q) managementul vulnerabilităţilor şi alertelor de securitate. (4) Normele tehnice prevăzute la alin. (1) aplicabile furnizorilor de servicii digitale se stabilesc în baza următoarelor categorii de activităţi de asigurare a securităţii reţelelor şi sistemelor informatice: a) securitatea sistemelor şi a instalaţiilor; b) gestionarea incidentelor; c) gestionarea continuităţii activităţii; d) monitorizarea, auditarea şi testarea; e) conformitatea cu standardele europene şi internaţionale. (5) În implementarea măsurilor de la alin. (1) operatorii de servicii esenţiale: a) identifică reţelele şi sistemele informatice care susţin furnizarea de servicii esenţiale; b) elaborează şi implementează politici şi planuri proprii de securitate a reţelelor şi sistemelor informatice; c) asigură managementul incidentelor care afectează securitatea reţelelor şi sistemelor informatice; d) previn accesul neautorizat la reţelele şi sistemele informatice; e) previn diseminarea datelor deţinute la nivelul reţelelor şi sistemelor informatice către alte persoane decât cele autorizate să cunoască conţinutul acestora; f) implementează un sistem de management al riscului; g) implementează planuri de acţiune pe niveluri de alertă de securitate a reţelelor şi sistemelor informatice; h) asigură continuitatea serviciilor. (6) Normele tehnice prevăzute la alin. (1) se emit cu luarea în considerare a cerinţelor şi standardelor europene şi internaţionale fără a impune sau a discrimina în favoarea utilizării unui anumit tip de tehnologie. Secţiunea a 2-a Notificarea incidentelor de securitate Art. 26 - (1) Notificările efectuate de operatorii de servicii esenţiale în temeiul art. 10 alin. (1) lit. c) trebuie să îndeplinească condiţiile şi să conţină informaţiile prevăzute în normele tehnice prevăzute la art. 20 lit. c). (2) Notificările efectuate de furnizorii de servicii digitale în temeiul prevederilor art. 12 alin. (1) lit. c) trebuie să îndeplinească condiţiile şi să conţină informaţiile prevăzute în normele tehnice prevăzute la art. 20 lit. c). (3) Notificarea incidentelor conţine, în mod obligatoriu, următoarele informaţii: a) elementele de identificare ale infrastructurii şi operatorului sau furnizorului în cauză; b) descrierea incidentului; c) perioada de desfăşurare a incidentului; d) impactul estimat al incidentului; e) măsuri preliminare adoptate; f) lista de autorităţi ale statului afectate de incident; g) întinderea geografică potenţială a incidentului; h) date despre efecte potenţial transfrontaliere ale incidentului. (4) Notificarea prevăzută la alin. (1) şi (2) nu va conţine: a) informaţii clasificate; b) date care pot aduce atingere drepturilor şi libertăţilor cetăţeneşti ori intereselor legitime ale unor terţe entităţi implicate în incident, în condiţiile legii. (5) CERT-RO, în calitate de autoritate competentă la nivel naţional, elaborează şi actualizează, prin decizie a directorului general publicată în Monitorul Oficial al României, Partea I, formularele necesare notificărilor de incident efectuate în temeiul prezentului articol, detaliind informaţiile şi documentaţiile necesar a fi furnizate. (6) CERT-RO, în calitate de CSIRT naţional, va stabili şi va aduce la cunoştinţa publicului, precum şi operatorilor şi furnizorilor menţionaţi în prezenta lege mijloacele de comunicare pentru efectuarea notificărilor cerute prin prezenta lege. (7) Notificările privind incidentele ce fac obiectul prezentei legi pot fi făcute şi de către echipele CSIRT ale entităţilor de drept public sau privat ori care deservesc un anumit sector de activitate ori de către furnizorii de servicii de securitate aflaţi în relaţie contractuală, conform atribuţiilor ce le revin în baza actului de înfiinţare ori a contractului de prestări servicii, după caz. (8) Notificarea făcută de o echipă CSIRT în temeiul alin. (7) echivalează cu notificarea făcută de operatorul sau furnizorul afectat, acesta purtând întreaga răspundere pentru conţinutul notificării şi îndeplinirea celorlalte obligaţii ce îi revin conform prezentei legi.