Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația de a transmite ANCOM o notificare privind existența unui incident de securitate care are un impact semnificativ.

Incidentul de securitate care are un impact semnificativ se definește ca acel incident care atinge cel puțin unul dintre următoarele praguri cantitative sau calitative:

a) praguri cantitative:

(i) disponibilitate – afectarea, din perspectiva disponibilității rețelelor publice de comunicații electronice, a serviciilor de comunicații electronice destinate publicului, inclusiv a datelor stocate, transmise ori prelucrate sau a serviciilor aferente oferite de rețelele ori serviciile de comunicații electronice respective sau accesibile prin intermediul acestora, în cazul a 5.000 de utilizatori, timp de cel puțin 60 de minute sau în cazul în care se depășește pragul de 500.000 de „ore-utilizator”;

(ii) autenticitate, integritate sau confidențialitate - sunt afectați cel puțin 5.000 de utilizatori, indiferent de durata incidentului.

b) praguri calitative:

(i) incidente care afectează, direct sau indirect, pe o perioadă de cel puțin 15 minute, rutarea comunicațiilor de urgență către Serviciul de urgență 112;

(ii) incidente cu impact transfrontalier;

(iii) incidente care afectează securitatea rețelelor și serviciilor altui furnizor de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului și îi cauzează acestuia un incident care are un impact semnificativ, în măsura în care această situație era cunoscută.

Notificarea inițială

Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația de a transmite ANCOM o notificare inițială, până cel târziu la ora 13.00 a zilei lucrătoare următoare celei în care a fost detectat incidentul de securitate care are un impact semnificativ, cu excepția incidentelor care afectează mai mult de 100.000 utilizatori, care vor fi notificate până cel târziu la ora 13.00 a zilei calendaristice următoare celei în care a fost detectat incidentul.

Notificarea inițială se transmite ca înscris în formă electronică la adresa de poștă electronică incidente@ancom.ro şi va cuprinde o serie de elemente referitoare la incidentele care au un impact semnificativ. Elementele pe care trebuie să le cuprindă notificarea inițială sunt detaliate în art. 5, alin (3) din Decizia președintelui ANCOM nr. 70/2024.

Notificarea inițială se transmite de către una dintre persoanele responsabile prevăzute la art. 7 din Decizie, iar, în cazul furnizorilor care au sub 5.000 de utilizatori, aceasta se va realiza de către reprezentantul legal sau de către un împuternicit al acestuia, care transmite în același timp și dovada calității de împuternicit al furnizorului.

Notificarea finală

Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația de a transmite ANCOM o notificare finală privind existența unui incident de securitate care are un impact semnificativ, în termen de două săptămâni de la detectarea acestuia, completând informațiile aferente prin aplicația informatică prevăzută de dispozițiile art. 5 alin. (1) din Decizia președintelui Autorității Naționale pentru Administrare și Reglementare în Comunicații nr. 336/2013 privind mijloacele şi modalitatea de transmitere de către furnizori a unor documente, date sau informații către Autoritatea Națională pentru Administrare şi Reglementare în Comunicaţii, cu modificările și completările ulterioare, prevederile acesteia fiind aplicabile în mod corespunzător.

Câmpurile din aplicația informatică au la bază formularul-tip de raportare prevăzut în anexa nr. 2, iar completarea se face cu respectarea instrucțiunilor specificate în anexa nr. 3.

În situația în care un incident a fost finalizat și se cunosc toate informațiile cu privire la incident până la ora transmiterii notificării inițiale, furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului pot raporta incidentul direct în aplicația informatică, completând informațiile aferente unei notificări finale.  

În cazul în care, la momentul transmiterii notificării finale, furnizorii nu au disponibile toate informațiile prevăzute de câmpurile din aplicația informatică, aceștia au obligația de a transmite o notificare suplimentară cu informațiile respective, completând câmpurile lipsă, imediat ce informațiile sunt disponibile, dar nu mai târziu de 4 săptămâni de la detectarea incidentului de securitate care are un impact semnificativ.