1.   Toto nariadenie sa vzťahuje na aspekty kybernetickej bezpečnosti cezhraničných tokov elektriny v rámci činností týchto subjektov, ak sú identifikované ako subjekty s veľkým vplyvom alebo subjekty s kritickým vplyvom v súlade s článkom 24:

2.   Za plnenie úloh pridelených v tomto nariadení sú v rámci svojich súčasných mandátov zodpovedné tieto orgány:

3.   Toto nariadenie sa vzťahuje aj na všetky subjekty, ktoré nie sú usadené v Únii, ale ktoré poskytujú služby subjektom v Únii, a to za predpokladu, že ich príslušné orgány určili za subjekty s veľkým alebo kritickým vplyvom v súlade s článkom 24 ods. 2

4.   Týmto nariadením nie je dotknutá zodpovednosť členských štátov za ochranu národnej bezpečnosti ani ich právomoc chrániť iné základné funkcie štátu vrátane zabezpečenia územnej celistvosti štátu a udržiavania verejného poriadku.

5.   Týmto nariadením nie je dotknutá zodpovednosť členských štátov za ochranu národnej bezpečnosti, pokiaľ ide o činnosti v oblasti výroby elektrickej energie v jadrových elektrárňach vrátane činností v rámci jadrového hodnotového reťazca, a to v súlade so zmluvami.

6.   Subjekty, príslušné orgány, jednotné kontaktné miesta na úrovni subjektov a jednotky CSIRT spracúvajú osobné údaje v rozsahu potrebnom na účely tohto nariadenia a v súlade s nariadením (EÚ) 2016/679, pričom takéto spracovanie sa opiera najmä o jeho článok 6

1.   Každý členský štát čo najskôr a v každom prípade do 13. decembra 2024 určí národný vládny alebo regulačný orgán zodpovedný za plnenie úloh, ktoré sú mu pridelené v tomto nariadení (ďalej len „príslušný orgán“). Kým príslušnému orgánu nebude pridelené plnenie úloh podľa tohto nariadenia, úlohy príslušného orgánu v súlade s týmto nariadením plní regulačný orgán určený každým členským štátom podľa článku 57 ods. 1 smernice (EÚ) 2019/944.

2.   Členské štáty bezodkladne upovedomia Komisiu, agentúru ACER, agentúru ENISA, skupinu pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti zriadenú podľa článku 14 smernice (EÚ) 2022/2555 a skupinu pre koordináciu v oblasti elektrickej energie zriadenú podľa článku 1 rozhodnutia Komisie z 15. novembra 2012 (17) a oznámia im názov a kontaktné údaje svojho príslušného orgánu určeného podľa odseku 1 tohto článku a všetky ich následné zmeny.

3.   Členské štáty môžu svojmu príslušnému orgánu povoliť, aby delegoval úlohy, ktoré mu boli pridelené v tomto nariadení, na iné vnútroštátne orgány s výnimkou úloh uvedených v článku 5. Každý príslušný orgán monitoruje uplatňovanie tohto nariadenia orgánmi, na ktoré delegoval úlohy. Príslušný orgán oznámi názvy orgánov, na ktoré bola delegovaná úloha, ich kontaktné údaje, pridelené úlohy a všetky ich následné zmeny Komisii, agentúre ACER, skupine pre koordináciu v oblasti elektrickej energie, agentúre ENISA a skupine pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti.

1.   PPS vypracujú v spolupráci so subjektom PDS EÚ návrhy podmienok alebo metodík podľa odseku 2, alebo plánov podľa odseku 3.

2.   Schváleniu všetkými príslušnými orgánmi podliehajú tieto podmienky alebo metodiky a akékoľvek ich zmeny:

3.   Návrhy regionálnych plánov na zmiernenie kybernetickobezpečnostných rizík podľa článku 22 podliehajú schváleniu všetkými príslušnými orgánmi dotknutého regiónu prevádzky sústavy.

4.   Návrhy podmienok, metodík uvedených v odseku 2 alebo plánov uvedených v odseku 3 zahŕňajú navrhovaný harmonogram ich vykonávania a opis ich očakávaného vplyvu na ciele tohto nariadenia.

5.   Subjekt PDS EÚ môže dotknutým PPS poskytnúť odôvodnené stanovisko do troch týždňov pred uplynutím lehoty na predloženie návrhu podmienok alebo metodík, alebo plánov príslušným orgánom. PPS zodpovední za návrh podmienok alebo metodík, alebo plánov zohľadnia odôvodnené stanovisko subjektu PDS EÚ pred predložením návrhu na schválenie príslušným orgánom. PPS poskytnú odôvodnenie, ak stanovisko subjektu PDS EÚ nie je zohľadnené.

6.   Pri spoločnom vypracúvaní podmienok, metodík a plánov zúčastnení PPS úzko spolupracujú. PPS s pomocou siete ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ pravidelne informujú príslušné orgány a agentúru ACER o pokroku pri vypracúvaní podmienok alebo metodík, alebo plánov.

1.   Ak PPS, ktorí rozhodujú o návrhoch podmienok alebo metodík, nedokážu dospieť k dohode, rozhodnú hlasovaním kvalifikovanou väčšinou. Kvalifikovaná väčšina sa v prípade takýchto návrhov vypočíta takto:

2.   Blokujúca menšina v prípade rozhodnutí o návrhoch podmienok alebo metodík uvedených v článku 6 ods. 2 musí zahŕňať PPS zastupujúcich najmenej štyri členské štáty; v opačnom prípade sa kvalifikovaná väčšina považuje za dosiahnutú.

3.   Ak PPS v regióne prevádzky sústavy, ktorí rozhodujú o návrhoch plánov uvedených v článku 6 ods. 2, nedokážu dospieť k dohode a ak dotknutý región prevádzky sústavy pozostáva z viac ako piatich členských štátov, PPS rozhodnú hlasovaním kvalifikovanou väčšinou. Na kvalifikovanú väčšinu v prípade návrhov uvedených v článku 6 ods. 2 sa vyžaduje väčšina:

4.   Blokujúca menšina v prípade rozhodnutí o návrhoch plánov musí zahŕňať prinajmenšom minimálny počet PPS zastupujúcich viac ako 35 % obyvateľstva zúčastnených členských štátov plus PPS zastupujúcich najmenej jeden ďalší dotknutý členský štát; v opačnom prípade sa kvalifikovaná väčšina považuje za dosiahnutú.

5.   V prípade rozhodnutí PPS o návrhoch podmienok alebo metodík podľa článku 6 ods. 2 sa za každý členský štát pridelí jeden hlas. Ak na území členského štátu existuje viac ako jeden PPS, členský štát rozdelí hlasovacie práva medzi týchto PPS.

6.   Ak PPS v spolupráci so subjektom PDS EÚ nepredložia relevantným príslušným orgánom pôvodný alebo zmenený návrh podmienok alebo metodík, alebo plánov v lehotách stanovených v tomto nariadení, relevantným príslušným orgánom a agentúre ACER poskytnú príslušné návrhy podmienok alebo metodík, alebo plánov. Vysvetlia, čo bránilo dosiahnutiu dohody. Príslušné orgány spoločne prijmú vhodné opatrenia na prijatie požadovaných podmienok alebo metodík, alebo požadovaných plánov. Môžu tak urobiť napríklad požiadaním o zmeny návrhov podľa tohto odseku, revíziou a skompletizovaním týchto návrhov alebo v prípade, že neboli poskytnuté žiadne návrhy, stanovením a schválením požadovaných podmienok alebo metodík, alebo plánov.

1.   PPS predložia návrhy podmienok alebo metodík, alebo plánov na schválenie relevantným príslušným orgánom v príslušných lehotách stanovených v článkoch 18, 23, 29, 33, 34, 35 a 37. Príslušné orgány môžu spoločne predĺžiť tieto lehoty za výnimočných okolností, najmä v prípadoch, keď lehotu nemožno dodržať z dôvodu okolností mimo kontroly PPS alebo subjektu PDS EÚ.

2.   Návrhy podmienok, metodík alebo plánov podľa odseku 1 sa predkladajú agentúre ACER na informačné účely v rovnakom čase, ako sa predkladajú príslušným orgánom.

3.   ACER na základe spoločnej žiadosti národných regulačných orgánov vydá stanovisko k návrhu podmienok alebo metodík, alebo plánov do šiestich mesiacov od doručenia návrhov podmienok alebo metodík, alebo plánov a o tomto stanovisku upovedomí národné regulačné orgány a príslušné orgány. Národné regulačné orgány, príslušné orgány zodpovedné za kybernetickú bezpečnosť a všetky ostatné orgány určené za príslušné orgány svoju činnosť navzájom koordinujú pred tým, ako národné regulačné orgány požiadajú agentúru ACER o stanovisko. ACER môže do takéhoto stanoviska zahrnúť odporúčania. ACER pred vydaním stanoviska k návrhom uvedeným v článku 6 ods. 2 uskutoční konzultácie s agentúrou ENISA.

4.   Príslušné orgány spolu konzultujú, úzko spolupracujú a koordinujú svoju činnosť v záujme dosiahnutia dohody o navrhovaných podmienkach, metodikách alebo plánoch. Pred schválením podmienok alebo metodík, alebo plánov príslušné návrhy podľa potreby zrevidujú a doplnia po konzultácii s ENTSO pre elektrinu a so subjektom PDS EÚ s cieľom zaistiť, aby boli návrhy v súlade s týmto nariadením a prispievali k vysokej spoločnej úrovni kybernetickej bezpečnosti v celej Únii.

5.   Príslušné orgány rozhodnú o podmienkach alebo metodikách, alebo o plánoch do šiestich mesiacov od doručenia podmienok alebo metodík, alebo plánov relevantnému príslušnému orgánu, prípadne poslednému dotknutému relevantnému príslušnému orgánu.

6.   Ak agentúra ACER vydá stanovisko, relevantné príslušné orgány ho zohľadnia a prijmú svoje rozhodnutia do šiestich mesiacov od doručenia stanoviska agentúry ACER.

7.   Ak príslušné orgány spoločne požadujú zmenu navrhovaných podmienok alebo metodík, alebo plánov, na účely ich schválenia vypracujú PPS v spolupráci so subjektom PDS EÚ návrh na takúto zmenu podmienok alebo metodík, alebo plánov. PPS predložia zmenený návrh na schválenie do dvoch mesiacov od prijatia žiadosti príslušných orgánov. Príslušné orgány rozhodnú o zmenených podmienkach alebo metodikách, alebo plánoch do dvoch mesiacov od ich predloženia.

8.   Ak príslušné orgány nedokážu dospieť k dohode v lehote uvedenej v odseku 5 alebo 7, informujú o tom Komisiu. Komisia môže prijať vhodné kroky, aby umožnila prijatie požadovaných podmienok alebo metodík, alebo plánov.

9.   PPS s pomocou ENTSO pre elektrinu a subjekt PDS EÚ zverejnia podmienky alebo metodiky, alebo plány na svojich webových sídlach po schválení relevantnými príslušnými orgánmi okrem prípadov, keď sa takéto informácie považujú za dôverné v súlade s článkom 47.

