Dezbateri parlamentare

Domnul Vasile-Daniel Suciu:

9. Proiectul de Lege pentru aprobarea Ordonanţei de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil; PL-x 52/2025; procedură de urgenţă.

Iniţiatorul dacă doreşte?

Nu este.

Comisia pentru tehnologia informaţiei şi comunicaţiilor.

Domnul Radu-Dinel Miruţă:

Raport asupra Proiectului de Lege pentru aprobarea Ordonanţei de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil

În conformitate cu prevederile art. 95 şi art. 118 din Regulamentul Camerei Deputaţilor, Comisia pentru tehnologia informaţiei şi comunicaţiilor a fost sesizată, spre dezbatere în fond, în procedură de urgenţă, cu PL-x 52/2025.

Senatul, în calitate de primă Cameră sesizată, a adoptat proiectul de lege, în data de 19 februarie 2025.

Camera Deputaţilor este Cameră decizională, potrivit prevederilor art. 75 din Constituţia României, republicată.

Obiectul de reglementare este transpunerea în legislaţia naţională a Directivei (UE) 2022/2555 a Parlamentului European şi a Consiliului din 14 decembrie 2022.

În urma dezbaterilor şi a opiniilor exprimate, membrii Comisiei pentru tehnologia informaţiei şi comunicaţiilor au hotărât, cu majoritate de voturi, să propună plenului Camerei Deputaţilor adoptarea proiectului de lege cu amendamentele admise redactate în Anexa nr. 1 şi amendamentele respinse redactate în Anexa nr. 2, făcând parte integrantă din prezentul raport.

În raport cu obiectul şi conţinutul reglementării, iniţiativa legislativă face parte din categoria legilor ordinare.

Propunere de timp de dezbatere - 3 minute.

Domnul Vasile-Daniel Suciu:

Generos!

Vă rog să vă pregătiţi cartelele.

Timp de dezbateri - 3 minute.

Vot, vă rog.

Unanimitate. Adoptat.

Dezbateri generale.

Domnul Borş George-Mădălin, Grupul PSD.

Domnul George-Mădălin Borş:

Domnule preşedinte,

Dragi colegi,

Prezentul proiect de lege vine ca urmare a reexaminării Directivei (UE) 2016/1148, unde s-a identificat o deficienţă importantă, respectiv imposibilitatea aplicării unitare la nivelul Uniunii a dispoziţiilor Directivei NIS 1, întrucât măsurile adoptate de statele membre au creat diferenţe între criteriile de evaluare a impactului incidentelor între modalităţile de identificare a operatorilor, de stabilire a cerinţelor de securitate şi de punere în practică a acestora. S-au remarcat nu doar diferenţe între obligaţiile impuse acestor entităţi, ci chiar diferenţe contradictorii de la un stat la altul, afectând în mod substanţial activităţile economice.

Din aceste considerente, a fost elaborată şi adoptată Directiva NIS 2, care aduce o serie de noutăţi, printre care: extinderea domeniului de aplicare, incluzând şi administraţiile publice; eliminarea diferenţierii între furnizori şi operatori, prin introducerea termenului de "entitate"; introducerea unui criteriu uniform de identificare a subiecţilor reglementării prin raportare la dimensiunea entităţilor vizate; includerea unor noi tipuri de servicii şi activităţi vizate; simplificarea procedurilor de înregistrare a entităţilor; reguli mai clare privind aplicarea normelor sectoriale; reguli îmbunătăţite cu privire la notificarea incidentelor; noi instrumente la dispoziţia autorităţilor privind controlul, supravegherea şi sancţionarea nerespectării obligaţiilor; se încurajează schimbul de informaţii şi comunicarea coordonată a vulnerabilităţilor; reglementări privind mecanismele de management şi cooperare pentru răspunsul la crizele cibernetice.

Faţă de Directiva NIS 1, care avea ca obiect general promovarea culturii de securitate cibernetică, Directiva NIS 2 propune o abordare mult mai apropiată faţă de procesele concrete pentru asigurarea securităţii cibernetice.

Domnule preşedinte,

Dragi colegi,

Grupul PSD susţine şi va vota pentru adop... (I se întrerupe microfonul.)

Domnul Vasile-Daniel Suciu:

...pentru adoptarea acestui proiect.

Domnul Gabriel Andronache (din sală):

Asta nu se pune. E completare.

Domnul Vasile-Daniel Suciu:

Ilegală. O completare ilegală.

Domnul Radu Mihaiu.

