Source: http://www.legex.ro/Ordin-601-2019-163535.aspx
Timestamp: 2019-11-20 04:45:26+00:00

Document:
Ordinul 601/2019 | Legislatie gratuita
Ordinul Nr.601 din 21.06.2019
Având în vedere prevederile Ordonanţei de urgenţă a Guvernului nr. 1/2017 privind stabilirea unor măsuri în domeniul administraţiei publice centrale şi pentru modificarea şi completarea unor acte normative, aprobată cu modificări şi completări prin Legea nr. 129/2017, cu modificările şi completările ulterioare, şi Nota de fundamentare nr. 202.037 din 13.06.2019 emisă de Centrul Naţional de Răspuns la Incidente de Securitate Cibernetică - CERT-RO,în conformitate cu dispoziţiile art. 8 alin. (9) din Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice, cu modificările şi completările ulterioare,în temeiul Hotărârii Guvernului nr. 36/2017 privind organizarea şi funcţionarea Ministerului Comunicaţiilor şi Societăţii Informaţionale, cu modificările şi completările ulterioare,ministrul comunicaţiilor şi societăţii informaţionale emite prezentul ordin. Articolul 1Se aprobă Metodologia de stabilire a efectului perturbator semnificativ al incidentelor la nivelul reţelelor şi sistemelor informatice ale operatorilor de servicii esenţiale, prevăzută în anexa care face parte integrantă din prezentul ordin. Articolul 2
(1) Stabilirea efectului perturbator semnificativ al incidentelor la nivelul reţelelor şi sistemelor informatice este parte componentă a procesului de identificare a operatorilor de servicii esenţiale, proces desfăşurat conform Normelor metodologice de identificare a operatorilor de servicii esenţiale şi furnizorilor de servicii digitale, aprobate prin Ordinul ministrului comunicaţiilor şi societăţii informaţionale nr. 599/2019.
(2) În stabilirea efectului perturbator semnificativ al incidentelor la nivelul reţelelor şi sistemelor informatice, identificat la art. 6 alin. (1) lit. c) din Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice, cu modificările şi completările ulterioare, se va aplica Metodologia de stabilire a efectului perturbator semnificativ al incidentelor la nivelul reţelelor şi sistemelor informatice ale operatorilor de servicii esenţiale. Articolul 3Centrul Naţional de Răspuns la Incidente de Securitate Cibernetică - CERT-RO, denumit în continuare CERT-RO, la nivelul Autorităţii competente la nivel naţional pentru securitatea reţelelor şi sistemelor informatice, denumită în continuare ANSRSI, va duce la îndeplinire prevederile prezentului ordin. Articolul 4 Prezentul ordin se publică în Monitorul Oficial al României, Partea I.Ministrul comunicaţiilor şi societăţii informaţionale,Alexandru PetrescuBucureşti, 21 iunie 2019.Nr. 601.ANEXĂMETODOLOGIE de stabilire a efectului perturbator semnificativ al incidentelor la nivelul reţelelor şi sistemelor informatice ale operatorilor de servicii esenţiale Capitolul IDate generale Articolul 1
(3) La elaborarea prezentei metodologii au fost avute în vedere, în principal, următoarele acte normative:a)Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice, cu modificările şi completările ulterioare, denumită în continuare Legea NIS; b)Hotărârea Guvernului nr. 494/2011 privind înfiinţarea Centrului Naţional de Răspuns la Incidente de Securitate Cibernetică - CERT-RO; c)Ordinul ministrului comunicaţiilor şi societăţii informaţionale nr. 599/2019 privind aprobarea Normelor metodologice de identificare a operatorilor de servicii esenţiale şi furnizorilor de servicii digitale. Articolul 2
(1) În conformitate cu art. 5 din Legea NIS, pentru asigurarea unui nivel ridicat de securitate, operatorii de servicii esenţiale se identifică şi se înscriu în Registrul operatorilor de servicii esenţiale.
(2) În procesul de identificare a serviciilor esenţiale, operatorii economici şi alte entităţi care operează ori furnizează servicii în cadrul sectoarelor şi subsectoarelor definite în anexa la Legea NIS ori furnizează servicii esenţiale din lista prevăzută la art. 20 lit. r) din aceeaşi lege, denumiţi în continuare OENIS, îşi evaluează toate serviciile furnizate prin prisma prevederilor art. 6 alin. (1) din Legea NIS.
