Закон № 58 от 21.03.2024

ПАРЛАМЕНТ РЕСПУБЛИКИ МОЛДОВА

ЗАКОН

о внесении изменений в некоторые нормативные акты

№ 58  от  21.03.2024

 (в силу 01.01.2025, за исключением ст.XVII - 12.04.2024) 

Мониторул Офичиал ал Р. Молдова № 148-150 ст. 215 от 12.04.2024

* * *

Парламент принимает настоящий органический закон.

Ст.I. – В Закон о фармацевтической деятельности № 1456/1993 (повторное опубликование: Официальный монитор Республики Молдова, 2005 г., № 59–61, ст.200), с последующими изменениями, внести следующие изменения:

1. Статью 3 дополнить частью (5) следующего содержания:

"(5) Фармацевтические предприятия и учреждения, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.".

2. Статью 9 дополнить частью (3) следующего содержания:

"(3) Лица, проводящие исследования с целью создания новых лекарственных средств, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.".

3. Статью 16 дополнить частью (5) следующего содержания:

"(5) Государственный надзор и контроль за соблюдением фармацевтическими предприятиями и учреждениями обязанностей, указанных в части (5) статьи 3 настоящего закона, а также за соблюдением лицами, проводящими исследования с целью создания новых лекарств, обязанностей, указанных в части (3) статьи 9 настоящего закона, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.II. – Статью 4 Закона об охране здоровья № 411/1995 (Официальный монитор Республики Молдова, 1995 г., № 34, ст.373), с последующими изменениями, дополнить частями (8) и (9) следующего содержания:

"(8) Поставщики медицинских услуг, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных Законом о кибербезопасности № 48/2023.

(9) Государственный надзор и контроль за соблюдением поставщиками медицинских услуг обязанностей, указанных в части (8) настоящей статьи, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.III. – Кодекс торгового мореплавания Республики Молдова, утвержденный Законом № 599/1999 (Официальный монитор Республики Молдова, 2001 г., № 1–4, ст.2), с последующими изменениями, дополнить статьей 9¹ следующего содержания:

"Статья 9¹. Обеспечение кибербезопасности в торговом мореплавании

(1) Юридические лица, занимающиеся торговым мореплаванием для перевозки грузов и/или пассажиров, портовые инспекции государственного надзора, морская администрация портов, предприятия и экономические единицы, указанные в части (2) статьи 80 настоящего кодекса, а также юридические лица, осуществляющие услуги по морским перевозкам, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.

(2) Государственный надзор и контроль за соблюдением обязанностей, указанных в части (1) настоящей статьи, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.IV. – В Закон об информатизации и государственных информационных ресурсах № 467/2003 (Официальный монитор Республики Молдова, 2004 г., № 6–12, ст.44), с последующими изменениями, внести следующие изменения:

1. В статье 3 понятие "кибербезопасность" изложить в следующей редакции:

"кибербезопасность – согласно определению, данному в статье 2 Закона о кибербезопасности № 48/2023;".

2. Часть (1) статьи 10 изложить в следующей редакции:

"(1) В целях обеспечения безопасности государственных информационных систем и ресурсов органы публичной власти, публичные учреждения и другие государственные организации несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных Законом о кибербезопасности № 48/2023.".

3. Пункт e) статьи 22 изложить в следующей редакции:

"e) утверждает правила и порядок размещения государственных информационных систем и ресурсов в дата-центрах, расположенных на территории Республики Молдова или на территории государств–членов Европейского Союза.".

Ст.V. – В Закон об электронных коммуникациях № 241/2007 (повторное опубликование: Официальный монитор Республики Молдова, 2017 г., № 399–410, ст.679), с последующими изменениями, внести следующие изменения:

1. Статью 21 изложить в следующей редакции:

"Ст.21. – (1) В целях обеспечения безопасности и целостности сетей электронных коммуникаций общего пользования и общедоступных услуг электронных коммуникаций поставщики сетей электронных коммуникаций общего пользования и/или общедоступных услуг электронных коммуникаций несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных Законом о кибербезопасности № 48/2023.

(2) Государственный надзор и контроль за соблюдением обязанностей, указанных в части (1) настоящей статьи, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.

(3) При осуществлении государственного надзора и контроля за соблюдением положений Закона о кибербезопасности № 48/2023 компетентный орган на национальном уровне в области кибербезопасности, назначенный на основании соответствующего закона, в пятидневный срок информирует Агентство об установленных нарушениях и по обстоятельствам о примененных санкциях.".

2. Статью 22 признать утратившей силу.