10.   Príslušné orgány môžu spoločne požiadať PPS a subjekt PDS EÚ o návrhy na zmeny schválených podmienok alebo metodík, alebo schválených plánov a určiť lehotu na predloženie týchto návrhov. PPS môžu v spolupráci so subjektom PDS EÚ navrhnúť príslušným orgánom zmeny aj z vlastnej iniciatívy. Návrhy na zmenu podmienok alebo metodík, alebo na zmeny plánov sa vypracujú a schvália v súlade s postupom stanoveným v tomto článku.

11.   Najmenej každé tri roky po prvom prijatí príslušných podmienok alebo metodík, alebo príslušných prijatých plánov musia PPS v spolupráci so subjektom PDS EÚ preskúmať účinnosť prijatých podmienok alebo metodík, alebo prijatých plánov a bez zbytočného odkladu predložiť správu o zisteniach preskúmania príslušným orgánom a agentúre ACER.

1.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ konzultujú so zainteresovanými stranami vrátane agentúry ACER, agentúry ENISA a príslušného orgánu jednotlivých členských štátov návrhy podmienok alebo metodík uvedených v článku 6 ods. 2 a návrhy plánov uvedených v článku 6 ods. 3 Tieto konzultácie trvajú najmenej jeden mesiac.

2.   Návrhy podmienok alebo metodík uvedených v článku 6 ods. 2, ktoré predložia PPS v spolupráci so subjektom PDS EÚ, sa uverejnia a predložia na konzultáciu na úrovni Únie. Návrhy plánov uvedených v článku 6 ods. 3, ktoré predložia príslušní PPS v spolupráci so subjektom PDS EÚ na regionálnej úrovni, sa predložia na konzultáciu prinajmenšom na regionálnej úrovni.

3.   PPS s pomocou ENTSO pre elektrinu a subjekt PDS EÚ zodpovedný za návrh podmienok alebo metodík, alebo plánov pred predložením návrhu na schválenie regulačným orgánom náležite zohľadnia názory zainteresovaných strán vyplývajúce z konzultácií uskutočnených v súlade s odsekom 1. Vo všetkých prípadoch sa pri predložení musí poskytnúť a včas uverejniť riadne odôvodnenie začlenenia alebo nezačlenenia názorov vyplývajúcich z konzultácie, a to ešte pred uverejnením návrhu podmienok alebo metodík, alebo zároveň s týmto uverejnením.

1.   Náklady, ktoré znášajú PPS a PDS podliehajúci regulácii sieťových taríf a ktoré vyplývajú z povinností stanovených v tomto nariadení, vrátane nákladov, ktoré znáša ENTSO pre elektrinu a subjekt PDS EÚ, posudzuje relevantný národný regulačný orgán každého členského štátu.

2.   Náklady, ktoré sa posúdia ako primerané, efektívne a proporcionálne, sa nahradia prostredníctvom sieťových taríf alebo iných vhodných mechanizmov, ktoré určí relevantný národný regulačný orgán.

3.   Na žiadosť relevantných národných regulačných orgánov poskytnú PPS a PDS uvedení v odseku 1 v primeranej lehote, ktorú určil národný regulačný orgán, informácie potrebné na uľahčenie posúdenia vzniknutých nákladov.

1.   Agentúra ACER monitoruje vykonávanie tohto nariadenia v súlade s článkom 32 ods. 1 nariadenia (EÚ) 2019/943 a článkom 4 ods. 2 nariadenia (EÚ) 2019/942. Pri vykonávaní tohto monitorovania môže agentúra ACER spolupracovať s agentúrou ENISA a požiadať o podporu ENTSO pre elektrinu a subjekt PDS EÚ. Agentúra ACER pravidelne informuje skupinu pre koordináciu v oblasti elektrickej energie a skupinu pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti o vykonávaní tohto nariadenia.

2.   Agentúra ACER najmenej každé tri roky po nadobudnutí účinnosti tohto nariadenia uverejní správu, v ktorej

3.   Agentúra ACER v spolupráci s agentúrou ENISA a po konzultácii s ENTSO pre elektrinu a so subjektom PDS EÚ môže do 13. júna 2025 vydať usmernenia k relevantným informáciám, ktoré sa majú oznamovať agentúre ACER na účely monitorovania, ako aj o postupe a frekvencii ich zhromažďovania na základe ukazovateľov výkonnosti vymedzených v súlade s odsekom 5.

4.   Príslušným orgánom môže byť poskytnutý prístup k relevantným informáciám uchovávaným agentúrou ACER, ktoré agentúra zhromaždila v súlade s týmto článkom.

5.   Agentúra ACER v spolupráci s agentúrou ENISA a s podporou ENTSO pre elektrinu a subjektu PDS EÚ vydá nezáväzné ukazovatele výkonnosti na posudzovanie prevádzkovej spoľahlivosti, ktoré sa týkajú aspektov kybernetickej bezpečnosti cezhraničných tokov elektriny.

6.   Subjekty uvedené v článku 2 ods. 1 tohto nariadenia predkladajú agentúre ACER informácie, ktoré agentúra ACER potrebuje na plnenie úloh uvedených v odseku 2.

1.   Agentúra ACER v spolupráci s agentúrou ENISA do 13. júna 2025 vypracuje nezáväznú príručku k referenčnému porovnávaniu v oblasti kybernetickej bezpečnosti. Príručka obsahuje vysvetlenia pre národné regulačné orgány týkajúce sa zásad referenčného porovnávania zavedených kontrol kybernetickej bezpečnosti podľa odseku 2 tohto článku s prihliadnutím na náklady spojené so zavedením kontrol a na účinnosť funkcie, ktorú plnia procesy, produkty, služby, systémy a riešenia používané na zavedenie takýchto kontrol. Pri vypracovaní nezáväznej príručky k referenčnému porovnávaniu v oblasti kybernetickej bezpečnosti agentúra ACER zohľadní existujúce správy o referenčnom porovnávaní. Agentúra ACER predloží nezáväznú príručku k referenčnému porovnávaniu v oblasti kybernetickej bezpečnosti národným regulačným orgánom na informačné účely.

2.   Národné regulačné orgány vykonajú do 12 mesiacov od vypracovania príručky k referenčnému porovnávaniu podľa odseku 1 porovnávaciu analýzu s cieľom posúdiť, či súčasné investície do kybernetickej bezpečnosti:

3.   Pri porovnávacej analýze môžu vnútroštátne regulačné orgány zohľadniť nezáväznú príručku k referenčnému porovnávaniu v oblasti kybernetickej bezpečnosti, ktorú vypracovala agentúra ACER, a posúdia najmä:

4.   Zaobchádzanie so všetkými informáciami týkajúcimi sa porovnávacej analýzy a ich spracúvanie podliehajú požiadavkám na utajenie údajov stanoveným v tomto nariadení, minimálnym kontrolám kybernetickej bezpečnosti a sú predmetom správy o posúdení kybernetickobezpečnostných rizík cezhraničných tokov elektriny. Porovnávacia analýza uvedená v odsekoch 2 a 3 sa nezverejňuje.

5.   Bez toho, aby boli dotknuté požiadavky týkajúce sa dôvernosti uvedené v článku 47 a potreba chrániť bezpečnosť subjektov, na ktoré sa vzťahujú ustanovenia tohto nariadenia, sa porovnávacia analýza uvedená v odsekoch 2 a 3 tohto článku predloží všetkým národným regulačným orgánom, všetkým príslušným orgánom, agentúre ACER, agentúre ENISA a Komisii.

1.   PPS v regióne prevádzky sústavy, ktorý susedí s treťou krajinou, sa usilujú do 18 mesiacov od nadobudnutia účinnosti tohto nariadenia uzavrieť s PPS susediacej tretej krajiny dohody, ktoré sú v súlade s príslušným právom Únie a v ktorých sa stanovuje základ spolupráce v oblasti ochrany kybernetickej bezpečnosti, a mechanizmy spolupráce v oblasti kybernetickej bezpečnosti s týmito PPS.

2.   PPS informujú príslušný orgán o dohodách uzavretých podľa odseku 1.

1.   Subjekty, ktoré nie sú usadené v Únii, ale poskytujú služby subjektom v Únii a boli v súlade s článkom 24 ods. 6 informované, že sú subjektmi s veľkým alebo kritickým vplyvom, do troch mesiacov, odkedy boli informované, písomne určia zástupcu v Únii a informujú o tom príslušný oznamujúci orgán.

2.   Tento zástupca má poverenie, v zmysle ktorého sa akýkoľvek príslušný orgán alebo jednotka CSIRT v Únii v súvislosti s povinnosťami subjektu s veľkým alebo kritickým vplyvom podľa tohto nariadenia obracia okrem alebo namiesto daného subjektu na tohto zástupcu. Subjekt s veľkým alebo kritickým vplyvom poskytne svojmu právnemu zástupcovi potrebné právomoci a dostatočné zdroje na zaručenie efektívnej a včasnej spolupráce s relevantnými príslušnými orgánmi alebo jednotkami CSIRT.

3.   Zástupca musí byť usadený v jednom z členských štátov, v ktorých subjekt ponúka svoje služby. Predpokladá sa, že subjekt podlieha jurisdikcii toho členského štátu, v ktorom je usadený jeho zástupca. Subjekty s veľkým alebo kritickým vplyvom oznámia meno, poštovú adresu, e-mailovú adresu a telefónne číslo svojho právneho zástupcu príslušnému orgánu v členskom štáte, v ktorom má tento právny zástupca pobyt alebo je usadený.

4.   Musí byť možné brať určeného právneho zástupcu na zodpovednosť za nedodržanie povinností podľa tohto nariadenia bez toho, aby bola dotknutá zodpovednosť a právne kroky uplatniteľné voči samotnému subjektu s veľkým alebo kritickým vplyvom.

5.   Ak v zmysle tohto článku nie je v Únii určený zástupca, ktorýkoľvek členský štát, v ktorom subjekt poskytuje služby, môže proti tomuto subjektu podniknúť právne kroky pre nedodržanie povinností podľa tohto nariadenia.

6.   Určenie právneho zástupcu v Únii podľa odseku 1 nepredstavuje usadenie sa v Únii.

1.   ENTSO pre elektrinu a subjekt PDS EÚ spolupracujú pri vykonávaní posúdení kybernetickobezpečnostných rizík podľa článku 19 a článku 21, a to najmä pri plnení týchto úloh:

2.   Spolupráca medzi ENTSO pre elektrinu a subjektom PDS EÚ môže mať formu pracovnej skupiny pre kybernetickobezpečnostné riziká.

3.   ENTSO pre elektrinu a subjekt PDS EÚ pravidelne informujú agentúru ACER, agentúru ENISA, skupinu pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti a skupinu pre koordináciu v oblasti elektrickej energie o pokroku pri vykonávaní posúdenia kybernetickobezpečnostných rizík v celej Únii podľa článku 19 a regionálnych posúdení kybernetickobezpečnostných rizík podľa článku 21.

1.   PPS s pomocou ENTSO pre elektrinu, v spolupráci so subjektom PDS EÚ a po konzultácii so skupinou pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti predložia do 13. marca 2025 návrh metodík posudzovania kybernetickobezpečnostných rizík na úrovni Únie, na regionálnej úrovni a na úrovni členských štátov.