(3) În conformitate cu art. 6 alin. (1) lit. c) din Legea NIS, un serviciu este considerat esenţial dacă furnizarea serviciului este perturbată semnificativ în cazul producerii unui incident. Articolul 3
(1) În procesul de identificare ca operator de servicii esenţiale, prima etapă este identificarea serviciilor esenţiale.
(2) În paşii parcurşi de OENIS pentru evaluarea unui serviciu în vederea identificării ca serviciu esenţial în accepţiunea Legii NIS, denumit în continuare SENIS, stabilirea gradului de perturbare a serviciului în cazul producerii unui incident este ultimul pas şi în funcţie de acesta se finalizează identificarea serviciilor esenţiale. Articolul 4Dacă în urma procesului de identificare ca OSE rezultă un grad de perturbare semnificativ şi serviciul esenţial îndeplineşte condiţiile prevăzute la art. 6 alin. (1) din Legea NIS, prin raportare la criteriile intersectoriale de stabilire a impactului unui incident prevăzute la art. 6 alin. (2), respectiv la criteriile sectoriale, precum şi la valorile de prag prevăzute la art. 6 alin. (3) din aceeaşi lege, serviciul furnizat este unul esenţial, iar OENIS va fi declarat OSE. Capitolul IIMetodologia de stabilire a efectului perturbator semnificativ Secţiunea 1Dispoziţii generale Articolul 5Procesul de stabilire a efectului perturbator semnificativ presupune existenţa a două faze de evaluare a gradului de perturbare a furnizării unui serviciu esenţial, şi anume: a)faza 1 - evaluarea gradului de perturbare a furnizării SENIS în funcţie de criteriile intersectoriale identificate la art. 6 alin. (2) din Legea NIS; b)faza a 2-a - evaluarea gradului de perturbare a furnizării SENIS în funcţie de criteriile sectoriale specifice şi valorile de prag stabilite pentru fiecare sector/subsector - se aplică dacă prima fază s-a încheiat cu un rezultat negativ, grad de impact scăzut sau fără identificarea gradului de perturbare a serviciului furnizat. Articolul 6
(1) Evaluarea gradului de perturbare a furnizării SENIS presupune:a)identificarea şi determinarea valorilor de prag specifice (VI) de către OENIS - valori care diferă în funcţie de operatorul economic; b)compararea VI cu valorile de prag stabilite (P) prin hotărâre a Guvernului; c)stabilirea gradului de impact al incidentului în funcţie de grilele de impact specifice fiecărui criteriu intersectorial sau, după caz, sectorial.
(2) Valorile pentru indicatorul P folosite în procesul de evaluare pentru criteriile intersectoriale şi sectoriale sunt stabilite prin hotărâre a Guvernului privind aprobarea valorilor de prag, criteriilor intersectoriale şi sectoriale, precum şi metodei de stabilire a efectului perturbator semnificativ al incidentelor la nivelul reţelelor şi sistemelor informatice ale operatorilor de servicii esenţiale.
(3) În procesul de stabilire a gradului de perturbare se va avea în vedere următoarea scală*): *) Scala este reprodusă în facsimil. Secţiunea a 2-aFaza 1. Evaluarea gradului de perturbare în funcţie de criteriile intersectoriale Articolul 7
(1) În această fază se va proceda la evaluarea gradului de perturbare (GP) în funcţie de criteriile intersectoriale şi valorile de prag stabilite pentru acestea.
(2) Procedura de evaluare este una în trepte, se analizează efectul perturbator pentru fiecare criteriu intersectorial, în funcţie de indicatorii metrici şi valorile de prag stabilite. Descrierea procedurii este detaliată în subsecţiunile 1-6.SUBSECŢIUNEA 1 Treapta 1. Numărul de utilizatori care se bazează pe serviciul furnizat - CI1 Articolul 8
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de numărul beneficiarilor afectaţi, în baza datelor şi informaţiilor deţinute de OENIS (contracte, rapoarte, alte documente etc.) pentru anul precedent.