Ст.VI. – Раздел "1. Перечень контролирующих органов и областей их контроля" приложения к Закону о государственном контроле предпринимательской деятельности № 131/2012 (Официальный монитор Республики Молдова, 2012 г., № 181–184, ст.595), с последующими изменениями, дополнить позицией 13¹ следующего содержания:

Ст.VII. – В Закон о рынке капитала № 171/2012 (Официальный монитор Республики Молдова, 2012 г., № 193–197, ст.665), с последующими изменениями, внести следующие изменения:

1. Статью 41 дополнить частями (9) и (10) следующего содержания:

"(9) Инвестиционные общества, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.

(10) Государственный надзор и контроль за соблюдением инвестиционными обществами обязанностей, указанных в части (9) настоящей статьи, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом № 48/2023 о кибербезопасности.".

2. Статью 62 дополнить частями (4) и (5) следующего содержания:

"(4) Операторы рынка, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.

(5) Государственный надзор и контроль за соблюдением операторами рынка обязанностей, указанных в части (4) настоящей статьи, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.VIII. – Закон о внутреннем водном транспорте Республики Молдова № 176/2013 (Официальный монитор Республики Молдова, 2013 г., № 238–242, ст.672), с последующими изменениями, дополнить статьей 37¹ следующего содержания:

"Статья 37¹. Обеспечение кибербезопасности

(1) Юридические лица, оказывающие услуги по перевозке грузов и/или пассажиров и багажа в сфере внутреннего водного транспорта Республики Молдова, и государственные портовые администрации внутреннего водного транспорта, определенные в качестве поставщиков услуг в соответствии с Законом № 48/2023 о кибербезопасности, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.

(2) Государственный надзор и контроль за соблюдением обязанностей, указанных в части (1) настоящей статьи, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.IX. – В Закон о публичной услуге водоснабжения и канализации № 303/2013 (Официальный монитор Республики Молдова, 2014 г., № 60–65, ст.123), с последующими изменениями, внести следующие изменения:

1. Статью 9 дополнить пунктом e) следующего содержания:

"e) компетентным органом на национальном уровне в области кибербезопасности в пределах, установленных Законом о кибербезопасности № 48/2023 и нормативными актами о введении в действие соответствующего закона.".

2. Статью 9¹ дополнить частью (4) следующего содержания:

"(4) Государственный надзор и контроль за соблюдением операторами обязанностей, указанных в части (3¹) статьи 15 настоящего закона, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

3. Статью 15 дополнить частью (3¹) следующего содержания:

"(3¹) Операторы, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.".

Ст.X. – Статью 14 Закона о почтовой связи № 36/2016 (Официальный монитор Республики Молдова, 2016 г., № 114–122, ст.225), с последующими изменениями, дополнить частью (7²) следующего содержания:

"(7²) Поставщики почтовых услуг, определенные в качестве поставщиков услуг в соответствии с положениями Закона о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом. Государственный надзор и контроль за соблюдением обязанностей, указанных в настоящей части, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.XI. – В Закон об отходах № 209/2016 (Официальный монитор Республики Молдова, 2016 г., № 459–471, ст.916), с последующими изменениями, внести следующие изменения:

1. Статью 18 дополнить частью (6) следующего содержания:

"(6) Юридические лица, осуществляющие деятельность по управлению отходами, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.".

2. Статью 31 дополнить частью (5) следующего содержания:

"(5) Государственный надзор и контроль за соблюдением юридическими лицами, осуществляющими деятельность по управлению отходами, обязанностей, указанных в части (6) статьи 18 настоящего закона, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.XII. – Статью 16 Закона о медицинских изделиях № 102/2017 (Официальный монитор Республики Молдова, 2017 г., № 244–251, ст.389), с последующими изменениями, дополнить частями (1¹) и (1²) следующего содержания:

"(1¹) Производители медицинских изделий, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.

(1²) Государственный надзор и контроль за соблюдением производителями медицинских изделий обязанностей, указанных в части (1¹) настоящей статьи, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.XIII. – В Закон о предупреждении и борьбе с терроризмом № 120/2017 (Официальный монитор Республики Молдова, 2017 г., № 364–370, ст.614), с последующими изменениями, внести следующие изменения:

1. Статью 3 после понятия "захват заложников" дополнить понятиями "объект критической инфраструктуры" и "оператор" следующего содержания:

"объект критической инфраструктуры – жизненно важный объект, относящийся к сфере публичного управления, информационных технологий и электронных коммуникаций, почтовой связи, инфраструктуры, равно как и к энергетике, к социально-экономической сфере, здравоохранению, культурно-образовательной, промышленной и экологической сфере, а также к информационной системе страны в целом, к инфраструктуре военно-оборонного комплекса или органов национальной обороны, государственной безопасности или поддержания общественного порядка, выведение из строя или уничтожение которого может привести к серьезным негативным последствиям для безопасности, защищенности, социального и экономического благосостояния государства, к перебоям в поставках определенных первостепенных услуг, поставить под угрозу жизнь и здоровье людей и/или оказать негативное воздействие на окружающую среду;

оператор – министерство, другой орган публичной власти или публичное учреждение, юридическое лицо, независимо от вида собственности и организационно-правовой формы, в управлении которого находятся объекты, включенные в Национальный перечень объектов критической инфраструктуры;".

