(1) Prezenta lege stabileşte cadrul legal privind identificarea şi desemnarea infrastructurilor critice naţionale şi evaluarea necesităţii de a îmbunătăţi protecţia acestora în scopul creşterii capacităţii de asigurare a stabilităţii, securităţii şi siguranţei sistemelor economice, sociale şi a protecţiei persoanelor.

(2) Protecţia infrastructurilor critice naţionale (denumite în continuare şi ICN) constituie o componentă a securităţii naţionale.

Articolul 2. Domeniul de aplicare

Dispoziţiile prezentei legi se aplică tuturor persoanelor juridice de drept public sau de drept privat care desfăşoară activităţi şi furnizează servicii esenţiale în sectoarele şi subsectoarele infrastructurii critice naţionale prevăzute la anexa nr.1.

Articolul 3. Noţiuni principale

În sensul prezentei legi, noţiunile utilizate au următoarele semnificaţii:

1. autoritate publică responsabilă – autoritate/instituţie publică, desemnată în condiţiile prezentei legi, care, potrivit competenţelor şi atribuţiilor sale legale, răspunde de organizarea şi desfăşurarea activităţilor în domeniile corespunzătoare sectoarelor şi subsectoarelor ICN prevăzute la anexa nr.1 şi are în responsabilitate cel puţin o ICN desemnată;

2. evaluarea riscurilor – proces global prin care se determină natura şi amploarea unui risc prin identificarea şi analiza potenţialelor ameninţări, puncte vulnerabile şi pericole relevante care ar putea conduce la un incident, o perturbare sau la distrugerea ICN;

3. funcţii vitale ale statului – procese care au un impact predominant asupra funcţionării statului şi a căror întrerupere ameninţă viaţa sau sănătatea persoanelor ori provoacă daune majore economiei, mediului, ordinii publice şi securităţii naţionale;

4. gestionar de infrastructură critică naţională – proprietarul, operatorul sau administratorul de infrastructură critică naţională, indiferent de tipul de proprietate şi de forma juridică de organizare, care este responsabil de o infrastructură critică naţională;

5. informaţii atribuite la secret de stat – informaţii cu privire la o ICN ce sunt atribuite la secret de stat în condiţiile Legii nr.245/2008 cu privire la secretul de stat;

6. informaţii sensibile privind protecţia infrastructurilor critice – informaţii cu privire la o ICN ce pot fi utilizate, în cazul divulgării, în scopul planificării şi al realizării unor acţiuni care să determine perturbarea sau distrugerea instalaţiilor unor ICN. Sunt considerate informaţii sensibile privind protecţia infrastructurilor critice alte informaţii decât cele atribuite la secretul de stat;

7. infrastructură critică naţională – un activ, o instalaţie, un echipament, o reţea ori un sistem sau o componentă a unui activ, unei instalaţii, unui echipament, unei reţele ori a unui sistem, care este necesar(ă) pentru furnizarea unui serviciu esenţial;

8. plan de securitate – document de planificare la nivel strategic, cu caracter operativ prin procedurile asociate, elaborat pentru fiecare ICN desemnată, destinat realizării managementului riscurilor la nivelul ICN şi care defineşte scopul, obiectivele, cerinţele şi măsurile de securitate ale acesteia;

9. praguri critice – valori-limită stabilite în funcţie de gravitatea impactului, a perturbării sau a distrugerii unei infrastructuri şi care determină identificarea acesteia ca ICN;

10. protecţia infrastructurilor critice – ansamblul de procese şi activităţi organizate şi desfăşurate în scopul asigurării funcţionalităţii, continuităţii serviciilor şi integrităţii ICN pentru a descuraja, a diminua şi a neutraliza o ameninţare, un risc sau un punct vulnerabil prin identificarea, implementarea şi menţinerea măsurilor de securitate, organizatorice, tehnice, procedurale şi de altă natură, rezultate în urma derulării proceselor de management al riscului. Protecţia infrastructurilor critice cuprinde, într-o enumerare neexhaustivă, activităţile desfăşurate pentru identificarea şi desemnarea ICN, procesele de management de risc, asigurarea protecţiei informaţiilor sensibile specifice domeniului, realizarea planurilor de securitate ale gestionarilor de ICN, desemnarea ofiţerilor de legătură pentru securitatea ICN, pregătirea personalului, modul de realizare a comunicării şi a avertizării timpurii, precum şi exerciţii, rapoarte, testări ale viabilităţii planurilor de securitate ale gestionarilor, reevaluări şi actualizări ale documentelor elaborate;

11. rezilienţa infrastructurii critice naţionale – capacitatea ICN de a rezista unui incident sau unei perturbări, de a se adapta ca urmare a producerii unui hazard sau a unei ameninţări şi de a-şi reveni în urma acestora pentru a asigura în continuare prestarea serviciilor esenţiale societăţii;

12. servicii esenţiale – serviciile, facilităţile ori activităţile indispensabile pentru menţinerea funcţiilor societale vitale, a activităţilor economice vitale, a sănătăţii şi siguranţei publice sau a mediului, necesare pentru a asigura un standard minim de trai şi de bunăstare a societăţii şi a căror degradare ori întrerupere a furnizării, ca urmare a perturbării ori distrugerii sistemului fizic de bază, ar afecta semnificativ siguranţa sau securitatea populaţiei şi/sau funcţionarea instituţiilor statului.

Capitolul II

ROLURI ŞI RESPONSABILITĂŢI

Articolul 4. Coordonarea naţională

(1) Coordonarea, la nivel naţional, a activităţilor privind identificarea, desemnarea şi protecţia ICN se realizează de către Prim-ministru, prin intermediul consilierului desemnat.

