1.   Šis reglamentas taikomas toliau išvardytų subjektų veiklos tarpvalstybinių elektros energijos srautų kibernetinio saugumo aspektams, jei pagal 24 straipsnį tie subjektai identifikuoti kaip didelio poveikio arba ypatingos svarbos poveikio subjektai:

2.   Naudodamosi turimais įgaliojimais, už šiame reglamente nustatytų užduočių vykdymą yra atsakingos šios institucijos:

3.   Šis reglamentas taikomas ir visiems subjektams, kurie nėra įsisteigę Sąjungoje, bet teikia paslaugas subjektams Sąjungoje, jeigu kompetentingos institucijos juos pagal 24 straipsnio 2 dalį yra identifikavusios kaip didelio poveikio arba ypatingos svarbos poveikio subjektus.

4.   Šiuo reglamentu nedaroma poveikio valstybių narių pareigai užtikrinti nacionalinį saugumą ar jų įgaliojimams apsaugoti kitas esmines valstybės funkcijas, įskaitant valstybės teritorinio vientisumo užtikrinimą ir teisėtvarkos palaikymą.

5.   Šiuo reglamentu nedaroma poveikio valstybių narių pareigai pagal Sutartis užtikrinti nacionalinį saugumą, susijusį su elektros energijos gamyba branduolinėse elektrinėse, įskaitant veiklą branduolinio sektoriaus vertės grandinėje.

6.   Subjektai, kompetentingos institucijos, subjekto lygmens bendrieji kontaktiniai punktai ir CSIRT tvarko asmens duomenis tiek, kiek tai būtina šio reglamento tikslais, juos tvarko pagal Reglamentą (ES) 2016/679 ir toks tvarkymas visų pirma grindžiamas to reglamento 6 straipsniu.

1.   Kiekviena valstybė narė kuo greičiau ir bet kuriuo atveju ne vėliau kaip 2024 m. gruodžio 13 d. paskiria nacionalinę valdžios ar reguliavimo instituciją, atsakingą už šiuo reglamentu jai pavestų užduočių vykdymą (toliau – kompetentinga institucija). Kol kompetentingai institucijai bus pavesta vykdyti užduotis pagal šį reglamentą, jos užduotis pagal šį reglamentą vykdo kiekvienos valstybės narės pagal Direktyvos (ES) 2019/944 57 straipsnio 1 dalį paskirta reguliavimo institucija.

2.   Valstybės narės nedelsdamos praneša Komisijai, ACER, ENISA, pagal Direktyvos (ES) 2022/2555 14 straipsnį įsteigtai TIS bendradarbiavimo grupei ir pagal 2012 m. lapkričio 15 d. Komisijos sprendimo (17) 1 straipsnį įsteigtai Elektros energijos srities veiklos koordinavimo grupei pagal šio straipsnio 1 dalį paskirtos kompetentingos institucijos pavadinimą ir kontaktinius duomenis, taip pat visus vėlesnius jų pakeitimus.

3.   Valstybės narės gali leisti savo kompetentingai institucijai šiuo reglamentu jai pavestas užduotis, išskyrus 5 straipsnyje išvardytas užduotis, perduoti kitoms nacionalinėms institucijoms. Kiekviena kompetentinga institucija stebi, kaip institucijos, kurioms ji perdavė užduotis, taiko šį reglamentą. Kompetentinga institucija praneša Komisijai, ACER, Elektros energijos srities veiklos koordinavimo grupei, ENISA ir TIS bendradarbiavimo grupei institucijų, kurioms perduota užduotis, pavadinimus, kontaktinius duomenis, paskirtas užduotis ir visus vėlesnius jų pakeitimus.

1.   PSO, bendradarbiaudami su ES SSO subjektu, parengia nuostatų ir sąlygų arba metodikų pasiūlymus pagal 2 dalį arba planų pasiūlymus pagal 3 dalį.

2.   Visos kompetentingos institucijos tvirtina šias nuostatas ir sąlygas arba metodikas ir visus jų pakeitimus:

3.   Regioninių kibernetinio saugumo rizikos mažinimo planų pasiūlymus pagal 22 straipsnį turi patvirtinti visos atitinkamo sistemos eksploatavimo regiono kompetentingos institucijos.

4.   2 dalyje išvardytų nuostatų ir sąlygų ar metodikų pasiūlymuose arba 3 dalyje nurodytų planų pasiūlymuose pateikiamas siūlomas jų įgyvendinimo tvarkaraštis ir tikėtino jų poveikio šio reglamento tikslams aprašymas.

5.   ES SSO subjektas gali pateikti atitinkamiems PSO pagrįstą nuomonę likus 3 savaitėms iki nuostatų ir sąlygų ar metodikų arba planų pasiūlymo pateikimo kompetentingoms institucijoms termino. Už nuostatų ir sąlygų ar metodikų arba planų pasiūlymą atsakingi PSO, prieš pateikdami jį tvirtinti kompetentingoms institucijoms, atsižvelgia į ES SSO subjekto pagrįstą nuomonę. Kai į ES SSO subjekto nuomonę neatsižvelgiama, PSO nurodo motyvus.

6.   Kartu rengdami nuostatas, sąlygas bei metodikas ir planus, dalyvaujantys PSO glaudžiai bendradarbiauja. PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, reguliariai informuoja kompetentingas institucijas ir ACER apie nuostatų ir sąlygų ar metodikų arba planų rengimo pažangą.

1.   Kai PSO, priimdami sprendimus dėl nuostatų ir sąlygų arba metodikų pasiūlymų, negali susitarti, jie sprendimą priima kvalifikuota balsų dauguma. Kvalifikuota balsų dauguma balsuojant dėl tokių pasiūlymų apskaičiuojama taip:

2.   Sprendimus dėl 6 straipsnio 2 dalyje išvardytų nuostatų ir sąlygų arba metodikų pasiūlymų blokuojančią mažumą sudaro PSO, atstovaujantys ne mažiau kaip keturioms valstybėms narėms; priešingu atveju laikoma, kad kvalifikuota balsų dauguma pasiekta.

3.   Kai sistemos eksploatavimo regiono PSO, priimdami sprendimus dėl 6 straipsnio 2 dalyje išvardytų planų pasiūlymų, negali susitarti, o atitinkamą sistemos eksploatavimo regioną sudaro daugiau nei penkios valstybės narės, jie sprendimus priima kvalifikuota balsų dauguma. Balsuojant dėl 6 straipsnio 2 dalyje išvardytų pasiūlymų kvalifikuotą balsų daugumą sudaro:

4.   Sprendimus dėl planų pasiūlymų blokuojančią mažumą sudaro bent minimalus skaičius PSO, atstovaujančių daugiau kaip 35 % dalyvaujančių valstybių narių gyventojų, prie jo pridėjus PSO, atstovaujančių bent vienai papildomai susijusiai valstybei narei, skaičių; priešingu atveju laikoma, kad kvalifikuota balsų dauguma pasiekta.

5.   Kai PSO priima sprendimus dėl nuostatų ir sąlygų arba metodikų pasiūlymų pagal 6 straipsnio 2 dalį, kiekvienai valstybei narei skiriamas vienas balsas. Jei valstybės narės teritorijoje yra daugiau nei vienas PSO, balsavimo teises PSO paskirsto valstybė narė.

6.   Jei PSO, bendradarbiaudami su ES SSO subjektu, per šiame reglamente nustatytus terminus atitinkamoms kompetentingoms institucijoms nepateikia pradinio arba iš dalies pakeisto pasiūlymo dėl nuostatų ir sąlygų ar metodikų arba planų, jie toms institucijoms ir ACER pateikia atitinkamus nuostatų ir sąlygų ar metodikų arba planų projektus. Jie paaiškina, kodėl nepavyko pasiekti susitarimo. Kompetentingos institucijos kartu imasi atitinkamų veiksmų, kad būtų priimtos reikiamos nuostatos ir sąlygos ar metodikos arba reikiami planai. Tai gali būti daroma, pvz., prašant iš dalies pakeisti projektus pagal šią dalį, persvarstant ir užbaigiant tuos projektus arba, jei projektų nepateikta, nustatant ir patvirtinant reikiamas nuostatas ir sąlygas ar metodikas arba planus.

1.   PSO nuostatų ir sąlygų ar metodikų arba planų pasiūlymus atitinkamoms kompetentingoms institucijoms pateikia per atitinkamus 18, 23, 29, 33, 34, 35 ir 37 straipsniuose nustatytus terminus. Kompetentingos institucijos gali kartu pratęsti šiuos terminus išskirtinėmis aplinkybėmis, ypač tais atvejais, kai termino laikytis neįmanoma dėl su PSO arba su ES SSO subjektu nesusijusių aplinkybių.

2.   Nuostatų ir sąlygų, metodikų arba planų pasiūlymai pagal 1 dalį pateikiami ACER susipažinti tuo pačiu metu, kaip ir kompetentingoms institucijoms.

3.   NRI bendru prašymu ACER per šešis mėnesius nuo nuostatų ir sąlygų ar metodikų arba planų pasiūlymo gavimo pateikia nuomonę dėl jo ir apie ją praneša NRI ir kompetentingoms institucijoms. NRI, už kibernetinį saugumą atsakingos NKI ir visos kitos kompetentingomis institucijomis paskirtos institucijos tarpusavyje derina savo veiksmus prieš NRI prašant ACER pateikti nuomonę. ACER į tokią nuomonę gali įtraukti rekomendacijas. Prieš pateikdama nuomonę dėl 6 straipsnio 2 dalyje išvardytų pasiūlymų, ACER konsultuojasi su ENISA.

4.   Kompetentingos institucijos konsultuojasi, glaudžiai bendradarbiauja ir koordinuoja veiksmus tarpusavyje, kad pasiektų susitarimą dėl siūlomų nuostatų ir sąlygų, metodikų arba planų. Prieš patvirtindamos nuostatas ir sąlygas ar metodikas arba planus, jos, pasikonsultavusios su ENTSO-E ir ES SSO subjektu, prireikus pataiso ir užbaigia pasiūlymus, siekdamos užtikrinti, kad jie atitiktų šį reglamentą ir padėtų užtikrinti aukštą bendrą kibernetinio saugumo lygį visoje Sąjungoje.

5.   Kompetentingos institucijos sprendimą dėl nuostatų ir sąlygų ar metodikų arba planų priima per šešis mėnesius nuo tada, kai nuostatas ir sąlygas ar metodikas arba planus gauna atitinkama kompetentinga institucija arba, kai taikytina, paskutinė atitinkama kompetentinga institucija.

6.   Kai ACER pateikia nuomonę, atitinkamos kompetentingos institucijos į tą nuomonę atsižvelgia ir priima savo sprendimus per šešis mėnesius nuo ACER nuomonės gavimo.

7.   Jeigu kompetentingos institucijos kartu pareikalauja iš dalies pakeisti siūlomas nuostatas ir sąlygas ar metodikas arba planus, kad juos patvirtintų, PSO, bendradarbiaudami su ES SSO subjektu, parengia pasiūlymą dėl tokio nuostatų ir sąlygų ar metodikų arba planų keitimo. PSO iš dalies pakeistą pasiūlymą pateikia tvirtinti per du mėnesius nuo kompetentingų institucijų prašymo gavimo. Kompetentingos institucijos sprendimą dėl iš dalies pakeistų nuostatų ir sąlygų ar metodikų arba planų priima per du mėnesius nuo jų pateikimo.