(2) Grila de stabilire a efectului perturbator semnificativ pentru criteriul intersectorial CI1 este prezentată în tabelul*) de mai jos. Articolul 9
(1) În funcţie de indicatorii metrici (I), OENIS identifică şi determină valorile de prag specifice (VI) pentru a fi comparate cu valorile de prag stabilite (P), după cum urmează:a)Pentru determinarea valorii VI(I11), OENIS va stabili numărul utilizatorilor/beneficiarilor finali.a.1. În cazul în care nu este posibilă stabilirea acestora în funcţie de contracte, se va utiliza formula: Număr utilizatori = (Număr contracte PF * cm) + Total număr angajaţi PJ. a.1.1. Coeficientul de multiplicare (cm) = 2,21. Pentru determinare s-au folosit date statistice furnizate de Institutul Naţional de Statistică, şi anume: populaţia rezidentă (19.760.314); număr locuinţe/gospodării (8.929.000). cm = Populaţia rezidentă/Număr locuinţe ≈ 2,21. b)Pentru determinarea valorii VI(I12), OENIS va avea în vedere stabilirea numărului de contracte în derulare (în anul precedent).
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(I1x) pentru criteriul intersectorial CI1 conform tabelului 11-1.SUBSECŢIUNEA a 2-a Treapta 2. Dependenţa altor sectoare de serviciul furnizat - CI2 Articolul 10
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de beneficiarii acestui serviciu, pe baza datelor şi informaţiilor deţinute de OENIS (contracte, rapoarte, alte documente etc.) pentru anul precedent.
(2) Grila de stabilire a efectului perturbator semnificativ pentru criteriul intersectorial CI2 este prezentată în tabelul de mai jos*). *) Tabelul este reprodus în facsimil. Articolul 11
(1) În funcţie de indicatorii metrici (I), OENIS identifică şi determină valorile de prag specifice (VI) pentru a fi comparate cu valorile de prag stabilite (P), după cum urmează:a)Pentru determinarea valorii VI(I21), numărul de sectoare/subsectoare afectate, OENIS va consulta datele deţinute, precum şi graficul interdependenţei sectoriale din figura 12-1. b)Pentru determinarea valorii VI(I22), OENIS va identifica, mai întâi, toţi beneficiarii care sunt OSE.
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(I2x) pentru criteriul intersectorial CI2 conform tabelului 12-1. Figură 12-1.**) Interdependenţă NIS **) Figura 12-1 este reprodusă în facsimil. SUBSECŢIUNEA a 3-a Treapta 3. Impactul pe care l-ar putea avea incidentele, în ceea ce priveşte intensitatea şi durata, asupra activităţilor economice şi societale sau asupra siguranţei publice - CI3 Articolul 12
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de durata şi intensitatea incidentului şi se fundamentează pe date procesate la nivelul structurilor de monitorizare şi asigurare a securităţii informatice.
(2) Grila de stabilire a efectului perturbator semnificativ pentru criteriul intersectorial CI3 este prezentată în tabelul*) de mai jos. Articolul 13
(1) În funcţie de indicatorii metrici (I), OENIS identifică şi determină valorile de prag specifice (VI) pentru a fi comparate cu valorile de prag stabilite (P). Pentru determinarea valorilor VI(I31), respectiv VI(I32), OENIS va consulta datele şi informaţiile deţinute de structurile IT, date analistice şi statistice.
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(I3x) pentru criteriul intersectorial CI3 conform tabelului 13-1.SUBSECŢIUNEA a 4-a Treapta 4. Cota de piaţă - CI4 Articolul 14
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de datele deţinute de OENIS (contracte, documente, rapoarte, situaţii financiare etc.) pentru anul precedent.
(2) Grila de stabilire a efectului perturbator semnificativ pentru criteriul intersectorial CI4 este prezentată în tabelul*) de mai jos. Articolul 15
(1) În funcţie de indicatorii metrici (I), OENIS identifică şi determină valorile de prag specifice (VI) pentru a fi comparate cu valorile de prag stabilite (P). Pentru determinarea valorii VI(I41), procentul din cota de piaţă corespunzătoare codului CAEN principal/sectoarelor prevăzute în anexa la Legea nr. 362/2018, cu modificările şi completările ulterioare, OENIS va analiza datele şi informaţiile financiare din anul precedent.
