Decizia CCR nr. 17/2015Paragraful 59

56. Obligaţiile care incumbă destinatarilor legii vizează asigurarea rezilienţei infrastructurilor cibernetice, respectiv capacitatea componentelor infrastructurilor cibernetice de a rezista unui incident sau atac cibernetic şi de a reveni la starea de normalitate. Această stare este menţinută în urma aplicării unui ansamblu de măsuri proactive şi reactive prin care se asigură confidenţialitatea, integritatea, disponibilitatea, autenticitatea şi nonrepudierea informaţiilor în format electronic, a resurselor şi serviciilor publice sau private, din spaţiul cibernetic. Includerea în sfera de incidenţă a legii a utilizatorilor de infrastructuri cibernetice, deci a tuturor persoanelor juridice care utilizează reţele şi servicii de comunicaţii electronice, ridică probleme legate de modul în care acestea pot să îşi îndeplinească obligaţiile şi responsabilităţile prevăzute de lege, în condiţiile în care nu sunt proprietari, administratori sau operatori ai infrastructurilor cibernetice pe care le utilizează, iar legea face vorbire în cuprinsul art. 16, despre infrastructuri cibernetice proprii sau aflate în responsabilitate. Mai mult, în măsura în care obligaţiile şi responsabilităţile cad atât în sarcina proprietarilor, administratorilor sau operatorilor infrastructurilor cibernetice, cât şi a utilizatorilor acestor infrastructuri, iar legea nu stabileşte sensul noţiunii de utilizator, rezultă că obligaţiile şi responsabilităţile se exercită în mod concurent la nivelul fiecărui sistem sau fiecărei reţele informatice. Spre exemplu, potrivit art. 16 alin. (1) lit. a) şi b) din lege, atât proprietarul, cât şi utilizatorul sunt obligaţi să aplice politici de securitate, să identifice şi să implementeze măsurile tehnice şi organizatorice adecvate pentru a gestiona eficient riscurile de securitate. Însă, există posibilitatea ca, uneori, politicile de securitate, măsurile tehnice şi, mai ales, cele organizatorice, considerate adecvate de cele două entităţi, să nu coincidă sau să nu fie compatibile, astfel încât finalitatea urmărită de lege să nu fie atinsă. Or, destinatarii legii trebuie să aibă o reprezentare clară şi corectă a normelor juridice aplicabile, astfel încât să îşi adapteze conduita şi să prevadă consecinţele ce decurg din nerespectarea acestora, lipsa unei reglementări predictibile în acest sens constituind premisa unei aplicări neunitare, discreţionare, în activitatea de securizare cibernetică a României.