(2) Responsabilitatea pentru organizarea şi desfăşurarea activităţilor necesare implementării prezentei legi, dar şi realizarea cooperării între autorităţile publice responsabile şi structurile neguvernamentale îi revine Ministerului Afacerilor Interne (în continuare – MAI), prin intermediul Centrului Naţional de Coordonare a Protecţiei Infrastructurilor Critice (în continuare – şi CNCPIC), care va fi punctul naţional de contact în relaţia cu instituţiile similare ale statelor membre ale Uniunii Europene, cu Comisia Europeană, cu Organizaţia Tratatului Atlanticului de Nord şi cu alte structuri internaţionale cu activităţi şi atribuţii în domeniu.

(3) CNCPIC este instituit în cadrul Inspectoratului de Management Operaţional din subordinea MAI, la nivel de direcţie autonomă.

(4) CNCPIC asigură planificarea strategică, coordonarea, monitorizarea permanentă şi controlul asupra stadiului implementării activităţilor reglementate prin prezenta lege.

Articolul 5. Grupul de lucru interinstituţional pentru protecţia infrastructurilor critice

(1) Sub coordonarea consilierului desemnat al Prim-ministrului, potrivit art.4 alin.(1), se instituie şi funcţionează Grupul de lucru interinstituţional pentru protecţia infrastructurilor critice (în continuare – GLIPIC).

(2) Componenţa, atribuţiile şi modul de organizare şi funcţionare al GLIPIC se stabilesc prin dispoziţie de Guvern.

Articolul 6. Rapoartele de evaluare privind protecţia infrastructurilor critice

(1) Autorităţile publice responsabile efectuează, împreună cu gestionarii de ICN, o evaluare a riscurilor, a ameninţărilor şi a punctelor vulnerabile în sectoarele/subsectoarele ICN, în termen de un an de la desemnarea lor în cadrul subsectoarelor respective. Evaluarea conţine inclusiv propuneri cu privire la necesitatea îmbunătăţirii protecţiei ICN desemnate.

(2) Autorităţile publice responsabile, împreună cu gestionarii de ICN, elaborează anual rapoarte de evaluare privind riscurile şi incidentele semnificative, de asemenea privind evoluţia ameninţărilor şi existenţa unor puncte vulnerabile în sectoarele şi subsectoarele ICN, şi formulează propuneri cu privire la necesitatea îmbunătăţirii protecţiei acestora, pe care le înaintează CNCPIC în vederea elaborării unui raport de evaluare integrat, care va fi înaintat spre aprobare Guvernului.

(3) Documentele menţionate la alin.(2) se transmit CNCPIC până la data de 15 ianuarie a anului următor în vederea elaborării raportului de evaluare anual privind stadiul de protecţie a infrastructurilor critice la nivel naţional.

(4) Gestionarii de ICN au obligaţia de a informa autorităţile publice responsabile despre orice modificare ce poate avea impact asupra protecţiei ICN desemnate.

(5) Pe raportul anual prevăzut la alin.(3) se aplică parafa de secretizare corespunzătoare informaţiilor atribuite la secretul de stat pe care le conţine, în conformitate cu prevederile Legii nr.245/2008 cu privire la secretul de stat.

Articolul 7. Atribuţiile Centrului Naţional de Coordonare a Protecţiei Infrastructurilor Critice

(1) MAI, prin intermediul CNCPIC, sprijină autorităţile publice responsabile şi gestionarii de ICN, asigurându-le accesul la informaţiile privind cele mai bune practici şi metode disponibile, facilitează participarea la acţiunile coordonate de către Comisia Europeană în materie de formare şi de schimb de informaţii privind noile evoluţii tehnice în materie de protecţie a infrastructurii critice şi organizează cooperarea între autorităţile publice responsabile la nivel naţional, precum şi colaborarea acestora şi a gestionarilor de ICN cu instituţiile similare ale statelor membre ale Uniunii Europene, cu Comisia Europeană, cu Organizaţia Tratatului Atlanticului de Nord şi cu alte structuri internaţionale cu activităţi şi atribuţii în domeniu.

(2) CNCPIC are următoarele atribuţii principale:

a) elaborează proiecte de acte normative în domeniul protecţiei infrastructurilor critice şi documente de planificare strategică specifice, pe care le supune analizei reprezentanţilor autorităţilor publice responsabile reprezentate în GLIPIC, în vederea iniţierii ulterioare, de către MAI, a procedurilor legale de avizare şi promovare;

b) elaborează şi actualizează normele metodologice privind evaluarea riscurilor, privind realizarea, echivalarea şi revizuirea planurilor de securitate ale gestionarilor de ICN, structura-cadru a planurilor de securitate ale gestionarilor de ICN şi atribuţiile ofiţerului de legătură pentru securitatea ICN din cadrul structurii specializate desemnate la nivelul autorităţilor publice responsabile şi la nivelul gestionarilor de ICN, care, prin intermediul MAI, sunt aprobate de Guvern;

c) sprijină, la solicitarea autorităţilor publice responsabile, procesul de elaborare a instrucţiunilor, regulamentelor, normelor şi a standardelor de securitate sectoriale în domeniul protecţiei infrastructurilor critice;

d) elaborează, supune dezbaterii în cadrul GLIPIC şi, prin intermediul MAI, propune spre aprobare Guvernului metodologia de autorizare a ofiţerilor de legătură pentru securitatea ICN;

e) evaluează anual şi ori de câte ori se impune, pe baza datelor furnizate de autorităţile publice responsabile, riscurile, ameninţările şi punctele vulnerabile ale ICN şi informează Prim-ministrul, prin intermediul consilierului desemnat, cu privire la necesitatea îmbunătăţirii nivelului de protecţie al acestora;

f) asigură secretariatul tehnic permanent al GLIPIC;