2.   Metodiky posudzovania kybernetickobezpečnostných rizík na úrovni Únie, na regionálnej úrovni a na úrovni členských štátov zahŕňajú:

3.   V rámci metodík posudzovania kybernetickobezpečnostných rizík na úrovni Únie, na regionálnej úrovni a na úrovni členských štátov sa posudzujú kybernetickobezpečnostné riziká pomocou rovnakej matice vplyvu rizika. Maticou vplyvu rizika sa:

4.   V metodikách posudzovania kybernetickobezpečnostných rizík na úrovni Únie sa opisuje, ako budú vymedzené hodnoty ECII, pokiaľ ide o prahové hodnoty veľkého a kritického vplyvu. Počas posudzovania vplyvu na obchodnú činnosť, ktoré subjekty vykonávajú podľa článku 26 ods. 4 písm. c) bodu i), im ECII umožňuje odhadovať s pomocou kritérií uvedených v odseku 2 písm. b) vplyv rizík na ich obchodné procesy.

5.   ENTSO pre elektrinu v koordinácii so subjektom PDS EÚ informuje skupinu pre koordináciu v oblasti elektrickej energie o návrhoch metodík posudzovania kybernetickobezpečnostných rizík, ktoré sú vypracované podľa odseku 1.

1.   Bez toho, aby bol dotknutý článok 22 smernice (EÚ) 2022/2555, ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ a po konzultácii so skupinou pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti vykoná do deviatich mesiacov od schválenia metodík posudzovania kybernetickobezpečnostných rizík podľa článku 8 a potom každé tri roky posúdenie kybernetickobezpečnostných rizík v celej Únii a vypracuje návrh správy o posúdení kybernetickobezpečnostných rizík v celej Únii. Na tento účel použijú metodiky vypracované podľa článku 18 a schválené podľa článku 8, na základe ktorých identifikujú, zanalyzujú a vyhodnotia možné dôsledky kybernetických útokov, ktoré ovplyvňujú prevádzkovú bezpečnosť elektrizačnej sústavy a narúšajú cezhraničné toky elektriny. V posúdení kybernetickobezpečnostných rizík v celej Únii sa nezohľadňujú právne, finančné škody ani poškodenie dobrej povesti spôsobené kybernetickými útokmi.

2.   Správa o posúdení kybernetickobezpečnostných rizík v celej Únii obsahuje tieto prvky:

3.   Pokiaľ ide o procesy s veľkým vplyvom na celú Úniu a procesy s kritickým vplyvom na celú Úniu, správa o posúdení kybernetickobezpečnostných rizík v celej Únii obsahuje:

4.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ predloží agentúre ACER na účely vydania stanoviska návrh správy o posúdení kybernetickobezpečnostných rizík v celej Únii s výsledkami posúdenia kybernetickobezpečnostných rizík v celej Únii. Agentúra ACER vydá stanovisko k návrhu správy do troch mesiacov od jeho doručenia. ENTSO pre elektrinu a subjekt PDS EÚ pri finalizácii tejto správy v čo najväčšej miere zohľadnia stanovisko agentúry ACER.

5.   Do troch mesiacov od doručenia stanoviska agentúry ACER informuje ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ agentúru ACER, Komisiu, agentúru ENISA a príslušné orgány o záverečnej správe o posúdení kybernetickobezpečnostných rizík v celej Únii.

1.   Každý príslušný orgán vykoná posúdenie kybernetickobezpečnostných rizík v členskom štáte týkajúce sa všetkých subjektov s veľkým a kritickým vplyvom v danom členskom štáte s použitím metodík vypracovaných podľa článku 18 a schválených podľa článku 8. V posúdení kybernetickobezpečnostných rizík v členskom štáte sa identifikujú a analyzujú riziká kybernetických útokov, ktoré ovplyvňujú prevádzkovú bezpečnosť elektrizačnej sústavy a narúšajú cezhraničné toky elektriny. V posúdení kybernetickobezpečnostných rizík v členskom štáte sa nezohľadňujú právne, finančné škody ani poškodenie dobrej povesti spôsobené kybernetickými útokmi.

2.   Každý príslušný orgán s podporou jednotky CSIRT do 21 mesiacov od informovania subjektov s veľkým a kritickým vplyvom podľa článku 24 ods. 6 a každé tri roky po tomto dátume a po konzultácii s príslušným orgánom zodpovedným za kybernetickú bezpečnosť v oblasti elektroenergetiky predloží ENTSO pre elektrinu a subjektu PDS EÚ správu o posúdení kybernetickobezpečnostných rizík v členskom štáte, ktorá obsahuje tieto informácie o každom obchodnom procese s veľkým a kritickým vplyvom:

3.   V správe o posúdení kybernetickobezpečnostných rizík v členskom štáte sa zohľadní plán pripravenosti členského štátu na riziká vypracovaný podľa článku 10 nariadenia (EÚ) 2019/941.

4.   Informácie obsiahnuté v správe o posúdení kybernetickobezpečnostných rizík v členskom štáte podľa odseku 2 písm. a) až d) nesmú byť spojené s konkrétnymi subjektmi ani aktívami. Správa o posúdení kybernetickobezpečnostných rizík v členskom štáte obsahuje aj posúdenie rizík týkajúce sa dočasných výnimiek udelených príslušnými orgánmi v členských štátoch podľa článku 30.

5.   ENTSO pre elektrinu a subjekt PDS EÚ môžu v súvislosti s úlohami uvedenými v odseku 2 písm. a) a c) požiadať príslušné orgány o doplňujúce informácie.

6.   Príslušné orgány zabezpečia, aby informácie, ktoré poskytujú, boli presné a správne.

1.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ a po konzultácii s príslušným regionálnym koordinačným centrom vykoná regionálne posúdenie kybernetickobezpečnostných rizík za každý región prevádzky sústavy s použitím metodík vypracovaných podľa článku 19 a schválených podľa článku 8 s cieľom identifikovať, analyzovať a vyhodnotiť riziká kybernetických útokov, ktoré ovplyvňujú prevádzkovú bezpečnosť elektrizačnej sústavy a narúšajú cezhraničné toky elektriny. V regionálnych posúdeniach kybernetickobezpečnostných rizík sa nezohľadňujú právne, finančné škody ani poškodenie dobrej povesti spôsobené kybernetickými útokmi.

2.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ a po konzultácii so skupinou pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti do 30 mesiacov od informovania subjektov s veľkým vplyvom a subjektov s kritickým vplyvom podľa článku 24 ods. 6 a potom každé tri roky vypracuje správu o regionálnom posúdení kybernetickobezpečnostných rizík za každý región prevádzky sústavy.

3.   V správe o regionálnom posúdení kybernetickobezpečnostných rizík sa zohľadňujú relevantné informácie obsiahnuté v správach o posúdení kybernetickobezpečnostných rizík v celej Únii a v správach o posúdení kybernetickobezpečnostných rizík v členských štátoch.

4.   V regionálnom posúdení kybernetickobezpečnostných rizík sa zohľadnia regionálne scenáre krízy dodávok elektriny týkajúce sa kybernetickej bezpečnosti identifikované podľa článku 6 nariadenia (EÚ) 2019/941.

1.   PPS s pomocou ENTSO pre elektrinu, v spolupráci so subjektom PDS EÚ a po konzultácii s regionálnymi koordinačnými centrami a so skupinou pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti do 36 mesiacov od informovania subjektov s veľkým a kritickým vplyvom podľa článku 24 ods. 6, najneskôr však do 13. júna 2031 a každé tri roky po tomto dátume vypracujú regionálny plán na zmiernenie kybernetickobezpečnostných rizík za každý región prevádzky sústavy.

2.   Regionálne plány na zmiernenie kybernetickobezpečnostných rizík zahŕňajú:

3.   ENTSO pre elektrinu predloží regionálne plány na zmiernenie rizík príslušným prevádzkovateľom prenosových sústav, príslušným orgánom a skupine pre koordináciu v oblasti elektrickej energie. Skupina pre koordináciu v oblasti elektrickej energie môže odporučiť zmeny.

4.   PPS s pomocou ENTSO pre elektrinu, v spolupráci so subjektom PDS EÚ a po konzultácii so skupinou pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti každé tri roky aktualizujú regionálne plány na zmiernenie rizík, pokiaľ si okolnosti nevyžadujú častejšiu aktualizáciu.

1.   PPS s pomocou ENTSO pre elektrinu, v spolupráci so subjektom PDS EÚ a po konzultácii so skupinou pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti do 40 mesiacov od informovania subjektov s veľkým a kritickým vplyvom podľa článku 24 ods. 6 a potom každé tri roky predložia skupine pre koordináciu v oblasti elektrickej energie správu o výsledku posúdenia kybernetickobezpečnostných rizík v súvislosti s cezhraničnými tokmi elektriny (ďalej len „komplexná správa o posúdení kybernetickobezpečnostných rizík cezhraničných tokov elektriny“).

2.   Komplexná správa o posúdení kybernetickobezpečnostných rizík cezhraničných tokov elektriny vychádza zo správy o posúdení kybernetickobezpečnostných rizík v celej Únii, zo správ o posúdení kybernetickobezpečnostných rizík v členských štátoch a zo správ o regionálnom posúdení kybernetickobezpečnostných rizík a obsahuje tieto informácie:

3.   Subjekty uvedené v článku 2 ods. 1 môžu prispieť k vypracovaniu komplexnej správy o posúdení kybernetickobezpečnostných rizík cezhraničných tokov elektriny, pričom dodržiavajú dôvernosť informácií v súlade s článkom 47. PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ sa najprv radia s týmito subjektmi.

4.   Komplexná správa o posúdení kybernetickobezpečnostných rizík cezhraničných tokov elektriny podlieha pravidlám týkajúcim sa ochrany výmeny informácií podľa článku 46. Bez toho, aby bol dotknutý článok 10 ods. 4 a článok 47 ods. 4, ENTSO pre elektrinu a subjekt PDS EÚ vydajú verejnú verziu uvedenej správy, ktorá neobsahuje informácie, ktoré by mohli poškodiť subjekty uvedené v článku 2 ods. 1 Vydanie verejnej verzie tejto správy je podmienené súhlasom skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti a skupiny pre koordináciu v oblasti elektrickej energie. Za zostavenie a vydanie verejnej verzie správy zodpovedá ENTSO pre elektrinu v koordinácii so subjektom PDS EÚ.

1.   Každý príslušný orgán pomocou ECII a prahových hodnôt veľkého a kritického vplyvu, ktoré sú zahrnuté v správe o posúdení kybernetickobezpečnostných rizík v celej Únii podľa článku 19 ods. 3 písm. b), identifikuje subjekty s veľkým a kritickým vplyvom vo svojom členskom štáte, ktoré sú zapojené do procesov s veľkým a kritickým vplyvom na celú Úniu. Príslušné orgány môžu požiadať o informácie subjekt vo svojom členskom štáte, aby pre tento subjekt určili hodnoty ECII. Ak zistený ECII subjektu presahuje prahovú hodnotu veľkého alebo kritického vplyvu, identifikovaný subjekt sa uvedie v správe o posúdení kybernetickobezpečnostných rizík v členskom štáte uvedenej v článku 20 ods. 2

2.   Každý príslušný orgán pomocou ECII a prahových hodnôt veľkého a kritického vplyvu, ktoré sú zahrnuté v správe o posúdení kybernetickobezpečnostných rizík v celej Únii podľa článku 19 ods. 3 písm. b), identifikuje subjekty s veľkým a kritickým vplyvom, ktoré nie sú usadené v Únii, pokiaľ pôsobia v Únii. Príslušný orgán môže požiadať o informácie subjekt, ktorý nie je usadený v Únii, aby pre tento subjekt určil hodnoty ECII.