2. Статью 20 дополнить частями (2¹) и (2²) следующего содержания:

"(2¹) Государственный надзор и контроль за соблюдением операторами обязанностей по обеспечению кибербезопасности, предусмотренных Законом о кибербезопасности № 48/2023 и нормативными актами о введении в действие соответствующего закона, осуществляются компетентным органом на национальном уровне в области кибербезопасности согласно соответствующему закону.

(2²) Компетентный орган, указанный в части (2¹), в пятидневный срок информирует Антитеррористический центр о нарушениях законодательства, установленных в ходе осуществления контроля операторов на предмет соблюдения ими обязанностей по обеспечению кибербезопасности, установленных нормативными актами, указанными в части (2¹).".

Ст.XIV. – В статью 21 Закона об энергетике № 174/2017 (повторное опубликование: Официальный монитор Республики Молдова, 2023 г., № 480–482, ст.849), с последующими изменениями, внести следующие изменения:

в части (4) слова "в соответствии с настоящим законом и секторальными законами," заменить словами "в соответствии с настоящим законом, секторальными и иными законами,";

дополнить статью частями (7¹) и (7²) следующего содержания:

"(7¹) Энергетические предприятия, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.

(7²) Государственный надзор и контроль за соблюдением обязанностей, указанных в части (7¹) настоящей статьи, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.XV. – Закон о деятельности банков № 202/2017 (Официальный монитор Республики Молдова, 2017 г., № 434–439, ст.727), с последующими изменениями, дополнить статьей 38² следующего содержания:

"Статья 38². Управление рисками, связанными с информационно-коммуникационными технологиями, информационной безопасностью и непрерывностью деятельности

(1) Каждый банк должен располагать персоналом, системами и услугами, эффективными в области информационно-коммуникационных технологий (далее – ИКТ), способными обеспечить осуществление его деятельности пропорционально характеру, масштабу и сложности рисков, присущих бизнес-модели и осуществляемой деятельности банка. С этой целью банк устанавливает компетенции и ответственность, утверждает и вводит в действие стратегию ИКТ и информационной безопасности, а также планы действий для достижения целей соответствующей стратегии.

(2) Банк должен учредить систему управления непрерывностью деятельности, способную обеспечить потенциал непрерывной работы с гарантией защиты всей информации, в том числе для ограничения потерь данных в случае серьезных перебоев в деятельности. С этой целью банк определяет риски, связанные с непрерывностью деятельности, которым он подвержен, а также утверждает и вводит в действие планы обеспечения непрерывности деятельности.

(3) Банк должен располагать системой управления рисками, связанными с ИКТ, и информационной безопасности, которая включает процессы и процедуры обеспечения идентификации, анализа, оценки, смягчения, мониторинга, отчетности и поддержания рисков в пределах толерантности к риску банка.

(4) Банк должен располагать системой управления информационной безопасностью, которая определяет принципы, нормы и способы защиты конфиденциальности, целостности и доступности данных и информации банка и его клиентов, установив на основе соответствующей системы меры для снижения уровня рисков, связанных с ИКТ, и информационной безопасности, которым он подвержен.

(5) Банк должен установить процессы пересмотра рисков, процессы проверки информационной безопасности и непрерывности деятельности для подтверждения эффективности мер контроля и применимость планов обеспечения непрерывности деятельности.

(6) Национальный банк Молдовы устанавливает в своих нормативных актах конкретные требования по введению в действие положений частей (1)–(5).

Ст.XVI. – Статью 8 Закона об обмене данными и интероперабельности № 142/2018 (Официальный монитор Республики Молдова, 2018 г., № 295–308, ст.452), с последующими изменениями, дополнить частью (4) следующего содержания:

"(4) Выполнение обязанности, установленной частью (3) настоящей статьи, не освобождает участников обмена данными, определенных в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, от выполнения обязанностей по уведомлению, предусмотренных соответствующим законом.".

Ст.XVII. – В Закон о единой системе оплаты труда в бюджетной сфере № 270/2018 (Официальный монитор Республики Молдова, 2018 г., № 441–447, ст.715), с последующими изменениями, внести следующие изменения:

1. Часть (2) статьи 17 дополнить пунктом b²) следующего содержания:

"b²) для персонала компетентного органа на национальном уровне в области кибербезопасности, назначенного на основании Закона о кибербезопасности № 48/2023, – 120 процентов годовой суммы основных заработных плат для персонала, имеющего право на получение специальной надбавки;".

