30 straipsnis. Nuostatos, leidžiančios nukrypti nuo reikalavimo taikyti būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemones

1. 2 straipsnio 1 dalyje išvardyti subjektai gali prašyti atitinkamos kompetentingos institucijos leisti nukrypti nuo pareigos taikyti 29 straipsnio 6 dalyje nurodytas būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemones. Kompetentinga institucija gali leisti pasinaudoti tokia nukrypti leidžiančia nuostata dėl vienos iš šių priežasčių:

a) išimtinėmis aplinkybėmis, kai subjektas gali įrodyti, kad tinkamos kibernetinio saugumo kontrolės įgyvendinimo išlaidos gerokai viršija naudą. ACER ir ENTSO-E, bendradarbiaudami su SSO subjektu, gali kartu parengti kibernetinio saugumo kontrolės išlaidų vertinimo gaires, kad padėtų subjektams;

b) kai subjektas pateikia subjekto lygmens veiksmų su rizika planą, kuriuo kibernetinio saugumo rizika naudojant alternatyvias kontrolės priemones sumažinama iki lygio, priimtino pagal 26 straipsnio 3 dalies b punkte nurodytus rizikos priimtinumo kriterijus.

2. Per tris mėnesius nuo 1 dalyje nurodyto prašymo gavimo kiekviena kompetentinga institucija nusprendžia, ar leisti pasinaudoti nuo reikalavimo taikyti būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemones nukrypti leidžiančia nuostata. Leidimas pasinaudoti nuo reikalavimo taikyti būtinosios arba sustiprintos kibernetinio saugumo kontrolės priemones nukrypti leidžiančia nuostata suteikiamas ne ilgiau kaip trejiems metams su galimybe jį pratęsti.

3. Apibendrinta ir suanoniminta informacija apie leidimus pasinaudoti nukrypti leidžiančiomis nuostatomis įtraukiama kaip priedas į 23 straipsnyje nurodytą išsamaus tarpvalstybinių elektros energijos srautų kibernetinio saugumo rizikos vertinimo ataskaitą. Prireikus ENTSO-E ir ES SSO subjektas kartu atnaujina sąrašą.