g) elaborează şi propune spre aprobare Guvernului planul anual de verificare a stadiului de implementare a legislaţiei privind protecţia infrastructurii critice de către autorităţile publice responsabile şi de către gestionarii de ICN;

h) asigură consultanţă de specialitate pentru autorităţile publice responsabile şi pentru gestionarii de ICN desemnate, la solicitarea acestora;

i) monitorizează stadiul de elaborare a planurilor de securitate ale gestionarilor de ICN la nivel naţional, precum şi de testare a viabilităţii acestora prin exerciţii;

j) reprezintă structura desemnată din cadrul MAI în condiţiile art.8;

k) elaborează liniile directoare privind modalităţile de realizare a managementului protecţiei infrastructurii critice;

l) organizează, coordonează şi sprijină programele de formare profesională iniţială şi continuă, inclusiv certificarea periodică, destinate ofiţerilor de legătură pentru securitatea ICN, cu accent pe evaluarea riscurilor, securitatea fizică, gestionarea incidentelor şi pe răspunsul la crize.

(3) În aplicarea art.4 alin.(4), MAI, prin intermediul personalului desemnat din cadrul CNCPIC, desfăşoară activităţi de control în baza planului elaborat în condiţiile alin.(2) lit.g) din prezentul articol, constată contravenţii şi aplică sancţiuni contravenţionale în condiţiile legii.

Articolul 8. Instituirea şi administrarea mecanismului de comunicare şi avertizare timpurie

(1) La nivelul MAI, prin intermediul CNCPIC, poate fi instituit un mecanism de comunicare şi avertizare timpurie (în continuare – MeCAT), destinat asigurării managementului integrat al protecţiei ICN, având rolul de sistem naţional securizat de informare în domeniul protecţiei ICN.

(2) MeCAT asigură cadrul unitar al schimbului de informaţii privind incidentele, ameninţările, punctele vulnerabile şi riscurile identificate în legătură cu aceste tipuri de infrastructuri, necesare atât în procesul de prevenţie şi combatere a riscurilor şi ameninţărilor, cât şi pentru diminuarea impactului generat de incapacitatea de a menţine serviciile esenţiale furnizate de ICN.

(3) MeCAT este dezvoltat, operat şi protejat în conformitate cu cerinţele de securitate cibernetică şi informaţională prevăzute de Legea nr.48/2023 privind securitatea cibernetică, inclusiv prin cooperarea cu autorităţile naţionale competente în domeniul securităţii cibernetice şi al informaţiilor clasificate/ atribuite la secret de stat.

Articolul 9. Autorităţile publice responsabile

(1) Lista autorităţilor publice responsabile se stabileşte prin hotărâre de Guvern, la propunerea MAI, conform informaţiilor deţinute de CNCPIC.

(2) Autorităţile publice responsabile au următoarele atribuţii:

a) stabilesc criteriile sectoriale şi pragurile critice aferente şi elaborează, după caz, metodologii specifice de lucru pentru aplicarea acestora în vederea identificării potenţialelor ICN;

b) coordonează activităţile specifice procesului de identificare a ICN în sectorul lor de responsabilitate;

c) propun desemnarea ICN conform sectoarelor aflate în responsabilitatea lor;

d) informează, la solicitare, CNCPIC asupra stadiului de implementare a actelor normative în domeniu;

e) informează MAI, prin intermediul CNCPIC, asupra stadiului identificării ICN din sectorul lor de responsabilitate;

f) verifică modul de îndeplinire de către gestionarii de ICN a obligaţiilor stabilite prin prezenta lege şi sesizează CNCPIC privind încălcările constatate;

g) avizează planurile de securitate ale gestionarilor de ICN aflate în sectorul lor de responsabilitate;

h) stabilesc măsuri de reducere a punctelor vulnerabile ale ICN din sectorul lor de responsabilitate şi de îmbunătăţire a rezilienţei acestora;

i) asigură resursele financiare necesare organizării şi desfăşurării activităţilor specifice domeniului protecţiei infrastructurilor critice pentru ICN aflate în sectorul lor de responsabilitate, în limita bugetului alocat;

j) notifică CNCPIC cu privire la participarea personalului propriu şi a celui din cadrul gestionarilor de ICN din sectorul lor de responsabilitate la activităţile internaţionale specifice domeniului protecţiei infrastructurilor critice şi prezintă GLIPIC aspectele discutate în cadrul activităţilor la care au participat;

k) participă, la solicitarea CNCPIC, la activităţile de control organizate în condiţiile art.7 alin.(3).

(3) În cazul în care o autoritate publică responsabilă este, concomitent, şi gestionară a unei infrastructuri critice naţionale, aceasta exercită atribuţiile corespunzătoare fiecărei calităţi deţinute în parte, cu respectarea principiului separării funcţionale.

(4) Autorităţile publice responsabile şi structurile abilitate conform legii se asigură că informaţiile clasificate/atribuite la secret de stat cu privire la protecţia ICN, utilizate la nivel naţional, precum şi cele transmise instituţiilor similare ale statelor membre ale Uniunii Europene, Comisiei Europene, Organizaţiei Tratatului Atlanticului de Nord şi altor structuri internaţionale cu activităţi şi atribuţii în domeniu nu sunt utilizate în alt scop decât cel al protecţiei infrastructurii critice.