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(I41) pentru criteriul intersectorial CI4 conform tabelului 14-1.SUBSECŢIUNEA a 5-a Treapta 5. Distribuţia geografică în ceea ce priveşte zona care ar putea fi afectată de un incident - CI5 Articolul 16
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de zona de răspândire a beneficiarilor acestui serviciu, pe baza datelor şi informaţiilor OENIS pentru anul precedent.
(2) Grila de stabilire a efectului perturbator semnificativ pentru criteriul intersectorial CI5 este prezentată în tabelul*) de mai jos. *) Tabelul este reprodus în facsimil. Articolul 17
(1) În funcţie de indicatorii metrici (I), OENIS identifică şi determină valorile de prag specifice (VI) pentru a fi comparate cu valorile de prag stabilite (P), după cum urmează:a)Pentru determinarea valorii VI(I51), respectiv zona geografică afectată, OENIS va analiza datele şi informaţiile cu privire la serviciul furnizat pe raza unui judeţ sau sector.a.1. Se va avea în vedere afectarea serviciilor pe întreaga suprafaţă a unui judeţ sau a unui sector al municipiului Bucureşti. b)Pentru determinarea valorii VI(I52), OENIS va analiza/evalua informaţiile deţinute cu privire la beneficiari/utilizatori, ţinând cont de localizarea sediilor/domiciliului acestora.b.1. Se va avea în vedere una dintre cele două variante de valori de prag, stabilite în funcţie de nivelul UAT, şi anume situaţia când nu sunt afectate municipii/oraşe (5) sau este afectat inclusiv un municipiu/oraş (3). c)Pentru determinarea valorii VI(I53), OENIS va avea în vedere interconectarea reţelelor şi sistemelor informatice, precum şi localizarea serviciului în alte state/ţări.
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(I5x) pentru criteriul intersectorial CI5 conform tabelului 15-1.SUBSECŢIUNEA a 6-a Treapta 6. Importanţa entităţii pentru menţinerea unui nivel suficient al serviciului, ţinând cont de disponibilitatea unor mijloace alternative pentru furnizarea serviciului - CI6 Articolul 18
(1) Gradul de perturbare a furnizării SENIS se stabileşte de OENIS în funcţie de modul de asigurare a continuităţii furnizării serviciului şi se fundamentează pe datele şi informaţiile deţinute.
(2) Grila de stabilire a efectului perturbator semnificativ pentru criteriul intersectorial CI6 este prezentată în tabelul*) de mai jos. *) Tabelul este reprodus în facsimil. Articolul 19
(1) În funcţie de serviciul esenţial analizat, OENIS identifică şi determină valoarea de prag specifică (VI), iar apoi o compară cu valorile de prag stabilite (P). Pentru determinarea valorii VI(I61), OENIS va avea în vedere asigurarea disponibilităţii serviciului furnizat, folosind mijloace alternative, chiar şi în cazul unor incidente de securitate cibernetică.
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(I61) pentru criteriul intersectorial CI5 conform tabelului 16-1.SUBSECŢIUNEA a 7-a Concluzii privind evaluarea gradului de perturbare în funcţie de criteriile intersectoriale Articolul 20
(1) Dacă pe parcursul procesului de evaluare, corespunzător fazei 1, gradul de perturbare a furnizării SENIS rezultat este semnificativ, şi anume MEDIU sau RIDICAT, indiferent în ce treaptă, procesul se încheie, iar serviciul evaluat este unul esenţial şi, în consecinţă, OENIS îndeplineşte condiţiile de a fi OSE şi va notifica, în termenul stabilit de Legea NIS, ANSRSI din cadrul CERT-RO.
(2) Dacă la sfârşitul fazei 1 nu a putut fi stabilit un grad de perturbare sau GP(Ixx) rezultat a fost unul nesemnificativ, şi anume SCĂZUT, metodologia continuă cu faza a 2-a.