8.   Jei per 5 arba 7 dalyje nurodytą laikotarpį kompetentingoms institucijoms susitarti nepavyksta, jos apie tai praneša Komisijai. Komisija gali imtis tinkamų veiksmų, kad būtų galima patvirtinti reikiamas nuostatas ir sąlygas ar metodikas arba planus.

9.   PSO, padedami ENTSO-E ir ES SSO subjekto, savo interneto svetainėse paskelbia nuostatas ir sąlygas ar metodikas arba planus, kai juos patvirtina atitinkamos kompetentingos institucijos, išskyrus atvejus, kai pagal 47 straipsnį tokia informacija laikoma konfidencialia.

10.   Kompetentingos institucijos gali kartu prašyti PSO ir ES SSO subjekto pateikti pasiūlymus iš dalies pakeisti patvirtintas nuostatas ir sąlygas ar metodikas arba patvirtintus planus ir nustatyti tų pasiūlymų pateikimo terminą. PSO, bendradarbiaudami su ES SSO subjektu, gali siūlyti pakeitimus kompetentingoms institucijoms ir savo iniciatyva. Pasiūlymai iš dalies pakeisti nuostatas ir sąlygas ar metodikas arba planus rengiami ir tvirtinami šiame straipsnyje nustatyta tvarka.

11.   Bent kas trejus metus nuo pirmojo atitinkamų nuostatų ir sąlygų arba metodikų arba atitinkamų planų patvirtinimo PSO, bendradarbiaudami su ES SSO subjektu, peržiūri patvirtintų nuostatų ir sąlygų ar metodikų arba planų veiksmingumą ir nepagrįstai nedelsdami praneša peržiūros išvadas kompetentingoms institucijoms ir ACER.

1.   PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, konsultuojasi su suinteresuotaisiais subjektais, įskaitant ACER, ENISA ir kiekvienos valstybės narės kompetentingą instituciją, dėl 6 straipsnio 2 dalyje išvardytų nuostatų ir sąlygų arba metodikų ir 6 straipsnio 3 dalyje nurodytų planų pasiūlymų projektų. Konsultacijos trunka ne trumpiau kaip vieną mėnesį.

2.   6 straipsnio 2 dalyje išvardytų nuostatų ir sąlygų arba metodikų pasiūlymai, kuriuos PSO pateikia bendradarbiaudami su ES SSO subjektu, skelbiami ir pateikiami konsultuotis Sąjungos lygmeniu. 6 straipsnio 3 dalyje nurodytų planų pasiūlymai, kuriuos PSO pateikia bendradarbiaudami su ES SSO subjektu, pateikiami konsultuotis bent regiono lygmeniu.

3.   PSO, padedami ENTSO-E, ir ES SSO subjektas, atsakingas už nuostatų ir sąlygų ar metodikų arba planų pasiūlymą, prieš pateikdami jį tvirtinti reguliavimo institucijoms, tinkamai atsižvelgia į suinteresuotųjų subjektų nuomones, pareikštas per konsultacijas, surengtas pagal 1 dalį. Visais atvejais kartu su pasiūlymu pateikiamas ir laiku (prieš paskelbiant nuostatų ir sąlygų arba metodikų pasiūlymą arba tuo pačiu metu) paskelbiamas tvirtas sprendimo atsižvelgti arba neatsižvelgti į konsultacijų metu pareikštas nuomones pagrindimas.

1.   PSO ir SSO, kuriems taikomas tinklo tarifų reguliavimas, vykdant šiame reglamente nustatytas pareigas patiriamas išlaidas, įskaitant ENTSO-E ir ES SSO subjekto išlaidas, įvertina atitinkama kiekvienos valstybės narės NRI.

2.   Išlaidos, įvertintos kaip pagrįstos, veiksmingos ir proporcingos, susigrąžinamos taikant tinklo tarifus ar kitus tinkamus mechanizmus, kuriuos nustato atitinkama NRI.

3.   Atitinkamų NRI prašymu 1 dalyje nurodyti PSO ir SSO per NRI nustatytą pagrįstą laikotarpį pateikia informaciją, reikalingą patirtoms išlaidoms įvertinti.

1.   ACER stebi šio reglamento įgyvendinimą pagal Reglamento (ES) 2019/943 32 straipsnio 1 dalį ir Reglamento (ES) 2019/942 4 straipsnio 2 dalį. Vykdydama šią stebėseną ACER gali bendradarbiauti su ENISA ir prašyti ENTSO-E ir ES SSO subjekto paramos. ACER apie šio reglamento įgyvendinimą reguliariai informuoja Elektros energijos srities veiklos koordinavimo grupę ir TIS bendradarbiavimo grupę.

2.   ACER bent kas trejus metus nuo šio reglamento įsigaliojimo skelbia ataskaitą, kurioje:

3.   Iki 2025 m. birželio 13 d. ACER, bendradarbiaudama su ENISA ir pasikonsultavusi su ENTSO-E ir ES SSO subjektu, gali paskelbti gaires dėl ACER praneštinos stebėsenai vykdyti reikalingos informacijos, taip pat dėl jos rinkimo proceso ir dažnumo, grindžiamų pagal 5 dalį apibrėžtais veiklos rodikliais.

4.   Kompetentingos institucijos gali susipažinti su atitinkama ACER turima informacija, kurią ji surinko pagal šį straipsnį.

5.   ACER, bendradarbiaudama su ENISA ir padedama ENTSO-E ir ES SSO subjekto, paskelbia su tarpvalstybinių elektros energijos srautų kibernetinio saugumo aspektais susijusius neprivalomus veiklos rodiklius veiklos patikimumui įvertinti.

6.   Šio reglamento 2 straipsnio 1 dalyje išvardyti subjektai pateikia ACER informaciją, kurios ACER reikia 2 dalyje išvardytoms užduotims atlikti.

1.   Iki 2025 m. birželio 13 d. ACER, bendradarbiaudama su ENISA, parengia neprivalomą kibernetinio saugumo lyginamosios analizės vadovą. Vadove NRI paaiškinami pagal šio straipsnio 2 dalį atliekamos įgyvendintų kibernetinio saugumo kontrolės priemonių lyginamosios analizės principai, atsižvelgiant į kontrolės įgyvendinimo sąnaudas ir tokiai kontrolei įgyvendinti naudojamų procesų, produktų, paslaugų, sistemų ir sprendinių funkcijų veiksmingumą. ACER, rengdama neprivalomą kibernetinio saugumo lyginamosios analizės vadovą, atsižvelgia į esamas lyginamosios analizės ataskaitas. Neprivalomą kibernetinio saugumo lyginamosios analizės vadovą ACER pateikia susipažinti NRI.

2.   Per 12 mėnesių nuo lyginamosios analizės vadovo parengimo pagal 1 dalį NRI atlieka lyginamąją analizę, kad įvertintų, ar dabartinės investicijos į kibernetinį saugumą:

3.   Atlikdamos lyginamąją analizę, NRI gali atsižvelgti į ACER parengtą neprivalomą kibernetinio saugumo lyginamosios analizės vadovą ir visų pirma įvertina:

4.   Visa su lyginamąja analize susijusi informacija tvarkoma ir apdorojama laikantis šiame reglamente nustatytų duomenų klasifikavimo reikalavimų, būtinosios kibernetinio saugumo kontrolės priemonių ir vadovaujantis tarpvalstybinių elektros energijos srautų kibernetinio saugumo rizikos vertinimo ataskaita. 2 ir 3 dalyse nurodyta lyginamoji analizė viešai neskelbiama.

5.   Nedarant poveikio 47 straipsnyje išdėstytiems konfidencialumo reikalavimams ir būtinybei užtikrinti subjektų, kuriems taikomos šio reglamento nuostatos, saugumą, šio straipsnio 2 ir 3 dalyse nurodyta lyginamąja analize dalijamasi su visomis NRI, visomis kompetentingomis institucijomis, ACER, ENISA ir Komisija.

1.   Per 18 mėnesių nuo šio reglamento įsigaliojimo trečiosios valstybės kaimynystėje esančio sistemos eksploatavimo regiono PSO stengiasi su kaimyninės trečiosios valstybės PSO sudaryti susitarimus, kurie atitiktų aktualią Sąjungos teisę ir kuriuose būtų nustatytas bendradarbiavimo su tais PSO kibernetiniam saugumui užtikrinti pagrindas ir bendradarbiavimo kibernetinio saugumo srityje tvarka.

2.   Apie susitarimus, sudarytus pagal 1 dalį, PSO informuoja kompetentingą instituciją.

1.   Subjektai, kurie nėra įsisteigę Sąjungoje, bet teikia paslaugas subjektams Sąjungoje ir kuriems pagal 24 straipsnio 6 dalį pranešta, kad jie yra didelio poveikio arba ypatingos svarbos poveikio subjektai, per tris mėnesius nuo to pranešimo gavimo raštu paskiria atstovą Sąjungoje ir apie tai informuoja pranešusiąją kompetentingą instituciją.

2.   Šis įgaliotasis atstovas paskiriamas tam, kad bet kuri kompetentinga institucija arba CSIRT Sąjungoje dėl didelio poveikio ar ypatingos svarbos poveikio subjekto pareigų pagal šį reglamentą galėtų kreiptis ne tik į patį didelio poveikio ar ypatingos svarbos poveikio subjektą, bet ir į jo atstovą arba tik į atstovą. Didelio poveikio arba ypatingos svarbos poveikio subjektas savo teisiniam atstovui suteikia reikiamus įgaliojimus ir pakankamus išteklius, kad būtų užtikrintas veiksmingas ir savalaikis bendradarbiavimas su atitinkamomis kompetentingomis institucijomis arba CSIRT.

3.   Atstovas turi būti įsisteigęs vienoje iš valstybių narių, kuriose subjektas siūlo savo paslaugas. Toks subjektas laikomas priklausančiu valstybės narės, kurioje yra įsisteigęs jo atstovas, jurisdikcijai. Didelio poveikio arba ypatingos svarbos poveikio subjektai savo teisinio atstovo vardą ir pavardę (pavadinimą), pašto adresą, e. pašto adresą ir telefono numerį nurodo valstybės narės, kurioje tas teisinis atstovas gyvena ar yra įsisteigęs, kompetentingai institucijai.

4.   Paskirtą teisinį atstovą turi būti galima laikyti atsakingu dėl pareigų pagal šį reglamentą nevykdymo, nedarant poveikio paties didelio poveikio arba ypatingos svarbos poveikio subjekto atsakomybei ir teisiniams veiksmams, kurie gali būti inicijuojami prieš jį.

5.   Jei Sąjungoje nėra pagal šį straipsnį paskirto atstovo, bet kuri valstybė narė, kurioje subjektas teikia paslaugas, gali imtis teisinių veiksmų prieš subjektą dėl šiame reglamente nustatytų pareigų nevykdymo.

6.   Teisinio atstovo paskyrimas Sąjungoje pagal 1 dalį neprilyginamas įsisteigimui Sąjungoje.

1.   ENTSO-E ir ES SSO subjektas bendradarbiauja atlikdami kibernetinio saugumo rizikos vertinimus pagal 19 ir 21 straipsnius ir visų pirma vykdydami šias užduotis:

2.   ENTSO-E ir ES SSO subjekto bendradarbiavimas gali būti vykdomas kibernetinio saugumo rizikos darbo grupės forma.

3.   ENTSO-E ir ES SSO subjektas reguliariai informuoja ACER, ENISA, TIS bendradarbiavimo grupę ir Elektros energijos srities veiklos koordinavimo grupę apie pažangą, padarytą įgyvendinant Sąjungos masto ir regioninius kibernetinio saugumo rizikos vertinimus pagal 19 ir 21 straipsnius.

