13 straipsnis. Lyginamoji analizė

1. Iki 2025 m. birželio 13 d. ACER, bendradarbiaudama su ENISA, parengia neprivalomą kibernetinio saugumo lyginamosios analizės vadovą. Vadove NRI paaiškinami pagal šio straipsnio 2 dalį atliekamos įgyvendintų kibernetinio saugumo kontrolės priemonių lyginamosios analizės principai, atsižvelgiant į kontrolės įgyvendinimo sąnaudas ir tokiai kontrolei įgyvendinti naudojamų procesų, produktų, paslaugų, sistemų ir sprendinių funkcijų veiksmingumą. ACER, rengdama neprivalomą kibernetinio saugumo lyginamosios analizės vadovą, atsižvelgia į esamas lyginamosios analizės ataskaitas. Neprivalomą kibernetinio saugumo lyginamosios analizės vadovą ACER pateikia susipažinti NRI.

2. Per 12 mėnesių nuo lyginamosios analizės vadovo parengimo pagal 1 dalį NRI atlieka lyginamąją analizę, kad įvertintų, ar dabartinės investicijos į kibernetinį saugumą:

a) mažina poveikio tarpvalstybiniams elektros energijos srautams riziką;

b) duoda norimus rezultatus ir didina elektros energijos sistemų plėtojimo efektyvumą;

c) yra efektyvios ir integruotos į bendrą turto ir paslaugų viešąjį pirkimą.

3. Atlikdamos lyginamąją analizę, NRI gali atsižvelgti į ACER parengtą neprivalomą kibernetinio saugumo lyginamosios analizės vadovą ir visų pirma įvertina:

a) vidutines su kibernetiniu saugumu susijusias išlaidas, patiriamas siekiant sumažinti tarpvalstybinius elektros energijos srautus veikiančią riziką, ypač susijusią su didelio poveikio ir ypatingos svarbos poveikio subjektais;

b) bendradarbiaudamos su ENTSO-E ir ES SSO subjektu – vidutines kibernetinio saugumo paslaugų, sistemų ir produktų, kurie labai padeda gerinti ir užtikrinti kibernetinio saugumo rizikos valdymo priemones įvairiuose sistemos eksploatavimo regionuose, kainas;

c) šiam reglamentui įgyvendinti tinkamų kibernetinio saugumo paslaugų, sistemų ir sprendinių prieinamumą ir jų sąnaudų bei funkcijų palyginamumo lygį, nustatant galimas priemones, būtinas išlaidų efektyvumui didinti, visų pirma tais atvejais, kai gali reikėti investicijų į kibernetinio saugumo technologijas.

4. Visa su lyginamąja analize susijusi informacija tvarkoma ir apdorojama laikantis šiame reglamente nustatytų duomenų klasifikavimo reikalavimų, būtinosios kibernetinio saugumo kontrolės priemonių ir vadovaujantis tarpvalstybinių elektros energijos srautų kibernetinio saugumo rizikos vertinimo ataskaita. 2 ir 3 dalyse nurodyta lyginamoji analizė viešai neskelbiama.

5. Nedarant poveikio 47 straipsnyje išdėstytiems konfidencialumo reikalavimams ir būtinybei užtikrinti subjektų, kuriems taikomos šio reglamento nuostatos, saugumą, šio straipsnio 2 ir 3 dalyse nurodyta lyginamąja analize dalijamasi su visomis NRI, visomis kompetentingomis institucijomis, ACER, ENISA ir Komisija.