Articolul 10. Atribuţiile gestionarilor de infrastructuri critice naţionale

Gestionarii de ICN au următoarele atribuţii:

a) desemnează un ofiţer de legătură pentru securitatea ICN aflate în responsabilitatea lor. Această obligaţie nu presupune neapărat instituirea unei noi poziţii;

b) elaborează pentru fiecare ICN din responsabilitatea lor planuri de securitate în conformitate cu normele metodologice menţionate la art.7 alin.(2) lit.b) şi le transmit spre avizare autorităţii publice responsabile în termen de 30 de zile de la data solicitării;

c) desfăşoară activităţile referitoare la protecţia ICN desemnate aflate în responsabilitatea lor;

d) participă, la solicitarea autorităţilor publice responsabile sau a CNCPIC, la activităţile specifice domeniului conform obligaţiilor ce decurg din prezenta lege şi din cadrul normativ subsecvent;

e) participă, potrivit competenţelor, la operaţionalizarea MeCAT;

f) informează autorităţile publice responsabile cu privire la orice modificare ce poate avea impact asupra protecţiei ICN desemnate;

g) informează autorităţile publice responsabile şi CNCPIC cu privire la participarea la activităţi naţionale/internaţionale specifice domeniului protecţiei infrastructurilor critice şi la aspectele discutate în cadrul acestor activităţi;

h) implementează măsuri de reducere a punctelor vulnerabile ale ICN aflate în responsabilitatea lor şi de îmbunătăţire a rezilienţei acestora;

i) asigură autorizarea ofiţerilor de legătură pentru securitatea ICN, desemnaţi pentru fiecare ICN aflată în responsabilitatea lor;

j) asigură resursele financiare necesare organizării şi desfăşurării activităţilor referitoare la protecţia ICN aflate în responsabilitatea lor în conformitate cu planul de securitate instituit.

Articolul 11. Structura specializată/compartimentul specializat în domeniul infrastructurilor critice naţionale

(1) Autorităţile publice responsabile şi gestionarii de ICN au obligaţia de a institui/desemna o structură specializată/un compartiment specializat în domeniul ICN, care va îndeplini şi rolul de punct de contact pentru aspectele ce ţin de securitatea ICN între gestionarii de ICN şi autorităţile publice responsabile.

(2) Autorităţile publice responsabile şi gestionarii de ICN au obligaţia de a desemna un ofiţer de legătură pentru securitatea ICN, care va îndeplini şi rolul de punct de contact pentru aspectele ce ţin de securitatea ICN între gestionarii de ICN şi autorităţile publice responsabile.

(3) Structura/compartimentul prevăzut la alin.(1) este condus de un ofiţer de legătură pentru securitatea ICN care, la solicitare sau în caz de necesitate, are dreptul/obligaţia de a sesiza direct conducătorul autorităţii publice responsabile sau al gestionarului de ICN cu privire la orice subiecte ce ţin de ICN.

(4) Personalul din cadrul structurii specializate/compartimentului specializat în domeniul ICN răspunde de elaborarea, aplicarea, evaluarea şi actualizarea permanentă a planului de măsuri elaborat la nivelul autorităţii publice responsabile, respectiv a planurilor de securitate ale gestionarilor de ICN.

(5) Autorităţile publice responsabile stabilesc şi implementează un mecanism de comunicare adecvat cu ofiţerii de legătură pentru securitatea ICN de la nivelul gestionarilor de ICN, în scopul realizării unui schimb de date relevante privind riscurile şi ameninţările identificate în legătură cu ICN, asigurând securitatea informaţiilor sensibile referitoare la protecţia ICN conform cadrului normativ.

(6) În termen de un an de la desemnarea unei ICN, autoritatea publică responsabilă şi gestionarul de ICN au obligaţia să asigure pregătirea ofiţerilor de legătură pentru securitatea ICN respective, precum şi a personalului desemnat să îndeplinească atribuţii în domeniul protecţiei infrastructurilor critice în unităţile de învăţământ pentru formare şi dezvoltare profesională acreditate, în condiţiile legii. Guvernul asigură în timp util disponibilitatea unităţilor de învăţământ acreditate şi a programelor de formare şi dezvoltare profesională corespunzătoare.

(7) Ofiţerii de legătură pentru securitatea ICN sunt evaluaţi şi autorizaţi periodic în condiţiile stabilite prin metodologia de autorizare care se aprobă de Guvern.

(8) Autorităţile publice responsabile, precum şi gestionarii de ICN au obligaţia să asigure participarea ofiţerilor de legătură pentru securitatea ICN la programele de formare profesională iniţială şi continuă organizate sau coordonate de CNCPIC, inclusiv prin asigurarea resurselor necesare şi prin eliberarea acestora de la alte atribuţii pe durata formării, în condiţiile stabilite de legislaţia din domeniul muncii.

Capitolul III

IDENTIFICAREA, DESEMNAREA ŞI PROTECŢIA

INFRASTRUCTURII CRITICE NAŢIONALE

Articolul 12. Identificarea infrastructurii critice naţionale

(1) În conformitate cu procedura de identificare prevăzută la anexa nr.2, autorităţile publice responsabile identifică potenţialele ICN ce corespund criteriilor sectoriale şi intersectoriale şi se încadrează în definiţia prevăzută la art.3 pct.7).

(2) Criteriile sectoriale şi pragurile critice aferente, definite în funcţie de gravitatea impactului perturbării sau al distrugerii unei anumite ICN, se stabilesc prin ordine ale conducătorilor autorităţilor publice responsabile, potrivit sectoarelor aflate în responsabilitatea lor.

(3) Criteriile intersectoriale ce stau la baza identificării ICN sunt următoarele:

a) criteriul privind victimele, evaluat în funcţie de numărul posibil de decese sau vătămări;

b) criteriul privind efectele economice, evaluat în funcţie de importanţa pierderilor economice şi/sau a degradării produselor sau serviciilor, inclusiv eventualele efecte asupra mediului;

c) criteriul privind efectul asupra populaţiei, evaluat în funcţie de impactul asupra încrederii acesteia, de suferinţa fizică sau de perturbarea vieţii cotidiene, inclusiv de pierderea de servicii esenţiale.