1.   Iki 2025 m. skovo 13 d. PSO, padedami ENTSO-E, bendradarbiaudami su ES SSO subjektu ir pasikonsultavę su TIS bendradarbiavimo grupe, pateikia Sąjungos, regioninio ir valstybių narių lygmens kibernetinio saugumo rizikos vertinimo metodikų pasiūlymus.

2.   Į Sąjungos, regioninio ir valstybių narių lygmens kibernetinio saugumo rizikos vertinimo metodikas įtraukiama:

3.   Sąjungos, regioninio ir valstybių narių lygmens kibernetinio saugumo rizikos vertinimo metodikose kibernetinio saugumo rizika vertinama pagal tą pačią rizikos poveikio matricą. Rizikos poveikio matricoje:

4.   Sąjungos lygmens kibernetinio saugumo rizikos vertinimo metodikose aprašoma, kaip bus nustatytos didelio poveikio ir ypatingos svarbos poveikio slenksčių KIPEI vertės. KIPEI turi užtikrinti galimybę subjektams įvertinti rizikos poveikį savo veiklos procesui pagal 2 dalies b punkte nurodytus kriterijus, atliekant poveikio veiklai vertinimus pagal 26 straipsnio 4 dalies c punkto i papunktį.

5.   ENTSO-E, koordinuodamas veiksmus su ES SSO subjektu, informuoja Elektros energijos srities veiklos koordinavimo grupę apie kibernetinio saugumo rizikos vertinimo metodikų, parengtų pagal 1 dalį, pasiūlymus.

1.   Per 9 mėnesius nuo kibernetinio saugumo rizikos vertinimo metodikų patvirtinimo pagal 8 straipsnį ir vėliau kas trejus metus ENTSO-E, bendradarbiaudamas su ES SSO subjektu ir konsultuodamasis su TIS bendradarbiavimo grupe, atlieka, nedarant poveikio Direktyvos (ES) 2022/2555 22 straipsnio taikymui, Sąjungos masto kibernetinio saugumo rizikos vertinimą ir parengia Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitos projektą. Šiuo tikslu jie naudoja metodikas, parengtas pagal 18 straipsnį ir patvirtintas pagal 8 straipsnį, kad nustatytų, išanalizuotų ir įvertintų galimus kibernetinių išpuolių, veikiančių elektros energijos sistemos eksploatavimo saugumą ir sutrikdančių tarpvalstybinius elektros energijos srautus, padarinius. Atliekant Sąjungos masto kibernetinio saugumo rizikos vertinimą neatsižvelgiama į kibernetinių išpuolių teisinę, finansinę žalą ar žalą reputacijai.

2.   Į Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitą įtraukiami šie elementai:

3.   Aptariant Sąjungos masto didelio poveikio procesus ir Sąjungos masto ypatingos svarbos poveikio procesus, Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitoje pateikiama:

4.   ENTSO-E, bendradarbiaudamas su ES SSO subjektu, Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitos projektą su Sąjungos masto kibernetinio saugumo rizikos vertinimo rezultatais pateikia ACER, kad ji pareikštų savo nuomonę. ACER nuomonę dėl ataskaitos projekto pateikia per tris mėnesius nuo jo gavimo. ENTSO-E ir ES SSO subjektas, rengdami galutinę tos ataskaitos redakciją, kuo labiau atsižvelgia į ACER nuomonę.

5.   Per tris mėnesius nuo ACER nuomonės gavimo ENTSO-E, bendradarbiaudamas su ES SSO subjektu, galutinę Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitą pateikia ACER, Komisijai, ENISA ir kompetentingoms institucijoms.

1.   Kiekviena kompetentinga institucija atlieka valstybės narės kibernetinio saugumo rizikos visiems didelio poveikio ir ypatingos svarbos poveikio subjektams vertinimą pagal metodikas, parengtas pagal 18 straipsnį ir patvirtintas pagal 8 straipsnį. Valstybės narės kibernetinio saugumo rizikos vertinime identifikuojama ir analizuojama kibernetinių išpuolių, paveikiančių elektros energijos sistemos eksploatavimo saugumą ir sutrikdančių tarpvalstybinius elektros energijos srautus, rizika. Atliekant valstybės narės kibernetinio saugumo rizikos vertinimą neatsižvelgiama į kibernetinių išpuolių teisinę, finansinę žalą ar žalą reputacijai.

2.   Per 21 mėnesį nuo pranešimo apie didelio poveikio ir ypatingos svarbos poveikio subjektus pagal 24 straipsnio 6 dalį ir po to kas trejus metus, pasikonsultavusi su už elektros energijos srautų kibernetinį saugumą atsakinga NKI, kiekviena kompetentinga institucija, padedama CSIRT, pateikia ENTSO-E ir ES SSO subjektui valstybės narės kibernetinio saugumo rizikos vertinimo ataskaitą, kurioje pateikiama ši informacija apie kiekvieną didelio poveikio ir ypatingos svarbos poveikio veiklos procesą:

3.   Valstybės narės kibernetinio saugumo rizikos vertinimo ataskaitoje atsižvelgiama į valstybės narės pasirengimo valdyti riziką planą, parengtą pagal Reglamento (ES) 2019/941 10 straipsnį.

4.   Valstybės narės kibernetinio saugumo rizikos vertinimo ataskaitoje pagal 2 dalies a–d punktus pateikiama informacija nesiejama su konkrečiais subjektais ar turtu. Į valstybės narės kibernetinio saugumo rizikos vertinimo ataskaitą įtraukiamas ir laikinų nukrypti leidžiančių nuostatų, kurias valstybių narių kompetentingos institucijos leido taikyti pagal 30 straipsnį, rizikos vertinimas.

5.   ENTSO-E ir ES SSO subjektas gali prašyti kompetentingų institucijų pateikti papildomos informacijos, susijusios su 2 dalies a ir c punktuose nurodytomis užduotimis.

6.   Kompetentingos institucijos užtikrina, kad jų teikiama informacija būtų tiksli ir teisinga.

1.   ENTSO-E, bendradarbiaudamas su ES SSO subjektu ir konsultuodamasis su atitinkamu regioniniu koordinavimo centru, atlieka kiekvieno sistemos eksploatavimo regiono kibernetinio saugumo rizikos vertinimą pagal metodikas, parengtas pagal 19 straipsnį ir patvirtintas pagal 8 straipsnį, kad identifikuotų, išanalizuotų ir įvertintų kibernetinių išpuolių, paveikiančių elektros energijos sistemos eksploatavimo saugumą ir sutrikdančių tarpvalstybinius elektros energijos srautus, riziką. Atliekant regioninius kibernetinio saugumo rizikos vertinimus neatsižvelgiama į kibernetinių išpuolių teisinę, finansinę žalą ar žalą reputacijai.

2.   Per 30 mėnesių nuo pranešimo apie didelio poveikio ir ypatingos svarbos poveikio subjektus pagal 24 straipsnio 6 dalį ir po to kas trejus metus ENTSO-E, bendradarbiaudamas su ES SSO subjektu ir konsultuodamasis su TIS bendradarbiavimo grupe, parengia kiekvieno sistemos eksploatavimo regiono kibernetinio saugumo rizikos vertinimo ataskaitą.

3.   Regioninio kibernetinio saugumo rizikos vertinimo ataskaitoje atsižvelgiama į aktualią informaciją, pateiktą Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitose ir valstybių narių kibernetinio saugumo rizikos vertinimo ataskaitose.

4.   Atliekant regioninį kibernetinio saugumo rizikos vertinimą atsižvelgiama į regioninius su kibernetiniu saugumu susijusius elektros energijos sektoriaus krizės scenarijus, nustatytus pagal Reglamento (ES) 2019/941 6 straipsnį.

1.   Per 36 mėnesius nuo pranešimo apie didelio poveikio ir ypatingos svarbos poveikio subjektus pagal 24 straipsnio 6 dalį ir ne vėliau kaip 2031 m. birželio 13 d., o po to kas trejus metus PSO, padedami ENTSO-E, bendradarbiaudami su ES SSO subjektu ir konsultuodamiesi su regioniniais koordinavimo centrais ir TIS bendradarbiavimo grupe, parengia kiekvieno sistemos eksploatavimo regiono kibernetinio saugumo rizikos mažinimo planą.

2.   Į regioninius kibernetinio saugumo rizikos mažinimo planus įtraukiama:

3.   ENTSO-E regioninius rizikos mažinimo planus pateikia atitinkamiems perdavimo sistemos operatoriams, kompetentingoms institucijoms ir Elektros energijos srities veiklos koordinavimo grupei. Elektros energijos srities veiklos koordinavimo grupė gali rekomenduoti pakeitimų.

4.   PSO, padedami ENTSO-E, bendradarbiaudami su ES SSO subjektu ir pasikonsultavę su TIS bendradarbiavimo grupe, atnaujina regioninius rizikos mažinimo planus kas trejus metus, nebent dėl aplinkybių juos reikėtų atnaujinti dažniau.

1.   Per 40 mėnesių nuo pranešimo apie didelio poveikio ir ypatingos svarbos poveikio subjektus pagal 24 straipsnio 6 dalį, o vėliau kas trejus metus PSO, padedami ENTSO-E, bendradarbiaudami su ES SSO subjektu ir pasikonsultavę su TIS bendradarbiavimo grupe, pateikia Elektros energijos srities veiklos koordinavimo grupei tarpvalstybinių elektros energijos srautų kibernetinio saugumo rizikos vertinimo rezultatų ataskaitą (toliau – išsamaus tarpvalstybinių elektros energijos srautų kibernetinio saugumo rizikos vertinimo ataskaita).

2.   Išsamaus tarpvalstybinių elektros energijos srautų kibernetinio saugumo rizikos vertinimo ataskaita grindžiama Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaita, valstybių narių kibernetinio saugumo rizikos vertinimo ataskaitomis ir regioninio kibernetinio saugumo rizikos vertinimo ataskaitomis ir joje pateikiama ši informacija:

3.   2 straipsnio 1 dalyje išvardyti subjektai gali padėti rengti išsamaus tarpvalstybinių elektros energijos srautų kibernetinio saugumo rizikos vertinimo ataskaitą, užtikrindami informacijos konfidencialumą pagal 47 straipsnį. PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, konsultuojasi su šiais subjektais nuo ankstyvojo etapo.

4.   Išsamaus tarpvalstybinių elektros energijos srautų kibernetinio saugumo rizikos vertinimo ataskaitai galioja informacijos, kuria keičiamasi, apsaugos taisyklės pagal 46 straipsnį. Nedarant poveikio 10 straipsnio 4 dalies ir 47 straipsnio 4 dalies taikymui, ENTSO-E ir ES SSO subjektas parengia viešą tos ataskaitos versiją, kurioje nėra informacijos, galinčios padaryti žalą 2 straipsnio 1 dalyje išvardytiems subjektams. Viešoji šios ataskaitos versija skelbiama tik gavus TIS bendradarbiavimo grupės ir Elektros energijos srities veiklos koordinavimo grupės sutikimą. ENTSO-E, koordinuodamas veiksmus su ES SSO subjektu, atsako už ataskaitos viešosios versijos parengimą ir paskelbimą.

