Decizia CCR nr. 70/2023Punctul 23

23. Referitor la criticile de neconstituționalitate formulate cu privire la dispozițiile art. 21 și art. 22 din Legea privind securitatea și apărarea cibernetică a României, precum și pentru modificarea și completarea unor acte normative, se susține că, în procedura revizuirii Directivei (UE) 2016/1.148 (Directiva NIS 1) s-a arătat că punerea acesteia în aplicare diferă foarte mult de la un stat membru la altul, inclusiv în ceea ce privește domeniul său de aplicare, a cărui delimitare a fost lăsată în mare măsură la latitudinea statelor membre și că directiva anterior menționată acordă statelor membre o marjă de apreciere foarte largă în ceea ce privește punerea în aplicare a obligațiilor de raportare privind securitatea și incidentele cibernetice, motiv pentru care aceste obligații au fost transpuse în moduri foarte diferite la nivelul fiecărui stat membru. Se susține, totodată, că, din considerentul 58 din Preambulul Directivei (UE) 2022/2.555 (Directiva NIS 2), rezultă că procedurile reglementate prin actul european anterior menționat pot genera sarcini financiare și/sau administrative în vederea luării măsurilor adecvate pentru gestionarea riscurilor la care sunt expuse serviciile oferite pe piețele statelor membre, inclusiv în ceea ce privește clienții și beneficiarii terți și notificarea incidentelor de securitate cibernetică. ...