(3) Documentele care au stat la baza evaluării gradului de perturbare a furnizării SENIS în funcţie de criteriile intersectoriale, din subsecţiunile 1-6, vor fi puse la dispoziţia ANSRSI din cadrul CERT-RO, la solicitarea acesteia, cu respectarea prevederilor art. 8 alin. (7) din Legea NIS. Secţiunea a 3-aFaza 2. Evaluarea gradului de perturbare în funcţie de criteriile sectoriale specifice Articolul 21
(1) În această fază se va proceda la evaluarea gradului de perturbare (GP) în funcţie de criteriile sectoriale specifice şi valorile de prag stabilite pentru fiecare sector şi subsector.
(2) Procedura de evaluare este una sectorială, în funcţie de sector/subsector, prin care se analizează efectul perturbator pentru fiecare indicator metric şi valorile de prag stabilite. Descrierea procedurii este detaliată în subsecţiunile 1-7.SUBSECŢIUNEA 1 Sectorul energie - A-C Articolul 22
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de datele şi informaţiile deţinute de OENIS (contracte, rapoarte, situaţii financiare, alte documente etc.) corespunzător sectorului/subsectoarelor A-C pentru fiecare SENIS în parte.
(2) Grilele de stabilire a efectului perturbator semnificativ pentru subsectoarele A, B şi C sunt prezentate în tabelele*) de mai jos. *) Tabelele sunt reproduse în facsimil. Articolul 23
(1) Evaluarea se realizează pe baza apartenenţei OENIS şi în funcţie de sectorul/subsectorul de activitate.
(2) În funcţie de serviciul esenţial analizat se identifică şi determină valorile VI şi se compară cu valorile de prag stabilite (P), acolo unde e cazul, pentru fiecare caz în parte, după cum urmează:a)În cazul în care pentru un anumit indicator metric (I) este stabilită o valoare de prag „Listă nominală", se va compara OENIS sau locaţia cu lista de valori şi se va stabili gradul de perturbare în funcţie de aceasta.a.1. Listă nominală: E-Distribuţie Muntenia, E-Distribuţie Banat, E-Distribuţie Dobrogea, Distribuţie Energie Oltenia, Delgaz Grid, Electrica Distribuţie Muntenia Nord, Electrica Distribuţie Transilvania Nord şi Electrica Distribuţie Transilvania Sud. a.2. Dacă OENIS se regăseşte în lista de la pct. a.1, gradul de perturbare rezultat este unul semnificativ, şi anume RIDICAT. b)Dacă pentru un anumit serviciu nu sunt stabilite valori de prag (P = „Fără"), gradul de perturbare rezultat este unul semnificativ, şi anume RIDICAT.
(3) În urma evaluării, în funcţie de rezultate, se stabileşte GP[I(A-C)xx] pentru criteriul sectorial/ subsectorial CS(A-C), la nivel serviciu esenţial, conform tabelelor 21-1-21-3.SUBSECŢIUNEA a 2-a Sectorul transport - D-G Articolul 24
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de datele şi informaţiile deţinute de OENIS (contracte, rapoarte, situaţii financiare, alte documente etc.) corespunzător sectorului/subsectoarelor D-G pentru fiecare SENIS în parte.
(2) Grilele de stabilire a efectului perturbator semnificativ pentru subsectoarele D, E, F şi G sunt prezentate în tabelele*) de mai jos. *) Tabelele sunt reproduse în facsimil. Articolul 25
(2) În funcţie de serviciul esenţial analizat se identifică şi se determină valorile VI şi se compară cu valorile de prag stabilite (P), acolo unde este cazul, pentru fiecare caz în parte, după cum urmează:a)În cazul în care pentru un anumit indicator metric (I) este stabilită o valoare de prag „Listă nominală", se va compara OENIS sau locaţia cu lista de valori şi se va stabili impactul în funcţie de aceasta.a.1. Lista nominală pentru aeroporturi este întocmită în conformitate cu „Secţiunea 2 din anexa II la Regulamentul (UE) nr. 1.315/2013", şi anume: 1) Centrale - Bucureşti, Timişoara; 2) Globale - Bacău, Baia Mare, Cluj-Napoca, Constanţa, Craiova, Iaşi, Oradea, Sibiu, Suceava şi Tulcea. a.2. Dacă OENIS se regăseşte în lista de la pct. a.1, gradul de perturbare rezultat este unul semnificativ, şi anume RIDICAT. b)Pentru determinarea valorii VI(ID21), respectiv VI(ID22), OENIS va raporta numărul de pasageri, respectiv tonaj marfă la volumul total la nivel naţional de persoane, respectiv mărfuri transportate pe calea aerului într-un an (anul precedent). c)În cazul identificării şi determinării valorilor VI(ID32) şi VI(ID33), se va avea în vedere că pentru serviciile esenţiale corespunzătoare, SE(D32) şi SE(D33), desfăşurate în una dintre locaţiile prevăzute la pct. a.1, gradul de perturbare rezultat este unul semnificativ, şi anume RIDICAT şi, implicit, acestea sunt SENIS. d)Pentru determinarea valorii VI(IE21), VI(IF12) şi VI(IF24), OENIS va avea în vedere că mărfurile pot fi transportate în două variante, iar oricare dintre variante poate fi abordată în evaluarea GP(IXnn). e)Pentru determinarea valorii VI(IG24), OENIS va analiza serviciile de transport efectuate de toate maşinile din flotă într-un an, iar distanţa totală efectuată se va contoriza în km/an. f)Dacă pentru un anumit serviciu nu sunt stabilite valori de prag (P = „Fără"), gradul de perturbare rezultat este unul semnificativ, şi anume RIDICAT.
