INFORMATICE ALE ADMINISTRAȚIILOR PUBLICE ȘI ALE
OPERATORILOR DE PIAȚĂ
Articolul 14
Cerințe
de securitate și notificarea incidentelor 
1.           Statele membre se asigură că
administrațiile publice și operatorii de piață iau măsurile tehnice și
organizatorice adecvate pentru a gestiona riscurile de securitate a rețelelor
și a sistemelor informatice aflate sub controlul lor și pe care le utilizează
în activitățile lor. Ținând seama de cea mai avansată tehnologie, aceste măsuri
trebuie să garanteze un nivel de securitate adecvat riscului existent. Trebuie
luate, în special, măsuri pentru a preveni și a reduce la minimum impactul
incidentelor care afectează rețeaua sau sistemul informatic utilizat pentru
furnizarea serviciilor esențiale, asigurând astfel continuitatea serviciilor
care se bazează pe rețeaua sau sistemul informatic respectiv.
2.           Statele membre se asigură că
administrațiile publice și operatorii de piață notifică autorității competente
incidentele care au un impact semnificativ asupra securității serviciilor
esențiale pe care le furnizează.
3.           Cerințele prevăzute la
alineatele (1) și (2) se aplică tuturor operatorilor de piață care furnizează
servicii în Uniunea Europeană. 
4.           Autoritatea competentă poate
informa publicul ea însăși sau poate solicita acest lucru administrațiilor
publice și operatorilor de piață, în cazul în care consideră că divulgarea
incidentului servește interesului public. O dată pe an autoritatea competentă
transmite rețelei de cooperare un raport de sinteză privind notificările
primite și măsurile luate în conformitate cu prezentul alineat. 
5.           Comisia este împuternicită să
adopte, în conformitate cu articolul 18, acte delegate privind definirea
circumstanțelor în care administrațiile publice și operatorii de piață au
obligația de a notifica incidentele.
6.           Cu respectarea actelor
delegate adoptate în temeiul alineatului (5), autoritățile competente pot emite
orientări și, dacă este necesar, instrucțiuni privind circumstanțele în care
administrațiile publice și operatorii de piață au obligația de a notifica
incidentele.
7.           Comisia este împuternicită să
stabilească, prin acte de punere în aplicare, formatele și procedurile
aplicabile în scopul alineatului (2). Actele de punere în aplicare respective
se adoptă în conformitate cu procedura de examinare menționată la articolul 19
alineatul (3).
8.           Alineatele (1) și (2) nu se
aplică microîntreprinderilor definite în Recomandarea 2003/361/CE Comisiei din 6
mai 2003 privind definirea microîntreprinderilor și a întreprinderilor mici și
mijlocii[35].
Articolul 15
Punere
în aplicare și executare 
1.           Statele membre se asigură că
autoritățile competente sunt împuternicite să investigheze cazurile în care
administrațiile publice sau operatorii de piață nu se conformează obligațiilor
care le revin în temeiul articolului 14, precum și efectele acestei
neconformări asupra securității rețelelor și a sistemelor informatice.
2.           Statele membre se asigură că
autoritățile competente sunt împuternicite să solicite operatorilor de piață și
administrațiilor publice:
(a)         
să furnizeze informațiile necesare pentru evaluarea
securității rețelelor și a sistemelor lor informatice, inclusiv documente
privind politicile de securitate;
(b)         
să se supună unui audit de securitate efectuat de
un organism calificat independent sau de o autoritate națională și să le pună
la dispoziție rezultatele acestuia. 
3.           Statele membre se asigură că
autoritățile competente sunt împuternicite să emită instrucțiuni obligatorii
pentru operatorii de piață și pentru administrațiile publice. 
4.           Autoritățile competente
notifică autorităților de aplicare a legii incidentele cu presupus caracter
penal grav.
5.           Autoritățile competente
lucrează în strânsă cooperare cu autoritățile de protecție a datelor cu caracter
personal în cazul incidentelor care au ca rezultat încălcarea securității
datelor cu caracter personal.
6.           Statele membre se asigură că
orice obligații impuse administrațiilor publice și operatorilor de piață în
temeiul prezentului capitol pot fi supuse unui control jurisdicțional.
Articolul 16
Standardizare
1.           Pentru a asigura aplicarea
convergentă a articolului 14 alineatul (1), statele membre încurajează
utilizarea standardelor și/sau a specificațiilor relevante pentru securitatea
rețelelor și a informației. 
2.           Comisia stabilește, prin acte
de punere în aplicare, o listă a standardelor menționate la alineatul (1).
Lista se publică în Jurnalul Oficial al Uniunii Europene. 
CAPITOLUL
V
DISPOZIȚII
FINALE
Articolul 17
Sancțiuni
1.           Statele membre stabilesc
normele privind sancțiunile aplicabile în cazul încălcării dispozițiilor
naționale adoptate în temeiul prezentei directive și iau toate măsurile
necesare pentru a asigura punerea în aplicare a acestora. Sancțiunile prevăzute
trebuie să fie eficace, proporționale și disuasive. Statele membre notifică
dispozițiile respective Comisiei cel târziu până la data transpunerii prezentei
directive și informează Comisia fără întârziere cu privire la orice modificări
ulterioare ale acestora.
2.           Statele membre se asigură că,
atunci când un incident de securitate afectează date cu caracter personal,
sancțiunile prevăzute sunt coerente cu sancțiunile stabilite de Regulamentul
Parlamentului European și al Consiliului privind protecția persoanelor fizice
referitor la prelucrarea datelor cu caracter personal și libera circulație a
acestor date[36].
Articolul 18
Exercitarea
delegării de competențe
1.           Competența de a adopta acte
delegate este conferită Comisiei în condițiile stabilite de prezentul articol.
2.           Se conferă Comisiei
competența de a adopta actele delegate menționate la articolul 9 alineatul (2),
la articolul 10 alineatul (5) și la articolul 14 alineatul (5). Comisia
întocmește un raport privind delegarea de competențe cu cel puțin nouă luni
înainte de sfârșitul perioadei de cinci ani. Delegarea de competențe se
prelungește tacit cu perioade de durată identică, cu excepția cazului în care
Parlamentul European sau Consiliul se opun unei astfel de prelungiri cu cel
puțin trei luni înainte de încheierea fiecărei perioade.
