HOTĂRÂRE nr. 976 din 12 noiembrie 2020

(3)lit. a) din Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, cu modificările și completările ulterioare, Guvernul României adoptă prezenta hotărâre. Articolul 1 Se aprobă valorile de prag pentru stabilirea efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale, prin valorile de prag corespunzătoare criteriilor intersectoriale, prevăzute în anexa nr. 1, și criteriile sectoriale specifice și valorile de prag corespunzătoare fiecărui sector și subsector de activitate, prevăzute în anexa nr.

1. Articolul 2 Anexele nr. 1 și 2 fac parte integrantă din prezenta hotărâre. PRIM-MINISTRU LUDOVIC ORBAN Contrasemnează: Secretarul general al Guvernului, Antonel Tănase Directorul general al Centrului Național de Răspuns la Incidente de Securitate, Dan Cîmpean București, 12 noiembrie
2. Nr.
3. Anexa nr. 1 Valorile de prag corespunzătoare criteriilor intersectorialeSectoare/Subsectoare: 7/12Cod criterii intersectoriale: CI(1-6) CICriterii intersectoriale (CI)Indicatori metrici (I)Valori de prag (P)12Numărul de utilizatori care se bazează pe serviciul furnizatDependența altor sectoare prevăzute în anexa la Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, cu modificările și completările ulterioare, de serviciul furnizat de entitatea în cauzăNumăr de utilizatori/beneficiari50.000Număr de contracte încheiate22.600Număr de sectoare/subsectoare afectate2Număr de operatori de servicii esențiale afectați334Impactul pe care l-ar putea avea incidentele, în ceea ce privește intensitatea și durata, asupra activităților economice și societale sau asupra siguranței publiceCota de piață a entității în cauzăDurata incidentului1 orăIntensitatea incidentului1 GbpsProcente cotă de piață (CAEN)5% 56Distribuția geografică în ceea ce privește zona care ar putea fi afectată de un incidentImportanța entității pentru menținerea unui nivel suficient al serviciului, ținând cont de disponibilitatea unor mijloace alternative pentru furnizarea serviciului respectivZona geografică afectată1 județ/sectorNumăr de unități administrativ-teritoriale (UAT) afectate3 UAT (din care cel puțin un municipiu/oraș) sau 5 UAT (care nu sunt municipii/orașe)Număr de țări afectate2 state/țăriMijloc alternativ pentru furnizarea serviciului1 Articolul 1

(1)Valorile de prag corespunzătoare criteriilor intersectoriale reprezintă valoarea minimă de la care are loc aplicarea Legii nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, cu modificările și completările ulterioare, denumită în continuare Legea NIS, respectiv valoarea care odată atinsă duce la identificarea operatorului de servicii esențiale. Valoarea de prag este utilizată în procesul de identificare și înscriere a operatorilor de servicii esențiale în Registrul operatorilor de servicii esențiale.

(2)Valoarea de prag reprezintă un nivel minim de impact de la care intensitatea unui incident cibernetic afectează activitățile societale și/sau economice, precum și viața și siguranța cetățeanului, indiferent de sectorul/subsectorul de activitate al operatorului de servicii esențiale.

(3)În cazul în care sunt identificați mai mulți indicatori metrici pentru un criteriu intersectorial se analizează oricare dintre aceștia, iar la alegerea valorii de prag se selectează valoarea corespunzătoare indicatorului selecționat. Articolul 2

(1)Criteriile intersectoriale și valorile de prag sunt utilizate în procesul de identificare a operatorilor de servicii esențiale pentru stabilirea efectului de perturbare a serviciului în cazul producerii unui incident.