3.   Každý príslušný orgán môže identifikovať ďalšie subjekty vo svojom členskom štáte ako subjekty s veľkým alebo kritickým vplyvom, ak sú splnené tieto kritériá:

4.   Ak príslušný orgán identifikuje ďalšie subjekty v súlade s odsekom 3, všetky procesy v týchto subjektoch, v prípade ktorých agregovaný ECII za skupinu presahuje prahovú hodnotu veľkého vplyvu, sa považujú za procesy s veľkým vplyvom a všetky procesy v týchto subjektoch, v prípade ktorých agregovaný ECII za skupinu presahuje prahové hodnoty kritického vplyvu, sa považujú za procesy s kritickým vplyvom.

5.   Ak príslušný orgán identifikuje subjekty uvedené v odseku 3 písm. a) vo viac než jednom členskom štáte, informuje ostatné príslušné orgány, ENTSO pre elektrinu a subjekt PDS EÚ. ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ na základe informácií získaných od všetkých príslušných orgánov poskytne príslušným orgánom analýzu agregácie subjektov vo viac než jednom členskom štáte, ktorá môže spôsobiť distribuované narušenie cezhraničných tokov elektriny a môže viesť ku kybernetickému útoku. Ak je skupina subjektov vo viacerých členských štátoch identifikovaná ako agregácia, ktorej ECII presahuje prahovú hodnotu veľkého alebo kritického vplyvu, všetky dotknuté príslušné orgány identifikujú subjekty v takejto skupine ako subjekty s veľkým alebo kritickým vplyvom pre príslušný členský štát na základe agregovaného ECII za skupinu subjektov a identifikované subjekty sa uvedú v správe o posúdení kybernetickobezpečnostných rizík v celej Únii.

6.   Každý príslušný orgán do deviatich mesiacov po tom, ako ho ENTSO pre elektrinu a subjekt PDS EÚ informoval o správe o posúdení kybernetickobezpečnostných rizík v celej Únii podľa článku 19 ods. 5, a v každom prípade najneskôr do 13. júna 2028 informuje subjekty uvedené v zozname, že boli identifikované ako subjekty s veľkým alebo kritickým vplyvom v danom členskom štáte.

7.   Ak je poskytovateľ služieb nahlásený príslušnému orgánu ako poskytovateľ kritických služieb IKT podľa článku 27 písm. c), uvedený príslušný orgán o tom informuje príslušné orgány členských štátov, na ktorých území sa nachádza jeho sídlo alebo zástupca. Dotknutý príslušný orgán poskytovateľa služieb informuje, že bol identifikovaný ako poskytovateľ kritických služieb.

1.   Príslušné orgány môžu zaviesť vnútroštátny systém overovania s cieľom overiť, či subjekty s kritickým vplyvom identifikované podľa článku 24 ods. 1 vykonali vnútroštátny legislatívny rámec, ktorý je zahrnutý v matici mapovania uvedenej v článku 34. Vnútroštátny systém overovania môže byť založený na inšpekcii vykonanej príslušným orgánom, nezávislých bezpečnostných auditoch alebo na vzájomných partnerských preskúmaniach vykonaných subjektmi s kritickým vplyvom v tom istom členskom štáte pod dohľadom príslušného orgánu.

2.   Ak sa príslušný orgán rozhodne zaviesť vnútroštátny systém overovania, zabezpečí, aby sa overovanie vykonávalo v súlade s týmito požiadavkami:

3.   Ak sa príslušný orgán rozhodne zaviesť vnútroštátny systém overovania, každoročne podáva agentúre ACER správu o tom, ako často vykonával inšpekcie v rámci tohto systému.

1.   Každý subjekt s veľkým a kritickým vplyvom, ktorý identifikovali príslušné orgány podľa článku 24 ods. 1, vykonáva riadenie kybernetickobezpečnostných rizík v prípade všetkých svojich aktív nachádzajúcich sa v jeho zónach veľkého vplyvu a kritického vplyvu. Každý subjekt s veľkým a kritickým vplyvom každé tri roky vykonáva riadenie rizík zahŕňajúce fázy uvedené v odseku 2.

2.   Každý subjekt s veľkým a kritickým vplyvom vychádza pri riadení kybernetickobezpečnostných rizík z prístupu, ktorého cieľom je chrániť jeho sieť a informačné systémy a ktorý zahŕňa tieto fázy:

3.   Vo fáze určenia kontextu každý subjekt s veľkým a kritickým vplyvom:

4.   Vo fáze posúdenia kybernetickobezpečnostných rizík každý subjekt s veľkým a kritickým vplyvom:

5.   Vo fáze ošetrenia kybernetickobezpečnostných rizík každý subjekt s veľkým a kritickým vplyvom vypracuje plán na zmiernenie rizík na úrovni subjektu, v ktorom vyberie možnosti ošetrenia rizík vhodné na riadenie týchto rizík a identifikuje zostávajúce riziká.

6.   Vo fáze akceptácie kybernetickobezpečnostných rizík sa každý subjekt s veľkým a kritickým vplyvom rozhodne, či bude akceptovať zostávajúce riziko, na základe kritérií akceptácie rizík stanovených v odseku 3 písm. b).

7.   Každý subjekt s veľkým a kritickým vplyvom zapíše aktíva identifikované v odseku 1 do inventára aktív. Tento inventár aktív nie je súčasťou správy o posúdení rizík.

8.   Príslušný orgán môže počas inšpekcií skontrolovať aktíva v inventári.

1.   Spoločný rámec pre kybernetickú bezpečnosť v odvetví elektrickej energie tvoria tieto kontroly a systém riadenia kybernetickej bezpečnosti:

2.   Všetky subjekty s veľkým vplyvom uplatňujú minimálne kontroly kybernetickej bezpečnosti podľa odseku 1 písm. a) v rámci svojej zóny veľkého vplyvu.

3.   Všetky subjekty s kritickým vplyvom uplatňujú pokročilé kontroly kybernetickej bezpečnosti podľa odseku 1 písm. b) v rámci svojej zóny kritického vplyvu.

4.   Do siedmich mesiacov od predloženia prvého návrhu správy o posúdení kybernetickobezpečnostných rizík v celej Únii podľa článku 19 ods. 4 sa spoločný rámec pre kybernetickú bezpečnosť v odvetví elektrickej energie uvedený v odseku 1 doplní o minimálne a pokročilé kontroly kybernetickej bezpečnosti v dodávateľskom reťazci vypracované podľa článku 33.

1.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ vypracujú do siedmich mesiacov od predloženia prvého návrhu správy o posúdení kybernetickobezpečnostných rizík v celej Únii podľa článku 19 ods. 4 návrh minimálnych a pokročilých kontrol kybernetickej bezpečnosti.

2.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ do šiestich mesiacov od vypracovania jednotlivých správ o regionálnom posúdení kybernetickobezpečnostných rizík podľa článku 21 ods. 2 predložia príslušnému orgánu návrh zmeny minimálnych a pokročilých kontrol kybernetickej bezpečnosti. Návrh sa vypracuje v súlade s článkom 8 ods. 10 a zohľadnia sa v ňom riziká identifikované v regionálnom posúdení rizík.

3.   Minimálne a pokročilé kontroly kybernetickej bezpečnosti musia byť overiteľné na základe účasti na vnútroštátnom systéme overovania v súlade s postupom stanoveným v článku 31 alebo podrobením nezávislým bezpečnostným auditom tretej strany vykonaným v súlade s požiadavkami uvedenými v článku 25 ods. 2

4.   Prvotné minimálne a pokročilé kontroly kybernetickej bezpečnosti vypracované podľa odseku 1 sú založené na rizikách, ktoré sú identifikované v správe o posúdení kybernetickobezpečnostných rizík v celej Únii uvedenej v článku 19 ods. 5 Zmenené minimálne a pokročilé kontroly kybernetickej bezpečnosti vypracované podľa odseku 2 sú založené na správe o regionálnom posúdení kybernetickobezpečnostných rizík uvedenej v článku 21 ods. 2

5.   Minimálne kontroly kybernetickej bezpečnosti zahŕňajú kontroly na ochranu informácií, ktoré sa vymieňajú podľa článku 46.

6.   Subjekty uvedené v článku 2 ods. 1 a identifikované ako subjekty s kritickým a veľkým vplyvom podľa článku 24 do 12 mesiacov od schválenia minimálnych a pokročilých kontrol kybernetickej bezpečnosti podľa článku 8 ods. 5 alebo po každej aktualizácii podľa článku 8 ods. 10 uplatňujú počas vypracovania plánu na zmiernenie rizík na úrovni subjektu podľa článku 26 ods. 5 minimálne kontroly kybernetickej bezpečnosti v rámci zóny veľkého vplyvu a pokročilé kontroly kybernetickej bezpečnosti v rámci zóny kritického vplyvu.

1.   Subjekty uvedené v článku 2 ods. 1 môžu požiadať relevantný príslušný orgán o udelenie výnimky z povinnosti uplatňovať minimálne a pokročilé kontroly kybernetickej bezpečnosti uvedené v článku 29 ods. 6 Príslušný orgán môže udeliť takúto výnimku na základe jedného z týchto dôvodov:

2.   Každý príslušný orgán do troch mesiacov od doručenia žiadosti uvedenej v odseku 1 rozhodne, či sa má udeliť výnimka z minimálnych a pokročilých kontrol kybernetickej bezpečnosti. Výnimky z minimálnych alebo pokročilých kontrol kybernetickej bezpečnosti sa udeľujú maximálne na tri roky s možnosťou predĺženia.

3.   Agregované a anonymizované informácie o udelených výnimkách sa uvedú ako príloha ku komplexnej správe o posúdení kybernetickobezpečnostných rizík cezhraničných tokov elektriny uvedenej v článku 23. ENTSO pre elektrinu a subjekt PDS EÚ podľa potreby tento zoznam spoločne aktualizujú.

1.   Každý subjekt s kritickým vplyvom identifikovaný v súlade s článkom 24 ods. 1 musí byť najneskôr 24 mesiacov od prijatia kontrol uvedených v článku 28 ods. 1 písm. a), b) a c) a od zavedenia systému riadenia kybernetickej bezpečnosti uvedeného v písmene d) predmetného článku schopný na žiadosť príslušného orgánu preukázať, že dodržiava systém riadenia kybernetickej bezpečnosti a minimálne alebo pokročilé kontroly kybernetickej bezpečnosti.

2.   Každý subjekt s kritickým vplyvom si splní povinnosť uvedenú v odseku 1 tým, že sa podrobí nezávislým bezpečnostným auditom tretej strany v súlade s požiadavkami uvedenými v článku 25 ods. 2 alebo sa zúčastní na vnútroštátnom systéme overovania v súlade s článkom 25 ods. 1

3.   Overenie, či subjekt s kritickým vplyvom dodržiava systém riadenia kybernetickej bezpečnosti, a minimálne alebo pokročilé kontroly kybernetickej bezpečnosti sa vzťahujú na všetky aktíva nachádzajúce sa v zóne kritického vplyvu subjektu s kritickým vplyvom.