1.   Kiekviena kompetentinga institucija, naudodamasi KIPEI ir didelio poveikio ir ypatingos svarbos poveikio slenksčiais, įtrauktais į Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitą pagal 19 straipsnio 3 dalies b punktą, identifikuoja didelio poveikio ir ypatingos svarbos poveikio subjektus savo valstybėje narėje, dalyvaujančius Sąjungos masto didelio poveikio ir ypatingos svarbos poveikio procesuose. Kompetentingos institucijos gali prašyti informacijos iš savo valstybėje narėje veikiančio subjekto, kad galėtų nustatyti jo KIPEI vertes. Jei nustatytas subjekto KIPEI viršija didelio poveikio arba ypatingos svarbos poveikio slenkstį, tas subjektas įtraukiamas į 20 straipsnio 2 dalyje nurodytoje valstybės narės kibernetinio saugumo rizikos vertinimo ataskaitoje pateikiamą sąrašą.

2.   Kiekviena kompetentinga institucija, naudodamasi KIPEI ir didelio poveikio ir ypatingos svarbos poveikio slenksčiais, įtrauktais į Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitą pagal 19 straipsnio 3 dalies b punktą, identifikuoja didelio poveikio ir ypatingos svarbos poveikio subjektus, kurie nėra įsisteigę Sąjungoje, bet joje veikia. Kompetentinga institucija gali prašyti informacijos iš Sąjungoje neįsisteigusio subjekto, kad galėtų nustatyti jo KIPEI vertes.

3.   Kiekviena kompetentinga institucija gali identifikuoti papildomus subjektus savo valstybėje narėje kaip didelio poveikio arba ypatingos svarbos poveikio subjektus, jei jie atitinka šiuos kriterijus:

4.   Jei kompetentinga institucija pagal 3 dalį identifikuoja papildomus subjektus, visi šių subjektų vykdomi procesai, kurių visos grupės suvestinis KIPEI viršija didelio poveikio slenkstį, laikomi didelio poveikio procesais, o visi šių subjektų vykdomi procesai, kurių visos grupės suvestiniai KIPEI viršija ypatingos svarbos poveikio slenkstį, laikomi ypatingos svarbos poveikio procesais.

5.   Jei kompetentinga institucija identifikuoja 3 dalies a punkte nurodytus subjektus daugiau nei vienoje valstybėje narėje, ji informuoja kitas kompetentingas institucijas, ENTSO-E ir ES SSO subjektą. ENTSO-E, bendradarbiaudamas su ES SSO subjektu ir remdamasis iš visų kompetentingų institucijų gauta informacija, kompetentingoms institucijoms pateikia daugiau nei vienoje valstybėje narėje veikiančių subjektų santalkos, dėl kurios ne viename taške gali sutrikti tarpvalstybiniai elektros energijos srautai ir į kurią gali būti nukreiptas kibernetinis išpuolis, analizę. Jeigu kelių valstybių narių subjektų grupė identifikuojama kaip santalka, kurios KIPEI viršija didelio poveikio arba ypatingos svarbos poveikio slenkstį, visos susijusios kompetentingos institucijos, remdamosi suvestiniu subjektų grupės KIPEI, tokiai grupei priklausančius subjektus identifikuoja kaip didelio poveikio arba ypatingos svarbos poveikio subjektus atitinkamoje valstybėje narėje ir tie subjektai įtraukiami į Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitą.

6.   Kiekviena kompetentinga institucija per devynis mėnesius nuo ENTSO-E ir ES SSO subjekto pranešimo apie Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitą pagal 19 straipsnio 5 dalį ir bet kuriuo atveju ne vėliau kaip 2028 m. birželio 13 d. praneša į sąrašą įtrauktiems subjektams, kad jie identifikuoti kaip didelio poveikio arba ypatingos svarbos poveikio subjektai jos valstybėje narėje.

7.   Kai kompetentingai institucijai pagal 27 straipsnio c punktą pranešama, kad paslaugų teikėjas yra ypatingos svarbos IRT paslaugų teikėjas, ta kompetentinga institucija apie tai praneša valstybių narių, kurių teritorijoje yra būstinė arba atstovas, kompetentingoms institucijoms. Pastaroji kompetentinga institucija praneša paslaugų teikėjui, kad jis identifikuotas kaip ypatingos svarbos paslaugų teikėjas.

1.   Kompetentingos institucijos gali nustatyti nacionalinę patikros schemą, skirtą patikrinti, ar pagal 24 straipsnio 1 dalį identifikuoti ypatingos svarbos poveikio subjektai įgyvendino nacionalinės teisės aktų sistemą, įtrauktą į 34 straipsnyje nurodytą atitikties matricą. Nacionalinė patikros schema gali būti grindžiama kompetentingos institucijos atliekamu patikrinimu, nepriklausomais saugumo auditais arba tos pačios valstybės narės ypatingos svarbos poveikio subjektų tarpusavio vertinimais, atliekamais prižiūrint kompetentingai institucijai.

2.   Jei kompetentinga institucija nusprendžia nustatyti nacionalinę patikros schemą, ta kompetentinga institucija užtikrina, kad patikra būtų atliekama laikantis šių reikalavimų:

3.   Jei kompetentinga institucija nusprendžia nustatyti nacionalinę patikros schemą, ji kasmet praneša ACER, kaip dažnai atliko patikrinimus pagal tą schemą.

1.   Kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas, kurį kompetentingos institucijos identifikavo pagal 24 straipsnio 1 dalį, valdo viso savo turto kibernetinio saugumo riziką savo didelio poveikio ir ypatingos svarbos poveikio perimetruose. Kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas kas trejus metus atlieka rizikos valdymą, kurį sudaro 2 dalyje nurodyti etapai.

2.   Kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas savo kibernetinio saugumo rizikos valdymą grindžia metodu, kuriuo apsaugomos jo tinklų ir informacinės sistemos; rizikos valdymą sudaro šie etapai:

3.   Konteksto nustatymo etapu kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas:

4.   Kibernetinio saugumo rizikos vertinimo etapu kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas:

5.   Veiksmų su kibernetinio saugumo rizika etapu kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas parengia subjekto lygmens rizikos mažinimo planą, pasirinkdamas veiksmų su rizika galimybes, tinkamas rizikai valdyti ir liekamajai rizikai nustatyti.

6.   Kibernetinio saugumo rizikos priėmimo etapu kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas nusprendžia, ar priimti liekamąją riziką, remdamasis pagal 3 dalies b punktą nustatytais rizikos priimtinumo kriterijais.

7.   Kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas 1 dalyje nurodytą turtą registruoja turto inventoriuje. Tas turto inventorius nėra rizikos vertinimo ataskaitos dalis.

8.   Kompetentinga institucija patikrinimų metu gali tikrinti inventoriuje nurodytą turtą.

1.   Bendrą elektros energijos srautų kibernetinio saugumo sistemą sudaro šios kontrolės priemonės ir kibernetinio saugumo valdymo sistema:

2.   Visi didelio poveikio subjektai savo didelio poveikio perimetre taiko būtinosios kibernetinio saugumo kontrolės priemones pagal 1 dalies a punktą.

3.   Visi ypatingos svarbos poveikio subjektai savo ypatingos svarbos poveikio perimetre taiko sustiprintos kibernetinio saugumo kontrolės priemones pagal 1 dalies b punktą.

4.   Per 7 mėnesius nuo pirmosios Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 19 straipsnio 4 dalį 1 dalyje nurodyta bendra elektros energijos srautų kibernetinio saugumo sistema papildoma būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonėmis tiekimo grandinėje, parengtomis pagal 33 straipsnį.

1.   Per 7 mėnesius nuo pirmosios Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 19 straipsnio 4 dalį PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, parengia būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių pasiūlymą.

2.   Per 6 mėnesius nuo kiekvienos regioninio kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 21 straipsnio 2 dalį PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, pasiūlo kompetentingai institucijai būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių pakeitimus. Pasiūlymas pateikiamas pagal 8 straipsnio 10 dalį ir jame atsižvelgiama į riziką, identifikuotą regioniniame rizikos vertinime.

3.   Būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemones turi būti įmanoma patikrinti dalyvaujant nacionalinėje patikros schemoje pagal 31 straipsnyje nustatytą procedūrą arba pavedant trečiajai šaliai atlikti nepriklausomą saugumo auditą, atitinkantį 25 straipsnio 2 dalyje išvardytus reikalavimus.

4.   Pagal 1 dalį parengtos pradinės būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonės grindžiamos rizika, identifikuota 19 straipsnio 5 dalyje nurodytoje Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitoje. Pagal 2 dalį parengtos būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonės iš dalies keičiamos remiantis 21 straipsnio 2 dalyje nurodyta regioninio kibernetinio saugumo rizikos vertinimo ataskaita.

5.   Būtinosios kibernetinio saugumo kontrolės priemonės apima kontrolės priemones informacijai, kuria keičiamasi pagal 46 straipsnį, apsaugoti.

6.   Per 12 mėnesių po būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių patvirtinimo pagal 8 straipsnio 5 dalį arba po kiekvieno jų atnaujinimo pagal 8 straipsnio 10 dalį 2 straipsnio 1 dalyje išvardyti subjektai, pagal 24 straipsnį identifikuoti kaip ypatingos svarbos poveikio ir didelio poveikio subjektai, subjekto lygmens rizikos mažinimo plano rengimo pagal 26 straipsnio 5 dalį metu didelio poveikio perimetre pradeda taikyti būtinosios kibernetinio saugumo kontrolės priemones, o ypatingos svarbos poveikio perimetre – sustiprintos kibernetinio saugumo kontrolės priemones.

1.   2 straipsnio 1 dalyje išvardyti subjektai gali prašyti atitinkamos kompetentingos institucijos leisti nukrypti nuo pareigos taikyti 29 straipsnio 6 dalyje nurodytas būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemones. Kompetentinga institucija gali leisti pasinaudoti tokia nukrypti leidžiančia nuostata dėl vienos iš šių priežasčių:

2.   Per tris mėnesius nuo 1 dalyje nurodyto prašymo gavimo kiekviena kompetentinga institucija nusprendžia, ar leisti pasinaudoti nuo reikalavimo taikyti būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemones nukrypti leidžiančia nuostata. Leidimas pasinaudoti nuo reikalavimo taikyti būtinosios arba sustiprintos kibernetinio saugumo kontrolės priemones nukrypti leidžiančia nuostata suteikiamas ne ilgiau kaip trejiems metams su galimybe jį pratęsti.

3.   Apibendrinta ir suanoniminta informacija apie leidimus pasinaudoti nukrypti leidžiančiomis nuostatomis įtraukiama kaip priedas į 23 straipsnyje nurodytą išsamaus tarpvalstybinių elektros energijos srautų kibernetinio saugumo rizikos vertinimo ataskaitą. Prireikus ENTSO-E ir ES SSO subjektas kartu atnaujina sąrašą.

1.   Ne vėliau kaip praėjus 24 mėnesiams nuo 28 straipsnio 1 dalies a, b ir c punktuose nurodytų kontrolės priemonių patvirtinimo ir to straipsnio d punkte nurodytos kibernetinio saugumo valdymo sistemos sukūrimo kiekvienas pagal 24 straipsnio 1 dalį identifikuotas ypatingos svarbos poveikio subjektas kompetentingos institucijos prašymu turi gebėti įrodyti, kad laikosi kibernetinio saugumo valdymo sistemos ir būtinosios arba sustiprintos kibernetinio saugumo kontrolės priemonių.

2.   Kiekvienas ypatingos svarbos poveikio subjektas vykdo 1 dalyje nurodytą pareigą pavesdamas trečiajai šaliai atlikti nepriklausomą saugumo auditą, atitinkantį 25 straipsnio 2 dalyje išvardytus reikalavimus, arba dalyvaudamas nacionalinėje patikros schemoje pagal 25 straipsnio 1 dalį.