(4) Criteriile intersectoriale nu sunt cumulative pentru identificarea ICN.

(5) Pragurile critice aferente criteriilor intersectoriale, definite în funcţie de gravitatea impactului perturbării sau al distrugerii unei anumite infrastructuri, se stabilesc de Guvern.

(6) Persoanele juridice de drept public sau de drept privat care desfăşoară activităţi şi furnizează servicii esenţiale de interes naţional în sectoarele şi subsectoarele prevăzute la anexa nr.1 au obligaţia de a participa, la solicitarea autorităţilor publice responsabile sau a CNCPIC, la procesul de identificare şi de desemnare a ICN.

(7) Pentru stabilirea criteriilor sectoriale/intersectoriale şi a pragurilor critice aferente, autorităţile publice responsabile pot colabora şi cu alte autorităţi sau persoane juridice în condiţiile în care ICN ar putea genera efecte în sectorul de responsabilitate al acestora.

(8) Sectoarele/subsectoarele stabilite pentru punerea în aplicare a prezentei legi sunt cele prevăzute la anexa nr.1, iar autorităţile publice responsabile pot identifica ulterior şi alte sectoare.

Articolul 13. Desemnarea infrastructurii critice naţionale

(1) În urma procesului de identificare a potenţialelor ICN, autorităţile publice responsabile propun MAI, prin intermediul CNCPIC, desemnarea unei/unor ICN.

(2) Lista ICN desemnate se aprobă de către Guvern.

(3) Autorităţile publice responsabile informează gestionarii de infrastructuri cu privire la desemnarea acestora ca ICN în termen de 10 zile de la data intrării în vigoare a actului normativ de desemnare.

Articolul 14. Protecţia infrastructurilor critice naţionale

(1) În termen de 9 luni de la desemnarea unei infrastructuri drept ICN, gestionarul de ICN elaborează un plan de securitate şi îl transmite spre avizare autorităţii publice responsabile. Cu acordul conducătorului CNCPIC, termenul poate fi extins, dar nu mai mult decât cu 6 luni.

(2) Planul de securitate identifică ICN şi soluţiile de securitate existente sau care urmează să fie puse în aplicare pentru protecţia acesteia, în conformitate cu normele metodologice menţionate la art.7 alin.(2) lit.b).

(3) Cerinţele minime privind conţinutul planului de securitate al gestionarului de ICN sunt prevăzute în anexa nr.3 şi la art.7 alin.(2) lit.b).

(4) Autoritatea publică responsabilă se asigură, în termen de un an de la desemnarea în sectorul său de responsabilitate a unei infrastructuri drept ICN, că există un plan de securitate al gestionarului sau un echivalent al acestuia.

(5) În cazul în care gestionarul de ICN deţine un document care îndeplineşte cerinţele minime privind conţinutul planului de securitate, acesta este evaluat, testat şi, dacă este necesar, revizuit şi actualizat, fiind recunoscut ca un echivalent al planului de securitate.

(6) Planul de securitate este implementat, evaluat, testat şi, dacă este necesar, revizuit şi actualizat de către gestionarul de ICN periodic, la intervale de cel mult doi ani, precum şi ori de câte ori este necesar.

Articolul 15. Protecţia informaţiilor

(1) Autorităţile publice responsabile şi structurile abilitate conform legii se asigură că informaţiile clasificate/atribuite la secret de stat cu privire la protecţia ICN, utilizate la nivel naţional, precum şi cele transmise instituţiilor similare din statele membre ale Uniunii Europene, Comisiei Europene, Organizaţiei Tratatului Atlanticului de Nord şi altor structuri internaţionale cu activităţi şi atribuţii în domeniu nu sunt utilizate în alt scop decât cel al protecţiei infrastructurilor critice.

(2) În caz de necesitate, informaţiile sensibile privind protecţia ICN sunt clasificate/atribuite la secret de stat în condiţiile legii. Diseminarea acestor informaţii se face în strictă conformitate cu cadrul normativ, atât în relaţia cu autorităţile publice responsabile şi cu gestionarii de ICN, cât şi cu instituţiile similare din statele membre ale Uniunii Europene, cu Comisia Europeană, cu Organizaţia Tratatului Atlanticului de Nord şi cu alte structuri internaţionale cu activităţi şi atribuţii în domeniu.

(3) Orice persoană care operează cu informaţii clasificate/atribuite la secret de stat în temeiul prezentei legi este supusă unei verificări de securitate conform prevederilor Legii nr.245/2008 cu privire la secretul de stat.

(4) Dispoziţiile alin.(1) şi (2) se aplică în egală măsură informaţiilor exprimate verbal în timpul reuniunilor în cadrul cărora se discută subiecte sensibile privind protecţia ICN.

Capitolul IV

DISPOZIŢII FINALE

Articolul 17. Aplicarea prezentei legi

Procesul de identificare şi de desemnare a ICN se încheie în termen de un an de la intrarea în vigoare a prezentei legi şi se revizuieşte periodic, cel puţin o dată în an, pentru identificarea şi desemnarea noilor infrastructuri.

Articolul 18. Dispoziţii finale

(1) Prezenta lege intră în vigoare la expirarea termenului de 6 luni de la data publicării în Monitorul Oficial al Republicii Moldova.

(2) Guvernul:

a) în termen de 6 luni de la data publicării prezentei legi, va adopta actele normative necesare pentru implementarea acesteia;

b) în termen de două luni de la data intrării in vigoare a prezentei legi, va desemna lista autorităţilor publice responsabile prevăzute la art.9 alin.(1);

c) în termen de 4 luni de la data intrării în vigoare a prezentei legi, va adopta componenţa, atribuţiile şi modul de organizare ale GLIPIC, în conformitate cu art.5 alin.(2);

d) în termen de 6 luni de la data intrării în vigoare a prezentei legi, va adopta pragurile critice aferente criteriilor intersectoriale, în conformitate cu art.12 alin. (5);

e) în termen de 12 luni de la data intrării în vigoare a prezentei legi, va adopta lista privind ICN desemnate, în conformitate cu art.13.

