(9) Obligaţia de a notifica un incident de către furnizorii de servicii digitale se aplică doar în cazul în care aceştia au acces la informaţiile necesare pentru a evalua impactul unui incident asupra parametrilor menţionaţi la art. 28 alin. (2). (10) Entităţile care nu au fost identificate drept operatori de servicii esenţiale şi nu sunt furnizori de servicii digitale pot notifica voluntar CERT-RO, în calitate de CSIRT naţional, furnizând cel puţin informaţiile prevăzute la alin. (3), incidentele care au un impact semnificativ asupra continuităţii serviciilor pe care le furnizează. (11) CERT-RO tratează notificările obligatorii cu prioritate faţă de notificările voluntare. (12) Notificările voluntare se tratează doar atunci când această prelucrare nu împiedică îndeplinirea celorlalte obligaţii ce îi revin autorităţii competente la nivel naţional şi în limita resurselor existente. (13) Notificarea voluntară nu impune entităţii notificatoare nicio obligaţie care nu i-ar fi revenit dacă nu ar fi făcut notificarea. (14) Notificările prevăzute la alin. (1) şi (2) nu atrag răspunderea pentru entităţile care notifică, în condiţiile respectării obligaţiilor prevăzute de prezenta lege. Secţiunea a 3-a Managementul incidentelor Art. 27 - După primirea notificării, CERT-RO, în calitate de CSIRT naţional: a) evaluează preliminar impactul incidentului la nivel naţional şi alertează, sesizează ori notifică sau, după caz, poate solicita operatorului sau furnizorului să alerteze alte entităţi afectate precum şi autorităţile cu responsabilităţi în prevenirea, limitarea şi combaterea efectelor incidentului, precum şi autorităţile prevăzute la art. 16, potrivit legii; b) poate solicita informaţii suplimentare operatorului sau furnizorului care a făcut notificarea în vederea îndeplinirii obligaţiilor ce îi revin, menţionând termenul de furnizare a acestora; c) oferă operatorului sau furnizorului care a făcut notificarea, atunci când circumstanţele o permit, informaţii care ar putea sprijini administrarea incidentului; d) în calitate de punct unic de contact, informează celelalte state membre sau partenere afectate dacă incidentul are un impact semnificativ asupra continuităţii serviciilor esenţiale ori a serviciilor digitale în statele respective; e) în urma analizei incidentelor, poate, după caz, declanşa acţiune de control pentru verificarea respectării cerinţelor prezentei legi; f) poate lua măsurile prevăzute la art. 41; g) coordonează la nivel naţional răspunsul la incident în colaborare cu celelalte autorităţi şi entităţi publice sau private, conform domeniului de activitate şi responsabilitate. Art. 28 - (1) Impactul unui incident se determină ţinând cont cel puţin de următorii parametri: (i) în cazul operatorilor de servicii esenţiale: a) numărul de utilizatori afectaţi de perturbarea serviciului esenţial; b) durata incidentului; c) distribuţia geografică în ceea ce priveşte zona afectată de incident; (ii) în cazul furnizorilor de servicii digitale: a) numărul de utilizatori afectaţi de incident, în special utilizatori care se bazează pe serviciul pentru furnizarea propriilor servicii; b) durata incidentului; c) distribuţia geografică în ceea ce priveşte zona afectată de incident; d) amploarea perturbării funcţionării serviciului; e) amploarea impactului asupra activităţilor economice şi societale. (2) CERT-RO, după consultarea GdLINIS, elaborează şi actualizează normele tehnice de stabilire a impactului pentru categoriile de operatori şi furnizori prevăzuţi de prezenta lege care se aprobă prin hotărâre a Guvernului iniţiată de Secretariatul General al Guvernului. (3) Criteriile prevăzute la pct. 2. se aplică şi notificărilor voluntare efectuate în temeiul prevederilor art. 26 alin. (10). Art. 29 - (1) CERT-RO poate înştiinţa publicul, atunci când informarea este necesară pentru a preveni un incident sau pentru a se administra un incident în curs.