Source: http://www.legex.ro/Ordin-36-2012-120496.aspx
Timestamp: 2019-02-20 22:33:17+00:00

Document:
Ordinul Nr.36 din 13.04.2012
ACT PUBLICAT ÎN MONITORUL OFICIAL NR. 352 din 24 mai 2012
Pentru aplicarea prevederilor art. 9 alin. (2) din Ordonanţa de urgenţă a Guvernului nr. 98/2010 privind identificarea, desemnarea şi protecţia infrastructurilor critice, aprobată cu modificări prin Legea nr. 18/2011,în temeiul prevederilor art. 6 alin. (6) din Hotărârea Guvernului nr. 12/2009 privind organizarea şi funcţionarea Ministerului Comunicaţiilor şi Societăţii Informaţionale, cu modificările şi completările ulterioare, ale art. 33 alin. (1) din Legea nr. 346/2006 privind organizarea şi funcţionarea Ministerului Apărării Naţionale, cu modificările ulterioare, ale art. 22 alin. (6) din Hotărârea Guvernului nr. 536/2011 privind organizarea şi funcţionarea Ministerului Educaţiei, Cercetării, Tineretului şi Sportului, cu modificările şi completările ulterioare, ale art. 10 din Legea nr. 92/1996 privind organizarea şi funcţionarea Serviciului de Telecomunicaţii Speciale, cu modificările şi completările ulterioare, ale art. 23 alin. 3 din Legea nr. 14/1992 privind organizarea şi funcţionarea Serviciului Român de Informaţii, cu modificările şi completările ulterioare, şi ale art. 7 alin. (3) din Legea nr. 1/1998 privind organizarea şi funcţionarea Serviciului de Informaţii Externe, republicată, cu modificările şi completările ulterioare,ministrul comunicaţiilor şi societăţii informaţionale, ministrul apărării naţionale, ministrul educaţiei, cercetării, tineretului şi sportului, directorul Serviciului de Telecomunicaţii Speciale, directorul Serviciului Român de Informaţii şi directorul Serviciului de Informaţii Externe emit prezentul ordin. Articolul 1Se aprobă Metodologia de identificare a infrastructurilor critice naţionale din sectorul tehnologia informaţiei şi comunicaţii, denumit în continuare sectorul TIC, prevăzută în anexa care face parte integrantă din prezentul ordin. Articolul 2Responsabilitatea pentru aplicarea prevederilor prezentului ordin revine fiecărei autorităţi publice responsabile, denumită în continuare APR, pentru domeniul propriu de competenţă, precum şi persoanelor juridice de drept public sau privat care deţin în proprietate/administrează/operează/ furnizează reţele sau servicii din sectorul TIC, inclusiv din subsectoarele acestuia, menţionate în anexa nr. 1 la Ordonanţa de urgenţă a Guvernului nr. 98/2010 privind identificarea, desemnarea şi protecţia infrastructurilor critice, aprobată cu modificări prin Legea nr. 18/2011. Articolul 3Persoanele juridice de drept public sau privat menţionate la art. 2 au obligaţia să planifice şi să desfăşoare procesele de identificare a potenţialelor infrastructuri critice naţionale aflate în proprietate/administrare/operare, precum şi să participe, sub coordonarea APR, la finalizarea ori reluarea periodică a acestor procese. Articolul 4Metodologia de identificare a infrastructurilor critice naţionale din sectorul TIC poate fi revizuită la propunerea uneia dintre APR din acest sector. Articolul 5Anexele nr. 4b şi 5 la Metodologia de identificare a infrastructurilor critice naţionale din sectorul TIC conţin informaţii clasificate şi, potrivit legii, se comunică numai APR. Articolul 6Prezentul ordin se publică în Monitorul Oficial al României, Partea I. Ministrul comunicaţiilor şi societăţii informaţionale, Răzvan Mustea-Şerban Ministrul apărării naţionale, Gabriel Oprea Ministrul educaţiei, cercetării, tineretului şi sportului, Cătălin Ovidiu Baba Directorul Serviciului de Telecomunicaţii Speciale, Marcel Opriş p. Directorul Serviciului Român de Informaţii, Ion Grosu Directorul Serviciului de Informaţii Externe, Teodor Viorel Meleşcanu ANEXĂMETODOLOGIE de identificare a infrastructurilor critice naţionale din sectorul tehnologia informaţiei şi comunicaţii Capitolul IDispoziţii generale Articolul 1Prezenta metodologie stabileşte potenţialele infrastructuri critice