(3) În urma evaluării, în funcţie de rezultate, se stabileşte [I(D-G)xx] pentru criteriul sectorial/subsectorial CS(D-G), la nivel serviciu esenţial, conform tabelelor 22-1-22-4.SUBSECŢIUNEA a 3-a Sectorul bancar - H Articolul 26
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de datele şi informaţiile deţinute de OENIS (contracte, rapoarte, situaţii financiare, alte documente etc.) corespunzător sectorului H pentru fiecare SENIS în parte.
(2) Grila de stabilire a efectului perturbator semnificativ pentru sectorul H este prezentată în tabelul*) de mai jos. *) Tabelul este reprodus în facsimil. Articolul 27
(1) În funcţie de serviciul esenţial analizat se identifică şi se determină valorile VI şi se compară cu valorile de prag stabilite (P), acolo unde este cazul, pentru fiecare caz în parte. Având în vedere faptul că pentru sectorul H nu au fost prevăzute praguri/limite şi, în consecinţă, pentru un anumit serviciu nu sunt stabilite valori de prag (P = „Fără"), gradul de perturbare rezultat este unul semnificativ, şi anume RIDICAT.
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(IHxx) pentru criteriul sectorial CSH, la nivel serviciu esenţial, conform tabelului 23-1. În condiţiile date, având în vedere că nu au fost stabilite valori de praguri, toate serviciile identificate sunt SENIS, iar operatorii din sectorul H care furnizează aceste servicii sunt OSE.SUBSECŢIUNEA a 4-a Sectorul infrastructuri ale pieţei financiare - I Articolul 28
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de datele şi informaţiile deţinute de OENIS (contracte, rapoarte, situaţii financiare, alte documente etc.) corespunzător sectorului I pentru fiecare SENIS în parte.
(2) Grila de stabilire a efectului perturbator semnificativ pentru sectorul I este prezentată în tabelul*) de mai jos. Articolul 29
(1) În funcţie de serviciul esenţial analizat se identifică şi se determină valorile VI şi se compară cu valorile de prag stabilite (P), acolo unde este cazul, pentru fiecare caz în parte. Având în vedere faptul că pentru sectorul I nu au fost prevăzute praguri/limite şi, în consecinţă, pentru un anumit serviciu nu sunt stabilite valori de prag (P = „Fără"), gradul de perturbare rezultat este unul semnificativ, şi anume RIDICAT.
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(IIxx) pentru criteriul sectorial CSI, la nivel serviciu esenţial, conform tabelului 24-1. În condiţiile date, având în vedere că nu au fost stabilite valori de praguri, toate serviciile identificate sunt SENIS, iar operatorii din sectorul I care furnizează aceste servicii sunt OSE.SUBSECŢIUNEA a 5-a Sectorul sănătate - J Articolul 30
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de datele şi informaţiile deţinute de OENIS (contracte, rapoarte, situaţii financiare, alte documente etc.) corespunzător sectorului J pentru fiecare SENIS în parte.