(2)Procesul de identificare a operatorilor de servicii esențiale este una dintre componentele principale ale asigurării unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, iar procedura este stabilită și gestionată de Centrul Național de Răspuns la Incidente de Securitate Cibernetică - CERT-RO, în calitate de autoritate competentă la nivel național pentru securitatea rețelelor și a sistemelor informatice, care asigură furnizarea serviciilor esențiale ori furnizează serviciile digitale. Anexa nr. 2 Criteriile sectoriale specifice și valorile de prag corespunzătoare fiecărui sector și subsector de activitate Sector: energie Subsector: electricitate Cod sectorial/subsectorial: A Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Operatori economici din domeniul energiei electrice, astfel cum sunt definiți la art. 3 pct. 42 din Legea energiei electrice și a gazelor naturale nr. 123/2012, cu modificările și completările ulterioareProducerea energiei electrice (indiferent de tehnologia utilizată) utilizând rețele și sisteme informatice cu impact direct sau indirect asupra disponibilității serviciului esențialA11Criterii specifice serviciului furnizatPuterea instalată (Pi)[indiferent de combustibilul utilizat]20MWFurnizarea de energie electrică către consumatori (vânzarea de energie electrică către consumatorii finali, revânzarea de energie electrică către furnizori, exploatarea schimbului de energie electrică)A12Numărul de beneficiari ai serviciului furnizatNumăr de utilizatori/beneficiari10.000Operarea piețelor centralizate de energie electricăA13Fără excepțieOperatori de transport și de sistem, astfel cum sunt definiți la art. 3 pct. 40 din Legea nr. 123/2012, cu modificările și completările ulterioareTransportul energiei electrice (managementul rețelei de transport, măsurarea energiei electrice)A21Fără excepțieOperarea sistemului electroenergetic (funcționarea în siguranță a sistemului electroenergetic național, echilibrarea balanței producție-consum, gestionarea interconexiunilor de rețea)A22Fără excepțieOperatori de distribuție, astfel cum sunt definiți la art. 3 pct. 39 din Legea nr. 123/2012, cu modificările și completările ulterioareDistribuția energiei electrice (managementul rețelei de distribuție, gestionarea conexiunilor de consum, controlul contoarelor de consum, măsurarea energiei electrice)A31Profilul furnizorului de serviciiOperatori de distribuție energie electrică concesionariFără excepție Sector: energie Subsector: petrol Cod sectorial/subsectorial: B Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Operatori de conducte de transport al petroluluiOperarea conductelor de petrol (gestionarea și supravegherea conductelor) utilizând rețele și sisteme informatice operate direct sau indirectB11Fără excepțieOperatori ai instalațiilor de producție, de rafinare și de tratare a petrolului, de depozitare și de transportProducția de petrol (managementul instalațiilor de producție)B21Fără excepțieRafinarea și tratarea petrolului (managementul rafinăriilor)B22Fără excepțieDepozitarea petrolului (managementul instalațiilor de depozitare a petrolului)B23Fără excepțieTransportul petrolului (planificarea transportului, operarea unei flote de nave, camioane etc.)B24Fără excepție Sector: energie Subsector: gaze naturale Cod sectorial/subsectorial: C Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Operatori economici din sectorul gazelor naturale, astfel cum sunt definiți la art. 100 pct. 67 din Legea nr. 123/2012, cu modificările și completările ulterioareProducția de gaze naturale (indiferent de tehnologia utilizată) utilizând rețele și sisteme informatice cu impact direct sau indirect asupra disponibilității serviciului esențialC11Fără excepțieOperarea piețelor centralizate de gaze naturaleC12Fără excepțieOperatori de transport și de sistem, astfel cum sunt definiți la art. 100 pct. 65 din Legea nr. 123/2012, cu modificările și completările ulterioareTransportul gazelor (managementul rețelei de transport; exploatarea; întreținerea; dezvoltarea sistemului de transport; interconectări cu alte sisteme; asigurarea capacității pe termen lung a sistemului; asigurarea serviciului de aprovizionare cu gaze naturale în condiții de continuitate și siguranță a rețelei de transport)C21Fără excepțieOperatori de distribuție, astfel cum sunt definiți la art. 100 pct. 63 din Legea nr. 123/2012, cu modificările și completările ulterioareDistribuția gazelor (managementul rețelei de distribuție, gestionarea conexiunilor de