naţionale (ICN) din sectorul tehnologia informaţiei şi comunicaţii (sectorul TIC), etapele procesului de evaluare şi identificare a acestora, criteriile şi pragurile critice sectoriale utilizate în activitatea desfăşurată de autorităţile publice responsabile (APR) împreună cu proprietarii/ operatorii/administratorii de ICN din sectorul TIC pentru evaluarea, analiza, identificarea şi propunerea spre desemnare a ICN din sectorul TIC. Articolul 2Metodologia de identificare a infrastructurilor critice naţionale din sectorul tehnologia informaţiei şi comunicaţii constituie principalul instrument de lucru pentru APR şi proprietarii/operatorii/administratorii de ICN din sectorul TIC şi subsectoarele acestuia, menţionate în anexa nr. 1 la Ordonanţa de urgenţă a Guvernului nr. 98/2010 privind identificarea, desemnarea şi protecţia infrastructurilor critice, aprobată cu modificări prin Legea nr. 18/2011. Articolul 3În scopul demarării proceselor de evaluare şi identificare a ICN din sectorul TIC, APR şi proprietarii/operatorii/administratorii de ICN din sectorul TIC au în vedere următoarele potenţiale ICN din sectorul TIC: a)infrastructuri, componente, sisteme şi reţele care asigură furnizarea serviciilor de comunicaţii şi tehnologia informaţiei destinate susţinerii actului de guvernare şi a administraţiei publice; b)infrastructuri, componente, sisteme şi reţele care asigură furnizarea serviciilor de comunicaţii şi tehnologia informaţiei destinate cetăţenilor; c)infrastructuri, componente, sisteme şi reţele care asigură furnizarea serviciilor de comunicaţii şi tehnologia informaţiei destinate susţinerii activităţilor economice şi a mediului de afaceri; d)infrastructuri, componente, sisteme şi reţele care asigură furnizarea serviciilor de comunicaţii şi tehnologia informaţiei destinate susţinerii funcţiilor de apărare, ordine publică, justiţie şi securitate naţională; e)infrastructuri, componente, sisteme şi reţele destinate telecomunicaţiilor de stat; f)infrastructuri care furnizează servicii de comunicaţii şi tehnologia informaţiei pentru managementul situaţiilor de urgenţă; g)infrastructuri, sisteme şi reţele de supraveghere, sesizare, avertizare şi alertă; h)infrastructuri care asigură servicii de comunicaţii şi tehnologia informaţiei destinate managementului incidentelor de securitate cibernetică; i)infrastructuri care asigură servicii de certificare digitală şi semnătură electronică; j)infrastructuri care asigură servicii de comunicaţii şi tehnologia informaţiei specifice societăţii informaţionale; k)infrastructuri care asigură componenta naţională a infrastructurilor din sectorul TIC ale NATO sau UE; l)sisteme de navigaţie, radiolocaţie şi identificare; m)infrastructuri pentru asigurarea serviciilor de securitate informatică; n)reţele de emisie radio-TV; o)capacităţi de producţie, protecţie şi management al sistemelor criptografice şi al reţelelor din clasa cifrului de stat; p)infrastructuri care asigură furnizarea serviciilor poştale. Capitolul IIProcesul de evaluare şi identificare a infrastructurilor critice naţionale din sectorul TIC Articolul 4(1) Procesul de evaluare şi identificare a ICN din sectorul TIC constă în parcurgerea următoarelor etape:a)etapa 1 - inventarierea şi listarea serviciilor furnizate de către furnizorii de servicii autorizaţi sau abilitaţi conform legii; b)etapa 2 - evaluarea şi identificarea serviciilor esenţiale; c)etapa 3 - identificarea elementelor, componentelor sau infrastructurilor critice care furnizează ori susţin, direct sau indirect, serviciile esenţiale identificate; d)etapa 4 - elaborarea situaţiei cu propunerile privind potenţialele infrastructuri critice naţionale identificate în zona de responsabilitate şi înaintarea acesteia Ministerului Comunicaţiilor şi Societăţii Informaţionale de către APR împreună cu proprietarii/operatorii/administratorii de ICN din sectorul TIC; e)etapa 5 - analiza propunerilor centralizate în cadrul Grupului tehnic de lucru pentru protecţia