Dacă mai aveţi doar vreo trei cuvinte, vi le completez eu, ca să fie egalitate de tratament.

Domnul Radu-Nicolae Mihaiu:

Mulţumesc mult, domnule preşedinte.

O să încerc să nu fie nevoie de completări.

Bun.

Directiva NIS 2 este una dintre directivele necesare. Şi implementarea directivei este absolut necesară în România, mai ales că am văzut anul trecut cât de problematică poate să fie securitatea cibernetică şi atacurile din partea unor actori statali şi non-statali, nu-i aşa?

Din acest punct de vedere, o lege de implementare a NIS este absolut necesară. Şi această lege este una care are lucrurile ei bune, însă, ca de obicei, când este vorba despre statul român, acesta îşi acordă sieşi o grămadă de derogări şi o grămadă de situaţii în care nu trebuie să respecte ceea ce impune privatului. Şi avem pentru zona privată o grămadă de reglementări care să ducă la sporirea securităţii cibernetice, pe când pentru autorităţile publice pur şi simplu ne facem că nu vedem cât de multe probleme pot să fie şi nu este nimeni responsabil pentru faptul că sistemele noastre publice de securitate cibernetică sunt penetrate. Nimeni nu va fi responsabil şi nimeni nu va plăti pentru eventualele breşe.

Asta este una dintre problemele mari, pe care statul le-a identificat şi a ridicat din umeri şi a spus - asta este, nu putem mai mult.

Eu cred că putem mai mult. Eu cred că România şi statul român trebuie să-şi propună să aibă o securitate cibernetică cel puţin la nivelul pe care îl cere de la entităţile private.

O să vorbesc şi la amendamente, pentru că o să vă explic acolo de ce anumite articole sunt absolut dezastruoase pentru securitatea cibernetică a României.

Mulţumesc.

Domnul Vasile-Daniel Suciu:

Domnul Mititelu Eduard-Traian, PNL.

Domnul Eduard-Traian Mititelu:

Vă mulţumesc, domnule preşedinte.

Avem astăzi o lege de care putem fi mândri. De ce? Pentru că suntem printre primele opt state la nivel european care transpun această directivă, şi experţii Ministerului Digitalizării, DNSC, Cyberint au lucrat la nivelul Uniunii Europene pentru această directivă.

Iar acest proiect legislativ a început, încă de anul trecut, cu o largă consultare, încă din luna iunie, atunci când eram secretar de stat în Ministerul Digitalizării, şi astăzi, după ce a fost adoptată ordonanţa, am ajuns şi la legea de aprobare a acestei ordonanţe.

Această directivă vine pentru a schimba o paradigmă, aceea de a nu doar reacţiona la incidentele de securitate cibernetică, ci şi a fi proactivi. De asemenea, extinde gama de domenii în care apărarea cibernetică este aplicată. Fie că vorbim despre energie, fie că vorbim despre spaţiu, fie că vorbim despre cercetare, vorbim despre domenii importante pentru români, unde statul trebuie să protejeze cetăţeanul şi unde apar zi de zi noi provocări, noi provocări în spaţiul cibernetic, unde avem nevoie de instrumente pentru a reacţiona şi pentru a fi proactivi.

Pentru că vorbim despre un proiect serios, cu o largă consultare, un proiect care se fundamentează pe aspecte tehnice, care instituie o serie de instrumente extraordinar de bune, care vine în completarea Legii securităţii cibernetice, care vine în completarea jaloanelor din PNRR, Partidul Naţional Liberal susţine acest proiect şi îl va vota.

Şi susţinem în continuare orice proiect bun pentru securitatea cibernetică a României, orice proiect bun pentru români.

Mulţumesc. (Aplauze.)

Domnul Vasile-Daniel Suciu:

Şi eu vă mulţumesc.

Doamna Ioana Bruynseels, Grupul AUR.

Doamna Ramona-Ioana Bruynseels:

Vă mulţumesc, domnule preşedinte.

AUR, deşi recunoaşte faptul că NIS 2 este necesară din multe puncte de vedere, se va abţine astăzi în votul său şi asta pentru că avem în continuare mari semne de întrebare referitoare la aspecte cruciale pentru ca acest proiect de lege să fie cu adevărat sustenabil.

