18 straipsnis. Kibernetinio saugumo rizikos vertinimo metodikos

1. Iki 2025 m. skovo 13 d. PSO, padedami ENTSO-E, bendradarbiaudami su ES SSO subjektu ir pasikonsultavę su TIS bendradarbiavimo grupe, pateikia Sąjungos, regioninio ir valstybių narių lygmens kibernetinio saugumo rizikos vertinimo metodikų pasiūlymus.

2. Į Sąjungos, regioninio ir valstybių narių lygmens kibernetinio saugumo rizikos vertinimo metodikas įtraukiama:

a) kibernetinių grėsmių, į kurias reikia atsižvelgti, sąrašas, į kurį įtraukiamos bent šios tiekimo grandinės grėsmės:

i) didelis ir netikėtas tiekimo grandinės sutrikimas;

ii) IRT produktų, paslaugų ar procesų neprieinamumas tiekimo grandinėje;

iii) kibernetiniai išpuoliai, inicijuoti per tiekimo grandinės dalyvius;

iv) neskelbtinos informacijos nutekėjimas tiekimo grandinėje, įskaitant tiekimo grandinės sekimą;

v) per tiekimo grandinės dalyvius IRT produktuose, paslaugose ar procesuose įdiegiami trūkumai ar užpakalinės durys;

b) kriterijai, pagal kuriuos kibernetinio saugumo rizika vertinama kaip didelė arba kritinė, naudojant nustatytus padarinių ir tikimybės slenksčius;

c) kibernetinio saugumo rizikos, kylančios dėl senųjų sistemų, grandininio kibernetinių išpuolių poveikio ir tinklo eksploatavimo sistemų tikralaikiškumo, analizės metodas;

d) kibernetinio saugumo rizikos, kylančios dėl priklausomybės nuo vienintelio IRT produktų, paslaugų ar procesų tiekėjo, analizės metodas.

3. Sąjungos, regioninio ir valstybių narių lygmens kibernetinio saugumo rizikos vertinimo metodikose kibernetinio saugumo rizika vertinama pagal tą pačią rizikos poveikio matricą. Rizikos poveikio matricoje:

a) įvertinami kibernetinių išpuolių padariniai pagal šiuos kriterijus:

i) apkrovos praradimas;

ii) elektros energijos gamybos sumažėjimas;

iii) pirminio dažnio rezervo pajėgumo praradimas;

iv) pajėgumo atkurti elektros tinklo veikimą po visiško arba dalinio išjungimo nesiremiant išoriniu perdavimo tinklu (paleidimas po visuotinės avarijos) praradimas;

v) numatoma elektros energijos tiekimo vartotojams atjungimo trukmė ir mastas pagal vartotojų skaičių ir

vi) visi kiti kiekybiniai ar kokybiniai kriterijai, kurie pagrįstai galėtų būti kibernetinio išpuolio poveikio tarpvalstybiniams elektros energijos srautams rodiklis;

b) įvertinama incidento tikimybė kaip kibernetinių išpuolių dažnumas per metus.

4. Sąjungos lygmens kibernetinio saugumo rizikos vertinimo metodikose aprašoma, kaip bus nustatytos didelio poveikio ir ypatingos svarbos poveikio slenksčių KIPEI vertės. KIPEI turi užtikrinti galimybę subjektams įvertinti rizikos poveikį savo veiklos procesui pagal 2 dalies b punkte nurodytus kriterijus, atliekant poveikio veiklai vertinimus pagal 26 straipsnio 4 dalies c punkto i papunktį.

5. ENTSO-E, koordinuodamas veiksmus su ES SSO subjektu, informuoja Elektros energijos srities veiklos koordinavimo grupę apie kibernetinio saugumo rizikos vertinimo metodikų, parengtų pagal 1 dalį, pasiūlymus.