3.   Patikra, ar ypatingos svarbos poveikio subjektas laikosi kibernetinio saugumo valdymo sistemos ir būtinosios arba sustiprintos kibernetinio saugumo kontrolės priemonių, apima visą turtą, kurį apima ypatingos svarbos poveikio subjekto ypatingos svarbos poveikio perimetras.

4.   Patikra, ar ypatingos svarbos poveikio subjektas laikosi kibernetinio saugumo valdymo sistemos ir būtinosios arba sustiprintos kibernetinio saugumo kontrolės priemonių, pakartojama ne vėliau kaip praėjus 36 mėnesiams po pirmosios patikros ir po to reguliariai kartojama kas trejus metus.

5.   Kiekvienas pagal 24 straipsnį identifikuotas ypatingos svarbos poveikio subjektas įrodo, kad laikosi 28 straipsnio 1 dalies a, b ir c punktuose nurodytų kontrolės priemonių ir yra sukūręs to straipsnio d punkte nurodytą kibernetinio saugumo valdymo sistemą, kompetentingai institucijai pranešdamas atitikties patikros rezultatus.

1.   Per 24 mėnesius nuo kompetentingos institucijos pranešimo, kad pagal 24 straipsnio 6 dalį subjektas identifikuotas kaip didelio poveikio arba ypatingos svarbos poveikio subjektas, kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas sukuria kibernetinio saugumo valdymo sistemą ir po to ją kas trejus metus peržiūri, siekdamas:

2.   Kibernetinio saugumo valdymo sistemos taikymo sritis apima visą turtą didelio poveikio ir ypatingos svarbos poveikio subjekto didelio poveikio ir ypatingos svarbos poveikio perimetre.

3.   Kompetentingos institucijos, neprimesdamos ir nediskriminuodamos tam tikros rūšies technologijų naudojimo, skatina naudoti Europos ar tarptautinius standartus ir specifikacijas, susijusias su valdymo sistemomis ir aktualias tinklų ir informacinių sistemų saugumui.

1.   Per 7 mėnesius nuo pirmosios Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 19 straipsnio 4 dalį PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, parengia pasiūlymą dėl būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių tiekimo grandinėje, kuriomis būtų mažinama rizika tiekimo grandinėje, identifikuota atliekant Sąjungos masto kibernetinio saugumo rizikos vertinimus, ir kurios papildytų pagal 29 straipsnį parengtas būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemones. Būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonės tiekimo grandinėje rengiamos kartu su būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonėmis pagal 29 straipsnį. Būtinoji ir sustiprinta kibernetinio saugumo kontrolė tiekimo grandinėje apima visą visų IRT produktų, paslaugų ir procesų gyvavimo ciklą didelio poveikio arba ypatingos svarbos poveikio subjekto didelio poveikio arba ypatingos svarbos poveikio perimetruose. Rengiant pasiūlymą dėl būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių tiekimo grandinėje konsultuojamasi su TIS bendradarbiavimo grupe.

2.   Būtinąją kibernetinio saugumo kontrolę tiekimo grandinėje sudaro didelio poveikio ir ypatingos svarbos poveikio subjektų kontrolės priemonės:

3.   Kibernetinio saugumo viešojo pirkimo rekomendacijoje, nurodytoje 2 dalies a punkte, kibernetinio saugumo specifikacijoms didelio poveikio arba ypatingos svarbos poveikio subjektai taiko Europos Parlamento ir Tarybos direktyvoje 2014/24/ES (19) nustatytus viešųjų pirkimų principus pagal 35 straipsnio 4 dalį arba nustato savo specifikacijas, remdamiesi subjekto lygmens kibernetinio saugumo rizikos vertinimo rezultatais.

4.   Sustiprintos kibernetinio saugumo kontrolės priemonės tiekimo grandinėje apima ypatingos svarbos poveikio subjektų kontrolės priemones, kuriomis siekiama viešojo pirkimo metu patikrinti, ar IRT produktai, paslaugos ir procesai, kurie bus naudojami kaip ypatingos svarbos poveikio turtas, atitinka kibernetinio saugumo specifikacijas. IRT produktas, paslauga arba procesas tikrinami taikant 31 straipsnyje nurodytą Europos kibernetinio saugumo sertifikavimo schemą arba vykdant subjekto pasirinktą ir organizuojamą tikrinimo veiklą. Tikrinimo veiklos išsamumas ir apimtis turi būti pakankami, kad būtų galima užtikrinti, jog IRT produktas, paslauga ar procesas gali būti naudojami rizikai, nustatytai atliekant subjekto lygmens rizikos vertinimą, sumažinti. Ypatingos svarbos poveikio subjektas dokumentais pagrindžia veiksmus, kurių imtasi nustatytai rizikai sumažinti.

5.   Atitinkamo IRT produkto, paslaugų ir procesų viešajam pirkimui taikomos būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonės tiekimo grandinėje. Būtinoji ir sustiprinta tiekimo grandinės kibernetinio saugumo kontrolė taikoma viešojo pirkimo procesams, kuriuos vykdo subjektai, pagal 24 straipsnį identifikuoti kaip ypatingos svarbos poveikio ir didelio poveikio subjektai, ir kurie pradedami praėjus šešiems mėnesiams nuo 29 straipsnyje nurodytų būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių patvirtinimo arba atnaujinimo.

6.   Per 6 mėnesius nuo kiekvienos regioninio kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 21 straipsnio 2 dalį PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, pasiūlo kompetentingai institucijai būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių tiekimo grandinėje pakeitimus. Pasiūlymas pateikiamas pagal 8 straipsnio 10 dalį ir jame atsižvelgiama į riziką, identifikuotą regioniniame rizikos vertinime.

1.   Per 7 mėnesius nuo pirmosios Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 19 straipsnio 4 dalį PSO, padedami ENTSO-E, bendradarbiaudami su ES SSO subjektu ir pasikonsultavę su ENISA, parengia pasiūlymą dėl matricos, pagal kurią 28 straipsnio 1 dalies a ir b punktuose nurodytos kontrolės priemonės susiejamos su atrinktais Europos ir tarptautiniais standartais, taip pat atitinkamomis techninėmis specifikacijomis (atitikties matrica). ENTSO-E ir ES SSO subjektas dokumentais patvirtina įvairių kontrolės priemonių lygiavertiškumą 28 straipsnio 1 dalies a ir b punktuose nustatytoms kontrolės priemonėms.

2.   Kompetentingos institucijos gali pateikti ENTSO-E ir ES SSO subjektui 28 straipsnio 1 dalies a ir b punktuose nustatytų kontrolės priemonių atitikties lentelę su nuoroda į susijusias nacionalinės teisės aktų ar reguliavimo sistemas, įskaitant aktualius valstybių narių nacionalinius standartus pagal Direktyvos (ES) 2022/2555 25 straipsnį. Jei valstybės narės kompetentinga institucija pateikia tokią atitikties lentelę, ENTSO-E ir ES SSO subjektas šią nacionalinę lentelę įtraukia į atitikties matricą.

3.   Per 6 mėnesius nuo pirmosios regioninio kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 21 straipsnio 2 dalį PSO, padedami ENTSO-E, bendradarbiaudami su ES SSO subjektu ir pasikonsultavę su ENISA, pasiūlo kompetentingai institucijai atitikties matricos pakeitimus. Pasiūlymas pateikiamas pagal 8 straipsnio 10 dalį ir jame atsižvelgiama į riziką, identifikuotą regioniniame rizikos vertinime.

1.   PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, darbo programoje, kuri turi būti parengta ir atnaujinama kiekvieną kartą, kai patvirtinama regioninio kibernetinio saugumo rizikos vertinimo ataskaita, parengia neprivalomų kibernetinio saugumo viešojo pirkimo rekomendacijų rinkinius, kuriais didelio poveikio ir ypatingos svarbos poveikio subjektai gali remtis pirkdami didelio poveikio ir ypatingos svarbos poveikio perimetrų IRT produktus, paslaugas ir procesus. Ši darbo programa apima:

2.   ENTSO-E, bendradarbiaudamas su ES SSO subjektu, per 6 mėnesius nuo regioninio kibernetinio saugumo rizikos vertinimo ataskaitos patvirtinimo arba atnaujinimo pateikia ACER tos darbo programos santrauką.

3.   PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, stengiasi užtikrinti, kad neprivalomos kibernetinio saugumo viešojo pirkimo rekomendacijos, parengtos remiantis atitinkamu regioniniu kibernetinio saugumo rizikos vertinimu, būtų panašios arba palyginamos visuose sistemos eksploatavimo regionuose. Kibernetinio saugumo viešojo pirkimo rekomendacijų rinkiniai apima bent 33 straipsnio 2 dalies a punkte nurodytas specifikacijas. Kai įmanoma, specifikacijos parenkamos iš Europos ir tarptautinių standartų.

4.   PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, užtikrina, kad kibernetinio saugumo viešojo pirkimo rekomendacijos:

1.   Pagal 35 straipsnį parengtos neprivalomos kibernetinio saugumo viešojo pirkimo rekomendacijos gali apimti sektorines Europos kibernetinio saugumo sertifikavimo schemų naudojimo gaires, kai yra tinkama schema tam tikros rūšies IRT produktams, paslaugoms ar procesams, kuriuos naudoja ypatingos svarbos poveikio subjektai, nedarant poveikio Europos kibernetinio saugumo sertifikavimo schemų sukūrimo sistemai pagal Reglamento (ES) 2019/881 46 straipsnį.

2.   PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, glaudžiai bendradarbiauja su ENISA, teikdami sektorines gaires, įtrauktas į neprivalomas kibernetinio saugumo viešojo pirkimo rekomendacijas pagal 1 dalį.

1.   Kompetentinga institucija, gavusi informacijos, susijusios su praneštinu kibernetiniu išpuoliu:

2.   CSIRT, sužinojusi apie nepašalintą aktyviai išnaudojamą pažeidžiamumą:

3.   Kompetentinga institucija, sužinojusi apie nepašalintą aktyviai išnaudojamą pažeidžiamumą:

4.   Jei kompetentinga institucija sužino apie nepašalintą pažeidžiamumą, bet neturi įrodymų, kad jis jau aktyviai išnaudojamas, ji nepagrįstai nedelsdama koordinuoja veiksmus su CSIRT pažeidžiamumui koordinuotai atskleisti, kaip nustatyta Direktyvos (ES) 2022/2555 12 straipsnio 1 dalyje.

5.   Jei CSIRT gauna su kibernetinėmis grėsmėmis susijusią informaciją iš vieno ar kelių didelio poveikio arba ypatingos svarbos poveikio subjektų pagal 38 straipsnio 6 dalį, ji nepagrįstai nedelsdama ir ne vėliau kaip per keturias valandas nuo informacijos gavimo išplatina tą informaciją ir bet kokią kitą informaciją, kuri yra svarbi siekiant išvengti rizikos, ją nustatyti, į ją reaguoti arba ją sumažinti, ypatingos svarbos poveikio ir didelio poveikio subjektams savo valstybėje narėje ir, kai tinkama, visoms atitinkamoms CSIRT ir savo nacionaliniam bendrajam kontaktiniam punktui.

6.   Jei kompetentinga institucija iš vieno ar kelių didelio poveikio arba ypatingos svarbos poveikio subjektų gauna informacijos, susijusios su kibernetinėmis grėsmėmis, 5 dalies tikslais ji perduoda šią informaciją CSIRT.

