Decizia CCR nr. 17/2015Paragraful 74

71. În continuare, Curtea reţine că dispoziţiile art. 20 şi art. 21 alin. (2) din legea criticată prevăd obligaţiile care incumbă persoanelor juridice de drept public sau privat care deţin sau au în responsabilitate ICIN, printre care să efectueze anual auditări de securitate cibernetică ori să permită efectuarea unor astfel de auditări la solicitarea motivată a autorităţilor competente potrivit prezentei legi, să constituie structuri sau să desemneze persoane responsabile cu prevenirea, identificarea şi reacţia la incidentele cibernetice, să notifice imediat, după caz, CNSC, CERT-RO, ANCOM ori autorităţile desemnate, în condiţiile legii, în domeniul securităţii cibernetice cu privire la riscurile şi incidentele cibernetice care, prin efectul lor, pot aduce prejudicii de orice natură utilizatorilor sau beneficiarilor serviciilor lor. De asemenea, în cazul în care au fost notificate riscuri sau incidente cibernetice, deţinătorii de ICIN au obligaţia să permită autorităţilor competente să intervină pentru identificarea şi analizarea cauzelor incidentelor cibernetice, respectiv pentru înlăturarea sau reducerea efectelor incidentelor cibernetice, să reţină şi să asigure integritatea datelor referitoare la incidentele cibernetice pentru o perioadă de 6 luni de la data notificării.