(3) Ordinele conducătorilor autorităţilor publice responsabile, prevăzute la art.9 alin.(2) lit.a), se emit în termen de două luni de la data intrării în vigoare a hotărârii Guvernului privind desemnarea autorităţilor publice responsabile în conformitate cu art.9 alin.(1).

PREŞEDINTELE PARLAMENTULUI	Igor GROSU
Nr.223. Chişinău, 10 iulie 2025.

Anexa nr.1

LISTA

sectoarelor şi subsectoarelor infrastructurii critice naţionale (ICN)

Sector	Subsector	Tipul furnizorului de servicii
1	2	3
1. Energetică	1.1. Energie electrică	1.1.1. Furnizor central de energie electrică, astfel cum acesta este definit la art.3 din Legea nr.10/2016 privind promovarea utilizării energiei din surse regenerabile
		1.1.2. Furnizor, astfel cum acesta este definit la art.2 din Legea nr.164/2025 cu privire la energia electrică
		1.1.3. Operator al sistemului de distribuţie, astfel cum acesta este definit la art.2 din Legea nr.164/2025 cu privire la energia electrică
		1.1.4. Operator al sistemului de transport, astfel cum acesta este definit la art.2 din Legea nr.164/2025 cu privire la energia electrică
		1.1.5. Producător, astfel cum acesta este definit la art.2 din Legea nr.164/2025 cu privire la energia electrică
		1.1.6. Operator al pieţei energiei electrice desemnat, astfel cum acesta este definit la art.2 din Legea nr.164/2025 cu privire la energia electrică
		1.1.7. Participant la piaţă, astfel cum acesta este definit la art.2 din Legea nr.164/2025 cu privire la energia electrică, care furnizează servicii de agregare, de consum dispecerizabil sau de stocare de energie, inclusiv agregatorul, astfel cum acesta este definit la art.3 din Legea nr.10/2016 privind promovarea utilizării energiei din surse regenerabile
		1.1.8. Operatori ai unui punct de reîncărcare care sunt responsabili de gestionarea şi exploatarea unui punct de reîncărcare, care furnizează un serviciu de reîncărcare utilizatorilor finali, inclusiv în numele şi în contul unui furnizor de servicii de mobilitate
	1.2. Încălzire centralizată şi răcire centralizată	Furnizor, astfel cum acesta este definit la art.5 din Legea nr.92/2014 cu privire la energia termică şi promovarea cogenerării
	1.3. Piaţa produselor petroliere	1.3.1. Transportator, astfel cum acesta este definit la art.2 din Legea nr.461/2001 privind piaţa produselor petroliere
		1.3.2. Importator, astfel cum acesta este definit la art.2 din Legea nr.461/2001 privind piaţa produselor petroliere
		1.3.3. Entitate centrală de stocare
	1.4. Gaze naturale	1.4.1. Furnizor, astfel cum acesta este definit la art.2 din Legea nr.108/2016 cu privire la gazele naturale
		1.4.2. Operator al sistemului de distribuţie, astfel cum acesta este definit la art.2 din Legea nr.108/2016 cu privire la gazele naturale
		1.4.3. Operator al sistemului de transport, astfel cum acesta este definit la art.2 din Legea nr.108/2016 cu privire la gazele naturale
		1.4.4. Operator al instalaţiei de stocare, astfel cum acesta este definit la art.2 din Legea nr.108/2016 cu privire la gazele naturale
		1.4.5. Operatori ai sistemului de gaze naturale lichefiate (GNL)
		1.4.6. Întreprindere de gaze naturale, astfel cum aceasta este definită la art.2 din Legea nr.108/2016 cu privire la gazele naturale
		1.4.7. Operatori ai instalaţiilor de rafinare şi de tratare a gazelor naturale
	1.5. Hidrogen	Operatori de producţie, stocare şi transport de hidrogen
2. Transport	2.1. Transport aerian	2.1.1. Transportator aerian, astfel cum acesta este definit la art.3 din Legea nr.192/2019 privind securitatea aeronautică
		2.1.2. Operator aeroportuar, astfel cum acesta este definit la art.3 din Legea nr.192/2019 privind securitatea aeronautică
		2.1.3. Aeroport, astfel cum acesta este definit la art.3 din Legea nr.192/2019 privind securitatea aeronautică
		2.1.4. Persoane juridice care gestionează şi exploatează instalaţii auxiliare în cadrul aeroporturilor
		2.1.5. Agent aeronautic, astfel cum acesta este definit la art.5 din Codul aerian al Republicii Moldova nr.301/2017, care furnizează serviciul de control al traficului aerian (ATC), astfel cum acesta este definit la acelaşi articol din codul menţionat
	2.2. Transport feroviar	2.2.1. Administratorul infrastructurii, astfel cum acesta este definit la art.2 din Codul transportului feroviar nr.19/2022
		2.2.2. Întreprindere feroviară, astfel cum aceasta este definită la art.2 din Codul transportului feroviar nr.19/2022
		2.2.3. Operatorul unei infrastructuri de servicii, astfel cum acesta este definit la art.2 din Codul transportului feroviar nr.19/2022
	2.3. Transport pe apă	2.3.1. Persoane juridice care efectuează transportul pasagerilor şi/sau transportul încărcăturilor, astfel cum aceste activităţi sunt reglementate de Legea nr.176/2013 privind transportul naval intern al Republicii Moldova
		2.3.2. Persoane juridice care efectuează transportul maritim de mărfuri şi pasageri, astfel cum aceste activităţi sunt reglementate de Codul navigaţiei maritime comerciale al Republicii Moldova nr.599/1999
		2.3.3. Port maritim, astfel cum acesta este definit la art.77 alin.(1) din Codul navigaţiei maritime comerciale al Republicii Moldova nr.599/1999
		2.3.4. Administraţia portului maritim, astfel cum aceasta este definită la art.80 din Codul navigaţiei maritime comerciale al Republicii Moldova nr.599/1999
		2.3.5. Administraţii portuare, astfel cum acestea sunt definite la art.51 din Legea nr.176/2013 privind transportul naval intern al Republicii Moldova
		2.3.6. Persoane juridice care efectuează lucrări şi gestionează şi/sau exploatează echipamente în cadrul porturilor
		2.3.7. Persoane juridice care operează serviciul de trafic maritim (STM), astfel cum acest serviciu este definit la pct.6 din Regulamentul privind stabilirea Sistemului de informare şi monitorizare a traficului navelor maritime, aprobat prin Hotărârea Guvernului nr.413/2021
	2.4. Transport rutier	2.4.1. Persoane juridice responsabile cu controlul gestionării traficului rutier
	2.4. Transport rutier	2.4.2. Operatori de sisteme de transport inteligente
3. Sectorul bancar		Bancă, astfel cum aceasta este definită la art.3 din Legea nr.202/2017 privind activitatea băncilor
4. Infrastructuri ale pieţei financiare		4.1. Societate de investiţii, astfel cum aceasta este definită la art.6 din Legea nr.171/2012 privind piaţa de capital, care exploatează un sistem multilateral de tranzacţionare (MTF), astfel cum acesta este definit la acelaşi articol din legea menţionată
		4.2. Operator de piaţă, astfel cum acesta este definit la art.6 din Legea nr.171/2012 privind piaţa de capital