4.   Overenie, či subjekt s kritickým vplyvom dodržiava systém riadenia kybernetickej bezpečnosti, a minimálne alebo pokročilé kontroly kybernetickej bezpečnosti sa pravidelne opakujú najneskôr 36 mesiacov od skončenia prvého overenia a potom každé tri roky.

5.   Každý subjekt s kritickým vplyvom určený v súlade s článkom 24 preukáže, že dodržiava kontroly uvedené v článku 28 ods. 1 písm. a), b) a c) a zaviedol systém riadenia kybernetickej bezpečnosti uvedený v písmene d) predmetného článku, tak, že príslušnému orgánu predloží správu o výsledku overenia dodržiavania súladu.

1.   Každý subjekt s veľkým vplyvom a subjekt s kritickým vplyvom do 24 mesiacov od dátumu, keď ho príslušný orgán v súlade s článkom 24 ods. 6 informoval, že bol identifikovaný ako subjekt s veľkým alebo kritickým vplyvom, zavedie systém riadenia kybernetickej bezpečnosti a následne ho každé tri roky preskúma s cieľom:

2.   Do pôsobnosti systému riadenia kybernetickej bezpečnosti patria všetky aktíva v rámci zóny veľkého vplyvu a zóny kritického vplyvu subjektu s veľkým a kritickým vplyvom.

3.   Príslušné orgány podporujú uplatňovanie európskych alebo medzinárodných noriem a špecifikácií týkajúcich sa systémov riadenia a súvisiacich s bezpečnosťou sietí a informačných systémov, pričom neukladajú povinnosť používať určitý typ technológie ani ju nediskriminujú.

1.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ vypracujú do siedmich mesiacov od predloženia prvého návrhu správy o posúdení kybernetickobezpečnostných rizík v celej Únii podľa článku 19 ods. 4 návrh minimálnych a pokročilých kontrol kybernetickej bezpečnosti v dodávateľskom reťazci, ktorými sa zmierňujú riziká dodávateľského reťazca identifikované v posúdeniach kybernetickobezpečnostných rizík v celej Únii a ktoré dopĺňajú minimálne a pokročilé kontroly kybernetickej bezpečnosti vypracované podľa článku 29. Minimálne a pokročilé kontroly kybernetickej bezpečnosti v dodávateľskom reťazci sa vypracujú spolu s minimálnymi a pokročilými kontrolami kybernetickej bezpečnosti podľa článku 29. Minimálne a pokročilé kontroly kybernetickej bezpečnosti v dodávateľskom reťazci sa vzťahujú na celý životný cyklus všetkých produktov IKT, služieb IKT a procesov IKT v rámci zóny veľkého vplyvu a zóny kritického vplyvu subjektu s veľkým alebo kritickým vplyvom. Pri vypracúvaní návrhu minimálnych a pokročilých kontrol kybernetickej bezpečnosti v dodávateľskom reťazci sa uskutočňujú konzultácie so skupinou pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti.

2.   Minimálne kontroly kybernetickej bezpečnosti v dodávateľskom reťazci pozostávajú z kontrol vzťahujúcich sa na subjekty s veľkým a kritickým vplyvom, ktoré:

3.   Pokiaľ ide o špecifikácie kybernetickej bezpečnosti v odporúčaniach týkajúcich sa obstarávania kybernetickej bezpečnosti uvedených v odseku 2 písm. a), subjekty s veľkým alebo kritickým vplyvom uplatňujú zásady obstarávania podľa smernice Európskeho parlamentu a Rady 2014/24/EÚ (19) v súlade s článkom 35 ods. 4 alebo vymedzia vlastné špecifikácie na základe výsledkov posúdenia kybernetickobezpečnostných rizík na úrovni subjektu.

4.   Pokročilé kontroly kybernetickej bezpečnosti v dodávateľskom reťazci zahŕňajú kontroly vzťahujúce sa na subjekty s kritickým vplyvom s cieľom počas obstarávania overiť, či produkty IKT, služby IKT a procesy IKT, ktoré sa budú používať ako aktíva s kritickým vplyvom, spĺňajú špecifikácie kybernetickej bezpečnosti. Produkt IKT, služba IKT alebo proces IKT sa overí buď prostredníctvom európskeho systému certifikácie kybernetickej bezpečnosti uvedeného v článku 31, alebo prostredníctvom overovacích činností, ktoré si subjekt sám vyberie a zorganizuje. Hĺbka a rozsah overovacích činností musia byť dostatočné na to, aby poskytli záruku, že produkt IKT, službu IKT alebo proces IKT možno použiť na zmiernenie rizík identifikovaných v posúdení rizík na úrovni subjektu. Subjekt s kritickým vplyvom zdokumentuje kroky prijaté na zníženie identifikovaných rizík.

5.   Minimálne a pokročilé kontroly kybernetickej bezpečnosti v dodávateľskom reťazci sa vzťahujú na obstarávanie príslušných produktov IKT, služieb IKT a procesov IKT. Minimálne a pokročilé kontroly kybernetickej bezpečnosti v dodávateľskom reťazci sa vzťahujú na procesy obstarávania v subjektoch identifikovaných ako subjekty s kritickým a veľkým vplyvom podľa článku 24, ktoré sa začnú šesť mesiacov od prijatia alebo aktualizácie minimálnych a pokročilých kontrol kybernetickej bezpečnosti uvedených v článku 29.

6.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ do šiestich mesiacov od vypracovania jednotlivých správ o regionálnom posúdení kybernetickobezpečnostných rizík podľa článku 21 ods. 2 predložia príslušnému orgánu návrh zmeny minimálnych a pokročilých kontrol kybernetickej bezpečnosti v dodávateľskom reťazci. Návrh sa vypracuje v súlade s článkom 8 ods. 10 a zohľadnia sa v ňom riziká identifikované v regionálnom posúdení rizík.

1.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ a po konzultácii s agentúrou ENISA do siedmich mesiacov od predloženia prvého návrhu správy o posúdení kybernetickobezpečnostných rizík v celej Únii podľa článku 19 ods. 4 vypracujú návrh matice na mapovanie kontrol stanovených v článku 28 ods. 1 písm. a) a b) z hľadiska vybraných európskych a medzinárodných noriem, ako aj príslušných technických špecifikácií (ďalej len „matica mapovania“). ENTSO pre elektrinu a subjekt PDS EÚ zdokumentujú rovnocennosť rôznych kontrol s kontrolami stanovenými v článku 28 ods. 1 písm. a) a b).

2.   Príslušné orgány môžu poskytnúť ENTSO pre elektrinu a subjektu PDS EÚ mapovanie kontrol uvedených v článku 28 ods. 1 písm. a) a b) s odkazom na súvisiace vnútroštátne právne predpisy alebo regulačné rámce vrátane príslušných vnútroštátnych noriem členských štátov podľa článku 25 smernice (EÚ) 2022/2555. Ak príslušný orgán členského štátu poskytne takéto mapovanie, ENTSO pre elektrinu a subjekt PDS EÚ začlenia toto vnútroštátne mapovanie do matice mapovania.

3.   PPS s pomocou ENTSO pre elektrinu, v spolupráci so subjektom PDS EÚ a po konzultácii s agentúrou ENISA do šiestich mesiacov od vypracovania jednotlivých správ o regionálnom posúdení kybernetickobezpečnostných rizík podľa článku 21 ods. 2 predložia príslušnému orgánu návrh zmeny matice mapovania. Návrh sa vypracuje v súlade s článkom 8 ods. 10 a zohľadnia sa v ňom riziká identifikované v regionálnom posúdení rizík.

1.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ vypracujú v pracovnom programe, ktorý sa stanoví a aktualizuje vždy po prijatí správy o regionálnom posúdení kybernetickobezpečnostných rizík, súbory nezáväzných odporúčaní týkajúcich sa obstarávania kybernetickej bezpečnosti, ktoré môžu subjekty s veľkým a kritickým vplyvom použiť ako základ pri obstarávaní produktov IKT, služieb IKT a procesov IKT nachádzajúcich sa v rámci hranice veľkého vplyvu a perimetra kritického vplyvu. Tento pracovný program zahŕňa:

2.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ do šiestich mesiacov od prijatia alebo aktualizácie správy o regionálnom posúdení kybernetickobezpečnostných rizík predloží agentúre ACER zhrnutie uvedeného pracovného programu.

3.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ sa usilujú zabezpečiť, aby nezáväzné odporúčania týkajúce sa obstarávania kybernetickej bezpečnosti vypracované na základe príslušného regionálneho posúdenia kybernetickobezpečnostných rizík boli podobné alebo porovnateľné v rôznych regiónoch prevádzky sústavy. Súbory odporúčaní týkajúcich sa obstarávania kybernetickej bezpečnosti sa vzťahujú prinajmenšom na špecifikácie uvedené v článku 33 ods. 2 písm. a). Ak je to možné, špecifikácie sa vyberajú z európskych a medzinárodných noriem.

4.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ zabezpečia, aby súbory odporúčaní týkajúcich sa obstarávania kybernetickej bezpečnosti:

1.   Nezáväzné odporúčania týkajúce sa obstarávania kybernetickej bezpečnosti vypracované podľa článku 35 môžu zahŕňať odvetvové usmernenia k používaniu európskych systémov certifikácie kybernetickej bezpečnosti vždy, keď je k dispozícii vhodný systém pre typ produktu IKT, služby IKT alebo procesu IKT, ktoré používajú subjekty s kritickým vplyvom, pričom tým nie je dotknutý rámec pre zavádzanie európskych systémov certifikácie kybernetickej bezpečnosti podľa článku 46 nariadenia (EÚ) 2019/881.

2.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ úzko spolupracujú s agentúrou ENISA pri poskytovaní odvetvových usmernení, ktoré sú súčasťou nezáväzných odporúčaní týkajúcich sa obstarávania kybernetickej bezpečnosti podľa odseku 1.

1.   Ak príslušný orgán získa informácie, ktoré sa týkajú kybernetického útoku podliehajúceho oznamovacej povinnosti, tento príslušný orgán:

2.   Ak sa jednotka CSIRT dozvie o neopravenej aktívne zneužívanej zraniteľnosti:

3.   Ak sa príslušný orgán dozvie o neopravenej aktívne zneužívanej zraniteľnosti:

4.   Ak sa príslušný orgán dozvie o neopravenej zraniteľnosti, pričom zatiaľ neexistujú dôkazy o jej aktívnom zneužívaní, bez zbytočného odkladu koordinuje svoj postup s jednotkou CSIRT na účely koordinovaného zverejňovania zraniteľností, ako sa stanovuje v článku 12 ods. 1 smernice (EÚ) 2022/2555.

5.   Ak jednotka CSIRT získa informácie týkajúce sa kybernetických hrozieb od jedného alebo viacerých subjektov s veľkým alebo kritickým vplyvom podľa článku 38 ods. 6, bez zbytočného odkladu a najneskôr do štyroch hodín od ich získania postúpi tieto informácie alebo akékoľvek iné informácie dôležité z hľadiska prevencie, odhaľovania, reakcie alebo zmiernenia súvisiaceho rizika subjektom s kritickým a veľkým vplyvom vo svojom členskom štáte a prípadne všetkým dotknutým jednotkám CSIRT a svojmu vnútroštátnemu jednotnému kontaktnému miestu.

6.   Ak sa príslušný orgán dozvie o informáciách týkajúcich sa kybernetických hrozieb od jedného alebo viacerých subjektov s veľkým alebo kritickým vplyvom, postúpi tieto informácie jednotke CSIRT na účely odseku 5.