În contextul în care în România, mai ales acum, încrederea este la nivelul podelei, iar companiile private sunt cu adevărat reticente în ceea ce priveşte permiterea accesului autorităţilor statului la tot ceea ce înseamnă baza lor de date şi invocă protecţia datelor şi totodată concurenţa comercială, noi ne întrebăm:

Cum se va asigura interoperabilitatea dintre mecanismele naţionale de apărare cibernetică şi infrastructurile critice private? Asta având în vedere că majoritatea acestora sunt operate de entităţi comerciale.

Se vor implementa parteneriate publice-private?

Se vor impune nişte contracte obligatorii în acest sens?

Şi apoi, totodată, serviciile de securitate cibernetică naţionale, precum CERT-RO, precum, bineînţeles, SRI şi tot ceea ce ţine de MApN, vor avea acces controlat la ceea ce înseamnă reţelele critice pentru intervenţie rapidă în caz de atac major?

Întrebări la care nu primim răspuns.

Mai mult decât atât, multe IMM-uri din sectoare critice nu au în acest moment resursele pentru a face implementarea propriu-zisă a cerinţelor din acest PL-x. Şi asta nu fără sprijin suplimentar.

Şi vă întrebăm:

Cum se vor armoniza sancţiunile, de exemplu, care sunt severe, din această lege - de exemplu, amenzi până la 10 milioane de euro sau 2% din cifra de afaceri - cu contextul actual în care ne aflăm?

Şi cu resursele umane cum facem? Pentru că DNSC are mari probleme... (I se întrerupe microfonul. Vociferări. Aplauze.)

Domnul Vasile-Daniel Suciu:

Aţi fost foarte aproape.

Trecem la dezbaterea pe articole.

Dacă la titlu există obiecţii sau comentarii?

Înţeleg că...

Bun.

Dacă de la art. 1 la 50 există intervenţii?

Domnul Mihaiu.

Vă rog să indicaţi.

Aveţi unul singur?

Domnul Radu-Nicolae Mihaiu (din sală):

37 şi 50.

Domnul Vasile-Daniel Suciu:

Dacă de la 1 la 99 există obiecţii sau comentarii? (Vociferări.)

De la 1 la 99. Asta înseamnă şi de la 1 la 50.

Vă rog.

Sper să vă încadraţi în cele 3 minute. De aceea aţi cerut 3 minute.

Domnul Radu-Nicolae Mihaiu:

3 minute pentru toate amendamentele, am înţeles. (Râsete.)

Domnul Vasile-Daniel Suciu:

Vă rog.

Domnul Radu-Nicolae Mihaiu:

OK. Bun.

Art. 37 alin. (7) spune că autorităţile, aşa cum sunt stabilite la alin. (1), pot constitui CSIRT-uri - adică echipe de intervenţie rapidă - sectoriale care să monitorizeze eventualele probleme.

Autorităţile esenţiale şi autorităţile importante sunt acele autorităţi care asigură funcţionarea internetului şi a spaţiului cibernetic din România.

Dacă numai pentru privaţi constituim echipe de intervenţie, înseamnă că, atunci când cineva atacă instituţii ale statului român şi noi ne uităm la ele, nu o să putem face nimic şi o să fim prinşi, la fel cum am fost prinşi şi în alte dăţi, cu chiloţii în vine, mă scuzaţi că spun aşa. Şi, din acest punct de vedere, eu am propus un amendament prin care spunem că autorităţile, aşa cum sunt stabilite la alin. (1), constituie CSIRT-uri sectoriale - "...constituie", nu "...pot constitui"; este foarte important.

Al doilea articol, art. 50.

Mă scuzaţi, nu îl susţin pe ăsta.

Domnul Vasile-Daniel Suciu:

Numai...

Domnul Radu-Nicolae Mihaiu:

Şi acolo aveam un amendament, dar nu îl susţin.

Domnul Vasile-Daniel Suciu:

Numai o secundă!

Numai o secundă!

Aţi spus art. 36...

Domnul Radu-Nicolae Mihaiu:

Art. 37...

Domnul Vasile-Daniel Suciu:

...alin. (4)...

Domnul Radu-Nicolae Mihaiu:

...alin. (7).

Domnul Vasile-Daniel Suciu:

...alin. (4), da?

Domnul Radu-Nicolae Mihaiu:

Art. 37 alin. (7).

Domnul Vasile-Daniel Suciu:

36 sau 37?

Domnul Radu-Nicolae Mihaiu:

37, înainte de 38...

Domnul Vasile-Daniel Suciu:

Bine...

Domnul Radu-Nicolae Mihaiu:

...alin. (7).

Domnul Vasile-Daniel Suciu:

...dar v-aş fi rugat, ca de obicei, marginal.