infrastructurilor critice (GTL-PIC) şi înaintarea celor avizate Grupului de lucru interinstituţional pentru protecţia infrastructurilor critice (GLI-PIC). (2) Schema logică privind procesul de evaluare şi identificare a ICN din sectorul TIC este prezentată în anexa nr. 1. Articolul 5Evaluarea şi identificarea potenţialelor servicii esenţiale care asigură funcţiile vitale ale societăţii se realizează prin aplicarea instrumentelor de evaluare a serviciilor esenţiale de către APR şi proprietarii/operatorii/administratorii de ICN din sectorul TIC pentru fiecare subsector al sectorului TIC, în conformitate cu criteriile, pragurile critice, grilele şi formulele de evaluare prezentate în anexele nr. 2a, 2b, 3, 4a, 4b*), 5*), 6 şi 7. ___*) Anexele nr. 4b şi 5 conţin informaţii clasificate şi, potrivit legii, se comunică numai APR. Articolul 6Pentru identificarea elementelor, componentelor sau infrastructurilor critice care furnizează ori susţin, direct sau indirect, serviciile esenţiale, se au în vedere entităţi funcţionale, cum ar fi: obiective, noduri de comunicaţii, turnuri de comunicaţii, segmente de infrastructură, împreună cu elementele hardware şi software asociate, inclusiv serviciile de management de reţea şi serviciile de securitate asociate serviciilor esenţiale identificate. Articolul 7În situaţia în care acelaşi element de infrastructură asigură mai multe servicii esenţiale, acesta se ia în calcul o singură dată în cadrul procesului de evaluare şi identificare a ICN din sectorul TIC. Acest aspect constituie un element de referinţă suplimentar în cadrul analizei de risc desfăşurate ulterior desemnării ICN din sectorul TIC, în scopul identificării, dimensionării corecte şi implementării măsurilor de protecţie necesare. Capitolul IIIServicii esenţiale specifice sectorului TIC Articolul 8Pot constitui servicii esenţiale pentru subsectorul sisteme, reţele şi servicii de comunicaţii următoarele categorii: a)servicii de voce/date/internet pentru activitatea de guvernare, administraţie publică şi cooperare interinstituţională; b)servicii de voce/date/internet pentru persoane fizice; c)servicii de comunicaţii de urgenţă pentru persoane fizice; d)servicii de voce/date/internet pentru susţinerea activităţilor economice şi a mediului de afaceri; e)servicii de voce/date/internet destinate susţinerii funcţiilor de apărare, ordine publică, justiţie şi securitate naţională; f)servicii de voce/date/internet pentru managementul situaţiilor de urgenţă; g)servicii de voce/date/internet pentru activitatea diplomatică, de cooperare şi relaţii internaţionale - UE, NATO, ONU; h)servicii de voce/date/internet pentru activitatea de sănătate, educaţie, cultură. Articolul 9Pot constitui servicii esenţiale pentru subsectorul sisteme de prelucrare, procesare şi stocare a datelor, inclusiv a serviciilor publice electronice, următoarele categorii: a)servicii specifice centrelor de date destinate cetăţenilor; b)servicii specifice centrelor de date destinate mediului de afaceri; c)servicii specifice centrelor de date destinate administraţiei publice; d)servicii specifice centrelor de date destinate activităţii de securitate şi apărare naţională; e)servicii specifice centrelor de date destinate domeniului sănătăţii; f)servicii specifice centrelor de date destinate domeniului asigurărilor sociale; g)servicii specifice centrelor de date destinate învăţământului; h)servicii specifice centrelor de date destinate domeniului financiar-bancar. Articolul 10Pot constitui servicii esenţiale pentru subsectorul infrastructuri de securitate informatică următoarele categorii: a)servicii de supraveghere, sesizare, avertizare şi alertă; b)servicii destinate managementului incidentelor de securitate cibernetică; c)servicii de certificare digitală şi semnătură electronică; d)servicii şi mecanisme de asigurare a disponibilităţii, confidenţialităţii, integrităţii, autentificării şi nonrepudierii informaţiilor stocate, procesate sau transmise. Articolul 11Pot