7.   Príslušné orgány môžu na základe dohody medzi dotknutými príslušnými orgánmi úplne alebo čiastočne delegovať povinnosti podľa odsekov 3 a 4 týkajúce sa jedného alebo viacerých subjektov s veľkým alebo kritickým vplyvom, ktoré pôsobia vo viac než jednom členskom štáte, na iný príslušný orgán v jednom z týchto členských štátov.

8.   PPS s pomocou ENTSO pre elektrinu a v spolupráci so subjektom PDS EÚ do 13. júna 2025 vypracujú metodiku klasifikačnej stupnice kybernetických útokov. PPS s pomocou ENTSO pre elektrinu a subjektu PDS EÚ môžu požiadať príslušné orgány, aby konzultovali s agentúrou ENISA, a môžu svoje príslušné orgány zodpovedné za kybernetickú bezpečnosť požiadať o pomoc pri vypracovaní takejto klasifikačnej stupnice. V metodike sa stanoví klasifikácia závažnosti kybernetického útoku na základe piatich úrovní, pričom dve najvyššie úrovne sú „vysoká“ a „kritická“. Klasifikácia vychádza z posúdenia týchto parametrov:

9.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ vykoná do 13. júna 2026 štúdiu uskutočniteľnosti s cieľom posúdiť možnosti a potrebné finančné náklady spojené s vytvorením spoločného nástroja umožňujúceho všetkým subjektom vymieňať si informácie s príslušnými vnútroštátnymi orgánmi.

10.   Štúdia uskutočniteľnosti sa zaoberá tým, ako možno dosiahnuť, aby takýto spoločný nástroj:

11.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ:

12.   ENTSO pre elektrinu môže v spolupráci so subjektom PDS EÚ analyzovať a uľahčovať iniciatívy navrhované subjektmi s kritickým a veľkým vplyvom na účely vyhodnocovania a testovania takýchto nástrojov na výmenu informácií.

1.   Každý subjekt s veľkým a kritickým vplyvom:

2.   Agentúra ENISA môže v rámci úlohy vymedzenej v článku 6 ods. 2 nariadenia (EÚ) 2019/881 vydať nezáväzné usmernenie týkajúce sa vytvárania takýchto spôsobilostí alebo využívania subdodávateľských zmlúv s poskytovateľmi riadených bezpečnostných služieb.

3.   Každý subjekt s kritickým a veľkým vplyvom poskytne relevantné informácie týkajúce sa kybernetického útoku podliehajúceho oznamovacej povinnosti svojim jednotkám CSIRT a príslušnému orgánu bez zbytočného odkladu a najneskôr do štyroch hodín od zistenia, že incident podlieha oznamovacej povinnosti.

4.   Informácie týkajúce sa kybernetického útoku sa považujú za podliehajúce oznamovacej povinnosti, ak zasiahnutý subjekt vyhodnotí závažnosť kybernetického útoku na úrovni v rozsahu od „vysoká“ po „kritická“ na základe metodiky určenia klasifikačnej stupnice kybernetických útokov podľa článku 37 ods. 8 Jednotné kontaktné miesto na úrovni subjektu určené podľa odseku 1 písm. c) oznámi klasifikáciu incidentu.

5.   Ak subjekty s kritickým a veľkým vplyvom oznámia relevantné informácie týkajúce sa neopravených aktívne zneužívaných zraniteľností jednotke CSIRT, jednotka CSIRT môže tieto informácie postúpiť svojmu príslušnému orgánu. S ohľadom na úroveň citlivosti oznamovaných informácií môže jednotka CSIRT tieto informácie neposkytnúť alebo ich postúpenie odložiť, ak na to existujú opodstatnené dôvody súvisiace s kybernetickou bezpečnosťou.

6.   Každý subjekt s kritickým a veľkým vplyvom bez zbytočného odkladu poskytne svojim jednotkám CSIRT všetky informácie týkajúce sa kybernetickej hrozby podliehajúcej oznamovacej povinnosti, ktorá môže mať cezhraničný vplyv. Informácie týkajúce sa kybernetickej hrozby sa považujú za podliehajúce oznamovacej povinnosti, ak je splnená aspoň jedna z týchto podmienok:

7.   Každý subjekt s kritickým a s veľkým vplyvom pri výmene informácií podľa tohto článku uvedie:

8.   Ak subjekt s kritickým alebo s veľkým vplyvom oznámi významný incident podľa článku 23 smernice (EÚ) 2022/2555 a oznámenie tohto incidentu podľa uvedeného článku obsahuje relevantné informácie požadované podľa odseku 3 tohto článku, oznámenie subjektu podľa článku 23 ods. 1 uvedenej smernice predstavuje oznámenie informácií podľa odseku 3 tohto článku.

9.   Každý subjekt s kritickým a veľkým vplyvom vykonáva oznámenia svojmu príslušnému orgánu alebo jednotke CSIRT, pričom jasne identifikuje konkrétne informácie, ktoré sa s príslušným orgánom alebo jednotkou CSIRT vymieňajú len v prípadoch, keď by výmena informácií mohla byť zdrojom kybernetického útoku. Každý subjekt s kritickým a veľkým vplyvom má právo predložiť príslušnej jednotke CSIRT verziu informácií, ktorá nemá dôverný charakter.

1.   Subjekty s kritickým a veľkým vplyvom vyvinú potrebné spôsobilosti na riešenie odhalených kybernetických útokov, a to s potrebnou podporou príslušného orgánu, ENTSO pre elektrinu a subjektu PDS EÚ. Subjekty s kritickým a veľkým vplyvom môže podporovať jednotka CSIRT určená v príslušnom členskom štáte v rámci úlohy, ktorou sú jednotky CSIRT poverené podľa článku 11 ods. 5 písm. a) smernice (EÚ) 2022/2555. Subjekty s kritickým a veľkým vplyvom zavedú účinné procesy na identifikáciu, klasifikáciu kybernetických útokov, ktoré ovplyvnia alebo môžu ovplyvniť cezhraničné toky elektriny, a reakciu na ne s cieľom minimalizovať ich vplyv.

2.   Ak má kybernetický útok vplyv na cezhraničné toky elektriny, jednotné kontaktné miesta na úrovni zasiahnutých subjektov s kritickým vplyvom a veľkým vplyvom spolupracujú v záujme vzájomnej výmeny informácií, pričom ich koordinuje príslušný orgán členského štátu, v ktorom bol kybernetický útok oznámený ako prvý.

3.   Subjekty s kritickým vplyvom a subjekty s veľkým vplyvom:

4.   Úlohy uvedené v odseku 1 môžu členské štáty delegovať aj na regionálne koordinačné centrá v súlade s článkom 37 ods. 2 nariadenia (EÚ) 2019/943.

1.   Ak príslušný orgán zistí, že kríza dodávok elektriny súvisí s kybernetickým útokom, ktorý má vplyv na viac než jeden členský štát, príslušné orgány z dotknutých členských štátov, príslušné orgány zodpovedné za kybernetickú bezpečnosť, príslušné orgány pre pripravenosť na riziká a orgány pre riadenie kybernetických kríz NIS zo zasiahnutých členských štátov spoločne vytvoria ad hoc skupinu pre cezhraničnú krízovú koordináciu.

2.    Ad hoc skupina pre cezhraničnú krízovú koordináciu:

3.   Ak sa kybernetický útok kvalifikuje alebo sa očakáva, že bude kvalifikovaný ako rozsiahly kybernetickobezpečnostný incident, ad hoc skupina pre cezhraničnú krízovú koordináciu bezodkladne informuje vnútroštátne orgány pre riadenie kybernetických kríz v súlade s článkom 9 ods. 1 smernice (EÚ) 2022/2555 v členských štátoch zasiahnutých incidentom, ako aj Komisiu a sieť EU-CyCLONe. V takejto situácii ad hoc skupina pre cezhraničnú krízovú koordináciu podporuje sieť EU-CyCLONe, pokiaľ ide o odvetvové špecifiká.

4.   Subjekty s kritickým a veľkým vplyvom vyvinú a musia mať k dispozícii spôsobilosti, interné usmernenia, plány pripravenosti a zamestnancov, aby sa mohli podieľať na odhaľovaní a zmierňovaní cezhraničných kríz. Subjekt s kritickým alebo veľkým vplyvom, ktorý je dotknutý súbežnou krízou dodávok elektriny, vyšetrí hlavnú príčinu takejto krízy v spolupráci so svojím príslušným orgánom s cieľom určiť, do akej miery kríza súvisí s kybernetickým útokom.

5.   Úlohy uvedené v odseku 4 môžu členské štáty delegovať aj na regionálne koordinačné centrá v súlade s článkom 37 ods. 2 nariadenia (EÚ) 2019/943.

1.   Agentúra ACER v úzkej spolupráci s agentúrou ENISA, ENTSO pre elektrinu, so subjektom PDS EÚ, s príslušnými orgánmi zodpovednými za kybernetickú bezpečnosť, príslušnými orgánmi, príslušnými orgánmi pre pripravenosť na riziká, národnými regulačnými orgánmi a vnútroštátnymi orgánmi pre riadenie kybernetických kríz NIS do 24 mesiacov po tom, ako bola agentúre ACER predložená správa o posúdení rizík v celej Únii, vypracuje plán krízového riadenia a reakcie na krízu v oblasti kybernetickej bezpečnosti pre odvetvie elektroenergetiky na úrovni Únie.

2.   Každý príslušný orgán do 12 mesiacov po tom, ako agentúra ACER vypracovala plán krízového riadenia a reakcie na krízu v oblasti kybernetickej bezpečnosti pre odvetvie elektroenergetiky na úrovni Únie podľa odseku 1, vypracuje národný plán krízového riadenia a reakcie na krízu v oblasti kybernetickej bezpečnosti pre cezhraničné toky elektriny, pričom zohľadní plán krízového riadenia v oblasti kybernetickej bezpečnosti na úrovni Únie a národný plán pripravenosti na riziká zostavený v súlade s článkom 10 nariadenia (EÚ) 2019/941. Tento plán musí byť v súlade s plánom reakcie na rozsiahle kybernetickobezpečnostné incidenty a krízy podľa článku 9 ods. 4 smernice (EÚ) 2022/2555. Príslušný orgán koordinuje svoj postup so subjektmi s kritickým a veľkým vplyvom a s príslušnými orgánmi zodpovednými za pripravenosť na riziká vo svojom členskom štáte.

3.   Národný plán reakcie na rozsiahle kybernetickobezpečnostné incidenty a krízy požadovaný podľa článku 9 ods. 4 smernice (EÚ) 2022/2555 sa považuje za národný plán krízového riadenia v oblasti kybernetickej bezpečnosti podľa tohto článku, ak obsahuje ustanovenia o krízovom riadení a reakcii na krízy v súvislosti s cezhraničnými tokmi elektriny.

4.   Úlohy vymenované v odsekoch 1 a 2 môžu členské štáty delegovať aj na regionálne koordinačné centrá v súlade s článkom 37 ods. 2 nariadenia (EÚ) 2019/943.