consum, controlul contoarelor de consum)C31Fără excepțieOperatori de înmagazinare, astfel cum sunt definiți la art. 100 pct. 64 din Legea nr. 123/2012, cu modificările și completările ulterioareDepozitarea gazelor (managementul instalațiilor de depozitare a gazelor)C41Fără excepțieOperatori ai terminalelor GNL, astfel cum sunt definiți la art. 100 pct. 60 din Legea nr. 123/2012, cu modificările și completările ulterioareLichefierea gazelor (managementul instalațiilor de lichefiere)C51Fără excepțieDescărcarea și regazificarea gazelor (managementul instalațiilor de descărcare; managementul instalațiilor de regazificare)C52Fără excepțieFurnizori persoane fizice sau juridice, astfel cum sunt definiți la art. 100 pct. 44 din Legea nr. 123/2012, cu modificările și completările ulterioareFurnizarea de gaze către consumatori (vânzarea de gaze la consumatorii finali, revânzarea de gaze la furnizori, funcționarea schimbului de gaze)C61Fără excepțieOperatori de instalație de rafinare și de tratare a gazelor naturaleRafinarea gazelor naturale (managementul instalațiilor de rafinare)C71Fără excepțieTratarea gazelor naturale (managementul instalațiilor de tratare)C72Fără excepție Sector: transport Subsector: transport aerian Cod sectorial/subsectorial: D Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Operatori de control al gestionării traficului care prestează servicii de control al traficului aerian (ATC), astfel cum sunt definite la art. 2 pct. 1 din Regulamentul (CE) nr. 549/2004 al Parlamentului European și al Consiliului din 10 martie 2004 de stabilire a cadrului pentru crearea cerului unic European (regulament-cadru)Servicii de control al traficului aerian, comunicații aeronautice, navigație și supraveghereD11Fără excepțieTransportatori aerieni, astfel cum sunt definiți la art. 3 pct. 4 din Regulamentul (CE) nr. 300/2008al Parlamentului European și al Consiliului din 11 martie 2008 privind norme comune în domeniul securității aviației civile și de abrogare a Regulamentului (CE) nr. 2.320/2002Transportul de călătoriD21Numărul de beneficiari ai serviciului furnizatVolumul de pasageri transportați (din totalul la nivel național)5%Transportul de marfăD22Numărul de beneficiari ai serviciului furnizatVolumul de mărfuri transportate (din totalul la nivel național)5%Organe de administrare a aeroportului, astfel cum sunt definite la art. 4 din Hotărârea Guvernului nr. 455/2011 privind tarifele de aeroport, inclusiv aeroporturile principale enumerate în secțiunea 2 din anexa II la Regulamentul (UE) nr. 1.315/2013 al Parlamentului European și al Administrarea infrastructurii aeroportuareD31Profilul furnizorului de serviciiAeroporturile centrale și globale din România [Secțiunea 2 din anexa II la Regulamentul (UE) nr. 1.315/2013]Fără excepțieProcesare și transport încărcătură comercială aeronaveD32Profilul furnizorului de serviciiAeroporturile centrale și globale din RomâniaFără excepțieExploatarea instalațiilor de siguranță și securitate aeroportuarăD33Profilul furnizorului de serviciiAeroporturile centrale și globale din RomâniaFără excepție Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Consiliului din 11 decembrie 2013 privind orientările Uniunii pentru dezvoltarea rețelei transeuropene de transport și de abrogare a Deciziei nr. 661/2010/UE, precum și entități care operează instalații auxiliare în cadrul aeroporturilorOperatori mentenanță aeronaveÎntreținere și reparații aeronaveD41Fără excepțieAgenții aeronautici civiliRaportare evenimente care pot reprezenta un risc semnificativ pentru siguranța aviațieiD51Fără excepție Sector: transport Subsector: transport feroviar Cod sectorial/subsectorial: E Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Administratori de infrastructuri, astfel cum sunt definiți la art. 3 pct. 3 din Legea nr. 202/2016 privind integrarea sistemului feroviar din România în spațiul feroviar unic european, cu modificările și completările ulterioareControlul și gestionarea traficului feroviar (supravegherea și reglementarea traficului; semnalizarea; planificarea traficului; gestionarea traseului trenurilor)E11Fără excepțieÎntreprinderi feroviare, astfel cum sunt definite la art. 3 pct. 3 din Legea nr. 202/2016 privind integrarea sistemului feroviar din România în spațiul feroviar unic european, cu modificările și completările ulterioareTransportul de mărfuri și materiale periculoase (exploatarea materialului rulant)E21Numărul de beneficiari ai serviciului furnizatVolumul de mărfuria) 500 mii tone/an

