Decizia CCR nr. 70/2023Punctul 91

91. Curtea reține, de asemenea, că, potrivit art. 2 lit. n) din legea criticată de autorii sesizărilor, prin „incident de securitate cibernetică“ se înțelege un eveniment survenit în spațiul cibernetic care perturbă funcționarea uneia sau mai multor rețele și sisteme informatice și ale cărui consecințe sunt de natură a afecta securitatea cibernetică, iar, conform art. 2 lit. b) din aceeași lege, noțiunea de „amenințare cibernetică“ are sensul arătat la art. 2 lit. f) din Ordonanța de urgență a Guvernului nr. 104/2021 privind înființarea Directoratului Național de Securitate Cibernetică, aprobată cu modificări și completări prin Legea nr. 11/2022, respectiv acela de „orice circumstanță, eveniment sau acțiune potențială care ar putea cauza daune sau perturbări la nivelul rețelelor și al sistemelor informatice, precum și la nivelul utilizatorilor unor astfel de sisteme și al altor persoane sau care poate avea un alt fel de impact negativ asupra acestora“. Totodată, potrivit art. 2 lit. x) din legea criticată, sensul noțiunii de „risc de securitate cibernetică“ este cel prevăzut la art. 2 lit. r) din Ordonanța de urgență a Guvernului nr. 89/2022 privind înființarea, administrarea și dezvoltarea infrastructurilor și serviciilor informatice de tip cloud utilizate de autoritățile și instituțiile publice, respectiv acela de „probabilitatea ca o amenințare să se materializeze, exploatând o vulnerabilitate specifică rețelelor și sistemelor informatice“, iar, potrivit lit. aa) din cuprinsul aceluiași articol, prin „vulnerabilitate de securitate cibernetică“ se înțelege o slăbiciune în proiectarea, implementarea, dezvoltarea, configurarea și mentenanța rețelelor și a sistemelor informatice sau a măsurilor de securitate aferente, care poate fi exploatată de către o amenințare. ...