constitui servicii esenţiale pentru subsectorul sistemele şi reţelele de comunicaţii pentru cifrul de stat următoarele categorii: a)servicii de emisie, transport, recepţie şi protecţie a informaţiilor clasificate pentru sistemele şi reţelele cifrului de stat; b)servicii de asigurare a operativităţii şi protecţiei comunicaţiilor diplomatice ale statului român, inclusiv pentru componenta militară şi asigurarea protecţiei fluxului de informaţii prin sistemul cifrului de stat; c)servicii de producţie şi management al sistemelor şi materialelor criptografice din clasa cifrului de stat; d)servicii de avizare a sistemelor şi materialelor criptografice din clasa cifrului de stat, pentru protejarea informaţiilor transmise prin mijloace de telecomunicaţii susceptibile a fi accesibile unor persoane neautorizate. Articolul 12Pot constitui servicii esenţiale pentru subsectorul infrastructura de emisie radio-TV următoarele categorii: a)transportul de semnal al programelor radio-TV publice cu acoperire naţională; b)emisia programelor radio-TV publice cu acoperire naţională; c)asigurarea condiţiilor de recepţie corespunzătoare programelor radio-TV publice cu acoperire naţională (eliminarea bruiajelor, alimentarea cu energie electrică, disponibilitatea instalaţiilor de recepţie terestră etc.); d)asigurarea unui nivel corespunzător de securitate a emisiei programelor radio-TV publice cu acoperire naţională; e)asigurarea acoperirii teritoriale, conform cerinţelor de securitate şi siguranţă naţională, cu semnalul programelor radio-TV publice; f)asigurarea emisiei programelor publice de radio-TV şi a disponibilităţii instalaţiilor de recepţie terestră pentru un spaţiu geografic afectat. Articolul 13Pot constitui servicii esenţiale pentru subsectorul servicii poştale la nivel naţional următoarele categorii: a)transportul şi distribuirea trimiterilor poştale; b)procesarea trimiterilor poştale în centre de tranzit. Capitolul IVDispoziţii finale Articolul 14Pe baza prevederilor prezentei metodologii, APR şi proprietarii/operatorii/administratorii de ICN din sectorul TIC au obligaţia de a furniza datele şi informaţiile necesare identificării ICN din sectorul TIC conform domeniului de competenţă. Articolul 15În scopul actualizării situaţiei ICN din sectorul TIC, APR şi proprietarii/operatorii/administratorii de ICN din sectorul TIC au obligaţia de a relua periodic, cel puţin o dată pe an, procesul de evaluare şi identificare descris în prezenta metodologie. Articolul 16GTL-PIC constituit din reprezentanţii APR din sectorul TIC, sub coordonarea Ministerului Comunicaţiilor şi Societăţii Informaţionale, va elabora anual analize privind stadiul proceselor de evaluare şi identificare a ICN din sectorul TIC, pe care le va prezenta în GLI-PIC. Articolul 17Prezenta metodologie poate fi revizuită şi actualizată la propunerea uneia dintre APR semnatare. Articolul 18Anexele nr. 1, 2a, 2b, 3, 4a, 4b, 5, 6 şi 7 fac parte integrantă din prezenta metodologie. ANEXA Nr. 1la metodologie ANEXA Nr. 2ala metodologie GRILA DE EVALUARE a serviciilor esenţiale pentru subsectorul sisteme, reţele şi servicii de comunicaţii - voce şi date - A. SERVICII INDIVIDUALE B. SERVICII PENTRU ADMINISTRAŢIA PUBLICĂ ŞI MEDIUL DE AFACERI NOTĂ: 1. Identificarea serviciilor esenţiale se realizează prin calculul mediei ponderate a valorilor pragurilor critice rezultate pentru fiecare serviciu din cadrul subsectorului sisteme, reţele şi servicii de comunicaţii. 2. Serviciul identificat este esenţial dacă valoarea obţinută este mai mare sau egală cu 3. ANEXA Nr. 2bla metodologie GRILA DE EVALUARE a serviciilor esenţiale pentru subsectorul sisteme, reţele şi servicii de comunicaţii - internet - NOTĂ: 1. Identificarea serviciilor esenţiale se realizează prin calculul mediei ponderate a valorilor pragurilor critice rezultate pentru fiecare serviciu din cadrul subsectorului sisteme, reţele şi servicii de comunicaţii - internet. 