3.           Delegarea de competențe
menționată la articolul 9 alineatul (2), la articolul 10 alineatul (5) și la
articolul 14 alineatul (5) poate fi revocată în orice moment de Parlamentul
European sau de Consiliu. Prin decizia de revocare ia sfârșit delegarea competențelor
specificată în decizia respectivă. Decizia intră în vigoare în ziua următoare
publicării sale în Jurnalul Oficial al Uniunii Europene sau la o dată
ulterioară, pe care o specifică. Decizia nu afectează validitatea actelor
delegate care sunt deja în vigoare.
4.           După ce adoptă un act
delegat, Comisia îl notifică simultan Parlamentului European și Consiliului.
5.           Un act delegat adoptat în
temeiul articolului 9 alineatul (2), al articolului 10 alineatul (5) și al
articolului 14 alineatul (5) intră în vigoare numai dacă nici Parlamentul
European și nici Consiliul nu formulează obiecții în termen de două luni de la
data la care li s-a notificat actul respectiv sau dacă, înainte de expirarea
acestui termen, atât Parlamentul European, cât și Consiliul informează Comisia
că nu vor prezenta obiecții. Termenul respectiv se prelungește cu două luni la
inițiativa Parlamentului European sau a Consiliului.
Articolul 19
Procedura
comitetului
1.           Comisia este asistată de un
comitet (Comitetul pentru securitatea rețelelor și a informației). Acesta este
un comitet în sensul Regulamentului (UE) nr. 182/2011.
2.           Atunci când se face trimitere
la prezentul alineat, se aplică articolul 4 din Regulamentul (UE) nr. 182/2011.
3.           Atunci când se face trimitere
la prezentul alineat, se aplică articolul 5 din Regulamentul (UE) nr. 182/2011.
Articolul 20
Revizuire

Comisia revizuiește periodic funcționarea
prezentei directive și prezintă un raport Parlamentului European și
Consiliului. Primul raport se transmite în termen de cel mult trei ani de la
data transpunerii menționată la articolul 21. În acest scop, Comisia poate
solicita statelor membre să furnizeze informații, fără întârzieri
nejustificate. 
Articolul 21
Transpunere
1.           Statele membre adoptă și
publică, până cel târziu la [un an și jumătate după data adoptării], actele cu
putere de lege și actele administrative necesare pentru a se conforma prezentei
directive. Statele membre comunică fără întârziere Comisiei textul acestor
acte.
Statele membre aplică actele în cauză începând cu
[un an și jumătate după data adoptării].
Atunci când statele membre adoptă actele
respective, acestea conțin o trimitere la prezenta directivă sau sunt însoțite
de o astfel de trimitere la data publicării lor oficiale. Statele membre
stabilesc modalitatea de efectuare a acestei trimiteri.
2.           Statele membre comunică
Comisiei textul principalelor dispoziții de drept intern pe care le adoptă în
domeniul reglementat de prezenta directivă. 
Articolul 22
Intrare în vigoare
Prezenta directivă
intră în vigoare în a [douăzecea] zi de la data publicării în Jurnalul
Oficial al Uniunii Europene.
Articolul 23
Destinatari
Prezenta directivă
se adresează statelor membre.
Adoptată la Bruxelles, 
Pentru Parlamentul European,                     Pentru
Consiliu
Președintele                                                  Președintele
ANEXA I
Obligații și sarcini ale Echipei de intervenție în caz urgență
informatică (CERT)
Obligațiile
și sarcinile CERT sunt definite în mod adecvat și clar pe baza unei politici
naționale și/sau a unei reglementări naționale. Acestea includ următoarele
elemente:
(1)                   
Obligații ale CERT
(a)                   
CERT asigură o disponibilitate înaltă a serviciilor
sale de comunicații, evitând punctele unice de defecțiune și dispunând de mai
multe mijloace pentru a fi contactată și pentru a contacta alte entități. În
plus, canalele de comunicare trebuie să fie clar specificate și bine cunoscute
bazei sale de utilizatori și partenerilor de cooperare.
(b)                   
CERT pune în aplicare și gestionează măsuri de
securitate pentru a asigura confidențialitatea, integritatea, disponibilitatea
și autenticitatea informațiilor pe care le primește și le tratează.
(c)                   
Birourile CERT și sistemele informatice de suport
sunt situate pe amplasamente securizate.
(d)                   
Se înființează un sistem de gestionare a calității
pentru monitorizarea performanței CERT și asigurarea unui proces permanent de
îmbunătățire. Acesta se bazează pe sisteme de măsurare clar definite care
includ niveluri formale de serviciu și indicatori principali de performanță.
(e)                   
Continuitatea activităților:
–              
CERT trebuie să dispună de un sistem adecvat de
gestionare și rutare a cererilor, cu scopul de a facilita transferurile, 
–              
CERT trebuie să dispună de efective de personal
adecvate, pentru a asigura o disponibilitate permanentă,
–              
CERT se bazează pe o infrastructură a cărei
continuitate este asigurată. În acest scop, se instalează sisteme redundante și
un spațiu de lucru de rezervă pentru CERT, care să asigure un acces permanent
la mijloace de comunicare. 
(2)                   
Sarcinile CERT
(a)                   
Sarcinile CERT includ cel puțin următoarele: 
–              
monitorizarea incidentelor la nivel național,
–              
transmiterea alertelor rapide, a alertelor și a
anunțurilor și diseminarea informațiilor privind riscurile și incidentele către
părțile interesate relevante,
–              
răspunsul la incidente,
–              
furnizarea analizei dinamice de risc și de incident
și sensibilizarea situațională,
–              
sensibilizarea publicului larg cu privire la
riscurile asociate activităților online,
–              
organizarea de campanii privind NIS;
(b)                   
CERT stabilește relații de cooperare cu sectorul
privat.
(c)                   
Pentru a facilita cooperarea, CERT promovează
adoptarea și utilizarea unor practici comune sau standardizate pentru: 
–              
procedurile de administrare a incidentelor și a
riscurilor,
–              
sistemele de clasificare a incidentelor, riscurilor
și informațiilor, 
–              
taxonomia sistemelor de măsurare,
–              
formatele de schimb de informații cu privire la riscuri
și incidente și convențiile de denumire a sistemelor.
