37 straipsnis. Dalijimosi informacija taisyklės

1. Kompetentinga institucija, gavusi informacijos, susijusios su praneštinu kibernetiniu išpuoliu:

a) įvertina tos informacijos konfidencialumo lygį ir apie savo vertinimo rezultatus nepagrįstai nedelsdama ir ne vėliau kaip per 24 valandas nuo informacijos gavimo informuoja subjektą;

b) stengiasi sužinoti, ar apie panašų kibernetinį išpuolį Sąjungoje nepranešta kitoms kompetentingoms institucijoms, kad gautą informaciją, susijusią su praneštinu kibernetiniu išpuoliu, būtų galima susieti su informacija, pateikta apie kitus kibernetinius išpuolius, papildyti turimą informaciją ir stiprinti ir koordinuoti kibernetinio saugumo atsaką;

c) atsako už verslo paslapčių pašalinimą ir informacijos anoniminimą pagal atitinkamas nacionalines ir Sąjungos taisykles;

d) nepagrįstai nedelsdama ir ne vėliau kaip per 24 valandas nuo informacijos apie praneštiną kibernetinį išpuolį gavimo pasidalija informacija su nacionaliniais bendraisiais kontaktiniais punktais, CSIRT ir visomis kompetentingomis institucijomis, pagal 4 straipsnį paskirtomis kitose valstybėse narėse, ir toms institucijoms ar įstaigoms reguliariai teikia atnaujintą informaciją;

e) nepagrįstai nedelsdama ir ne vėliau kaip per 24 valandas nuo informacijos gavimo pagal 1 dalies a punktą, suanoniminusi informaciją ir pašalinusi iš jos verslo paslaptis pagal 1 dalies c punktą, išplatina informaciją apie kibernetinį išpuolį savo valstybėje narėje veikiantiems ypatingos svarbos poveikio ir didelio poveikio subjektams ir reguliariai jiems teikia atnaujintą informaciją, kad jie galėtų veiksmingai organizuoti savo gynybą;

f) gali prašyti, kad pranešantysis didelio poveikio arba ypatingos svarbos poveikio subjektas saugiai išplatintų informaciją apie praneštiną kibernetinį išpuolį kitiems subjektams, kurie gali būti paveikti, kad būtų didinamas elektros energijos sektoriaus informuotumas apie padėtį ir užkirstas kelias pavojui, kad gali įvykti tarpvalstybinių elektros energijos srautų kibernetinio saugumo incidentas;

g) suanoniminusi ir pašalinusi verslo paslaptis, pasidalija su ENISA apibendrinamąja ataskaita, kurioje pateikia informaciją apie kibernetinį išpuolį.

2. CSIRT, sužinojusi apie nepašalintą aktyviai išnaudojamą pažeidžiamumą:

a) naudodamasi tinkamu saugiu informacijos mainų kanalu, nedelsdama pasidalija šia informacija su ENISA, nebent kituose Sąjungos teisės aktuose nurodyta kitaip;

b) padeda susijusiam subjektui užtikrinti, kad gamintojas ar tiekėjas veiksmingai, koordinuotai ir greitai imtųsi nepašalinto aktyviai išnaudojamo pažeidžiamumo valdymo arba veiksmingų ir efektyvių rizikos mažinimo valdymo priemonių;

c) pasidalija turima informacija su pardavėju ir prašo gamintojo arba tiekėjo, kai įmanoma, sudaryti informuotinų CSIRT valstybėse narėse, kuriose aktyviai išnaudojamas nepašalintas pažeidžiamumas, sąrašą;

d) pasidalija turima informacija su CSIRT, nustatytomis pagal ankstesnį punktą, remdamasi būtinybės žinoti principu;

e) pasidalija nepašalinto aktyviai išnaudojamo pažeidžiamumo, apie kurį pranešta, poveikio švelninimo strategijomis ir priemonėmis, kai jų esama.

3. Kompetentinga institucija, sužinojusi apie nepašalintą aktyviai išnaudojamą pažeidžiamumą:

a) koordinuodama veiksmus su CSIRT savo valstybėje narėje, pasidalija nepašalinto aktyviai išnaudojamo pažeidžiamumo, apie kurį pranešta, poveikio švelninimo strategijomis ir priemonėmis, kai jų esama;

b) dalijasi informacija su CSIRT valstybėje narėje, kurioje buvo pranešta apie nepašalintą aktyviai išnaudojamą pažeidžiamumą.