2. Serviciul identificat este esenţial dacă valoarea obţinută este mai mare sau egală cu 3. ANEXA Nr. 3la metodologie GRILA DE EVALUARE a serviciilor esenţiale pentru subsectorul sisteme de prelucrare, procesare şi stocare a datelor, inclusiv a serviciilor publice electronice NOTĂ: 1. Identificarea serviciilor esenţiale se realizează prin calculul mediei ponderate a valorilor pragurilor critice rezultate pentru fiecare serviciu din cadrul subsectorului sisteme de prelucrare, procesare şi stocare a datelor, inclusiv a serviciilor publice electronice. 2. Serviciul identificat este esenţial dacă valoarea obţinută este mai mare sau egală cu 3. ANEXA Nr. 4ala metodologie GRILA DE EVALUARE a serviciilor esenţiale pentru subsectorul infrastructuri de securitate informatică
Servicii Servicii de supraveghere, sesizare şi alertă Servicii destinate managementului incidentelor de securitate cibernetică Servicii de certificare digitală şi semnătură electronică Servicii de asigurare a confidenţialităţii, integrităţii fluxului informaţional din cadrul infrastructurilor informatice din sistemul de apărare, ordine publică şi siguranţă naţională Servicii de asigurare a autentificării, autorizării şi nerepudierii utilizatorilor infrastructurilor de tehnologia informaţiei şi comunicaţii
Praguri critice Valoare Punctaj Valoare Punctaj Valoare Punctaj Valoare Punctaj Valoare Punctaj
Numărul de utilizatori afectaţi (pondere 50%) ≤ 10 0 ≤ 10 0 ≤ 10 0 ≤ 5 0 ≤ 10 0
11-100 1 11-100 1 11-100 1 6-10 1 11-100 1
101-1.000 2 101-1.000 2 101-1.000 2 11-20 2 101-1.000 2
1.001-10.000 3 1.001-10.000 3 1.001-10.000 3 21-30 3 1.001-10.000 3
10.001-1.000.000 4 10.001-1.000.000 4 10.001-1.000.000 4 31-40 4 10.001-1.000.000 4
> 1.000.000 5 > 1.000.000 5 > 1.000.000 5 > 40 5 > 1.000.000 5
Durata de indisponibilitate (pondere 30%) > 12 h 0 > 24 h 0 > 48 h 0 > 24 h 0 > 24 h 0
6 h 01-12 h 1 12 h 01-24 h 1 24 h 01-48 h 1 12 h 01-24 h 1 12 h 01-24 h 1
3 h 01-6 h 2 6 h 01-12 h 2 12 h 01-24 h 2 6 h 01-12 h 2 6 h 01-12 h 2
2 h 01-3 h 3 3 h 01-6 h 3 6 h 01-12 h 3 3 h 01-6 h 3 3 h 01-6 h 3
1 h 01-2 h 4 1 h 01-3 h 4 3 h 01-6 h 4 1 h 01-3 h 4 1 h 01-3 h 4
≤ 1 h 5 ≤ 1 h 5 ≤ 3 h 5 ≤ 1 h 5 ≤ 1 h 5
Pagubele materiale produse (pondere 20%) ≤ 5 0 ≤ 5 0 ≤ 5 0 ≤ 5 0 ≤ 5 0
6-25 1 6-25 1 6-25 1 6-25 1 6-25 1
26-50 2 26-50 2 26-50 2 26-50 2 26-50 2
51-100 3 51-100 3 51-100 3 51-100 3 51-100 3
101-250 4 101-250 4 101-250 4 101-250 4 101-250 4
> 250 5 > 250 5 > 250 5 > 250 5 > 250 5
NOTĂ: 1. Identificarea serviciilor esenţiale se realizează prin calculul mediei ponderate a valorilor pragurilor critice rezultate pentru fiecare serviciu din cadrul subsectorului infrastructuri de securitate informatică. 2. Serviciul identificat este esenţial dacă valoarea obţinută este mai mare sau egală cu 3. ANEXA Nr. 6la metodologie GRILA DE EVALUARE a serviciilor esenţiale pentru subsectorul infrastructuri de emisie radio-TV NOTĂ: 1. Identificarea serviciilor esenţiale se realizează prin calculul mediei ponderate a valorilor pragurilor critice rezultate pentru fiecare serviciu din cadrul subsectorului infrastructuri de emisie radio-TV. 2. Serviciul identificat este esenţial dacă valoarea obţinută este mai mare sau egală cu 3. ANEXA Nr. 7la metodologie GRILA DE EVALUARE a serviciilor esenţiale pentru subsectorul servicii poştale la nivel naţional
Servicii Praguri critice Transportul şi distribuirea trimiterilor poştale Procesarea trimiterilor poştale în centre de tranzit
Valoarea pragului critic Valoarea pragului critic
Acoperirea teritorială (procent din teritoriul naţional) > 10.00% > 10.00%
Populaţia afectată (procent) > 10.00% > 10.00%
Perioada de indisponibilitate, degradarea infrastructurii > 48 ore > 48 ore

References: Articolul 1
 Articolul 2
 Articolul 3
 Articolul 4
 Articolul 5
 Articolul 6
 Articolul 1
 Articolul 2
 Articolul 3
 Articolul 4
 Articolul 5
 Articolul 6
 Articolul 7
 Articolul 8
 Articolul 9
 Articolul 10
 Articolul 11
 Articolul 12
 Articolul 13
 Articolul 14
 Articolul 15
 Articolul 16
 Articolul 17
 Articolul 18