ANEXA II
Lista
operatorilor de piață
menționați la articolul 3 alineatul (8)
litera (a):
1. platforme de comerț electronic
2. procesatori de plăți online
3. rețele de socializare 
4. motoare de căutare
5. servicii de cloud computing 
6. magazine de aplicații online
menționați la articolul 3 alineatul (8)
litera (b):
1. Energie
–              
furnizori de energie electrică și gaz
–              
operatori de sisteme de distribuție a energiei
electrice și/sau a gazelor și comercianți cu amănuntul către consumatorii
finali 
–              
operatori de sisteme de transport al gazelor
naturale, operatori de depozite și operatori de GNL 
–              
operatori de sisteme de transport al energiei
electrice
–              
conducte de transport al petrolului și depozite de
petrol
–              
operatori de pe piața energiei electrice și a
gazelor naturale 
–               
operatori ai instalațiilor de producție a
petrolului și gazelor naturale și ai instalațiilor de rafinare și de tratare
2. Transporturi 
–              
transportatori aerieni (transport aerian de marfă
și de pasageri)
–              
transportatori maritimi (societăți de transport
maritim și costier de pasageri și societăți de transport maritim și costier de
mărfuri)
–              
căi ferate (gestionari de infrastructură,
întreprinderi integrate și operatori de transport feroviar) 
–              
aeroporturi 
–              
porturi
–              
operatori de control al gestionării traficului
–              
servicii logistice auxiliare: (a) depozitare și
stocare, (b) manipularea mărfurilor și c) alte servicii auxiliare de transport 
3. Bănci: instituții de credit conform
articolului 4 alineatul (1) din Directiva 2006/48/CE. 
4. Infrastructuri ale pieței financiare: burse
de valori și contrapartide centrale/case de compensare
5. Sectorul sănătății: instituții de asistență
medicală (inclusiv spitale și clinici private) și alte entități implicate în
furnizarea de asistență medicală
FIȘĂ FINANCIARĂ LEGISLATIVĂ
1.           CADRUL PROPUNERII/INIȚIATIVEI 
              1.1.    Titlul propunerii/inițiativei 
              1.2.    Domeniul
(domeniile) de politică în cauză în structura ABM/ABB
              1.3.    Tipul
propunerii/inițiativei 
              1.4.    Obiective

              1.5.    Motivul
(motivele) propunerii/inițiativei 
              1.6.    Durata
acțiunii și impactul financiar al acesteia 
              1.7.    Modul
(modurile) de gestionare avute în vedere 
2.           MĂSURI DE GESTIONARE 
              2.1.    Dispoziții
în materie de monitorizare și raportare 
              2.2.    Sistemul
de gestionare și control 
              2.3.    Măsuri
de prevenire a fraudelor și a neregulilor 
3.           IMPACTUL FINANCIAR ESTIMAT AL
PROPUNERII/INIȚIATIVEI 
              3.1.    Rubrica
(rubricile) din cadrul financiar multianual și linia bugetară (liniile
bugetare) de cheltuieli afectată (afectate) 
              3.2.    Impactul
estimat asupra cheltuielilor 
              3.2.1. Sinteza impactului
estimat asupra cheltuielilor 
              3.2.2. Impactul estimat
asupra creditelor operaționale 
              3.2.3. Impactul estimat
asupra creditelor cu caracter administrativ
              3.2.4. Compatibilitatea cu
cadrul financiar multianual actual
              3.2.5. Participarea
terților la finanțare 
              3.3.    Impactul estimat asupra
veniturilor 
FIȘĂ
FINANCIARĂ LEGISLATIVĂ
1.           CADRUL PROPUNERII/INIȚIATIVEI 
1.1.        Titlul propunerii/inițiativei

Propunere
de Directivă a Parlamentului European și a Consiliului privind măsuri de
asigurare a unui nivel ridicat de securitate a rețelelor și a informației în
Uniune.
1.2.        Domeniul (domeniile) de
politică în cauză în structura ABM/ABB[37] 
- 09
– Rețele de comunicații, conținut și tehnologie
1.3.        Tipul propunerii/inițiativei 
ý Propunerea/inițiativa
se referă la o acțiune nouă 
¨ Propunerea/inițiativa se referă la o acțiune
nouă ca urmare a unui proiect-pilot/unei acțiuni pregătitoare[38] 
¨ Propunerea/inițiativa
se referă la prelungirea unei acțiuni existente 
¨ Propunerea/inițiativa
se referă la o acțiune reorientată către o acțiune nouă 
1.4.        Obiective
1.4.1.     Obiectiv(e) strategic(e)
multianual(e) al(e) Comisiei vizat(e) de propunere/inițiativă 
Scopul
directivei propuse este de a asigura un nivel comun ridicat de securitate a
rețelelor și a informației (NIS) în UE. 
1.4.2.     Obiectiv(e) specific(e) și
activitatea (activitățile) ABM/ABB în cauză 
Propunerea
stabilește măsuri de asigurare a unui nivel comun ridicat de securitate a
rețelelor și sistemelor informatice în Uniune.
Obiectivele
specifice sunt următoarele: 
1.       Instituirea
unui nivel minim de NIS în statele membre și creșterea, în consecință, a
nivelului general de pregătire și răspuns. 
2.       Îmbunătățirea
cooperării în domeniul NIS la nivelul UE în vederea combaterii cu eficacitate a
incidentelor și a amenințărilor transfrontaliere. Va fi instituită o
infrastructură securizată de schimb de informații, care va permite schimbul de
informații sensibile și confidențiale între autoritățile competente.
3.       Crearea
unei culturi de gestionare a riscurilor și intensificarea schimbului de
informații între sectoarele privat și public. 
Activitățile ABM/ABB în cauză
Directiva
privește entități (întreprinderi și organizații, inclusiv unele IMM-uri)
dintr-o serie de sectoare (energie, transporturi, instituții de credit și
burse, asistență medicală și furnizori de servicii esențiale de internet),
precum și administrațiile publice. Directiva abordează legăturile cu
autoritățile de aplicare a legii și cu autoritățile de protecție a datelor,
precum și aspectele legate de NIS ale relațiilor externe.
