29 straipsnis. Būtinoji ir sustiprinta kibernetinio saugumo kontrolė

1. Per 7 mėnesius nuo pirmosios Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 19 straipsnio 4 dalį PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, parengia būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių pasiūlymą.

2. Per 6 mėnesius nuo kiekvienos regioninio kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 21 straipsnio 2 dalį PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, pasiūlo kompetentingai institucijai būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių pakeitimus. Pasiūlymas pateikiamas pagal 8 straipsnio 10 dalį ir jame atsižvelgiama į riziką, identifikuotą regioniniame rizikos vertinime.

3. Būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemones turi būti įmanoma patikrinti dalyvaujant nacionalinėje patikros schemoje pagal 31 straipsnyje nustatytą procedūrą arba pavedant trečiajai šaliai atlikti nepriklausomą saugumo auditą, atitinkantį 25 straipsnio 2 dalyje išvardytus reikalavimus.

4. Pagal 1 dalį parengtos pradinės būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonės grindžiamos rizika, identifikuota 19 straipsnio 5 dalyje nurodytoje Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitoje. Pagal 2 dalį parengtos būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonės iš dalies keičiamos remiantis 21 straipsnio 2 dalyje nurodyta regioninio kibernetinio saugumo rizikos vertinimo ataskaita.

5. Būtinosios kibernetinio saugumo kontrolės priemonės apima kontrolės priemones informacijai, kuria keičiamasi pagal 46 straipsnį, apsaugoti.

6. Per 12 mėnesių po būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių patvirtinimo pagal 8 straipsnio 5 dalį arba po kiekvieno jų atnaujinimo pagal 8 straipsnio 10 dalį 2 straipsnio 1 dalyje išvardyti subjektai, pagal 24 straipsnį identifikuoti kaip ypatingos svarbos poveikio ir didelio poveikio subjektai, subjekto lygmens rizikos mažinimo plano rengimo pagal 26 straipsnio 5 dalį metu didelio poveikio perimetre pradeda taikyti būtinosios kibernetinio saugumo kontrolės priemones, o ypatingos svarbos poveikio perimetre – sustiprintos kibernetinio saugumo kontrolės priemones.