7.   Atitinkamoms kompetentingoms institucijoms susitarus, kompetentingos institucijos gali visiškai arba iš dalies perduoti 3 ir 4 dalyse nurodytas pareigas, susijusias su vienu ar daugiau didelio poveikio ar ypatingos svarbos poveikio subjektų, veikiančių daugiau nei vienoje valstybėje narėje, kitai kompetentingai institucijai vienoje iš tų valstybių narių.

8.   PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, ne vėliau kaip 2025 m. birželio 13 d. parengia kibernetinių išpuolių klasifikavimo skalės metodiką. PSO, padedami ENTSO-E ir ES SSO subjekto, gali prašyti kompetentingų institucijų konsultuotis su ENISA ir už kibernetinį saugumą atsakingomis jų kompetentingomis institucijomis, kad padėtų parengti tokią klasifikavimo skalę. Metodikoje kibernetinio išpuolio sunkumas klasifikuojamas pagal 5 lygius, iš kurių du aukščiausi lygiai yra „didelis“ ir „kritinis“. Klasifikavimas grindžiamas šių parametrų vertinimu:

9.   Iki 2026 m. birželio 13 d. ENTSO-E, bendradarbiaudamas su ES SSO subjektu, atlieka galimybių studiją, kad įvertintų galimybę ir finansines išlaidas, kurių reikia bendrai priemonei, kuria naudodamiesi visi subjektai galėtų dalytis informacija su atitinkamomis nacionalinėmis institucijomis, sukurti.

10.   Galimybių studijoje išnagrinėjama galimybė sukurti tokią bendrą priemonę siekiant:

11.   ENTSO-E, bendradarbiaudamas su ES SSO subjektu:

12.   ENTSO-E, bendradarbiaudamas su ES SSO subjektu, gali išanalizuoti ypatingos svarbos poveikio ir didelio poveikio subjektų siūlomas iniciatyvas ir sudaryti palankesnes sąlygas įvertinti ir išbandyti tokias dalijimosi informacija priemones.

1.   Kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas:

2.   Vykdydama Reglamento (ES) 2019/881 6 straipsnio 2 dalyje nustatytą užduotį ENISA gali paskelbti neprivalomas gaires dėl tokių pajėgumų užtikrinimo arba subrangos sutarties su VSPT sudarymo.

3.   Kiekvienas ypatingos svarbos poveikio ir didelio poveikio subjektas nepagrįstai nedelsdamas ir ne vėliau kaip per keturias valandas nuo tada, kai sužinojo, kad incidentas yra praneštinas, pasidalija atitinkama informacija apie praneštiną kibernetinį išpuolį su savo CSIRT ir savo kompetentinga institucija.

4.   Informacija, susijusi su kibernetiniu išpuoliu, laikoma praneština, kai kibernetinio išpuolio kritiškumą įvertinęs paveiktas subjektas nustato, kad pagal kibernetinio išpuolio klasifikavimo skalės metodiką pagal 37 straipsnio 8 dalį jis yra „didelis“ arba „kritinis“. Pagal 1 dalies c punktą paskirtas subjekto lygmens bendrasis kontaktinis punktas praneša incidento klasifikavimo rezultatą.

5.   Kai ypatingos svarbos poveikio ir didelio poveikio subjektai perduoda CSIRT aktualią informaciją, susijusią su nepašalintu aktyviai išnaudojamu pažeidžiamumu, ši gali perduoti šią informaciją savo kompetentingai institucijai. Atsižvelgdama į praneštos informacijos slaptumo lygį, CSIRT gali informacijos neatskleisti arba atidėti jos perdavimą dėl pagrįstų su kibernetiniu saugumu susijusių priežasčių.

6.   Kiekvienas ypatingos svarbos poveikio ir didelio poveikio subjektas savo CSIRT nepagrįstai nedelsdamas pateikia visą informaciją, susijusią su praneština kibernetine grėsme, kurios poveikis gali būti tarpvalstybinis. Informacija, susijusi su kibernetine grėsme, laikoma praneština, kai įvykdyta bent viena iš šių sąlygų:

7.   Kiekvienas ypatingos svarbos poveikio subjektas ir didelio poveikio subjektas, dalydamiesi informacija pagal šį straipsnį, nurodo:

8.   Kai ypatingos svarbos poveikio arba didelio poveikio subjektas praneša apie didelį incidentą pagal Direktyvos (ES) 2022/2555 23 straipsnį ir pranešime apie incidentą pagal tą straipsnį pateikiama aktuali informacija, kaip reikalaujama pagal šio straipsnio 3 dalį, subjekto pranešimas pagal tos direktyvos 23 straipsnio 1 dalį laikomas informacijos pranešimu pagal šio straipsnio 3 dalį.

9.   Kiekvienas ypatingos svarbos poveikio ir didelio poveikio subjektas pranešime savo kompetentingai institucijai arba CSIRT aiškiai nurodo konkrečią informaciją, kuria dalijasi tik su kompetentinga institucija arba CSIRT, tais atvejais, kai toks dalijimasis informacija galėtų būti kibernetinio išpuolio šaltinis. Kiekvienas ypatingos svarbos poveikio ir didelio poveikio subjektas turi teisę kompetentingai CSIRT pateikti nekonfidencialią informacijos versiją.

1.   Ypatingos svarbos poveikio ir didelio poveikio subjektai, pasinaudodami reikiama atitinkamos kompetentingos institucijos, ENTSO-E ir ES SSO subjekto parama, plėtoja būtinus pajėgumus, kad galėtų tinkamai reaguoti į aptiktus kibernetinius išpuolius. Ypatingos svarbos poveikio ir didelio poveikio subjektams atitinkamoje valstybėje narėje paskirta CSIRT gali padėti vykdydama savo užduotį, pavestą pagal Direktyvos (ES) 2022/2555 11 straipsnio 5 dalies a punktą. Ypatingos svarbos poveikio ir didelio poveikio subjektai įgyvendina veiksmingus kibernetinių išpuolių, kurie paveiks arba gali paveikti tarpvalstybinius elektros energijos srautus, aptikimo, klasifikavimo ir reagavimo į juos procesus, kad kuo labiau sumažintų jų poveikį.

2.   Jei kibernetinis išpuolis paveikia tarpvalstybinius elektros energijos srautus, paveiktų ypatingos svarbos poveikio ir didelio poveikio subjektų bendrieji kontaktiniai punktai bendradarbiauja, kad tarpusavyje dalytųsi informacija, koordinuojami valstybės narės, kurioje pirmą kartą pranešta apie kibernetinį išpuolį, kompetentingos institucijos.

3.   Ypatingos svarbos poveikio ir didelio poveikio subjektai:

4.   1 dalyje nurodytas užduotis pagal Reglamento (ES) 2019/943 37 straipsnio 2 dalį valstybės narės gali perduoti ir regioniniams koordinavimo centrams.

1.   Kai kompetentinga institucija nustato, kad elektros energijos sektoriaus krizė yra susijusi su kibernetiniu išpuoliu, paveikiančiu daugiau nei vieną valstybę narę, paveiktų valstybių narių kompetentingos institucijos, už kibernetinį saugumą atsakingos NKI, už pasirengimą valdyti riziką atsakingos NKI ir TIS kibernetinių krizių valdymo institucijos kartu sudaro ad hoc tarpvalstybinio krizės koordinavimo grupę.

2.    Ad hoc tarpvalstybinio krizės koordinavimo grupė:

3.   Kai kibernetinis išpuolis pripažįstamas arba numatoma, kad jis bus pripažintas didelio masto kibernetinio saugumo incidentu, ad hoc tarpvalstybinio krizės koordinavimo grupė pagal Direktyvos (ES) 2022/2555 9 straipsnio 1 dalį nedelsdama informuoja incidento paveiktų valstybių narių nacionalines kibernetinių krizių valdymo institucijas, taip pat Komisiją ir EU-CyCLONe. Tokiu atveju ad hoc tarpvalstybinio krizės koordinavimo grupė padeda EU-CyCLONe dėl sektoriaus ypatumų.

4.   Ypatingos svarbos poveikio ir didelio poveikio subjektai parengia ir užtikrina pajėgumus, vidaus gaires, parengties planus ir darbuotojus, kurie galėtų dalyvauti aptinkant ir švelninant tarpvalstybines krizes, ir užsitikrina galimybę jais naudotis. Ypatingos svarbos poveikio arba didelio poveikio subjektas, kurį paveikė vienalaikė elektros energijos sektoriaus krizė, bendradarbiaudamas su savo kompetentinga institucija ištiria pagrindinę tokios krizės priežastį, kad nustatytų, kokiu mastu krizė yra susijusi su kibernetiniu išpuoliu.

5.   4 dalyje nurodytas užduotis pagal Reglamento (ES) 2019/943 37 straipsnio 2 dalį valstybės narės gali perduoti ir regioniniams koordinavimo centrams.

1.   Per 24 mėnesius nuo Sąjungos masto rizikos vertinimo ataskaitos pateikimo ACER, ji, glaudžiai bendradarbiaudama su ENISA, ENTSO-E, ES SSO subjektu, už kibernetinį saugumą atsakingomis NKI, kompetentingomis institucijomis, už pasirengimą valdyti riziką atsakingomis NKI, NRI ir TIS nacionalinėmis kibernetinių krizių valdymo institucijomis, parengia Sąjungos lygmens elektros energijos sektoriaus kibernetinio saugumo krizių valdymo ir reagavimo į jas planą.

2.   Per 12 mėnesių po to, kai ACER parengia Sąjungos lygmens elektros energijos sektoriaus kibernetinio saugumo krizių valdymo ir reagavimo į jas planą pagal 1 dalį, kiekviena kompetentinga institucija parengia nacionalinį tarpvalstybinių elektros energijos srautų kibernetinio saugumo krizių valdymo ir reagavimo į jas planą, atsižvelgdama į Sąjungos lygmens kibernetinio saugumo krizių valdymo planą ir nacionalinį pasirengimo valdyti riziką planą, parengtą pagal Reglamento (ES) 2019/941 10 straipsnį. Šis planas turi derėti su reagavimo į didelio masto kibernetinio saugumo incidentus ir krizes planu pagal Direktyvos (ES) 2022/2555 9 straipsnio 4 dalį. Kompetentinga institucija koordinuoja veiksmus su ypatingos svarbos poveikio ir didelio poveikio subjektais ir už pasirengimą valdyti riziką atsakingomis NKI savo valstybėje narėje.

3.   Nacionalinis reagavimo į didelio masto kibernetinio saugumo incidentus ir krizes planas, kurio reikalaujama pagal Direktyvos (ES) 2022/2555 9 straipsnio 4 dalį, laikomas nacionaliniu kibernetinio saugumo krizių valdymo planu pagal šį straipsnį, jei į jį įtrauktos tarpvalstybinių elektros energijos srautų krizių valdymo ir reagavimo į jas nuostatos.

4.   1 ir 2 dalyse nurodytas užduotis pagal Reglamento (ES) 2019/943 37 straipsnio 2 dalį valstybės narės gali perduoti ir regioniniams koordinavimo centrams.

5.   Ypatingos svarbos poveikio ir didelio poveikio subjektai užtikrina, kad jų su kibernetiniu saugumu susijusių krizių valdymo procesai:

6.   Per 12 mėnesių nuo pranešimo apie didelio poveikio ir ypatingos svarbos poveikio subjektus pagal 24 straipsnio 6 dalį ir vėliau kas trejus metus ypatingos svarbos poveikio ir didelio poveikio subjektai parengia subjekto lygmens kibernetinio saugumo krizių valdymo planą ir įtraukia jį į savo bendruosius krizių valdymo planus. Į šį planą įtraukiama bent ši informacija:

7.   Krizių valdymo priemonės pagal Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies c punktą laikomos elektros energijos sektoriaus subjekto lygmens krizių valdymo planu pagal šį straipsnį, jei atitinka visus 6 dalyje išvardytus reikalavimus.