- 09
– Rețele de comunicații, conținut și tehnologie
- 02
- Întreprinderi
- 32
- Energie
- 06
- Mobilitate și transporturi
- 17
- Sănătate și protecția consumatorilor
- 18
- Afaceri interne
- 19
– Relații externe
- 33
- Justiție
- 12-
Piața internă
1.4.3.     Rezultatul (rezultatele) și
impactul preconizate
A se preciza efectele
pe care propunerea/inițiativa ar trebui să le aibă asupra beneficiarilor
vizați/grupurilor vizate.
Protecția
consumatorilor, a întreprinderilor și a guvernelor din UE împotriva
incidentelor, a amenințărilor și a riscurilor de NIS s-ar îmbunătăți în mod
considerabil.
Mai
multe detalii sunt disponibile la punctul 8.2 (Impactul opțiunii 2 – Abordarea
reglementării) din documentul de lucru al serviciilor Comisiei, și anume
Evaluarea impactului care însoțește prezenta propunere legislativă. 
1.4.4.     Indicatori de rezultat și de
impact 
A se preciza
indicatorii care permit monitorizarea punerii în aplicare a
propunerii/inițiativei.
Indicatorii
de monitorizare și evaluare se găsesc în secțiunea 10 din Evaluarea impactului.

1.5.        Motivul (motivele)
propunerii/inițiativei 
1.5.1.     Cerințe de îndeplinit pe
termen scurt sau lung 
Fiecărui
stat membru i se solicită să dispună de:
-
o strategie națională privind NIS;
-
un plan național de cooperare în domeniul NIS;
-
o autoritate națională competentă în materie de NIS; și
-
o echipă de intervenție în caz de urgență informatică (CERT)
La
nivelul UE, statelor membre li se solicită să coopereze prin intermediul unei
rețele. 
Administrațiilor
publice și actorilor principali din sectorul privat li se solicită să aplice
gestionarea riscurilor de NIS și să raporteze autorităților competente
incidentele de NIS care au un impact semnificativ. 
1.5.2.     Valoarea adăugată a implicării
UE
Având
în vedere caracterul transfrontalier al NIS, divergențele legislațiilor și ale
politicilor în domeniu reprezintă o barieră în calea întreprinderilor care
doresc să opereze în mai multe țări și în calea realizării economiilor de
scară. Lipsa intervenției la nivelul UE ar conduce la situația în care fiecare
stat membru ar acționa în mod individual, fără a lua în considerare
interdependența rețelelor și a sistemelor informatice. 
Prin
urmare, obiectivele declarate pot fi mai bine realizate prin acțiuni la nivelul
UE, decât prin acțiuni individuale ale statelor membre.
1.5.3.     Învățăminte desprinse din
experiențele anterioare similare
Propunerea
decurge din constatarea că sunt necesare obligații de reglementare pentru a
crea condiții uniforme și a elimina unele lacune legislative. În acest domeniu,
abordarea pur voluntară a condus la desfășurarea cooperării numai între un
număr mic de state membre cu un nivel ridicat al capacităților. 
1.5.4.     Coerența și posibila sinergie
cu alte instrumente relevante
Propunerea
este pe deplin coerentă cu Agenda digitală pentru Europa și, prin urmare, cu
Strategia Europa 2020. Propunerea este, de asemenea, coerentă cu cadrul de
reglementare al UE în domeniul comunicațiilor electronice, cu Directiva UE
privind infrastructurile critice europene și cu Directiva UE privind protecția
datelor și completează aceste acte. 
Propunerea
însoțește Comunicarea Comisiei și a Înaltului Reprezentant al Uniunii pentru
afaceri externe și politica de securitate privind Strategia europeană de
securitate cibernetică și este o parte esențială a acestei comunicări. 
1.6.        Durata acțiunii și impactul
financiar al acesteia 
–     
¨ Propunere/inițiativă pe durată determinată 
–     
¨  Propunere/inițiativă în vigoare de la [ZZ/LL]AAAA până la [ZZ/LL]AAAA

–     
¨  Impact financiar din AAAA până în AAAA 
–     
ý Propunere/inițiativă pe durată nedeterminată
–     
Perioada de transpunere va începe imediat după
adoptare (conform estimărilor, în 2015) și va dura 18 luni. Punerea în aplicare
a directivei va începe însă după adoptarea sa și va implica instituirea
infrastructurii securizate care va susține cooperarea dintre statele membre.
–     
Va fi urmată de perioada de funcționare în regim de
croazieră.
1.7.        Modul (modurile) de gestionare
preconizate[39] 
–     
ý Gestionare centralizată directă de către Comisie 
–     
ý Gestionare centralizată indirectă, cu delegarea sarcinilor de
execuție:
–     
¨agențiilor executive 
–     
x organismelor instituite de Comunități[40]

–     
¨  organismelor publice naționale/organismelor cu misiune de serviciu
public 
–     
¨  persoanelor cărora li se încredințează executarea unor acțiuni
specifice în temeiul titlului V din Tratatul privind Uniunea Europeană,
identificate în actul de bază relevant în sensul articolului 49 din
Regulamentul financiar 
–     
¨ Gestionare partajată cu statele membre 
–     
¨ Gestionare descentralizată împreună cu țări terțe 
–     
¨ Gestionare în comun cu organizații internaționale, inclusiv cu Agenția
Spațială Europeană
Dacă se indică mai
multe moduri de gestionare, se furnizează detalii suplimentare în secțiunea
„Observații“.
Observații

ENISA,
o agenție descentralizată creată de Comunități, poate asista statele membre și
Comisia în punerea în aplicare a directivei, pe baza mandatului său și a
redistribuirii resurselor prevăzută în cadrul financiar multianual 2014-2020
pentru această agenție.
2.           MĂSURI DE GESTIONARE 
2.1.        Dispoziții în materie de
monitorizare și raportare 
A se preciza frecvența
și condițiile aferente acestor dispoziții.
Comisia
va revizui periodic funcționarea directivei și va prezenta un raport
Parlamentului European și Consiliului. 
