Decizia CCR nr. 17/2015Paragraful 33

30. Potrivit "Expunerii de motive" la directivă se va solicita întreprinderilor din sectoarele critice şi administraţiilor publice să evalueze riscurile cu care se confruntă şi să adopte măsuri adecvate şi proporţionate de asigurare a securităţii cibernetice. Aceste entităţi vor trebui să raporteze autorităţilor competente orice incidente care afectează grav reţelele şi sistemele lor informatice şi care au un impact semnificativ asupra continuităţii serviciilor critice şi a aprovizionării cu bunuri. Pentru a evita impunerea unei sarcini disproporţionate asupra micilor operatori, în special asupra IMM-urilor, cerinţele sunt proporţionale cu riscurile la care sunt expuse reţeaua sau sistemul informatic în cauză şi nu se aplică microîntreprinderilor, ci vizează numai entităţile critice şi impun măsuri proporţionale cu riscurile. Astfel, art. 14 alin. (8) din propunerea de Directivă NIS stabileşte că microîntreprinderile nu intră sub incidenţa directivei cu excepţia situaţiei în care acestea acţionează în calitate de filială a unui operator de piaţă.