8.   Krizių valdymo planai išbandomi per 43, 44 ir 45 straipsniuose nurodytas kibernetinio saugumo pratybas.

9.   Ypatingos svarbos poveikio ir didelio poveikio subjektai savo subjekto lygmens krizių valdymo planus įtraukia į savo ypatingos svarbos poveikio ir didelio poveikio procesams taikomus veiklos tęstinumo planus. Į subjekto lygmens krizių valdymo planus įtraukiama:

10.   Ypatingos svarbos poveikio ir didelio poveikio subjektai bent kas trejus metus ir prireikus atnaujina savo subjekto lygmens krizių valdymo planus.

11.   ACER bent kas trejus metus ir prireikus atnaujina pagal 1 dalį parengtą Sąjungos lygmens elektros energijos sektoriaus kibernetinio saugumo krizių valdymo ir reagavimo į jas planą.

12.   Kiekviena kompetentinga institucija bent kas trejus metus ir prireikus atnaujina pagal 2 dalį parengtą nacionalinį tarpvalstybinių elektros energijos srautų kibernetinio saugumo krizių valdymo ir reagavimo į jas planą.

13.   Ypatingos svarbos poveikio ir didelio poveikio subjektai savo veiklos tęstinumo planus išbando bent kartą per trejus metus arba po esminių ypatingos svarbos poveikio proceso pakeitimų. Veiklos tęstinumo plano bandymų rezultatai dokumentuojami. Ypatingos svarbos poveikio ir didelio poveikio subjektai savo veiklos tęstinumo plano bandymą gali įtraukti į kibernetinio saugumo pratybas.

14.   Ypatingos svarbos poveikio ir didelio poveikio subjektai prireikus ir bent kartą per trejus metus atnaujina savo veiklos tęstinumo planą, atsižvelgdami į bandymo rezultatus.

15.   Jei per bandymą nustatoma veiklos tęstinumo plano trūkumų, ypatingos svarbos poveikio ir didelio poveikio subjektas tuos trūkumus ištaiso per 180 kalendorinių dienų po bandymo ir atlieka naują bandymą, kad įrodytų, jog taisomosios priemonės yra veiksmingos.

16.   Jei ypatingos svarbos poveikio arba didelio poveikio subjektas negali ištaisyti trūkumų per 180 kalendorinių dienų, jis savo kompetentingai institucijai pagal 27 straipsnį pateikiamoje ataskaitoje nurodo priežastis.

1.   Kompetentingos institucijos bendradarbiauja su ENISA, kad padėtų valstybėms narėms pagal Reglamento (ES) 2019/881 6 straipsnio 2 ir 7 dalis plėtoti elektros energijos sektoriaus kibernetinio saugumo ankstyvojo perspėjimo pajėgumus

2.   Elektros energijos sektoriaus kibernetinio saugumo ankstyvojo perspėjimo pajėgumai sudaro sąlygas ENISA, vykdant Reglamento (ES) 2019/881 7 straipsnio 7 dalyje išvardytas užduotis:

3.   CSIRT, vykdydamos savo užduotis, nustatytas Direktyvos (ES) 2022/2555 11 straipsnio 3 dalies b punkte, nedelsdamos išplatina iš ENISA gautą informaciją atitinkamiems subjektams.

4.   ACER stebi elektros energijos sektoriaus kibernetinio saugumo ankstyvojo perspėjimo pajėgumų veiksmingumą. ENISA padeda ACER, teikdama visą būtiną informaciją pagal Reglamento (ES) 2019/881 6 straipsnio 2 dalį ir 7 straipsnio 1 dalį. Šios stebėsenos veiklos analizė yra pagal šio reglamento 12 straipsnį vykdomos stebėsenos dalis.

1.   Ne vėliau kaip metų, einančių po pranešimo apie ypatingos svarbos poveikio subjektus, gruodžio 31 d., o vėliau kas trejus metus kiekvienas ypatingos svarbos poveikio subjektas atlieka kibernetinio saugumo pratybas, apimančias vieną ar daugiau scenarijų, kai kibernetiniai išpuoliai tiesiogiai ar netiesiogiai paveikia tarpvalstybinius elektros energijos srautus ir yra susiję su rizika, identifikuota atliekant valstybių narių ir subjektų lygmens kibernetinio saugumo rizikos vertinimus pagal 20 ir 27 straipsnius.

2.   Nukrypstant nuo 1 dalies, už pasirengimą valdyti riziką atsakinga NKI, pasikonsultavusi su kompetentinga institucija ir atitinkama kibernetinių krizių valdymo institucija, paskirta arba įsteigta pagal Direktyvos (ES) 2022/2555 9 straipsnį, gali nuspręsti kibernetinio saugumo pratybas, aprašytas 1 dalyje, surengti valstybės narės lygmeniu, užuot rengus subjekto lygmens kibernetinio saugumo pratybas. Apie tai kompetentinga institucija informuoja:

3.   Už pasirengimą valdyti riziką atsakinga NKI, padedama savo CSIRT, organizuoja 2 dalyje aprašytas valstybės narės lygmens kibernetinio saugumo pratybas atskirai arba kartu su kitomis kibernetinio saugumo pratybomis toje valstybėje narėje. Kad galėtų sugrupuoti šias pratybas, už pasirengimą valdyti riziką atsakinga NKI 1 dalyje nurodytas valstybės narės lygmens kibernetinio saugumo pratybas gali atidėti vieniems metams.

4.   Subjekto lygmens ir valstybės narės lygmens kibernetinio saugumo pratybos turi derėti su nacionalinėmis kibernetinio saugumo krizių valdymo sistemomis pagal Direktyvos (ES) 2022/2555 9 straipsnio 4 dalies d punktą.

5.   Iki 2026 m. gruodžio 31 d. ir vėliau kas trejus metus ENTSO-E, bendradarbiaudamas su ES SSO subjektu, pateikia pratybų scenarijaus šabloną, skirtą 1 dalyje nurodytoms subjekto lygmens ir valstybės narės lygmens kibernetinio saugumo pratyboms atlikti. Šiame šablone atsižvelgiama į naujausią subjektų ir valstybės narės lygmens kibernetinio saugumo rizikos vertinimą ir pateikiami pagrindiniai sėkmės kriterijai. ENTSO-E ir ES SSO subjektas į tokio šablono rengimą įtraukia ACER ir ENISA.

1.   Iki 2029 m. gruodžio 31 d. ir vėliau kas trejus metus kiekviename sistemos eksploatavimo regione ENTSO-E, bendradarbiaudamas su ES SSO subjektu, organizuoja regionines kibernetinio saugumo pratybas. Regioninėse kibernetinio saugumo pratybose dalyvauja sistemos eksploatavimo regiono ypatingos svarbos poveikio subjektai. ENTSO-E, bendradarbiaudamas su ES SSO subjektu, tuo pačiu laikotarpiu vietoj regioninių kibernetinio saugumo pratybų gali organizuoti tarpregionines kibernetinio saugumo pratybas daugiau nei viename sistemos eksploatavimo regione. Per pratybas turėtų būti atsižvelgiama į kitus esamus Sąjungos lygmens kibernetinio saugumo rizikos vertinimus ir scenarijus.

2.   ENISA padeda ENTSO-E ir ES SSO subjektui rengti ir organizuoti regionines ir tarpregionines kibernetinio saugumo pratybas.

3.   ENTSO-E, koordinuodamas veiksmus su ES SSO subjektu, informuoja ypatingos svarbos poveikio subjektus, kurie turi dalyvauti regioninėse arba tarpregioninėse kibernetinio saugumo pratybose, iki pratybų likus šešiems mėnesiams.

4.   Reguliarių Sąjungos lygmens kibernetinio saugumo pratybų pagal Reglamento (ES) 2019/881 7 straipsnio 5 dalį arba bet kokių privalomų kibernetinio saugumo pratybų, susijusių su elektros energijos sektoriumi toje pačioje geografinėje teritorijoje, organizatorius gali pakviesti dalyvauti ENTSO-E ir ES SSO subjektą. Tokiais atvejais 1 dalyje nustatyta pareiga netaikoma su sąlyga, kad tose pačiose pratybose dalyvauja visi sistemos eksploatavimo regiono ypatingos svarbos poveikio subjektai.

5.   Jei ENTSO-E ir ES SSO subjektas dalyvauja 4 dalyje nurodytose kibernetinio saugumo pratybose, jie gali 1 dalyje nurodytas regionines arba tarpregionines kibernetinio saugumo pratybas atidėti vieniems metams.

6.   Iki 2027 m. gruodžio 31 d. ir vėliau kas trejus metus ENTSO-E, bendradarbiaudamas su ES SSO subjektu, pateikia pratybų scenarijaus šabloną, skirtą regioninėms ir tarpregioninėms kibernetinio saugumo pratyboms atlikti. Šiame šablone atsižvelgiama į naujausią regioninio lygmens kibernetinio saugumo rizikos vertinimą ir pateikiami pagrindiniai sėkmės kriterijai. ENTSO-E konsultuojasi su Komisija ir gali prašyti ACER, ENISA ir Jungtinio tyrimų centro rekomendacijų dėl regioninių ir tarpregioninių kibernetinio saugumo pratybų organizavimo ir vykdymo.

1.   43 straipsnio 1 ir 2 dalyse ir 44 straipsnio 1 dalyje nurodytose kibernetinio saugumo pratybose ypatingos svarbos poveikio subjekto prašymu dalyvauja ypatingos svarbos paslaugų teikėjai, teikiantys paslaugas ypatingos svarbos poveikio subjektui teritorijoje, kurią apima atitinkamos kibernetinio saugumo pratybos.

2.   43 straipsnio 1 ir 2 dalyse ir 44 straipsnio 1 dalyje nurodytų kibernetinio saugumo pratybų organizatoriai, gavę ENISA rekomendacijas, jei jų prašo, taip pat pagal Reglamento (ES) 2019/881 7 straipsnio 5 dalį, analizuoja ir užbaigia aktualias kibernetinio saugumo pratybas, pateikdami visiems dalyviams skirtą ataskaitą, kurioje apibendrinama įgyta patirtis. Ataskaitoje pateikiama:

3.   CSIRT tinklo, TIS bendradarbiavimo grupės arba EU-CyCLONe prašymu 43 straipsnio 1 ir 2 dalyse ir 44 straipsnio 1 dalyje nurodytų kibernetinio saugumo pratybų organizatoriai dalijasi atitinkamų kibernetinio saugumo pratybų rezultatais. Organizatoriai su kiekvienu pratybose dalyvaujančiu subjektu dalijasi šio straipsnio 2 dalies a ir b punktuose nurodyta informacija. Organizatoriai tos dalies c punkte nurodytomis rekomendacijomis dalijasi tik su subjektais, kuriems jos skirtos.

4.   43 straipsnio 1 ir 2 dalyse ir 44 straipsnio 1 dalyje nurodytų kibernetinio saugumo pratybų organizatoriai reguliariai imasi tolesnių veiksmų su pratybose dalyvaujančiais subjektais dėl rekomendacijų pagal šio straipsnio 2 dalies c punktą įgyvendinimo.