De
asemenea, Comisia va evalua transpunerea corectă a directivei de către statele
membre.
Propunerea
privind MCE prevede și posibilitatea de a efectua o evaluare a metodelor de
executare a proiectelor, precum și a impactului punerii în aplicare a acestora,
pentru a aprecia dacă obiectivele, inclusiv cele legate de protecția mediului,
au fost atinse.
2.2.        Sistemul de gestionare și
control 
2.2.1.     Riscul identificat 
-
întârzieri în executarea proiectelor în ceea ce privește crearea
infrastructurii securizate
2.2.2.     Metodele de control
preconizate 
Acordurile
și deciziile de punere în aplicare a acțiunilor din cadrul MCE vor prevedea
supravegherea și controlul financiar de către Comisie, sau de către orice
reprezentant autorizat de Comisie, precum și efectuarea unor audituri de către
Curtea de Conturi și a unor controale la fața locului de către Oficiul European
de Luptă Antifraudă (OLAF).
2.2.3.     Costurile și beneficiile
controalelor și rata probabilă de neconformitate 
Controalele
ex ante și ex post bazate pe riscuri, precum și posibilitatea de
a efectua audituri la fața locului vor permite menținerea costurile
controalelor la un nivel rezonabil. 
2.3.        Măsuri de prevenire a
fraudelor și neregulilor 
A se preciza măsurile
de prevenire și de protecție existente sau preconizate.
La
punerea în aplicare a acțiunilor finanțate în temeiul prezentei directive,
Comisia va lua măsurile adecvate pentru a asigura protejarea intereselor
financiare ale Uniunii prin aplicarea măsurilor preventive împotriva fraudei, a
corupției și a oricăror alte activități ilegale, prin controale eficace și,
dacă se constată nereguli, prin recuperarea sumelor plătite în mod necuvenit
și, după caz, prin sancțiuni eficace, proporționale și disuasive.
Comisia
sau reprezentanții acesteia și Curtea de Conturi au competența de a efectua
audituri, atât pe baza documentelor, cât și la fața locului, în ceea ce îi
privește pe toți beneficiarii de granturi, contractorii și subcontractorii care
au primit fonduri din partea Uniunii în temeiul programului.
Oficiul
European de Luptă Antifraudă (OLAF) poate efectua controale și inspecții la
fața locului la operatorii economici care beneficiază direct sau indirect de o
astfel de finanțare, în conformitate cu procedurile prevăzute în Regulamentul
(Euratom, CE) nr. 2185/96, cu scopul de a stabili dacă a avut loc o fraudă, un
act de corupție sau orice altă activitate ilegală care afectează interesele
financiare ale Uniunii și este legată de un acord de grant sau de o decizie de
acordare a unui grant sau de un contract de finanțare din partea Uniunii.
Fără
a aduce atingere celor de mai sus, acordurile de cooperare cu țări terțe și cu
organizații internaționale, precum și acordurile de grant, deciziile de
acordare a unui grant și contractele rezultate din punerea în aplicare a
prezentei directive împuternicesc în mod expres Comisia, Curtea de Conturi și
OLAF să efectueze astfel de audituri, controale și inspecții la fața locului. 
MCE
prevede modele standard pentru contracte, granturi și achiziții, care vor
stabili măsurile antifraudă general aplicabile.
3.           IMPACTUL FINANCIAR ESTIMAT AL
PROPUNERII/INIȚIATIVEI 
3.1.        Rubrica (rubricile) din
cadrul financiar multianual și linia bugetară (liniile bugetare) de cheltuieli
afectată (afectate) 
·      Linii bugetare existente 
În ordinea rubricilor
din cadrul financiar multianual și a liniilor bugetare.
 Rubrica din cadrul financiar multianual || Linia bugetară || Tipul cheltuielilor || Contribuție 
 Numărul [Descriere … … … … … … … … … … …] || Dif./Nedif. ([41]) || Țări AELS[42] || Țări candidate[43] || Tări terțe || În sensul articolului 18 alineatul (1) litera (aa) din Regulamentul financiar 
   || 09 03 02          Promovarea interconectării și a interoperabilității serviciilor publice naționale online, precum și a accesului la astfel de rețele || Dif. || NU || NU || NU || NU 
·      Noile linii bugetare a căror creare se solicită (Nu se aplică)
În ordinea rubricilor din cadrul financiar multianual și
a liniilor bugetare.
 Rubrica din cadrul financiar multianual || Linia bugetară || Tipul cheltuielilor || Contribuție 
 Număr [Rubrică……………………………………...] || Dif./Nedif. || Țări AELS || Țări candidate || Tări terțe || În sensul articolului 18 alineatul (1) litera (aa) din Regulamentul financiar 
   || [XX.YY.YY.YY]   ||   || DA/NU || DA/NU || DA/NU || DA/NU 
3.2.        Impactul estimat asupra
cheltuielilor 
3.2.1.     Sinteza impactului estimat
asupra cheltuielilor 
milioane EUR (cu 3 zecimale)
 Rubrica din cadrul financiar multianual: || 1 || Creștere inteligentă și favorabilă incluziunii 
 DG: <…….> ||   ||   || 2015*[44] || Anul 2016 || Anul 2017 || Anul 2018 || Anii următori (2019-2021) și în continuare || TOTAL 
  Credite operaționale ||   ||   ||   ||   ||   ||   ||   ||   
 09 03 02 || Angajamente || (1) || 1,250** || 0,000 ||   ||   ||   ||   ||   || 1,250 
 Plăți || (2) || 0,750 || 0,250 || 0,250 ||   ||   ||   ||   || 1,250 
 Credite cu caracter administrativ finanțate din bugetul anumitor programe[45]   || 0,000 ||   ||   ||   ||   ||   ||   || 0,000 
 Numărul liniei bugetare ||   || (3) || 0,000 ||   ||   ||   ||   ||   ||   || 0,000 
 TOTAL credite pentru DG <…….> || Angajamente || =1+1a +3 || 1,250 || 0,000 ||   ||   ||   ||   ||   || 1,250 
 Plăți || =2+2a +3 || 0,750 || 0,250 || 0,250 ||   ||   ||   ||   || 1,250 
  TOTAL credite operaționale || Angajamente || (4) || 1,250 || 0,000 ||   ||   ||   ||   ||   || 1,250 
 Plăți || (5) || 0,750 || 0,250 || 0,250 ||   ||   ||   ||   || 1,250 
  TOTAL credite cu caracter administrativ finanțate din bugetul anumitor programe || (6) || 0,000 ||   ||   ||   ||   ||   ||   ||   
 TOTAL credite în cadrul RUBRICII 1 din cadrul financiar multianual || Angajamente || =4+ 6 || 1,250 || 0,000 ||   ||   ||   ||   ||   || 1,250 
 Plăți || =5+ 6 || 0,750 || 0,250 || 0,250 ||   ||   ||   ||   || 1,250 
* Calendarul exact va depinde de data
adoptării propunerii de către autoritatea legislativă (și anume, dacă directiva
va fi aprobată în cursul anului 2014, adaptarea infrastructurii existente ar
începe în 2015, în caz contrar, un an mai târziu).
