Decizia CCR nr. 70/2023Punctul 11

11. Referitor la dispozițiile art. 21 alin. (1) și ale art. 22 din Legea privind securitatea și apărarea cibernetică a României, precum și pentru modificarea și completarea unor acte normative, se susține că, prin normele anterior menționate, legiuitorul primar completează sfera destinatarilor vizați de Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, precum și sarcinile impuse acestora, creând astfel, un paralelism legislativ, care cuprinde și reglementări contrare, aspect care generează incoerență legislativă. Se arată că Legea nr. 362/2018 stabilește cadrul juridic și instituțional, măsurile și mecanismele necesare în vederea asigurării unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice și a stimulării cooperării în domeniu, fiind o transpunere a Directivei (UE) 2016/1.148 (Directiva NIS 1). În acest context, se apreciază că textele criticate extind obligațiile de raportare a incidentelor cibernetice de la câteva sectoare critice și aproximativ 700 de firme și autorități mici și mari, la, probabil, câteva sute de mii de persoane juridice, aspect care este considerat excesiv de către legislația Uniunii Europene. Se susține că, pentru acest motiv, dispozițiile legale criticate încalcă punctul 53 din Preambulul Directivei (UE) 2016/1.148 (Directiva NIS 1), potrivit căruia „pentru a evita impunerea unei sarcini financiare și administrative disproporționate asupra operatorilor de servicii esențiale și a furnizorilor de servicii digitale, cerințele ar trebui să fie proporționale cu riscurile la care este expusă rețeaua și sistemul informatic în cauză, ținând seama de cea mai avansată tehnologie corespunzătoare unor astfel de măsuri. În cazul furnizorilor de servicii digitale, aceste cerințe nu ar trebui să se aplice microîntreprinderilor și întreprinderilor mici“. Se arată, totodată, că Directiva (UE) 2022/2.555 (Directiva NIS 2) limitează aplicarea normelor privind asigurarea securității cibernetice la anumite domenii și la întreprinderile medii și mari, fiind excluse întreprinderile mici și mijlocii; prin urmare, ar trebui ca obligația de raportare a incidentelor de securitate cibernetică, reglementată la art. 21 din legea criticată, să fie prevăzută doar pentru autoritățile/instituțiile din sectorul public, lăsând pentru entitățile din mediul privat doar facultatea (nu obligația) de a face sesizări către Platforma națională pentru raportarea incidentelor de securitate cibernetică (PNRISC). Astfel, se arată că „aparent, sesizarea PNRISC de către victima unui incident de securitate cibernetică pare a fi benefică, deoarece respectiva platformă este special destinată rezolvării unor astfel de incidente. Dar, din cauza definirii neclare în proiectul de lege a noțiunii de incident de securitate cibernetică, se poate ajunge la situația în care pentru o simplă virusare sau pentru o aparentă virusare (o nefuncționare normală) a unui laptop, orice persoană care are o activitate ce poate fi considerată (de către cine?) ca fiind de interes public să fie obligată să sesizeze PNRISC și, implicit, să pună la dispoziția specialiștilor PNRISC laptopul, cu toate datele și informațiile cu caracter personal conținute de acel laptop. Aceasta este o intruziune importantă în viața privată a persoanei, intruziune asupra căreia deținătorul laptopului nu are, deși ar trebui să aibă, un drept de liberă apreciere, adică nu poate opta dacă sesizează sau nu PNRISC, ci există o obligație legală strictă, sancționată sever cu amendă contravențională, de a se adresa PNRISC și, implicit, de a pune la dispoziția unor terți, o multitudine de date și informații privind viața privată, conținute, de exemplu, într-un laptop, care va fi accesat de terții care vor rezolva incidentul de securitate cibernetică“. ...