4. Jei kompetentinga institucija sužino apie nepašalintą pažeidžiamumą, bet neturi įrodymų, kad jis jau aktyviai išnaudojamas, ji nepagrįstai nedelsdama koordinuoja veiksmus su CSIRT pažeidžiamumui koordinuotai atskleisti, kaip nustatyta Direktyvos (ES) 2022/2555 12 straipsnio 1 dalyje.

5. Jei CSIRT gauna su kibernetinėmis grėsmėmis susijusią informaciją iš vieno ar kelių didelio poveikio arba ypatingos svarbos poveikio subjektų pagal 38 straipsnio 6 dalį, ji nepagrįstai nedelsdama ir ne vėliau kaip per keturias valandas nuo informacijos gavimo išplatina tą informaciją ir bet kokią kitą informaciją, kuri yra svarbi siekiant išvengti rizikos, ją nustatyti, į ją reaguoti arba ją sumažinti, ypatingos svarbos poveikio ir didelio poveikio subjektams savo valstybėje narėje ir, kai tinkama, visoms atitinkamoms CSIRT ir savo nacionaliniam bendrajam kontaktiniam punktui.

6. Jei kompetentinga institucija iš vieno ar kelių didelio poveikio arba ypatingos svarbos poveikio subjektų gauna informacijos, susijusios su kibernetinėmis grėsmėmis, 5 dalies tikslais ji perduoda šią informaciją CSIRT.

7. Atitinkamoms kompetentingoms institucijoms susitarus, kompetentingos institucijos gali visiškai arba iš dalies perduoti 3 ir 4 dalyse nurodytas pareigas, susijusias su vienu ar daugiau didelio poveikio ar ypatingos svarbos poveikio subjektų, veikiančių daugiau nei vienoje valstybėje narėje, kitai kompetentingai institucijai vienoje iš tų valstybių narių.

8. PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, ne vėliau kaip 2025 m. birželio 13 d. parengia kibernetinių išpuolių klasifikavimo skalės metodiką. PSO, padedami ENTSO-E ir ES SSO subjekto, gali prašyti kompetentingų institucijų konsultuotis su ENISA ir už kibernetinį saugumą atsakingomis jų kompetentingomis institucijomis, kad padėtų parengti tokią klasifikavimo skalę. Metodikoje kibernetinio išpuolio sunkumas klasifikuojamas pagal 5 lygius, iš kurių du aukščiausi lygiai yra „didelis“ ir „kritinis“. Klasifikavimas grindžiamas šių parametrų vertinimu:

a) galimo poveikio, atsižvelgiant į paveikiamą turtą ir perimetrus, nustatytus pagal 26 straipsnio 4 dalies c punktą, ir

b) kibernetinio išpuolio kritiškumą.

9. Iki 2026 m. birželio 13 d. ENTSO-E, bendradarbiaudamas su ES SSO subjektu, atlieka galimybių studiją, kad įvertintų galimybę ir finansines išlaidas, kurių reikia bendrai priemonei, kuria naudodamiesi visi subjektai galėtų dalytis informacija su atitinkamomis nacionalinėmis institucijomis, sukurti.

10. Galimybių studijoje išnagrinėjama galimybė sukurti tokią bendrą priemonę siekiant:

a) remti ypatingos svarbos poveikio ir didelio poveikio subjektus teikiant atitinkamą su saugumu susijusią informaciją tarpvalstybinių elektros energijos srautų operacijoms, pvz., beveik tikruoju laiku pranešant apie kibernetinius išpuolius, teikiant išankstinius perspėjimus, susijusius su kibernetinio saugumo klausimais ir neatskleistu elektros energijos sistemoje naudojamos įrangos pažeidžiamumu;

b) eksploatuoti ją tinkamoje ir labai patikimoje aplinkoje;

c) sudaryti sąlygas rinkti duomenis iš ypatingos svarbos poveikio ir didelio poveikio subjektų, palengvinti konfidencialios informacijos pašalinimą ir duomenų anoniminimą bei greitą jų išplatinimą ypatingos svarbos poveikio ir didelio poveikio subjektams.

11. ENTSO-E, bendradarbiaudamas su ES SSO subjektu:

a) vertindamas galimybes konsultuojasi su ENISA ir TIS bendradarbiavimo grupe, nacionaliniais bendraisiais kontaktiniais punktais ir pagrindinių suinteresuotųjų subjektų atstovais;

b) pateikia galimybių studijos rezultatus ACER ir TIS bendradarbiavimo grupei.

12. ENTSO-E, bendradarbiaudamas su ES SSO subjektu, gali išanalizuoti ypatingos svarbos poveikio ir didelio poveikio subjektų siūlomas iniciatyvas ir sudaryti palankesnes sąlygas įvertinti ir išbandyti tokias dalijimosi informacija priemones.