** Dacă statele membre decid să utilizeze o
infrastructură existentă și să acopere costul unic de adaptare a acesteia din
bugetul UE, astfel cum s-a explicat la punctele 1.4.3 și 1.7, costul de
adaptare a unei rețele pentru susținerea cooperării dintre statele membre,
conform capitolului III din directivă (alertă rapidă, răspuns coordonat etc.),
este estimat la 1 250 000 EUR. Această sumă este puțin mai mare decât cea
menționată în Evaluarea impactului („aproximativ 1 milion EUR”), deoarece se
bazează pe o estimare mai precisă a modulelor necesare pentru o astfel de
infrastructură. Modulele necesare și costurile aferente se bazează pe o
estimare efectuată de JRC, în urma experienței sale de dezvoltare a unor
sisteme similare în alte domenii, precum sănătatea publică, și includ
următoarele: un sistem de alertă rapidă și notificare a incidentelor de NIS (275
000 EUR); o platformă de schimb de informații (400 000 EUR); un sistem de
alertă rapidă și răspuns (275 000 EUR) și un centru de criză (300 000 EUR)
totalizând 1 250 000 EUR. Se prevede întocmirea unui plan mai detaliat de
punere în aplicare în cadrul viitorului studiu de fezabilitate prevăzut de
contractul specific SMART 2012/0010: „Studiu de fezabilitate și activități
pregătitoare pentru punerea în aplicare a unui Sistem european de alertă rapidă
și răspuns în caz de atac informatic și perturbări”.
În cazul în care propunerea/inițiativa afectează mai
multe rubrici:          
  TOTAL credite operaționale || Angajamente || (4) || 0,000 || 0,000 ||   ||   ||   ||   ||   ||   
 Plăți || (5) || 0,000 || 0,000 ||   ||   ||   ||   ||   ||   
  TOTAL credite cu caracter administrativ finanțate din bugetul anumitor programe || (6) || 0,000 || 0,000 ||   ||   ||   ||   ||   ||   
 TOTAL credite în cadrul RUBRICILOR 1 – 4 din cadrul financiar multianual (suma de referință) || Angajamente || =4+ 6 || 1,250 || 0,000 ||   ||   ||   ||   ||   || 1,250 
 Plăți || =5+ 6 || 0,750 || 0,250 || 0,250 ||   ||   ||   ||   || 1,250 
 Rubrica din cadrul financiar multianual || 5 || „Cheltuieli administrative” 
milioane EUR (cu 3 zecimale)
   ||   ||   || Anul 2015 || Anul 2016 || Anul 2017 || Anul 2018 || Anii următori (2019-2021) și în continuare || TOTAL 
 DG:CNECT || 
  Resurse umane || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 4,004 
  Alte cheltuieli administrative || 0,318 || 0,118 || 0,318 || 0,118 || 0,318 || 0,118 || 0,118 || 1,426 
 TOTAL DG CNECT || Credite || 0,890 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 5,430 
 TOTAL credite în cadrul RUBRICII 5 din cadrul financiar multianual || (Total angajamente = Total plăți) || 0,890 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 5,430 
milioane EUR (cu 3 zecimale)
   ||   ||   || Anul 2015[46] || Anul 2016 || Anul 2017 || Anul 2018 || Anii următori (2019-2021) și în continuare || TOTAL 
 TOTAL credite în cadrul RUBRICILOR 1 – 5 din cadrul financiar multianual || Angajamente || 2,140 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 6,680 
 Plăți || 1,640 || 0,940 || 1,140 || 0,690 || 0,890 || 0,690 || 0,690 || 6,680 
3.2.2.     Impactul estimat asupra
creditelor operaționale 
–     
¨ Propunerea/inițiativa nu implică utilizarea de credite operaționale 
–     
þ Propunerea/inițiativa implică utilizarea de credite operaționale,
conform explicațiilor de mai jos:
–     
Credite de angajament în milioane EUR (cu 3
zecimale)
 A se indica obiectivele și realizările   ò ||   ||   || Anul 2015* || Anul 2016 || Anul 2017 || Anul 2018 || Anii următori (2019-2021) și în continuare || TOTAL 
 REALIZĂRI 
 Tipul[47]   || Costul mediu || Numărul || Costul || Numărul || Costul || Numărul || Costul || Numărul || Costul || Numărul || Costul || Numărul || Costul || Numărul || Costul || Numărul total || Costul total 
 OBIECTIVUL SPECIFIC NR. 2[48] Infrastructură securizată de schimb de informații ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   
 - Realizare || Adaptarea infrastructurii ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   
 Subtotal obiectivul specific nr. 2 || 1 || 1,250** ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   || 1 || 1,250 
 COSTURI TOTALE ||   || 1,250 ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   || 1,250 
* Calendarul exact va depinde de data
adoptării propunerii de către autoritatea legislativă (și anume, dacă directiva
va fi aprobată în cursul anului 2014, adaptarea infrastructurii existente ar
începe în 2015, în caz contrar, un an mai târziu).
