20 straipsnis. Valstybės narės kibernetinio saugumo rizikos vertinimas

1. Kiekviena kompetentinga institucija atlieka valstybės narės kibernetinio saugumo rizikos visiems didelio poveikio ir ypatingos svarbos poveikio subjektams vertinimą pagal metodikas, parengtas pagal 18 straipsnį ir patvirtintas pagal 8 straipsnį. Valstybės narės kibernetinio saugumo rizikos vertinime identifikuojama ir analizuojama kibernetinių išpuolių, paveikiančių elektros energijos sistemos eksploatavimo saugumą ir sutrikdančių tarpvalstybinius elektros energijos srautus, rizika. Atliekant valstybės narės kibernetinio saugumo rizikos vertinimą neatsižvelgiama į kibernetinių išpuolių teisinę, finansinę žalą ar žalą reputacijai.

2. Per 21 mėnesį nuo pranešimo apie didelio poveikio ir ypatingos svarbos poveikio subjektus pagal 24 straipsnio 6 dalį ir po to kas trejus metus, pasikonsultavusi su už elektros energijos srautų kibernetinį saugumą atsakinga NKI, kiekviena kompetentinga institucija, padedama CSIRT, pateikia ENTSO-E ir ES SSO subjektui valstybės narės kibernetinio saugumo rizikos vertinimo ataskaitą, kurioje pateikiama ši informacija apie kiekvieną didelio poveikio ir ypatingos svarbos poveikio veiklos procesą:

a) būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių įgyvendinimo pagal 29 straipsnį padėtis;

b) sąrašas visų kibernetinių išpuolių, apie kuriuos pranešta per ankstesnius trejus metus pagal 38 straipsnio 3 dalį;

c) informacijos apie kibernetines grėsmes, apie kurias pranešta per ankstesnius trejus metus pagal 38 straipsnio 6 dalį, santrauka;

d) kiekvieno Sąjungos masto didelio poveikio arba ypatingos svarbos poveikio proceso – informacijos ir atitinkamo turto konfidencialumo, vientisumo ir prieinamumo pažeidimo rizikos vertinimas;

e) kai reikia – papildomų subjektų, kurie pagal 24 straipsnio 1, 2, 3 ir 5 dalis identifikuoti kaip didelio poveikio arba ypatingos svarbos poveikio subjektai, sąrašas.

3. Valstybės narės kibernetinio saugumo rizikos vertinimo ataskaitoje atsižvelgiama į valstybės narės pasirengimo valdyti riziką planą, parengtą pagal Reglamento (ES) 2019/941 10 straipsnį.

4. Valstybės narės kibernetinio saugumo rizikos vertinimo ataskaitoje pagal 2 dalies a–d punktus pateikiama informacija nesiejama su konkrečiais subjektais ar turtu. Į valstybės narės kibernetinio saugumo rizikos vertinimo ataskaitą įtraukiamas ir laikinų nukrypti leidžiančių nuostatų, kurias valstybių narių kompetentingos institucijos leido taikyti pagal 30 straipsnį, rizikos vertinimas.

5. ENTSO-E ir ES SSO subjektas gali prašyti kompetentingų institucijų pateikti papildomos informacijos, susijusios su 2 dalies a ir c punktuose nurodytomis užduotimis.

6. Kompetentingos institucijos užtikrina, kad jų teikiama informacija būtų tiksli ir teisinga.