1.   2 straipsnio 1 dalyje išvardyti subjektai užtikrina, kad pagal šį reglamentą teikiama, gaunama ir perduodama informacija, taip pat informacija, kuria keičiamasi, būtų prieinama tik pagal būtinybės žinoti principą ir laikantis atitinkamų Sąjungos ir nacionalinių informacijos saugumo taisyklių.

2.   2 straipsnio 1 dalyje išvardyti subjektai užtikrina, kad pagal šį reglamentą teikiama, gaunama ir perduodama informacija, taip pat informacija, kuria keičiamasi, būtų tvarkoma ir sekama per visą jos gyvavimo ciklą ir kad jos gyvavimo ciklui pasibaigus ji galėtų būti atskleista tik anonimine forma.

3.   2 straipsnio 1 dalyje išvardyti subjektai užtikrina, kad būtų įdiegtos visos būtinos organizacinio ir techninio pobūdžio apsaugos priemonės, kad būtų išsaugotas pagal šį reglamentą pateiktos, gautos ir perduotos informacijos, taip pat informacijos, kuria pasikeista, konfidencialumas, vientisumas, prieinamumas ir neginčijamumas, nepriklausomai nuo naudojamų priemonių. Apsaugos priemonės:

4.   2 straipsnio 1 dalyje išvardyti subjektai užtikrina, kad bet kuris asmuo, kuriam suteikta prieiga prie pagal šį reglamentą teikiamos, gautos ar perduodamos informacijos, taip pat informacijos, kuria keičiamasi pagal šį reglamentą, būtų informuotas apie taikomas subjekto lygmens saugumo taisykles ir apie informacijos apsaugai aktualias priemones ir procedūras. Tie subjektai užtikrina, kad atitinkamas asmuo pripažintų atsakomybę užtikrinti informacijos apsaugą, kaip nurodyta jį informuojant.

5.   2 straipsnio 1 dalyje išvardyti subjektai užtikrina, kad prieiga prie pagal šį reglamentą teikiamos, gautos ar perduodamos informacijos, taip pat informacijos, kuria keičiamasi, būtų suteikiama tik asmenims:

6.   2 straipsnio 1 dalyje išvardyti subjektai turi gauti raštišką fizinio ar juridinio asmens, kuris pirmasis sukūrė arba pateikė informaciją, sutikimą, prieš pateikdami tą informaciją trečiajai šaliai, kuriai šis reglamentas netaikomas.

7.   2 straipsnio 1 dalyje nurodytas subjektas gali svarstyti galimybę šia informacija dalytis nesilaikant šio straipsnio 1 ir 4 dalių, kad būtų užkirstas kelias vienalaikei elektros energijos sektoriaus krizei, kurios pagrindinė priežastis yra kibernetinis saugumas, arba bet kokiai tarpvalstybinei krizei Sąjungoje kitame sektoriuje. Tokiu atveju jis:

8.   Nukrypstant nuo šio straipsnio 6 dalies, kompetentingos institucijos gali teikti pagal šį reglamentą pateiktą, gautą ar perduotą informaciją, taip pat informaciją, kuria pasikeista, 2 straipsnio 1 dalyje nenurodytai trečiajai šaliai be išankstinio raštiško informacijos rengėjo sutikimo, tačiau apie tai kuo anksčiau jį informuoja. Prieš atskleisdama bet kokią pagal šį reglamentą pateiktą, gautą ar perduotą informaciją, taip pat informaciją, kuria pasikeista, 2 straipsnio 1 dalyje nenurodytai trečiajai šaliai, atitinkama kompetentinga institucija pagrįstai užtikrina, kad ta trečioji šalis žinotų galiojančias saugumo taisykles, ir gauna pagrįstą patikinimą, kad ta trečioji šalis gali apsaugoti gautą informaciją pagal šio straipsnio 1–5 dalis. Kompetentinga institucija tokią informaciją suanonimina, neprarasdama elementų, būtinų siekiant informuoti visuomenę apie neišvengiamą ir didelį pavojų tarpvalstybiniams elektros energijos srautams ir galimas švelninimo priemones, ir apsaugo informacijos rengėjo tapatybę. Šiuo atveju 2 straipsnio 1 dalyje nenurodyta trečioji šalis apsaugo gautą informaciją pagal subjekto lygmeniu jau galiojančias nuostatas arba, jei tai neįmanoma, atitinkamos kompetentingos institucijos pateiktas nuostatas ir nurodymus.

9.   Šis straipsnis netaikomas 2 straipsnio 1 dalyje nenurodytiems subjektams, kuriems informacija teikiama pagal šio straipsnio 6 dalį. Šiuo atveju taikoma šio straipsnio 7 dalis arba kompetentinga institucija gali pateikti tam subjektui rašytines nuostatas, taikytinas tais atvejais, kai informacija gaunama pagal šį reglamentą.

1.   Bet kokiai pagal šį reglamentą teikiamai, gautai ar perduodamai informacijai, taip pat informacijai, kuria keičiamasi, taikomos šio reglamento šio straipsnio 2–5 dalyse nustatytos profesinės paslapties sąlygos ir Reglamento (ES) 2019/943 65 straipsnyje nustatyti reikalavimai. Bet kokia informacija, kurią šio reglamento 2 straipsnyje išvardyti subjektai pateikė, gavo ar perdavė, taip pat informacija, kuria buvo pasikeista šiam reglamentui įgyvendinti, apsaugoma atsižvelgiant į informacijos rengėjo taikomo informacijos konfidencialumo lygį.

2.   Pareiga saugoti profesinę paslaptį taikoma 2 straipsnyje išvardytiems subjektams.

3.   Už kibernetinį saugumą atsakingos NKI, NRI, už pasirengimą valdyti riziką atsakingos NKI ir CSIRT keičiasi visa savo užduotims atlikti būtina informacija.

4.   Visa informacija, kurią 23 straipsniui įgyvendinti gauna ar perduoda 2 straipsnio 1 dalyje išvardyti subjektai, taip pat informacija, kuria jie keičiasi tarpusavyje, suanoniminama ir apibendrinama.

5.   Informacijos, kurią bet kuris subjektas ar institucija, kuriems taikomas šis reglamentas, gauna vykdydami savo pareigas, negalima atskleisti jokiam kitam subjektui ar institucijai, nedarant poveikio atvejams, nustatytiems nacionalinės teisės aktuose, kitose šio reglamento nuostatose arba kituose atitinkamuose Sąjungos teisės aktuose.

6.   Nedarant poveikio nacionalinės ar Sąjungos teisės aktų taikymui, institucija, subjektas arba fizinis asmuo, gavęs informaciją pagal šį reglamentą, negali jos naudoti jokiais kitais tikslais, išskyrus pagal šį reglamentą nustatytų pareigų vykdymą.

7.   ACER, pasikonsultavusi su ENISA, visomis kompetentingomis institucijomis, ENTSO-E ir ES SSO subjektu, iki 2025 m. birželio 13 d. paskelbia gaires dėl 2 straipsnio 1 dalyje išvardytų subjektų keitimosi informacija mechanizmų, visų pirma numatomų informacijos srautų, ir informacijos anoniminimo bei apibendrinimo įgyvendinant šį straipsnį metodų.

8.   Informacija, kuri yra konfidenciali pagal Sąjungos ir nacionalines taisykles, keičiamasi su Komisija ir kitomis atitinkamomis institucijomis tik kai ja keistis būtina taikant šį reglamentą. Keičiamasi tik tokia informacija, kuri yra būtina ir proporcinga atsižvelgiant į to keitimosi tikslą. Keičiantis informacija išsaugomas tos informacijos konfidencialumas ir apsaugomas ypatingos svarbos poveikio arba didelio poveikio subjektų saugumas ir komerciniai interesai.

1.   Kol bus patvirtintos 6 straipsnio 2 dalyje nurodytos nuostatos ir sąlygos ar metodikos arba 6 straipsnio 3 dalyje nurodyti planai, ENTSO-E, bendradarbiaudamas su ES SSO subjektu, parengia neprivalomas gaires dėl:

2.   Iki 2024 m. spalio 13 d. ENTSO-E, bendradarbiaudamas su ES SSO subjektu, parengia rekomendaciją dėl preliminaraus KIPEI. ENTSO-E, bendradarbiaudamas su ES SSO subjektu, rekomenduojamą preliminarų KIPEI praneša kompetentingoms institucijoms.

3.   Po keturių mėnesių nuo rekomenduojamo preliminaraus KIPEI gavimo arba ne vėliau kaip 2025 m. vasario 13 d. kompetentingos institucijos, remdamosi rekomenduojamu KIPEI, nustato kandidatus į didelio poveikio ir ypatingos svarbos poveikio subjektus savo valstybėje narėje ir parengia preliminarų didelio poveikio ir ypatingos svarbos poveikio subjektų sąrašą. Preliminariame sąraše nurodyti didelio poveikio ir ypatingos svarbos poveikio subjektai gali savanoriškai vykdyti šiame reglamente nustatytas savo pareigas, remdamiesi atsargumo principu. Iki 2025 m. kovo 13 d. kompetentingos institucijos preliminariame sąraše nurodytiems subjektams praneša, kad jie identifikuoti kaip didelio poveikio arba ypatingos svarbos poveikio subjektai.

4.   Iki 2024 m. gruodžio 13 d. ENTSO-E, bendradarbiaudamas su ES SSO subjektu, parengia preliminarų Sąjungos masto didelio poveikio ir ypatingos svarbos poveikio procesų sąrašą. Pagal 3 dalį informuoti subjektai, kurie, vadovaudamiesi atsargumo principu, nusprendžia savanoriškai vykdyti šiame reglamente nustatytas savo pareigas, naudojasi preliminariu didelio poveikio ir ypatingos svarbos poveikio procesų sąrašu, kad nustatytų preliminarius didelio poveikio ir ypatingos svarbos poveikio perimetrus ir turtą, kuris turi būti įtrauktas į pirmąjį subjekto lygmens kibernetinio saugumo rizikos vertinimą.

5.   Iki 2024 m. rugsėjo 13 d. kiekviena kompetentinga institucija pagal 4 straipsnio 1 dalį ENTSO-E ir ES SSO subjektui pateikia savo nacionalinės teisės aktų, aktualių tarpvalstybinių elektros energijos srautų kibernetinio saugumo aspektams, sąrašą.

6.   Iki 2025 m. birželio 13 d. ENTSO-E, bendradarbiaudamas su ES SSO subjektu, parengia preliminarų Europos ir tarptautinių standartų ir kontrolės priemonių, kurių reikalaujama pagal tarpvalstybinių elektros energijos srautų kibernetinio saugumo aspektams aktualius nacionalinės teisės aktus, sąrašą, atsižvelgdamas į kompetentingų institucijų pateiktą informaciją.

7.   Į preliminarų Europos ir tarptautinių standartų ir kontrolės priemonių sąrašą įtraukiama:

8.   ENTSO-E ir ES SSO subjektas, baigdami rengti preliminarų standartų sąrašą, atsižvelgia į ENISA ir ACER pateiktas nuomones. ENTSO-E ir ES SSO subjektas pereinamojo laikotarpio Europos ir tarptautinių standartų ir kontrolės priemonių sąrašą skelbia savo interneto svetainėse.

9.   ENTSO-E ir ES SSO subjektas konsultuojasi su ENISA ir ACER dėl pagal 1 dalį rengiamų neprivalomų gairių pasiūlymų.

10.   Kol pagal 29 straipsnį bus parengtos ir pagal 8 straipsnį patvirtintos būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonės, visi 2 straipsnio 1 dalyje išvardyti subjektai stengiasi laipsniškai taikyti pagal 1 dalį parengtas neprivalomas gaires.