**A se vedea punctul 3.2.1.
3.2.3.     Impactul estimat asupra
creditelor cu caracter administrativ
3.2.3.1.  Sinteză 
–     
¨  Propunerea/inițiativa nu implică utilizarea de credite administrative

–     
þ  Propunerea/inițiativa implică utilizarea de credite administrative,
conform explicațiilor de mai jos:
milioane EUR (cu 3 zecimale)
   || Anul 2015[49]   || Anul 2016 || Anul 2017 || Anul 2018 || Anii următori (2019-2021) și în continuare || TOTAL 
 RUBRICA 5 din cadrul financiar multianual ||   ||   ||   ||   ||   ||   ||   ||   
 Resurse umane || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 4,004 
 Alte cheltuieli administrative || 0,318 || 0,118 || 0,318 || 0,118 || 0,318 || 0,118 || 0,118 || 1,426 
 Subtotal RUBRICA 5 din cadrul financiar multianual || 0,890 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 5,430 
 În afara RUBRICII 5[50] din cadrul financiar multianual   ||   ||   ||   ||   ||   ||   ||   ||   
 Resurse umane || 0,000 || 0,000 ||   ||   ||   ||   ||   || 0,000 
 Alte cheltuieli cu caracter administrativ ||   ||   ||   ||   ||   ||   ||   ||   
 Subtotal în afara RUBRICII 5 din cadrul financiar multianual || 0,890 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 5,430 
 TOTAL || 0,890 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 5,430 
Necesarul de credite administrative va fi
acoperit de creditele deja alocate DG CNECT pentru gestionarea acțiunii și/sau
care au fost redistribuite în cadrul DG-ului, completate, dacă este necesar, cu
resursele suplimentare ce ar putea fi alocate DG-ului care gestionează acțiunea
în cadrul procedurii de alocare anuală și ținând seama de constrângerile
bugetare.
Agenția Europeană pentru Securitatea Rețelelor
Informatice și a Datelor (ENISA) ar putea asista statele membre și Comisia în
punerea în aplicare a directivei, pe baza mandatului său și prin redistribuirea
resurselor prevăzută în cadrul financiar multianual 2014-2020 pentru această
agenție, și anume, fără alocări suplimentare bugetare sau de resurse umane.
3.2.3.2.  Necesarul de resurse umane
estimat 
–     
¨  Propunerea/inițiativa nu implică utilizarea de resurse umane 
–     
þ  Propunerea/inițiativa implică utilizarea de resurse umane ale
Comisiei, conform explicațiilor de mai jos:
În principiu, nu este nevoie de o forță de muncă
suplimentară. Necesarul de resurse umane va fi foarte limitat și va fi acoperit
de efectivele de personal ale DG-ului în cauză, care sunt deja alocate pentru
gestionarea acțiunii.
Estimarea se exprimă în numere întregi (sau
cel mult cu o zecimală)
   || Anul 2015 || Anul 2016 || Anul 2017 || Anul 2018 || Anii următori (2019-2021) și în continuare 
  Posturi din schema de personal (posturi de funcționari și de agenți temporari) 
 09 01 01 01 (la sediu și în birourile de reprezentare ale Comisiei) || 4 || 4 || 4 || 4 || 4 || 4 || 4 
 XX 01 01 02 (în delegații) ||   ||   ||   ||   ||   ||   ||   
 XX 01 05 01 (cercetare indirectă) ||   ||   ||   ||   ||   ||   ||   
 10 01 05 01 (cercetare directă) ||   ||   ||   ||   ||   ||   ||   
  Personal extern (în echivalent normă întreagă: ENI)[51] 
 09 01 02 01 (AC, INT, END din „pachetul global”) || 1 || 1 || 1 || 1 || 1 || 1 || 1 
 XX 01 02 02 (AC, INT, JED, AL și END în delegații) ||   ||   ||   ||   ||   ||   ||   
 XX 01 04 yy[52] || - la sediu[53] ||   ||   ||   ||   ||   ||   ||   
 - în delegații ||   ||   ||   ||   ||   ||   ||   
 XX 01 05 02 (AC, INT, END în cadrul cercetării indirecte) ||   ||   ||   ||   ||   ||   ||   
 10 01 05 02 (AC, INT, END în cadrul cercetării directe) ||   ||   ||   ||   ||   ||   ||   
 Alte linii bugetare (a se preciza) ||   ||   ||   ||   ||   ||   ||   
 TOTAL || 5 || 5 || 5 || 5 || 5 || 5 || 5 
XX este domeniul de politică sau titlul din buget
în cauză.
Necesarul de resurse umane
va fi acoperit de efectivele de personal ale DG CNECT alocate deja pentru
gestionarea acțiunii și/sau redistribuite intern în cadrul DG-ului, completate,
dacă este necesar, cu resursele suplimentare ce ar putea fi alocate DG-ului
care gestionează acțiunea în cadrul procedurii de alocare anuală și ținând
seama de constrângerile bugetare.
Agenția Europeană pentru Securitatea Rețelelor
Informatice și a Datelor (ENISA) ar putea asista statele membre și Comisia în
punerea în aplicare a directivei, pe baza mandatului său actual și prin
redistribuirea resurselor prevăzută în cadrul financiar multianual 2014-2020
pentru această agenție, și anume, fără alocări suplimentare bugetare sau de
resurse umane.
Descrierea sarcinilor
care trebuie efectuate:
 Funcționari și agenți temporari || - Pregătirea actelor delegate în conformitate cu articolul 14 alineatul (3)                               - Pregătirea actelor de punere în aplicare în conformitate cu articolul 8, articolul 9 alineatul (2), articolul 12, articolul 14 alineatul (5), articolul 16 - Contribuție la cooperarea prin intermediul rețelei atât la nivelul politicii, cât și la nivel operațional. - Participare la negocieri internaționale și, eventual, încheierea acordurilor internaționale 
 Personal extern || Sprijin pentru toate sarcinile de mai sus, în funcție de necesități. 
3.2.4.     Compatibilitatea cu cadrul
financiar multianual actual 
–     
þ  Propunerea/inițiativa este compatibilă cu cadrul financiar multianual
actual.
–     
¨  Propunerea/inițiativa necesită o reprogramare a rubricii
corespunzătoare din cadrul financiar multianual.
