35 straipsnis. Kibernetinio saugumo viešojo pirkimo rekomendacijos

1. PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, darbo programoje, kuri turi būti parengta ir atnaujinama kiekvieną kartą, kai patvirtinama regioninio kibernetinio saugumo rizikos vertinimo ataskaita, parengia neprivalomų kibernetinio saugumo viešojo pirkimo rekomendacijų rinkinius, kuriais didelio poveikio ir ypatingos svarbos poveikio subjektai gali remtis pirkdami didelio poveikio ir ypatingos svarbos poveikio perimetrų IRT produktus, paslaugas ir procesus. Ši darbo programa apima:

a) didelio poveikio ir ypatingos svarbos poveikio subjektų didelio poveikio ir ypatingos svarbos poveikio perimetre naudojamų IRT produktų, paslaugų ir procesų rūšių aprašymą ir klasifikavimą;

b) sąrašą IRT produktų, paslaugų ir procesų, dėl kurių, remiantis atitinkamomis regioninio kibernetinio saugumo rizikos vertinimo ataskaitomis ir didelio poveikio ir ypatingos svarbos poveikio subjektų prioritetais, parengiamas neprivalomų kibernetinio saugumo rekomendacijų rinkinys.

2. ENTSO-E, bendradarbiaudamas su ES SSO subjektu, per 6 mėnesius nuo regioninio kibernetinio saugumo rizikos vertinimo ataskaitos patvirtinimo arba atnaujinimo pateikia ACER tos darbo programos santrauką.

3. PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, stengiasi užtikrinti, kad neprivalomos kibernetinio saugumo viešojo pirkimo rekomendacijos, parengtos remiantis atitinkamu regioniniu kibernetinio saugumo rizikos vertinimu, būtų panašios arba palyginamos visuose sistemos eksploatavimo regionuose. Kibernetinio saugumo viešojo pirkimo rekomendacijų rinkiniai apima bent 33 straipsnio 2 dalies a punkte nurodytas specifikacijas. Kai įmanoma, specifikacijos parenkamos iš Europos ir tarptautinių standartų.

4. PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, užtikrina, kad kibernetinio saugumo viešojo pirkimo rekomendacijos:

a) atitiktų viešųjų pirkimų principus pagal Direktyvą 2014/24/ES ir

b) būtų suderinamos su naujausiomis turimomis IRT produktui, paslaugai ar procesui aktualiomis Europos kibernetinio saugumo sertifikavimo schemomis ir į jas būtų atsižvelgta.