(2) Grila de stabilire a efectului perturbator semnificativ pentru sectorul J este prezentată în tabelul*) de mai jos. *) Tabelul este reprodus în facsimil. Articolul 31
(1) În funcţie de serviciul esenţial analizat se identifică şi se determină valorile VI şi se compară cu valorile de prag stabilite (P), acolo unde este cazul, pentru fiecare caz în parte. Având în vedere faptul că pentru sectorul J nu au fost prevăzute praguri/limite şi, în consecinţă, pentru un anumit serviciu nu sunt stabilite valori de prag (P = „Fără"), gradul de perturbare rezultat este unul semnificativ, şi anume RIDICAT.
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(IJxx) pentru criteriul sectorial CSJ, la nivel serviciu esenţial, conform tabelului 25-1. În condiţiile date, având în vedere că nu au fost stabilite valori de praguri, toate serviciile identificate sunt SENIS, iar operatorii din sectorul J care furnizează aceste servicii sunt OSE.SUBSECŢIUNEA a 6-a Sectorul furnizarea şi distribuirea de apă potabilă - K Articolul 32
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de datele şi informaţiile deţinute de OENIS (contracte, rapoarte, situaţii financiare, alte documente etc.) corespunzător sectorului K pentru fiecare SENIS în parte.
(2) Grila de stabilire a efectului perturbator semnificativ pentru sectorul K este prezentată în tabelul*) de mai jos. *) Tabelul este reprodus în facsimil. Articolul 33
(1) În funcţie de serviciul esenţial analizat se identifică şi se determină valorile VI şi se compară cu valorile de prag stabilite (P), acolo unde este cazul, pentru fiecare caz în parte, după cum urmează:a)Pentru determinarea valorii VI(IK11), OENIS se va raporta la întreaga suprafaţă a bazinului hidrografic, care stă la baza acumulării şi captării apei brute pentru a fi tratată şi folosită ca apă potabilă. b)Pentru determinarea valorii VI(IK14), OENIS va avea în vedere numărul beneficiarilor finali şi numărul contractelor de furnizare şi distribuire apă potabilă.b.1. În cazul în care nu este posibilă stabilirea acestora în funcţie de contracte, se va utiliza formula: Număr beneficiari = (Număr contracte PF * cm) + Total număr angajaţi PJ. b.1.1. Coeficientul de multiplicare (cm) = 2,21. Pentru determinare s-au folosit date statistice furnizate de Institutul Naţional de Statistică, şi anume: populaţia rezidentă (19.760.314); număr locuinţe/gospodării (8.929.000) => cm = Populaţia rezidentă/Număr locuinţe ≈ 2,21. c)Pentru determinarea valorii VI(IK16), OENIS va analiza toate datele de producţie şi informaţiile necesare în vederea identificării corecte a numărului de recipiente - indiferent de materialul din care au fost realizate, de forma şi volumul acestora - îmbuteliate cu apă potabilă, naturală, plată, minerală etc. d)Dacă pentru un anumit serviciu nu sunt stabilite valori de prag (P = „Fără"), gradul de perturbare rezultat este unul semnificativ, şi anume RIDICAT.
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(IKxx) impact pentru criteriul sectorial CSK, la nivel serviciu esenţial, conform tabelului 26-1.SUBSECŢIUNEA a 7-a Sectorul infrastructură digitală - L Articolul 34
(1) Gradul de perturbare a furnizării SENIS se stabileşte în funcţie de datele şi informaţiile deţinute de OENIS (contracte, rapoarte, situaţii financiare, alte documente etc.) corespunzător sectorului L pentru fiecare SENIS în parte.
(2) Grila de stabilire a efectului perturbator semnificativ pentru sectorul L este prezentată în tabelul*) de mai jos. *) Tabelul este reprodus în facsimil. Articolul 35
(1) În funcţie de serviciul esenţial analizat se identifică şi se determină valorile VI şi se compară cu valorile de prag stabilite (P), acolo unde este cazul, pentru fiecare caz în parte. Având în vedere faptul că pentru sectorul L nu au fost prevăzute praguri/limite şi, în consecinţă, pentru un anumit serviciu nu sunt stabilite valori de prag (P = „Fără"), gradul de perturbare rezultat este unul semnificativ, şi anume RIDICAT.