Domnul Radu-Nicolae Mihaiu:

Marginal 6, dacă nu mă înşel.

Domnul Vasile-Daniel Suciu:

Deci, art. 37 alin.?

Domnul Radu-Nicolae Mihaiu:

(7).

Marginal 6 din anexa de amendamente respinse.

Domnul Vasile-Daniel Suciu:

Deci, stimaţi colegi, eu vorbesc una şi...

Bun.

Aveţi la amendamente respinse. Eu citeam de la 1 la 99, articole, amendamente admise. Bun. Trebuie să aşteptaţi puţin.

Dacă de la art. 1 la 99 există obiecţii sau comentarii? Nu. Adoptate.

Bun. Există 9 amendamente respinse. Dacă se susţin?

Aici era rândul dumneavoastră, domnule Mihaiu. M-aţi făcut să ling hârtiile degeaba.

Vă rog, înapoi.

Marginal cât?

Domnul Radu-Nicolae Mihaiu:

6 am eu notat aici. Art...

Domnul Vasile-Daniel Suciu:

Nu, marginalul este cifra din stânga de tot.

Domnul Radu-Nicolae Mihaiu:

Da.

Domnul Vasile-Daniel Suciu:

Art. 37 alin. (7).

Domnul Radu-Nicolae Mihaiu:

Acela.

Domnul Vasile-Daniel Suciu:

Finally!

Domnul Radu-Nicolae Mihaiu:

Despre acela am vorbit. Respectiv, autorităţile trebuie să constituie. Autorităţile esenţiale şi importante pentru funcţionarea spaţiului cyber din România "constituie" echipe de răspuns rapid, nu "pot constitui". Pentru că dacă rămâne cu "pot constitui" înseamnă că o să desemneze pe cineva, vreun IT-ist care repară imprimante, şi atunci când aceste entităţi vor fi atacate, vom avea din nou ransomware, vom avea din nou probleme cu breşe de securitate, se vor fura datele şi aşa mai departe.

Dacă nu avem echipe de răspuns rapid, atunci înseamnă că lăsăm cale liberă hackerilor, pentru instituţiile publice.

Aşa cum privaţii trebuie să aibă astfel de echipe de răspuns rapid, trebuie să aibă şi autorităţile publice.

Domnul Vasile-Daniel Suciu:

Bun.

Stimaţi colegi,

Suntem la Anexa "Amendamente respinse".

Supun votului dumneavoastră marginal 6.

Vot, vă rog.

Cu doar 39 de voturi pentru, 128 contra, 63 de abţineri, un coleg care nu votează, amendamentul rămâne respins.

Vă reinvit la microfon, pentru alt marginal.

Domnul Radu-Nicolae Mihaiu:

Marginal 7.

Mulţumesc foarte mult.

Domnul Vasile-Daniel Suciu:

Art. 62, da?

Domnul Radu-Nicolae Mihaiu:

Art. 62 alin. (2).

Art. 62 alin. (2) trebuie să rezolve una dintre problemele care apar la suprapunerea legislaţiei. Şi vorbim despre suprapunerea legislaţiei pe drepturi de autor cu aceasta pentru securitate cibernetică. Şi acest articol găseşte o rezolvare teribil de proastă pentru o problemă foarte, foarte reală. Şi spune aşa - că dacă s-a început cumva vreo investigaţie de către Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal, atunci autorităţile care trebuie să dea amenzi pe NIS 2 nu mai pot face nimic. Şi mai mult, dacă n-a început o anchetă, atunci nu se mai poate da nicio amendă pe prelucrarea datelor cu caracter personal.

Există soluţii legale care sunt mai flexibile şi care pot duce la formarea unei echipe mixte între ANSPDCP şi echipele de la NIS 2, ceea ce amendamentul meu propune, în aşa fel încât să ne asigurăm că, dacă s-a dat un avertisment pentru prelucrarea a 10 persoane, date cu caracter personal, însă securitatea naţională cibernetică a fost pusă în pericol, să putem da amenzi.

Din acest punct de vedere, vă rog să votaţi pentru amendamentul de la marginal 7.

Mulţumesc.

Domnul Vasile-Daniel Suciu:

Stimaţi colegi,

Vă rog să vă pregătiţi cartelele şi tabletele.

Anexa "Amendamente respinse", marginal 7.

Vot, vă rog. (Vociferări.)

Cu 33 de voturi pentru, 136 contra, 70 de abţineri, rămâne respins.

Mulţumesc.

Rămâne la votul final.