41 straipsnis. Kibernetinio saugumo krizių valdymo ir reagavimo į jas planai

1. Per 24 mėnesius nuo Sąjungos masto rizikos vertinimo ataskaitos pateikimo ACER, ji, glaudžiai bendradarbiaudama su ENISA, ENTSO-E, ES SSO subjektu, už kibernetinį saugumą atsakingomis NKI, kompetentingomis institucijomis, už pasirengimą valdyti riziką atsakingomis NKI, NRI ir TIS nacionalinėmis kibernetinių krizių valdymo institucijomis, parengia Sąjungos lygmens elektros energijos sektoriaus kibernetinio saugumo krizių valdymo ir reagavimo į jas planą.

2. Per 12 mėnesių po to, kai ACER parengia Sąjungos lygmens elektros energijos sektoriaus kibernetinio saugumo krizių valdymo ir reagavimo į jas planą pagal 1 dalį, kiekviena kompetentinga institucija parengia nacionalinį tarpvalstybinių elektros energijos srautų kibernetinio saugumo krizių valdymo ir reagavimo į jas planą, atsižvelgdama į Sąjungos lygmens kibernetinio saugumo krizių valdymo planą ir nacionalinį pasirengimo valdyti riziką planą, parengtą pagal Reglamento (ES) 2019/941 10 straipsnį. Šis planas turi derėti su reagavimo į didelio masto kibernetinio saugumo incidentus ir krizes planu pagal Direktyvos (ES) 2022/2555 9 straipsnio 4 dalį. Kompetentinga institucija koordinuoja veiksmus su ypatingos svarbos poveikio ir didelio poveikio subjektais ir už pasirengimą valdyti riziką atsakingomis NKI savo valstybėje narėje.

3. Nacionalinis reagavimo į didelio masto kibernetinio saugumo incidentus ir krizes planas, kurio reikalaujama pagal Direktyvos (ES) 2022/2555 9 straipsnio 4 dalį, laikomas nacionaliniu kibernetinio saugumo krizių valdymo planu pagal šį straipsnį, jei į jį įtrauktos tarpvalstybinių elektros energijos srautų krizių valdymo ir reagavimo į jas nuostatos.

4. 1 ir 2 dalyse nurodytas užduotis pagal Reglamento (ES) 2019/943 37 straipsnio 2 dalį valstybės narės gali perduoti ir regioniniams koordinavimo centrams.

5. Ypatingos svarbos poveikio ir didelio poveikio subjektai užtikrina, kad jų su kibernetiniu saugumu susijusių krizių valdymo procesai:

a) turėtų suderinamas tarpvalstybinių kibernetinio saugumo incidentų valdymo, apibrėžto Direktyvos (ES) 2022/2555 6 straipsnio 8 punkte, procedūras, oficialiai įtrauktas į jų krizių valdymo planus;

b) būtų bendrosios krizių valdymo veiklos dalis.

6. Per 12 mėnesių nuo pranešimo apie didelio poveikio ir ypatingos svarbos poveikio subjektus pagal 24 straipsnio 6 dalį ir vėliau kas trejus metus ypatingos svarbos poveikio ir didelio poveikio subjektai parengia subjekto lygmens kibernetinio saugumo krizių valdymo planą ir įtraukia jį į savo bendruosius krizių valdymo planus. Į šį planą įtraukiama bent ši informacija:

a) krizės paskelbimo taisyklės, išdėstytos Reglamento (ES) 2019/941 14 straipsnio 2 ir 3 dalyse;

b) aiškūs vaidmenys ir atsakomybė už krizių valdymą, įskaitant kitų atitinkamų ypatingos svarbos poveikio ir didelio poveikio subjektų vaidmenį;

c) naujausia kontaktinė informacija, taip pat komunikacijos ir dalijimosi informacija krizės metu, įskaitant susisiekimą su CSIRT, taisyklės.

7. Krizių valdymo priemonės pagal Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies c punktą laikomos elektros energijos sektoriaus subjekto lygmens krizių valdymo planu pagal šį straipsnį, jei atitinka visus 6 dalyje išvardytus reikalavimus.

8. Krizių valdymo planai išbandomi per 43, 44 ir 45 straipsniuose nurodytas kibernetinio saugumo pratybas.

9. Ypatingos svarbos poveikio ir didelio poveikio subjektai savo subjekto lygmens krizių valdymo planus įtraukia į savo ypatingos svarbos poveikio ir didelio poveikio procesams taikomus veiklos tęstinumo planus. Į subjekto lygmens krizių valdymo planus įtraukiama:

a) procesai, priklausantys nuo IT paslaugų prieinamumo, vientisumo ir patikimumo;

b) visos vietos, įskaitant aparatinės ir programinės įrangos vietas, kuriose užtikrinamas veiklos tęstinumas;

c) visi vidaus vaidmenys ir pareigos, susiję su veiklos tęstinumo procesais.

10. Ypatingos svarbos poveikio ir didelio poveikio subjektai bent kas trejus metus ir prireikus atnaujina savo subjekto lygmens krizių valdymo planus.

11. ACER bent kas trejus metus ir prireikus atnaujina pagal 1 dalį parengtą Sąjungos lygmens elektros energijos sektoriaus kibernetinio saugumo krizių valdymo ir reagavimo į jas planą.

12. Kiekviena kompetentinga institucija bent kas trejus metus ir prireikus atnaujina pagal 2 dalį parengtą nacionalinį tarpvalstybinių elektros energijos srautų kibernetinio saugumo krizių valdymo ir reagavimo į jas planą.

13. Ypatingos svarbos poveikio ir didelio poveikio subjektai savo veiklos tęstinumo planus išbando bent kartą per trejus metus arba po esminių ypatingos svarbos poveikio proceso pakeitimų. Veiklos tęstinumo plano bandymų rezultatai dokumentuojami. Ypatingos svarbos poveikio ir didelio poveikio subjektai savo veiklos tęstinumo plano bandymą gali įtraukti į kibernetinio saugumo pratybas.

14. Ypatingos svarbos poveikio ir didelio poveikio subjektai prireikus ir bent kartą per trejus metus atnaujina savo veiklos tęstinumo planą, atsižvelgdami į bandymo rezultatus.

15. Jei per bandymą nustatoma veiklos tęstinumo plano trūkumų, ypatingos svarbos poveikio ir didelio poveikio subjektas tuos trūkumus ištaiso per 180 kalendorinių dienų po bandymo ir atlieka naują bandymą, kad įrodytų, jog taisomosios priemonės yra veiksmingos.

16. Jei ypatingos svarbos poveikio arba didelio poveikio subjektas negali ištaisyti trūkumų per 180 kalendorinių dienų, jis savo kompetentingai institucijai pagal 27 straipsnį pateikiamoje ataskaitoje nurodo priežastis.