		4.3. Contraparte centrală, astfel cum aceasta este definită la art.3 din Legea nr.183/2016 cu privire la caracterul definitiv al decontării în sistemele de plăti şi de decontare a instrumentelor financiare
		4.4. Depozitarul central unic al valorilor mobiliare, astfel cum acesta este definit la art.2 din Legea nr.234/2016 cu privire la Depozitarul central unic al valorilor mobiliare
5. Sectorul sănătate		5.1. Prestatori de servicii medicale, astfel cum aceştia sunt reglementaţi la art.4 din Legea ocrotirii sănătăţii nr.411/1995
		5.2. Întreprinderile şi instituţiile farmaceutice, astfel cum acestea sunt reglementate la art.3 din Legea nr.1456/1993 cu privire la activitatea farmaceutică, care efectuează cercetări de elaborare a medicamentelor, astfel cum acestea sunt definite la art.2 din Legea nr.153/2025 cu privire la medicamente
		5.3. Întreprinderi şi instituţii farmaceutice care desfăşoară activităţi de fabricare a produselor farmaceutice de bază şi a preparatelor farmaceutice, menţionate în secţiunea C, diviziunea a 21-a din CAEM‑2
		5.4. Producător de dispozitive medicale, astfel cum acestea sunt definite la art.2 din Legea nr.102/2017 cu privire la dispozitivele medicale, considerate a fi esenţiale în contextul unei urgenţe de sănătate publică
6. Alimentare cu apă şi canalizare		Operator, astfel cum acesta este definit la art.4 din Legea nr.303/2013 privind serviciul public de alimentare cu apă şi de canalizare
7. Infrastructură digitală		7.1. Furnizori de servii de înregistrare a numelor de domenii şi furnizorii de servicii de sistem de nume de domenii (DNS), cu excepţia registratorului naţional al domeniului naţional de nivel superior “.md”
		7.2. Registratorul naţional al domeniului naţional de nivel superior “.md”
		7.3. Furnizori ai unui punct de schimb de internet (IXP – internet exchange point)
		7.4. Furnizori de servicii de cloud computing
		7.5. Furnizori de servicii de centre de date
		7.6. Furnizori de reţele de furnizare de conţinut
		7.7. Prestatori de servicii de încredere, astfel cum aceştia sunt definiţi la art.2 din Legea nr.124/2022 privind identificarea electronică şi serviciile de încredere
		7.8. Furnizor de reţele publice de comunicaţii electronice, astfel cum acestea sunt definite la art.2 din Legea comunicaţiilor electronice nr.72/2025
		7.9. Furnizori de servicii de comunicaţii electronice accesibile publicului, astfel cum acestea sunt definite la art.2 din Legea comunicaţiilor electronice nr.72/2025
8. Gestionarea serviciilor TIC (business-to-business)		8.1. Furnizori de servicii gestionate
8. Gestionarea serviciilor TIC (business-to-business)		8.2. Furnizori de servicii de securitate gestionate
9. Administraţie publică		9.1. Persoane juridice de drept public, cu excepţia autorităţilor administraţiei publice locale
9. Administraţie publică		9.2 Autorităţi ale administraţiei publice locale
10. Spaţiu		Operatori de infrastructură terestră, deţinută, gestionată şi operată de persoanele juridice de drept public sau cele de drept privat, care sprijină furnizarea de servicii spaţiale, cu excepţia furnizorilor de reţele publice de comunicaţii electronice
11. Servicii poştale şi de curierat		11.1. Furnizor de servicii poştale, astfel cum acesta este definit la art.2 din Legea comunicaţiilor poştale nr.36/2016
11. Servicii poştale şi de curierat		11.2. Serviciul de curierat, astfel cum acesta este definit la art.2 din Legea comunicaţiilor poştale nr.36/2016
12. Gestionarea deşeurilor		Titularii autorizaţiei pentru gestionarea deşeurilor, astfel cum aceasta este definită la art.2 pct.1) din Legea nr.209/2016 privind deşeurile, cu excepţia întreprinderilor pentru care gestionarea deşeurilor nu reprezintă principala activitate economică
13. Fabricarea, producţia şi distribuţia de substanţe chimice		Producător şi distribuitor, astfel cum aceştia sunt definiţi la art.4 pct.17) şi pct.7) din Legea nr.277/2018 privind substanţele chimice
14. Producţia, prelucrarea şi distribuţia de alimente		Întreprindere din domeniul alimentar, astfel cum aceasta este definită la art.2 din Legea nr.306/2018 privind siguranţa alimentelor
15. Fabricare	15.1. Fabricarea dispozitivelor medicale şi a dispozitivelor medicale pentru diagnosticarea in vitro	Producătorii de dispozitive medicale şi/sau de dispozitive medicale pentru diagnosticarea in vitro, astfel cum acestea sunt definite la art.2 din Legea nr.102/2017 cu privire la dispozitivele medicale, cu excepţia celor menţionate la poziţia 5.4
	15.2. Fabricarea calculatoarelor şi a produselor electronice şi optice	Întreprinderile care desfăşoară oricare dintre activităţile economice menţionate în secţiunea C diviziunea 26 din CAEM-2
	15.3. Fabricarea echipamentelor electrice	Întreprinderile care desfăşoară oricare dintre activităţile economice menţionate în secţiunea C diviziunea 27 din CAEM-2
	15.4. Fabricarea altor maşini şi echipamente n.c.a.	Întreprinderile care desfăşoară oricare dintre activităţile economice menţionate în secţiunea C diviziunea 28 din CAEM-2
	15.5. Fabricarea autovehiculelor, a remorcilor şi a semiremorcilor	Întreprinderile care desfăşoară oricare dintre activităţile economice menţionate în secţiunea C diviziunea 29 din CAEM-2
	15.6. Fabricarea altor echipamente de transport	Întreprinderile care desfăşoară oricare dintre activităţile economice menţionate în secţiunea C diviziunea 30 din CAEM-2
16. Furnizori digitali		16.1. Furnizori de pieţe online
		16.2. Furnizori de motoare de căutare online
		16.3. Furnizori de platforme de servicii de socializare în reţea
17. Cercetare		Organizaţie din domeniile cercetării şi inovării, astfel cum aceasta este definită la art.15 din Codul cu privire la ştiinţă şi inovare nr.259/2004
18. Securitate naţională	18.1. Apărarea ţării, ordinea publică şi securitatea naţională	Persoanele juridice de drept public a căror activitate de bază ţine de apărarea ţării, ordinea publică şi securitatea naţională
	18.2. Frontiere, migraţie şi azil	Persoanele juridice de drept public a căror activitate de bază ţine de domeniul frontierei de stat, migraţiei şi azilului
	18.3. Industria naţională de securitate, capacităţi şi instalaţii de producţie şi depozitare	Persoanele juridice de drept public sau privat a căror activitate de bază ţine de industria naţională de securitate, capacităţile şi instalaţiile de producţie şi de depozitare
	18.4. Situaţii de urgenţă	Persoanele juridice de drept public a căror activitate de bază reprezintă gestionarea situaţiilor de urgenţă
	18.5. Justiţie şi penitenciare	Persoanele juridice de drept public a căror activitate de bază se desfăşoară în domeniile justiţiei şi penitenciarelor