1. b)1 mil. TEU/anTransportul de călători (exploatarea materialului rulant; informarea și recepția pasagerilor; gestionarea fluxurilor de călători)E22Fără excepțieTransportul de călători cu metroul, tramvaiul, metroul ușorE23Fără excepțieÎntreținerea infrastructurii feroviareE24Fără excepțieÎntreținerea materialului rulant (locomotive, vagoane etc.)E25Fără excepție Sector: transport Subsector: transport pe apă Cod sectorial/subsectorial: F Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Companii de transport de mărfuri și pasageri pe ape interioare, maritime și de coastă, astfel cum sunt definite pentru transportul maritim în anexa I la Regulamentul (CE) nr. 725/2004 al Parlamentului European și al Consiliului din 31 martie 2004 privind consolidarea securității navelor și a instalațiilor portuare, fără a include navele individuale operate de companiile respectiveTransportul de pasageri (informarea și recepția pasagerilor; îmbarcarea, debarcarea și gestionarea fluxurilor de călători)F11Fără excepțieTransportul de mărfuriF12Numărul de beneficiari ai serviciului furnizatVolumul de mărfuria) 500 mii tone/an
2. b)1 mil. TEU/anTransportul de mărfuri periculoase (rezervare; înregistrare și expediere mărfuri; planificarea rutelor)F13Fără excepțieOrgane de gestionare a porturilor, astfel cum sunt definite la art. 3 din Ordinul ministrului transporturilor nr. 290/2007 pentru introducerea măsurilor de întărire a securității portuare, inclusiv instalațiile portuare ale acestora, astfel cum sunt definite la art. 2 pct. 11 din Regulamentul (CE) nr. 725/2004, și entitățile care operează lucrări și echipamente în cadrul porturilorTraficul naval portuar (pilotare; remorcare; ancorare; realimentare; salvare; depoluare)F21Fără excepțieAsigurarea securității portuareF22Fără excepțieAdministrarea și exploatarea infrastructurii portuareF23Fără excepțieServicii de marfă (încărcare; descărcare; depozitare; pază și gestionarea containerelor)F24Numărul de beneficiari ai serviciului furnizatVolumul de mărfuria) 500 mii tone / an sau
3. b)1 mil. TEU/anIntervenție în cazuri de urgență (incendiu; poluare; căutare și salvare)F25Fără excepțieOperatori de servicii de trafic naval, astfel cum sunt definiți la art. 3 din Hotărârea Guvernului nr. 1.016/2010 pentru stabilirea Sistemului de informare și monitorizare a traficului navelor maritime care intră/ies în/din apele naționale navigabile ale României, cu modificările și completările ulterioareServiciul de management al traficului maritim și/sau fluvialF31Fără excepție Sector: transport Subsector: transport rutier Cod sectorial/subsectorial: G Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Autorități rutiere, astfel cum sunt definite la art. 2pct. 12 din Regulamentul delegat (UE) 2015/962 al Comisiei din 18 decembrie 2014 de completare a Directivei 2010/40/UEa Parlamentului European și a Consiliului în ceea ce privește prestarea la nivelul UE a unor servicii de informare în timp real cu privire la trafic, responsabile pentru controlul gestionării traficuluiGestionarea drumurilor naționale (întreținere; semnalizare; gestionarea infrastructurii; controlul traficului și reglementare)G11Fără excepțieOperarea și gestionarea infrastructurii rutiereG12Fără excepțieOperatori de sisteme de transport inteligente, astfel cum sunt definiți la art. 4 din Ordonanța Guvernului nr. 7/2012 privind implementarea sistemelor de transport inteligente în domeniul transportului rutier și pentru realizarea interfețelor cu alte moduri de transport, aprobată prin Legea nr. 221/2012Controlul traficului rutierG21Fără excepțieGestionarea fluxului de pasageri/călători (inclusiv informații despre aceștia)G22Fără excepțieGestionarea serviciilor de transport sanitar, asistat/neasistatG23Fără excepțieGestionarea transportului de mărfuriG24Criterii specifice serviciului furnizatDistanța totală efectuată de flota auto500 mii km/anGestionarea transportului de mărfuri periculoaseG25Fără excepție Sector: Bancar Subsector: - Cod sectorial/subsectorial: H Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Instituții de credit, astfel cum sunt definite la art. 4 pct. 1 din Regulamentul (UE) nr. 