(2) În urma evaluării, în funcţie de rezultate, se stabileşte GP(ILxx) pentru criteriul sectorial CSL, la nivel serviciu esenţial, conform tabelului 27-1. În condiţiile date, având în vedere că nu au fost stabilite valori de praguri, toate serviciile identificate sunt SENIS, iar operatorii din sectorul L care furnizează aceste servicii sunt OSE.SUBSECŢIUNEA a 8-a Concluzii privind evaluarea gradului de perturbare în funcţie de criteriile sectoriale specifice Articolul 36
(1) Procesul de evaluare se desfăşoară individualizat, pentru fiecare sector şi subsector, pe baza criteriilor sectoriale şi a valorilor de prag, acolo unde este cazul.
(2) Dacă pe parcursul procesului de evaluare, corespunzător fazei a 2-a, gradul de perturbare a furnizării SENIS rezultat este semnificativ, şi anume MEDIU sau RIDICAT, procesul se închide, iar serviciul evaluat este unul esenţial şi, în consecinţă, OENIS îndeplineşte condiţiile de a fi OSE şi va notifica, în termenul stabilit de Legea NIS, ANSRSI din cadrul CERT-RO.
(3) Dacă la sfârşitul fazei a 2-a GP rezultat a fost unul nesemnificativ, şi anume SCĂZUT, metoda se încheie, iar serviciul evaluat de OENIS, deşi face parte din LSE, nu îndeplineşte condiţiile de a fi declarat SENIS şi, în consecinţă, OENIS nu îndeplineşte condiţiile de OSE.
(4) Documentele care au stat la baza evaluării gradului de perturbare a furnizării SENIS în funcţie de criteriile sectoriale, din subsecţiunile 1-7, vor fi puse la dispoziţia ANSRSI din cadrul CERT-RO, la solicitarea acesteia, cu respectarea prevederilor art. 8 alin. (7) din Legea NIS. Capitolul IIIGlosar de termeni folosiţi
CI - criteriu intersectorial
CSE - codul de identificare a serviciului esenţial
CS(A÷L) - criterii sectoriale specifice
EPS - efect perturbator semnificativ
GP - gradul de perturbare a furnizării serviciului esenţial. Reprezintă efectul perturbator, semnificativ sau nesemnificativ, în cazul producerii unui incident la nivelul reţelelor şi sistemelor informatice ale operatorilor de servicii esenţiale
I - indicator metric
Legea NIS - Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice, cu modificările şi completările ulterioare
LSE - lista serviciilor esenţiale
NIS - reţele şi sisteme informatice
OENIS - operatorii economici şi alte entităţi care operează ori furnizează servicii în cadrul sectoarelor şi subsectoarelor definite în anexa la Legea NIS ori furnizează servicii esenţiale din lista prevăzută la art. 20 lit. r) din aceeaşi lege
OSE - operator de servicii esenţiale
P - valoare de prag stabilită prin hotărâre a Guvernului
SENIS - serviciu esenţial în accepţiunea Legii NIS
VI - valoarea de prag specifică identificată şi determinată de OENIS, valoare ce stă la baza stabilirii gradului de perturbare a furnizării serviciului esenţial. Această valoare se fundamentează în baza informaţiilor şi datelor deţinute de OENIS.
COMENTARII la Ordinul 601/2019
Momentan nu exista niciun comentariu la Ordinul 601 din 2019
Alte acte pe aceeaşi temă cu Ordin 601/2019

References: Articolul 1
 Articolul 2
 Articolul 3
 Articolul 4
 Articolul 1
 Articolul 2
 Articolul 3
 Articolul 4
 Articolul 5
 Articolul 6
 Articolul 7
 Articolul 8
 Articolul 9
 Articolul 10
 Articolul 11
 Articolul 12
 Articolul 13
 Articolul 14
 Articolul 15
 Articolul 16
 Articolul 17
 Articolul 18
 Articolul 19
 Articolul 20
 Articolul 21
 Articolul 22
 Articolul 23
 Articolul 24
 Articolul 25
 Articolul 26
 Articolul 27
 Articolul 28
 Articolul 29
 Articolul 30
 Articolul 31
 Articolul 32
 Articolul 33
 Articolul 34
 Articolul 35
 Articolul 36