Decizia CCR nr. 70/2023Punctul 98

98. În acest sens, Curtea reține că legislația europeană în vigoare cuprinde mai multe seturi de norme orizontale ce reglementează aspecte legate de securitatea cibernetică din diferite perspective, incluzând măsuri de îmbunătățire a securității lanțului de aprovizionare digital. Astfel, Directiva (UE) 2022/2.555 (Directiva NIS 2), care a abrogat Directiva (UE) 2016/1.148 (Directiva NIS 1), nu impune ca procesul de management al riscurilor de securitate cibernetică specifice lanțului de aprovizionare să fie implementat doar de autorități publice și firme mari. Explicația tehnică identificată în preambulul Directivei NIS 2, precum și în cel al Regulamentului (UE) 2019/881 - Regulamentul privind securitatea cibernetică („EU Cyber Security Act“) are în vedere faptul că produsele și sistemele moderne din domeniul tehnologiei informației și al comunicațiilor (TIC) integrează adeseori una sau mai multe tehnologii și componente terțe (cum ar fi module software, biblioteci sau interfețe de programare a aplicațiilor) sau se bazează pe acestea, dependență care ar putea cauza riscuri suplimentare pentru securitatea cibernetică, dat fiind că vulnerabilitățile prezente în componentele terțe pot afecta și securitatea produselor, a serviciilor și a proceselor TIC. Pentru aceste motive, în numeroase cazuri, identificarea și documentarea unor astfel de dependențe le permit utilizatorilor finali de produse, servicii și procese TIC să își îmbunătățească activitățile de gestionare a riscurilor de securitate cibernetică, îmbunătățind, de exemplu, gestionarea vulnerabilității în materie de securitate cibernetică și procedurile de remediere a acesteia, astfel cum rezultă din punctul 11 al preambulului Regulamentului (UE) 2019/881 - Regulamentul privind securitatea cibernetică („EU Cyber Security Act“). ...