575/2013 al Parlamentului European și al Consiliului din 26 iunie 2013 privind cerințele prudențiale pentru instituțiile de credit și societățile de investiții și de modificare a Regulamentului (UE) nr. 648/2012Administrarea conturilor, inclusiv a celor legate de activitatea de atragere de depozite și de acordare de crediteH11Fără excepțieServicii de platăH12Fără excepțieServicii de investițiiH13Fără excepție Sector: infrastructuri ale pieței financiare Subsector: - Cod sectorial/subsectorial: I Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Operatori de locuri de tranzacționare, astfel cum sunt definite la art. 4 pct. 24 din Directiva 2014/65/UEa Parlamentului European și a Consiliului din 15 mai 2014 privind piețele instrumentelor financiare și de modificare a Directivei 2002/92/CEși a Directivei 2011/61/UEExploatarea platformelor de tranzacționare pentru instrumentele financiareI11Fără excepțieTitluri valori mobiliare emiseI12Fără excepțieContrapartide centrale, astfel cum sunt definite la art. 2 pct. 1 din Regulamentul (UE) nr. 648/2012al Parlamentului European și al Consiliului din 4 iulie 2012 privind instrumentele financiare derivate extrabursiere, contrapărțile centrale și registrele centrale de tranzacțiiServiciul central de compensare/decontare pentru tranzacțiile de pe piața financiarăI21Fără excepție Sector: sănătate Subsector: instituții de asistență medicală (inclusiv spitale și clinici private) Cod sectorial/subsectorial: J Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Furnizori de servicii medicale, astfel cum sunt definiți în Hotărârea Guvernului nr. 304/2014 pentru aprobarea Normelor metodologice privind asistența medicală transfrontalieră, cu modificările ulterioareServicii medicale de prevenție, diagnostic, tratament și/sau îngrijiri de sănătateJ11Fără excepțieDepozitare și/sau distribuire de medicamenteJ12Fără excepțieProducția de medicamente J13Fără excepțieLaboratoare de analize și diagnosticJ14Fără excepțieServicii de spitalizare (inclusiv ambulatoriu)J15Fără excepțieServicii de primiri urgențeJ16Fără excepțieFurnizare dispozitive medicale cu impact asupra viețiiJ17Fără excepțieServicii publice de acordare a asistenței medicale de urgențăJ18Fără excepțieAdministrarea sistemului național de asigurări sociale de sănătate și a datelor specifice furnizorilor de servicii medicaleJ19Fără excepție Sector: furnizare și distribuire de apă potabilă Subsector: - Cod sectorial/subsectorial: K Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)Furnizori și distribuitori de apă destinată consumului uman, astfel cum sunt definiți la art. 2din Legea nr. 458/2002 privind calitatea apei potabile, republicată, cu modificările și completările ulterioare, excluzând distribuitorii pentru care distribuția de apă destinată consumului uman reprezintă doar o parte din activitatea lor generală de distribuire a altor produse de bază și produse care nu sunt considerate servicii esențialeManagementul bazinului hidrografic K11Criterii specifice serviciului furnizatVolumul de apă al bazinului hidrografic1 mil. mc/anCaptarea apei bruteK12Fără excepțieTratarea apei bruteK13Fără excepțieTransportul și distribuția apei potabileK14Numărul de beneficiari ai serviciului furnizatConsumatori finali5.000Colectarea și tratarea apei uzateK15Fără excepțieFurnizarea de apă potabilă îmbuteliată (preluare, îmbuteliere, logistică și controlul calității apei)K16Criterii specifice serviciului furnizatVolumul de recipiente îmbuteliate1 mil. recipiente/an Sector: infrastructură digitală Subsector: - Cod sectorial/subsectorial: L Tipul de entitate (T)Servicii esențiale (SE)CSECriterii sectoriale (CS)Indicatori metrici (I)Valori de prag (P)IXPServicii de colaborare pentru schimbul de trafic internetL11Fără excepțieDNSOperațiuni rezolvări recursive server DNSL21Fără excepțieOperațiuni autorizare server DNSL22Fără excepțieOperațiuni primare server DNSL23Fără excepțieTLDGestionare registre nume de domenii (.ro)L31Fără excepțieÎnregistrare nume domenii de nivel superior (TLD)L32Fără excepțieAlocare nume domenii de nivel superior (.ro)L33Fără excepțieServicii de găzduire TLD (.ro)L34Fără excepție Articolul 1

