15.7: Notificarea obligatorie a incidentelor

În scopul notificării în temeiul alin. (1), entitățile în cauză transmit echipei de răspuns la incidente de securitate cibernetică naționale:

a) în termen de 24 de ore de la data la care au luat cunoștință de incidentul semnificativ, o avertizare timpurie care, după caz, indică dacă există suspiciuni că incidentul este cauzat de acțiuni ilicite sau răuvoitoare sau că ar putea avea un impact transfrontalier;

b) în termen de 72 de ore din momentul în care au luat cunoștință de incidentul semnificativ, o raportare a incidentului, care, după caz, actualizează informațiile menționate la lit. a) și prezintă o evaluare inițială a incidentului semnificativ, inclusiv a gravității și a impactului acestuia, precum și a indicatorilor de compromitere, dacă sunt disponibili;

c) un raport intermediar privind actualizarea relevantă a situației, la cererea echipei de răspuns la incidente de securitate cibernetică naționale;

d) un raport final, în termen de cel mult 30 de zile de la transmiterea notificării incidentului în temeiul lit. b), care să includă cel puțin următoarele elemente:

1. o descriere detaliată a incidentului, inclusiv a gravității și a impactului acestuia;

2. tipul de amenințare sau de cauză principală care probabil că a declanșat incidentul;

3. măsurile de atenuare aplicate și în curs;

4. dacă este cazul, impactul transfrontalier al incidentului.

e) în cazul unui incident în desfășurare la momentul prezentării raportului menționat la lit. d), entitățile în cauză prezintă un raport privind progresele înregistrate și un raport final în termen de 30 de zile de la gestionarea incidentului.