2. Примечания к таблице 2 приложения 3 дополнить пунктом 18 следующего содержания:

"18. Классы оплаты труда для руководящих и исполнительных государственных должностей в составе Управления по реагированию на кибернетические инциденты и кризисы Агентства кибербезопасности повышаются по сравнению с указанными в таблице:

– на 15 последовательных классов – для руководящих государственных должностей "начальник управления" и "заместитель начальника управления";

– на 25 последовательных классов – для исполнительных государственных должностей.".

Ст.XVIII. – В Закон о химических веществах № 277/2018 (Официальный монитор Республики Молдова, 2019 г., № 49–58, ст.109), с последующими изменениями, внести следующие изменения:

1. Статью 11 дополнить частью (5) следующего содержания:

"(5) Государственный надзор и контроль за соблюдением обязанностей, указанных в части (6) статьи 12 настоящего закона, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

2. Статью 12 дополнить частью (6) следующего содержания:

"(6) Поставщик химического вещества или химической смеси, определенный в качестве поставщика услуг в соответствии с Законом о кибербезопасности № 48/2023, несет ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.".

Ст.XIX. – В Закон о безопасности пищевых продуктов № 306/2018 (Официальный монитор Республики Молдова, 2019 г., № 59–65, ст.120), с последующими изменениями, внести следующие изменения:

1. Статью 7 дополнить частью (14) следующего содержания:

"(14) Предприятия продовольственного сектора, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.".

2. Статью 8 дополнить частью (10) следующего содержания:

"(10) Государственный надзор и контроль за соблюдением обязанностей, указанных в части (13¹) статьи 7 настоящего закона, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.XX. – В статью 22 Закона об авиационной безопасности № 192/2019 (Официальный монитор Республики Молдова, 2019 г., № 400–406, ст.356), с последующими изменениями, внести следующие изменения:

часть (1) изложить в следующей редакции:

"(1) Ответственность за обеспечение кибербезопасности в области гражданской авиации несут административный орган по внедрению и реализации политики в области гражданской авиации, компетентный орган на национальном уровне в области кибербезопасности, авиаэксплуатанты и субъекты авиации – в пределах, установленных нормативной базой.";

дополнить статью частями (3) и (4) следующего содержания:

"(3) Авиаэксплуатанты и субъекты авиации, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.

(4) Государственный надзор и контроль за соблюдением обязанностей, указанных в части (3) настоящей статьи, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

Ст.XXI. – В Кодекс железнодорожного транспорта № 19/2022 (Официальный монитор Республики Молдова, 2022 г., № 45–52, ст.57), с последующими изменениями, внести следующие изменения:

1. Статью 26 дополнить частью (5) следующего содержания:

"(5) Государственный надзор и контроль за соблюдением обязанностей, указанных в части (3¹) статьи 89 настоящего закона, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности № 48/2023.".

2. Статью 89 дополнить частью (3¹) следующего содержания:

"(3¹) Администратор инфраструктуры и железнодорожные предприятия, определенные в качестве поставщиков услуг в соответствии с Законом о кибербезопасности № 48/2023, несут ответственность за исполнение обязанностей по обеспечению кибербезопасности, предусмотренных соответствующим законом.".

Ст.XXII. – Статью 39 Закона об электронной идентификации и доверительных услугах № 124/2022 (Официальный монитор Республики Молдова, 2022 г., № 170–176, ст.317), с последующими изменениями, изложить в следующей редакции:

"Статья 39. Обеспечение кибербезопасности поставщиками доверительных услуг

(1) В целях обеспечения безопасности информационных сетей и систем, используемых для предоставления доверительных услуг, поставщики доверительных услуг исполняют обязанности по обеспечению кибербезопасности, предусмотренные Законом о кибербезопасности № 48/3003.

(2) Государственный надзор и контроль за соблюдением обязанностей, указанных в части (1) настоящей статьи, осуществляются компетентным органом на национальном уровне в области кибербезопасности в соответствии с Законом о кибербезопасности и № 48/2023.

(3) При осуществлении государственного надзора и контроля за соблюдением поставщиками доверительных услуг положений Закона о кибербезопасности № 48/2023 компетентный орган на национальном уровне в области кибербезопасности, назначенный на основании соответствующего закона, в пятидневный срок информирует контрольно-надзорный орган об установленных нарушениях и по обстоятельствам о примененных санкциях.".

Ст.XXIII. – Настоящий закон вступает в силу с 1 января 2025 года, за исключением положений статьи XVII, которые вступают в силу со дня опубликования настоящего закона в Официальном мониторе Республики Молдова.