Anexa nr.2

PROCEDURA DE IDENTIFICARE

a infrastructurilor critice care pot fi desemnate

drept infrastructuri critice naţionale

1. Autorităţile publice responsabile identifică infrastructurile critice care pot fi desemnate drept ICN prin parcurgerea următoarelor etape consecutive. O potenţială ICN care nu satisface cerinţele uneia dintre următoarele etape este considerată non-ICN şi este exclusă din procedură.

2. Autoritatea publică responsabilă împreună cu gestionarii de ICN identifică potenţialele ICN, parcurgând următoarele etape:

a) etapa 1 – aplicarea criteriilor şi a pragurilor critice sectoriale;

b) etapa 2 – evaluarea preliminară prin aplicarea definiţiei prevăzute la art.3 pct.7);

c) etapa 3 – aplicarea criteriilor şi a pragurilor critice intersectoriale;

d) etapa 4 – formularea propunerilor pentru desemnarea ICN.

Anexa nr.3

PROCEDURA

privind planul de securitate al gestionarului de ICN

1. Prin planul de securitate al gestionarului de ICN vor fi identificate ICN şi soluţiile de securitate existente sau care sunt puse în aplicare pentru protecţia acestora.

2. Planul de securitate al gestionarului de ICN va acoperi cel puţin următoarele aspecte:

a) identificarea elementelor importante;

b) efectuarea unei analize de risc bazate pe scenarii de ameninţări majore, pe punctele vulnerabile ale fiecărui element şi pe impactul potenţial;

c) identificarea, selectarea şi stabilirea priorităţilor în ceea ce priveşte contramăsurile şi procedurile, făcându-se distincţie între măsurile permanente de securitate, care identifică investiţiile de securitate indispensabile şi mijloacele relevante pentru a fi utilizate în orice situaţie. În acest capitol vor fi incluse informaţii referitoare la măsurile de ordin general, cum sunt măsurile tehnice (inclusiv instalarea de mijloace de detectare, de control al accesului, de protecţie şi de prevenire), măsurile organizatorice (inclusiv proceduri pentru gestionarea alertelor şi a crizelor), măsurile de control şi verificare, comunicare, sensibilizare şi formare, măsurile de securitate graduale, care pot fi activate în funcţie de diferitele niveluri de risc şi ameninţare, precum şi măsurile în domeniul securităţii sistemelor de informaţii.