5.   Subjekty s kritickým a vplyvom zabezpečia, aby ich procesy krízového riadenia súvisiace s kybernetickou bezpečnosťou:

6.   Subjekty s kritickým a veľkým vplyvom do 12 mesiacov od informovania subjektov s veľkým a kritickým vplyvom podľa článku 24 ods. 6 a potom každé tri roky vypracujú plán krízového riadenia na úrovni subjektu pre prípad krízy súvisiacej s kybernetickou bezpečnosťou, ktorý začlenia do svojho všeobecného plánu krízového riadenia. Tento plán obsahuje aspoň tieto údaje:

7.   Opatrenia krízového riadenia podľa článku 21 ods. 2 písm. c) smernice (EÚ) 2022/2555 sa považujú za plán krízového riadenia na úrovni subjektu pre odvetvie elektroenergetiky podľa tohto článku, ak zahŕňajú všetky požiadavky uvedené v odseku 6.

8.   Plány krízového riadenia sa testujú počas kybernetickobezpečnostných cvičení uvedených v článkoch 43, 44 a 45.

9.   Subjekty s kritickým a veľkým vplyvom zahrnú svoje plány krízového riadenia na úrovni subjektu do svojich plánov na zabezpečenie kontinuity činností v prípade procesov s kritickým vplyvom a procesov s veľkým vplyvom. Plány krízového riadenia na úrovni subjektu zahŕňajú:

10.   Subjekty s kritickým a veľkým vplyvom aktualizujú svoje plány krízového riadenia na úrovni subjektu aspoň každé tri roky a vždy, keď je to potrebné.

11.   Agentúra ACER aktualizuje plán krízového riadenia a reakcie na krízu v oblasti kybernetickej bezpečnosti pre odvetvie elektroenergetiky na úrovni Únie vypracovaný podľa odseku 1 aspoň každé tri roky a vždy, keď je to potrebné.

12.   Každý príslušný orgán aktualizuje národný plán krízového riadenia a reakcie na krízu v oblasti kybernetickej bezpečnosti pre cezhraničné toky elektriny vypracovaný podľa odseku 2 aspoň každé tri roky a vždy, keď je to potrebné.

13.   Subjekty s kritickým a veľkým vplyvom testujú svoje plány na zabezpečenie kontinuity činností aspoň každé tri roky alebo po významných zmenách v procese s kritickým vplyvom. Výsledok testov plánu na zabezpečenie kontinuity činností sa zdokumentuje. Subjekty s kritickým a veľkým vplyvom môžu testovanie svojho plánu na zabezpečenie kontinuity činností zahrnúť do kybernetickobezpečnostných cvičení.

14.   Subjekty s kritickým a veľkým vplyvom aktualizujú svoj plán na zabezpečenie kontinuity činností vždy, keď je to potrebné, a najmenej každé tri roky, pričom zohľadnia výsledok testu.

15.   Ak sa pri testovaní zistia v pláne na zabezpečenie kontinuity činností nedostatky, subjekt s kritickým a veľkým vplyvom odstráni tieto nedostatky do 180 kalendárnych dní od testovania a vykoná nový test, aby poskytol dôkaz o účinnosti nápravných opatrení.

16.   Ak subjekt s kritickým alebo veľkým vplyvom nedokáže nedostatky odstrániť do 180 kalendárnych dní, uvedie dôvody v správe, ktorú predloží svojmu príslušnému orgánu v súlade s článkom 27.

1.   Príslušné orgány spolupracujú s agentúrou ENISA pri rozvíjaní spôsobilostí včasného varovania v oblasti kybernetickej bezpečnosti elektrizačnej sústavy (ECEAC) v rámci pomoci členským štátom podľa článku 6 ods. 2 a článku 7 nariadenia (EÚ) 2019/881.

2.   Spôsobilosti včasného varovania v oblasti kybernetickej bezpečnosti elektrizačnej sústavy umožňujú agentúre ENISA pri plnení úloh uvedených v článku 7 ods. 7 nariadenia (EÚ) 2019/881:

3.   Jednotky CSIRT bezodkladne postúpia informácie získané od agentúry ENISA dotknutým subjektom v rámci svojich úloh vymedzených v článku 11 ods. 3 písm. b) smernice (EÚ) 2022/2555.

4.   Agentúra ACER monitoruje účinnosť spôsobilostí včasného varovania v oblasti kybernetickej bezpečnosti elektrizačnej sústavy. Agentúra ENISA pomáha agentúre ACER poskytovaním všetkých potrebných informácií podľa článku 6 ods. 2 a článku 7 ods. 1 nariadenia (EÚ) 2019/881. Analýza tejto monitorovacej činnosti je súčasťou monitorovania podľa článku 12 tohto nariadenia.

1.   Každý subjekt s kritickým vplyvom do 31. decembra roka po informovaní subjektov s kritickým vplyvom a následne každé tri roky vykoná kybernetickobezpečnostné cvičenie vrátane jedného alebo viacerých scenárov s kybernetickými útokmi, ktoré priamo alebo nepriamo ovplyvňujú cezhraničné toky elektriny a súvisia s rizikami identifikovanými v posúdení kybernetickobezpečnostných rizík na úrovni členského štátu a na úrovni subjektu v súlade s článkom 20 a článkom 27.

2.   Odchylne od odseku 1 môže príslušný orgán pre pripravenosť na riziká po konzultácii s príslušným orgánom a príslušným orgánom pre riadenie kybernetických kríz určeným alebo zriadeným podľa článku 9 smernice (EÚ) 2022/2555 rozhodnúť, že namiesto vykonania kybernetickobezpečnostného cvičenia na úrovni subjektu zorganizuje kybernetickobezpečnostné cvičenie na úrovni členského štátu, ako sa uvádza v odseku 1. V tejto súvislosti príslušný orgán informuje:

3.   Príslušný orgán pre pripravenosť na riziká s technickou podporou svojich jednotiek CSIRT zorganizuje kybernetickobezpečnostné cvičenie opísané v odseku 2 na úrovni členského štátu nezávisle od iného kybernetickobezpečnostného cvičenia v danom členskom štáte alebo v rámci takéhoto iného cvičenia. Aby bolo možné tieto cvičenia zoskupiť, môže príslušný orgán pre pripravenosť na riziká odložiť kybernetickobezpečnostné cvičenie na úrovni členského štátu uvedené v odseku 1 o jeden rok.

4.   Kybernetickobezpečnostné cvičenia na úrovni subjektu a na úrovni členského štátu musia byť v súlade s vnútroštátnymi rámcami krízového riadenia kybernetickej bezpečnosti v súlade s článkom 9 ods. 4 písm. d) smernice (EÚ) 2022/2555.

5.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ do 31. decembra 2026 a potom každé tri roky sprístupní vzor scenárov cvičení na vykonávanie kybernetickobezpečnostných cvičení na úrovni subjektu a úrovni členského štátu uvedených v odseku 1. V tomto vzore sa zohľadňujú výsledky najnovších posúdení kybernetickobezpečnostných rizík na úrovni subjektu a úrovni členského štátu a obsahuje kľúčové kritériá úspešnosti. ENTSO pre elektrinu a subjekt PDS EÚ zapoja do vypracovania tohto vzoru agentúru ACER a agentúru ENISA.

1.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ do 31. decembra 2029 a potom každé tri roky organizuje v každom regióne prevádzky sústavy regionálne kybernetickobezpečnostné cvičenie. Na regionálnom kybernetickobezpečnostnom cvičení sa zúčastňujú subjekty s kritickým vplyvom v regióne prevádzky sústavy. ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ môže v rovnakom časovom rámci namiesto regionálneho kybernetickobezpečnostného cvičenia zorganizovať medziregionálne kybernetickobezpečnostné cvičenie vo viac než jednom regióne prevádzky sústavy. Pri tomto cvičení by sa mali zohľadniť ostatné existujúce posúdenia kybernetickobezpečnostných rizík a scenáre vypracované na úrovni Únie.

2.   Agentúra ENISA podporuje ENTSO pre elektrinu a subjekt PDS EÚ pri príprave a organizácii kybernetickobezpečnostného cvičenia na regionálnej alebo medziregionálnej úrovni.

3.   ENTSO pre elektrinu v koordinácii so subjektom PDS EÚ informuje subjekty s kritickým vplyvom, ktoré sa majú zúčastniť na regionálnom alebo medziregionálnom kybernetickobezpečnostnom cvičení, šesť mesiacov pred jeho uskutočnením.

4.   Organizátor pravidelného kybernetickobezpečnostného cvičenia na úrovni Únie podľa článku 7 ods. 5 nariadenia (EÚ) 2019/881 alebo akéhokoľvek povinného kybernetickobezpečnostného cvičenia týkajúceho sa odvetvia elektroenergetiky v rámci tej istej geografickej zóny môže vyzvať na účasť ENTSO pre elektrinu a subjekt PDS EÚ. V takýchto prípadoch sa povinnosť uvedená v odseku 1 neuplatňuje za predpokladu, že na tom istom cvičení sa zúčastnia všetky subjekty s kritickým vplyvom v danom regióne prevádzky sústavy.

5.   Ak sa ENTSO pre elektrinu a subjekt PDS EÚ zúčastnia na kybernetickobezpečnostnom cvičení uvedenom v odseku 4, môžu odložiť regionálne alebo medziregionálne kybernetickobezpečnostné cvičenie uvedené v odseku 1 o jeden rok.

6.   ENTSO pre elektrinu v koordinácii so subjektom PDS EÚ do 31. decembra 2027 a každé tri roky po tomto dátume sprístupní vzor cvičení na vykonávanie regionálnych a medziregionálnych kybernetickobezpečnostných cvičení. V tomto vzore sa zohľadňujú výsledky najnovších posúdení kybernetickobezpečnostných rizík na regionálnej úrovni a obsahuje kľúčové kritériá úspešnosti. V súvislosti s organizovaním a vykonávaním regionálnych a medziregionálnych kybernetickobezpečnostných cvičení sa ENTSO pre elektrinu radí s Komisiou a môže požiadať o poradenstvo agentúru ACER, agentúru ENISA a Spoločné výskumné centrum.

1.   Poskytovatelia kritických služieb sa na žiadosť subjektu s kritickým vplyvom zúčastnia na kybernetickobezpečnostných cvičeniach uvedených v článku 43 ods. 1 a 2 a článku 44 ods. 1, ak subjektu s kritickým vplyvom poskytujú služby v oblasti zodpovedajúcej rozsahu predmetného kybernetickobezpečnostného cvičenia.

2.   Organizátori kybernetickobezpečnostných cvičení uvedených v článku 43 ods. 1 a 2 a článku 44 ods. 1 na základe poradenstva od agentúry ENISA, ak oň požiadajú, a v súlade s článkom 7 ods. 5 nariadenia (EÚ) 2019/881 zanalyzujú a dokončia predmetné kybernetickobezpečnostné cvičenie vypracovaním správy obsahujúcej zhrnutie získaných poznatkov, ktorá je určená všetkým účastníkom. Správa musí obsahovať:

3.   Organizátori kybernetickobezpečnostných cvičení uvedených v článku 43 ods. 1 a 2 a článku 44 ods. 1 poskytnú informácie o výsledku predmetného kybernetickobezpečnostného cvičenia jednotkám CSIRT, skupine pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti alebo sieti EU-CyCLONe, ak o to požiadajú. Organizátori poskytnú každému subjektu zúčastnenému na cvičení informácie uvedené v odseku 2 písm. a) a b) tohto článku. Organizátori poskytnú zoznam odporúčaní uvedených v písmene c) uvedeného odseku výlučne subjektom, ktorým sú odporúčania určené.

