19 straipsnis. Sąjungos masto kibernetinio saugumo rizikos vertinimas

1. Per 9 mėnesius nuo kibernetinio saugumo rizikos vertinimo metodikų patvirtinimo pagal 8 straipsnį ir vėliau kas trejus metus ENTSO-E, bendradarbiaudamas su ES SSO subjektu ir konsultuodamasis su TIS bendradarbiavimo grupe, atlieka, nedarant poveikio Direktyvos (ES) 2022/2555 22 straipsnio taikymui, Sąjungos masto kibernetinio saugumo rizikos vertinimą ir parengia Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitos projektą. Šiuo tikslu jie naudoja metodikas, parengtas pagal 18 straipsnį ir patvirtintas pagal 8 straipsnį, kad nustatytų, išanalizuotų ir įvertintų galimus kibernetinių išpuolių, veikiančių elektros energijos sistemos eksploatavimo saugumą ir sutrikdančių tarpvalstybinius elektros energijos srautus, padarinius. Atliekant Sąjungos masto kibernetinio saugumo rizikos vertinimą neatsižvelgiama į kibernetinių išpuolių teisinę, finansinę žalą ar žalą reputacijai.

2. Į Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitą įtraukiami šie elementai:

a) Sąjungos masto didelio poveikio procesai ir Sąjungos masto ypatingos svarbos poveikio procesai;

b) rizikos poveikio matrica, kurią subjektai ir kompetentingos institucijos naudoja kibernetinio saugumo rizikai, identifikuotai valstybių narių lygmens kibernetinio saugumo rizikos vertinime, atliktame pagal 20 straipsnį, ir subjekto lygmens kibernetinio saugumo rizikos vertinime, atliktame pagal 26 straipsnio 2 dalies b punktą, įvertinti.

3. Aptariant Sąjungos masto didelio poveikio procesus ir Sąjungos masto ypatingos svarbos poveikio procesus, Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitoje pateikiama:

a) galimų kibernetinio išpuolio padarinių vertinimas remiantis pagal 18 straipsnio 2, 3 ir 4 dalis parengtoje ir pagal 8 straipsnį patvirtintoje kibernetinio saugumo rizikos vertinimo metodikoje nustatytais rodikliais;

b) KIPEI ir didelio poveikio ir ypatingos svarbos poveikio slenksčiai, kuriuos kompetentingos institucijos naudoja pagal 24 straipsnio 1 ir 2 dalis, kad identifikuotų didelio poveikio ir ypatingos svarbos poveikio subjektus, dalyvaujančius Sąjungos masto didelio poveikio procesuose ir Sąjungos masto ypatingos svarbos poveikio procesuose.

4. ENTSO-E, bendradarbiaudamas su ES SSO subjektu, Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitos projektą su Sąjungos masto kibernetinio saugumo rizikos vertinimo rezultatais pateikia ACER, kad ji pareikštų savo nuomonę. ACER nuomonę dėl ataskaitos projekto pateikia per tris mėnesius nuo jo gavimo. ENTSO-E ir ES SSO subjektas, rengdami galutinę tos ataskaitos redakciją, kuo labiau atsižvelgia į ACER nuomonę.

5. Per tris mėnesius nuo ACER nuomonės gavimo ENTSO-E, bendradarbiaudamas su ES SSO subjektu, galutinę Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitą pateikia ACER, Komisijai, ENISA ir kompetentingoms institucijoms.