(1)Valoarea de prag reprezintă o valoare minimă utilizată în procesul de stabilire a efectului perturbator semnificativ al incidentelor la nivelul rețelelor și sistemelor informatice ale operatorilor de servicii esențiale [art. 6 alin. 1 lit. c) din Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, cu modificările și completările ulterioare, denumită în continuare Legea NIS].

(2)Valoarea de prag este un nivel minim de impact de la care intensitatea unui incident cibernetic afectează activitățile societale și/sau economice, precum și viața și/sau siguranța cetățeanului.

(3)Pentru fiecare serviciu esențial identificat în Lista serviciilor esențiale care îndeplinesc condițiile prevăzute la art. 6 alin.

(1)din Legea NIS, elaborată de Centrul Național de Răspuns la Incidente de Securitate Cibernetică - CERT-RO în calitate de autoritate competentă la nivel național și aprobată prin hotărâre a Guvernului, corespunde unul sau mai multe criterii sectoriale.

(4)Criteriul sectorial reprezintă un criteriu/mod de identificare a unui parametru care odată afectat duce la afectarea furnizării serviciului esențial.

(5)Indicativul metric reprezintă un indicator de comparație corespunzător unui criteriu sectorial, căruia i se atribuite o valoare de prag unică și care se utilizează în procesul de autoidentificare a operatorilor de servicii esențiale. Articolul 2

(1)Valorile de prag corespunzătoare criteriilor sectoriale reprezintă valoarea minimă de la care are loc aplicarea Legii NIS, respectiv valoarea care odată atinsă duce la identificarea operatorului de servicii esențiale. Valoarea de prag este utilizată în procesul de identificare și înscriere a operatorilor de servicii esențiale în Registrul operatorilor de servicii esențiale.

(2)Dacă pentru indicatorul metric corespunzător unui criteriu sectorial este identificată o valoare de prag „Fără excepție“, atunci toți operatorii economici care furnizează serviciul esențial corespunzător sunt operatori de servicii esențiale. -----