Impactul
financiar estimat asupra cheltuielilor operaționale ale propunerii se va
produce dacă statele membre decid să adapteze o infrastructură existentă și
încredințează Comisiei efectuarea acestei adaptări în contextul cadrului
financiar multianual 2014-2020. Costul unic aferent va fi acoperit în cadrul
MCE, în condițiile disponibilității unor fonduri suficiente. În mod alternativ,
statele membre pot să suporte împreună fie costurile adaptării infrastructurii,
fie costurile de creare a unei noi infrastructuri.
–     
¨  Propunerea/inițiativa necesită recurgerea la instrumentul de
flexibilitate sau revizuirea cadrului financiar multianual[54].
Nu
se aplică.
3.2.5.     Participarea terților la
finanțare 
–     
Propunerea/inițiativa nu prevede cofinanțare din
partea terților 
3.3.        Impactul estimat asupra
veniturilor 
–     
þ  Propunerea/inițiativa nu are impact financiar asupra veniturilor. 
[1]               Consultarea publică online privind „Îmbunătățirea
securității rețelelor și a informației în UE ” s-a desfășurat în perioada 23
iulie - 15 octombrie 2012.
[2]               Eurobarometru 390/2012.
[3]               COM(2001) 298.
[4]               COM(2006) 251 http://eur-lex.europa.eu/LexUriServ/site/en/com/2006/com2006_0251en01.pdf.
[5]               2007/068/01.
[6]               COM(2009) 149.
[7]               2009/C 321/01.
[8]               COM(2010) 245.
[9]               Concluziile Consiliului din 31 mai 2010 privind Agenda
digitală pentru Europa (10130/10).
[10]             COM(2010) 2020 și Concluziile Consiliului European din 25
și 26 martie 2010 (EUCO 7/10).
[11]             COM(2011) 163.
[12]             http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=­CELEX:32004R0460:EN:HTML.
[13]             COM(2010) 521.
[14]             A se vedea http://ec.europa.eu/information_society/policy/ecomm/doc/library/regframeforec_dec2009.pdf.
[15]             Articolele 13a și 13b din Directiva-cadru.
[16]             Directiva 2002/58/CE din 12 iulie 2002.
[17]             COM(2012) 11.
[18]             COM(2006) 786 http://eur-lex.europa.eu/LexUriServ/site/en/com/2006/com2006_0786en01.pdf.
[19]             COM(2010) 517,
http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?        
uri=COM:2010:0517:FIN:EN:PDF.
[20]             COM(2012) 140 http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?         
uri=COM:2012:0140:FIN:EN:PDF.
[21]             http://europa.eu/rapid/press-release_MEMO-10-597_en.htm.
[22]             http://www.enisa.europa.eu/activities/Resilience-and-CIIP/public-private-partnership/european-public-private-partnership-for-resilience-ep3r.
[23]             Regulamentul (CE) nr. 460/2004 al Parlamentului European
și al Consiliului din 10 martie 2004 privind instituirea Agenției Europene
pentru Securitatea Rețelelor Informatice și a Datelor (JO L 77, 13.3.2004,
p. 1).
[24]               JO C […], […], p. […].
[25]               JO L 108, 24.4.2002, p. 33.
[26]               JO L 201, 31.7.2002, p. 37.
[27]               JO L 204, 21.7.1998, p. 37.
[28]               SEC(2012) 72 final.
[29]               JO L 316, 14.11.2012, p. 12.
[30]               JO L 55, 28.2.2011, p. 13.
[31]               JO L 145, 31.5.2001, p. 43.
[32]               JO L 345, 23.12.2008, p. 75.
[33]             JO L 281, 23.11.1995, p. 31.
[34]             SEC(2012) 72 final.
[35]             JO L 124, 20.5.2003, p. 36.
[36]             SEC(2012) 72 final.
[37]             ABM (Activity Based Management): Gestionarea pe activități
– ABB (Activity Based Budgeting): Stabilirea bugetului pe activități.
[38]             Astfel cum sunt menționate la articolul 49 alineatul (6)
litera (a) sau (b) din Regulamentul financiar.
[39]             Explicațiile privind modurile de
gestionare, precum și trimiterile la Regulamentul financiar sunt disponibile pe
site-ul BudgWeb: http://www.cc.cec/budg/man/budgmanag/budgmanag_en.htmlhttp://www.cc.cec/budg/man/budgmanag/budgmanag_en.html
[40]             Astfel cum sunt menționate la articolul 185 din
Regulamentul financiar.
[41]             Dif. = credite diferențiate / Nedif. = credite
nediferențiate.
[42]             AELS: Asociația Europeană a Liberului Schimb
[43]             Țările candidate și, după caz, țările potențial candidate
din Balcanii de Vest.
[44]             Anul N este anul în care începe punerea în aplicare a
propunerii/inițiativei.
[45]             Asistență tehnică și/sau administrativă și cheltuieli de
sprijin pentru punerea în aplicare a programelor și/sau a acțiunilor UE
(fostele linii „BA”), cercetare indirectă și cercetare directă.
[46]             Anul N este anul în care începe punerea în aplicare a
propunerii/inițiativei.
[47]             Realizările se referă la produsele și serviciile care vor
fi furnizate (de ex.: numărul de schimburi de studenți finanțate, numărul de km
de drumuri construiți etc.).
[48]             Conform descrierii de la punctul 1.4.2. „Obiectiv(e)
specific(e)…” 
[49]             Anul N este anul în care începe punerea în aplicare a
propunerii/inițiativei.
[50]             Asistență tehnică și/sau administrativă și cheltuieli de
sprijin pentru punerea în aplicare a programelor și/sau a acțiunilor UE
(fostele linii „BA”), cercetare indirectă și cercetare directă.
[51]             AC = agent contractual; INT = personal pus la dispoziție
de agenții de muncă temporară („Intérimaire”); JED = „Jeune Expert en
Délégation” (expert tânăr în delegații); AL = agent local; END= expert național
detașat. 
[52]             Sub plafonul pentru personal extern din credite
operaționale (fostele linii „BA”).
[53]             În principal pentru fonduri structurale, Fondul european
agricol pentru dezvoltare rurală (FEADR) și Fondul european pentru pescuit
(FEP).
[54]             A se vedea punctele 19 și 24 din Acordul
interinstituțional.