4.   Organizátori kybernetickobezpečnostných cvičení uvedených v článku 43 ods. 1 a 2 a článku 44 ods. 1 následne pravidelne sledujú, ako subjekty zúčastnené na cvičeniach plnia odporúčania podľa odseku 2 písm. c) tohto článku.

1.   Subjekty uvedené v článku 2 ods. 1 zabezpečia, aby informácie poskytované, získavané, vymieňané alebo zasielané podľa tohto nariadenia boli prístupné len na základe potreby poznať a v súlade s príslušnými pravidlami Únie a vnútroštátnymi pravidlami týkajúcimi sa bezpečnosti informácií.

2.   Subjekty uvedené v článku 2 ods. 1 zabezpečia, aby sa s informáciami poskytovanými, získavanými, vymieňanými alebo zasielanými podľa tohto nariadenia primerane zaobchádzalo a aby boli vysledovateľné počas celého životného cyklu daných informácií a aby ich zverejnenie na konci životného cyklu bolo možné len po ich anonymizácii.

3.   Subjekty uvedené v článku 2 ods. 1 zabezpečia, aby boli zavedené všetky potrebné ochranné opatrenia organizačnej a technickej povahy na zaistenie a ochranu dôvernosti, integrity, dostupnosti a nepopretia informácií poskytovaných, získavaných, vymieňaných alebo zasielaných podľa tohto nariadenia, a to nezávisle od použitých prostriedkov. Ochranné opatrenia musia:

4.   Subjekty uvedené v článku 2 ods. 1 zabezpečia, aby každá osoba, ktorej je udelený prístup k informáciám poskytovaným, získavaným, vymieňaným alebo zasielaným podľa tohto nariadenia, bola informovaná o bezpečnostných pravidlách platných na úrovni subjektu a o opatreniach a postupoch týkajúcich sa ochrany informácií. Uvedené subjekty zabezpečia, aby dotknutá osoba uznala zodpovednosť za ochranu informácií podľa pokynov, ktoré dostala na informačnom stretnutí.

5.   Subjekty uvedené v článku 2 ods. 1 zabezpečia, aby bol prístup k informáciám poskytovaným, získavaným, vymieňaným alebo zasielaným podľa tohto nariadenia obmedzený len na fyzické osoby:

6.   Subjekty uvedené v článku 2 ods. 1 musia mať písomný súhlas fyzickej alebo právnickej osoby, ktorá informácie pôvodne vytvorila alebo poskytla, predtým, ako tieto informácie poskytnú tretej strane, ktorá nepatrí do rozsahu pôsobnosti tohto nariadenia.

7.   Subjekt uvedený v článku 2 ods. 1 môže zvážiť, že pri výmene týchto informácií sa nebudú dodržiavať odseky 1 a 4 tohto článku, s cieľom predísť súbežnej kríze dodávok elektriny, ktorej hlavná príčina súvisí s kybernetickou bezpečnosťou, alebo akejkoľvek cezhraničnej kríze v rámci Únie v inom odvetví. V takomto prípade musí:

8.   Odchylne od odseku 6 tohto článku môžu príslušné orgány poskytnúť informácie poskytované, získavané, vymieňané alebo zasielané podľa tohto nariadenia tretej strane, ktorá nie je uvedená v článku 2 ods. 1, bez predchádzajúceho písomného súhlasu pôvodcu informácií, ale informujú ho o tom v čo najkratšom čase. Pred sprístupnením akýchkoľvek informácií poskytovaných, získavaných, vymieňaných alebo zasielaných podľa tohto nariadenia tretej strane, ktorá nie je uvedená v článku 2 ods. 1, dotknutý príslušný orgán musí primerane zabezpečiť, aby dotknutá tretia strana poznala platné bezpečnostné pravidlá, a získať primerané uistenie, že dotknutá tretia strana dokáže chrániť získané informácie v súlade s odsekmi 1 až 5 tohto článku. Príslušný orgán anonymizuje takéto informácie bez toho, aby sa stratili prvky potrebné na informovanie verejnosti o bezprostrednom a závažnom riziku pre cezhraničné toky elektriny a o možných zmierňujúcich opatreniach a na ochranu totožnosti pôvodcu informácií. V tomto prípade tretia strana, ktorá nie je uvedená v článku 2 ods. 1, chráni získané informácie v súlade s ustanoveniami, ktoré už platia na úrovni subjektu, alebo ak to nie je možné, v súlade s ustanoveniami a pokynmi, ktoré poskytol relevantný príslušný orgán.

9.   Tento článok sa nevzťahuje na subjekty, ktoré nie sú uvedené v článku 2 ods. 1 a ktorým sa poskytujú informácie podľa odseku 6 tohto článku. V tomto prípade sa uplatňuje odsek 7 tohto článku alebo príslušný orgán môže danému subjektu poskytnúť písomné ustanovenia, ktoré sa majú uplatňovať v prípadoch získania informácií podľa tohto nariadenia.

1.   Na všetky informácie poskytované, získavané, vymieňané alebo zasielané podľa tohto nariadenia sa vzťahujú podmienky služobného tajomstva stanovené v odsekoch 2 až 5 tohto článku tohto nariadenia a požiadavky stanovené v článku 65 nariadenia (EÚ) 2019/943. Všetky informácie poskytované, získavané, vymieňané alebo zasielané medzi subjektmi uvedenými v článku 2 tohto nariadenia na účely vykonávania tohto nariadenia sú chránené s ohľadom na úroveň dôvernosti informácií, ktorú uplatňuje pôvodca.

2.   Povinnosť služobného tajomstva sa vzťahuje na subjekty uvedené v článku 2.

3.   Príslušné orgány zodpovedné za kybernetickú bezpečnosť, národné regulačné orgány, príslušné orgány pre pripravenosť na riziká a jednotky CSIRT si vymieňajú všetky informácie potrebné na plnenie svojich úloh.

4.   Všetky informácie získavané, vymieňané alebo zasielané medzi subjektmi uvedenými v článku 2 ods. 1 na účely vykonávania článku 23 musia byť anonymizované a agregované.

5.   Informácie, ktoré získa akýkoľvek subjekt alebo orgán podľa tohto nariadenia pri plnení svojich povinností, sa nesmú poskytovať žiadnemu inému subjektu ani orgánu, čím nie sú dotknuté prípady, na ktoré sa vzťahujú vnútroštátne právne predpisy, iné ustanovenia tohto nariadenia alebo iné príslušné právne predpisy Únie.

6.   Bez toho, aby boli dotknuté vnútroštátne právne predpisy alebo právne predpisy Únie, orgán, subjekt alebo fyzická osoba, ktorá získa informácie podľa tohto nariadenia, ich nesmie použiť na iný účel než na plnenie svojich povinností podľa tohto nariadenia.

7.   Agentúra ACER po konzultácii s agentúrou ENISA, so všetkými príslušnými orgánmi, s ENTSO pre elektrinu a so subjektom PDS EÚ vydá do 13. júna 2025 usmernenia týkajúce sa mechanizmov výmeny informácií medzi všetkými subjektmi uvedenými v článku 2 ods. 1, a najmä predpokladaných komunikačných tokov a metód anonymizácie a agregovania informácií na účely vykonávania tohto článku.

8.   Informácie, ktoré sú dôverné podľa pravidiel Únie a vnútroštátnych pravidiel, sa vymieňajú s Komisiou a inými relevantnými orgánmi len vtedy, ak je táto výmena potrebná na uplatňovanie tohto nariadenia. Vymieňané informácie sa obmedzujú na tie informácie, ktoré sú nevyhnutné a primerané účelu tejto výmeny. Pri výmene informácií sa zachováva dôvernosť týchto informácií a chránia sa bezpečnostné a obchodné záujmy subjektov s kritickým alebo veľkým vplyvom.

1.   Kým nebudú schválené podmienky alebo metodiky uvedené v článku 6 ods. 2, alebo plány uvedené v článku 6 ods. 3, ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ vypracuje nezáväzné usmernenia týkajúce sa týchto záležitostí:

2.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ do 13. októbra 2024 vypracuje odporúčanie k predbežnému ECII. ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ oznámi odporúčaný predbežný ECII príslušným orgánom.

3.   Príslušné orgány na základe odporúčaného ECII do štyroch mesiacov od doručenia odporúčaného predbežného ECII alebo najneskôr do 13. februára 2025 identifikujú kandidátske subjekty s veľkým a kritickým vplyvom vo svojom členskom štáte a vypracujú predbežný zoznam subjektov s veľkým a kritickým vplyvom. Subjekty s veľkým a kritickým vplyvom identifikované v predbežnom zozname môžu dobrovoľne plniť svoje povinnosti stanovené v tomto nariadení na základe zásady predbežnej opatrnosti. Príslušné orgány do 13. marca 2025 informujú subjekty identifikované v predbežnom zozname, že boli identifikované ako subjekty s veľkým, resp. kritickým vplyvom.

4.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ do 13. decembra 2024 vypracuje predbežný zoznam procesov s veľkým a kritickým vplyvom na celú Úniu. Subjekty informované podľa odseku 3, ktoré sa dobrovoľne rozhodnú plniť svoje povinnosti stanovené v tomto nariadení na základe zásady predbežnej opatrnosti, použijú predbežný zoznam procesov s veľkým a kritickým vplyvom, aby určili predbežné zóny veľkého vplyvu a kritického vplyvu a aby určili aktíva, ktoré sa majú zahrnúť do prvého posúdenia kybernetickobezpečnostných rizík na úrovni subjektu.

5.   Každý príslušný orgán podľa článku 4 ods. 1 do 13. septembra 2024 poskytne ENTSO pre elektrinu a subjektu PDS EÚ zoznam svojich vnútroštátnych právnych predpisov, ktoré sú relevantné pre aspekty kybernetickej bezpečnosti cezhraničných tokov elektriny.

6.   ENTSO pre elektrinu v spolupráci so subjektom PDS EÚ do 13. júna 2025 pripraví predbežný zoznam európskych a medzinárodných noriem a kontrol požadovaných vo vnútroštátnych právnych predpisoch, ktoré sú relevantné pre aspekty kybernetickej bezpečnosti cezhraničných tokov elektriny, pričom zohľadní informácie poskytnuté príslušnými orgánmi.

7.   Predbežný zoznam európskych a medzinárodných noriem a kontrol obsahuje:

8.   ENTSO pre elektrinu a subjekt PDS EÚ pri finalizácii predbežného zoznamu noriem zohľadnia stanoviská, ktoré poskytla agentúra ENISA a agentúra ACER. ENTSO pre elektrinu a subjekt PDS EÚ zverejnia prechodný zoznam európskych a medzinárodných noriem a kontrol na svojich webových sídlach.

9.   ENTSO pre elektrinu a subjekt PDS EÚ konzultujú návrhy nezáväzných usmernení vypracovaných podľa odseku 1 s agentúrou ENISA a agentúrou ACER.

10.   Do vypracovania minimálnych a pokročilých kontrol kybernetickej bezpečnosti podľa článku 29 a ich prijatia podľa článku 8 sa všetky subjekty uvedené v článku 2 ods. 1 usilujú postupne uplatňovať nezáväzné usmernenia vypracované podľa odseku 1.