43 straipsnis. Subjektų ir valstybių narių lygmens kibernetinio saugumo pratybos

1. Ne vėliau kaip metų, einančių po pranešimo apie ypatingos svarbos poveikio subjektus, gruodžio 31 d., o vėliau kas trejus metus kiekvienas ypatingos svarbos poveikio subjektas atlieka kibernetinio saugumo pratybas, apimančias vieną ar daugiau scenarijų, kai kibernetiniai išpuoliai tiesiogiai ar netiesiogiai paveikia tarpvalstybinius elektros energijos srautus ir yra susiję su rizika, identifikuota atliekant valstybių narių ir subjektų lygmens kibernetinio saugumo rizikos vertinimus pagal 20 ir 27 straipsnius.

2. Nukrypstant nuo 1 dalies, už pasirengimą valdyti riziką atsakinga NKI, pasikonsultavusi su kompetentinga institucija ir atitinkama kibernetinių krizių valdymo institucija, paskirta arba įsteigta pagal Direktyvos (ES) 2022/2555 9 straipsnį, gali nuspręsti kibernetinio saugumo pratybas, aprašytas 1 dalyje, surengti valstybės narės lygmeniu, užuot rengus subjekto lygmens kibernetinio saugumo pratybas. Apie tai kompetentinga institucija informuoja:

a) visus savo valstybės narės ypatingos svarbos poveikio subjektus, NRI, CSIRT ir už kibernetinį saugumą atsakingą NKI – ne vėliau kaip metų, einančių prieš subjekto lygmens kibernetinio saugumo pratybas, birželio 30 d.;

b) kiekvieną subjektą, kuris turi dalyvauti valstybės narės lygmens kibernetinio saugumo pratybose, – ne vėliau kaip likus 6 mėnesiams iki tų pratybų.

3. Už pasirengimą valdyti riziką atsakinga NKI, padedama savo CSIRT, organizuoja 2 dalyje aprašytas valstybės narės lygmens kibernetinio saugumo pratybas atskirai arba kartu su kitomis kibernetinio saugumo pratybomis toje valstybėje narėje. Kad galėtų sugrupuoti šias pratybas, už pasirengimą valdyti riziką atsakinga NKI 1 dalyje nurodytas valstybės narės lygmens kibernetinio saugumo pratybas gali atidėti vieniems metams.

4. Subjekto lygmens ir valstybės narės lygmens kibernetinio saugumo pratybos turi derėti su nacionalinėmis kibernetinio saugumo krizių valdymo sistemomis pagal Direktyvos (ES) 2022/2555 9 straipsnio 4 dalies d punktą.

5. Iki 2026 m. gruodžio 31 d. ir vėliau kas trejus metus ENTSO-E, bendradarbiaudamas su ES SSO subjektu, pateikia pratybų scenarijaus šabloną, skirtą 1 dalyje nurodytoms subjekto lygmens ir valstybės narės lygmens kibernetinio saugumo pratyboms atlikti. Šiame šablone atsižvelgiama į naujausią subjektų ir valstybės narės lygmens kibernetinio saugumo rizikos vertinimą ir pateikiami pagrindiniai sėkmės kriterijai. ENTSO-E ir ES SSO subjektas į tokio šablono rengimą įtraukia ACER ir ENISA.