26 straipsnis. Subjekto lygmens kibernetinio saugumo rizikos valdymas

1. Kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas, kurį kompetentingos institucijos identifikavo pagal 24 straipsnio 1 dalį, valdo viso savo turto kibernetinio saugumo riziką savo didelio poveikio ir ypatingos svarbos poveikio perimetruose. Kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas kas trejus metus atlieka rizikos valdymą, kurį sudaro 2 dalyje nurodyti etapai.

2. Kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas savo kibernetinio saugumo rizikos valdymą grindžia metodu, kuriuo apsaugomos jo tinklų ir informacinės sistemos; rizikos valdymą sudaro šie etapai:

a) konteksto nustatymas;

b) subjekto lygmens kibernetinio saugumo rizikos vertinimas;

c) veiksmai su kibernetinio saugumo rizika;

d) kibernetinio saugumo rizikos priėmimas.

3. Konteksto nustatymo etapu kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas:

a) nustato kibernetinio saugumo rizikos vertinimo apimtį, apimančią ENTSO-E ir ES SSO subjekto identifikuotus didelio poveikio ir ypatingos svarbos poveikio procesus, taip pat kitus procesus, kurie gali būti didelį arba ypatingos svarbos poveikį tarpvalstybiniams elektros energijos srautams turinčių kibernetinių išpuolių taikiniai, ir

b) nustato rizikos vertinimo ir rizikos priimtinumo kriterijus pagal 19 straipsnio 2 dalyje nurodytą rizikos poveikio matricą, kurią subjektai ir kompetentingos institucijos naudoja kibernetinio saugumo rizikai įvertinti Sąjungos, regioninio ir valstybių narių lygmens kibernetinio saugumo rizikos vertinimo metodikose, kurias parengia ENTSO-E ir ES SSO subjektas.

4. Kibernetinio saugumo rizikos vertinimo etapu kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas:

a) identifikuoja kibernetinio saugumo riziką, atsižvelgdamas į:

i) visą turtą, kuriuo remiami Sąjungos masto didelio poveikio ir ypatingos svarbos poveikio procesai, įvertindamas galimą poveikį tarpvalstybiniams elektros energijos srautams, jei turtui kiltų pavojus;

ii) galimas kibernetines grėsmes, atsižvelgdamas į kibernetines grėsmes, identifikuotas naujausioje išsamaus tarpvalstybinių elektros energijos srautų kibernetinio saugumo rizikos vertinimo ataskaitoje, nurodytoje 23 straipsnyje, ir į grėsmes tiekimo grandinėje;

iii) pažeidžiamumą, įskaitant senųjų sistemų pažeidžiamumą;

iv) galimus kibernetinių išpuolių scenarijus, įskaitant kibernetinius išpuolius, paveikiančius elektros energijos sistemos eksploatavimo saugumą ir sutrikdančius tarpvalstybinius elektros energijos srautus;

v) Sąjungos lygmeniu atliktus aktualius rizikos vertinimus, įskaitant koordinuojamus ypatingos svarbos tiekimo grandinių rizikos vertinimus pagal Direktyvos (ES) 2022/2555 22 straipsnį, ir

vi) įgyvendintas kontrolės priemones;

b) išanalizuoja a punkte identifikuotos kibernetinio saugumo rizikos tikimybę ir padarinius ir nustato kibernetinio saugumo rizikos lygį pagal 19 straipsnio 2 dalyje nurodytą rizikos poveikio matricą, naudojamą kibernetinio saugumo rizikai vertinti Sąjungos, regioninio ir valstybių narių lygmens kibernetinio saugumo rizikos vertinimo metodikose, kurias parengia PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu;

c) suklasifikuoja turtą pagal galimus padarinius, jei kiltų pavojus kibernetiniam saugumui, ir nustato didelio poveikio ir ypatingos svarbos poveikio perimetrus atlikdamas šiuos veiksmus:

i) naudodamas KIPEI atlieka visų procesų, kuriems taikomas kibernetinio saugumo rizikos vertinimas, poveikio veiklai vertinimą;

ii) priskiria procesą prie didelio poveikio procesų arba ypatingos svarbos poveikio procesų, jei jo KIPEI viršija atitinkamai didelio poveikio arba ypatingos svarbos poveikio slenkstį;

iii) nustato, kad visas didelio poveikio ir ypatingos svarbos poveikio turtas yra būtinas atitinkamai didelio poveikio ir ypatingos svarbos poveikio procesams;

iv) nustato didelio poveikio ir ypatingos svarbos poveikio perimetrus, apimančius atitinkamai visą didelio poveikio ir ypatingos svarbos poveikio turtą, kad būtų galima kontroliuoti prieigą prie perimetrų;

d) įvertina įvairių rūšių kibernetinio saugumo rizikos pirmenybę pagal rizikos vertinimo kriterijus ir rizikos priimtinumo kriterijus, nurodytus 3 dalies b punkte.

5. Veiksmų su kibernetinio saugumo rizika etapu kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas parengia subjekto lygmens rizikos mažinimo planą, pasirinkdamas veiksmų su rizika galimybes, tinkamas rizikai valdyti ir liekamajai rizikai nustatyti.

6. Kibernetinio saugumo rizikos priėmimo etapu kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas nusprendžia, ar priimti liekamąją riziką, remdamasis pagal 3 dalies b punktą nustatytais rizikos priimtinumo kriterijais.

7. Kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas 1 dalyje nurodytą turtą registruoja turto inventoriuje. Tas turto inventorius nėra rizikos vertinimo ataskaitos dalis.

8. Kompetentinga institucija patikrinimų metu gali tikrinti inventoriuje nurodytą turtą.