46 straipsnis. Informacijos, kuria keičiamasi, apsaugos principai

1. 2 straipsnio 1 dalyje išvardyti subjektai užtikrina, kad pagal šį reglamentą teikiama, gaunama ir perduodama informacija, taip pat informacija, kuria keičiamasi, būtų prieinama tik pagal būtinybės žinoti principą ir laikantis atitinkamų Sąjungos ir nacionalinių informacijos saugumo taisyklių.

2. 2 straipsnio 1 dalyje išvardyti subjektai užtikrina, kad pagal šį reglamentą teikiama, gaunama ir perduodama informacija, taip pat informacija, kuria keičiamasi, būtų tvarkoma ir sekama per visą jos gyvavimo ciklą ir kad jos gyvavimo ciklui pasibaigus ji galėtų būti atskleista tik anonimine forma.

3. 2 straipsnio 1 dalyje išvardyti subjektai užtikrina, kad būtų įdiegtos visos būtinos organizacinio ir techninio pobūdžio apsaugos priemonės, kad būtų išsaugotas pagal šį reglamentą pateiktos, gautos ir perduotos informacijos, taip pat informacijos, kuria pasikeista, konfidencialumas, vientisumas, prieinamumas ir neginčijamumas, nepriklausomai nuo naudojamų priemonių. Apsaugos priemonės:

a) turi būti proporcingos;

b) jomis turi būti atsižvelgta į kibernetinio saugumo riziką, susijusią su žinomomis ankstesnėmis ir naujomis grėsmėmis, kurios gali būti aktualios tokiai informacijai taikant šį reglamentą;

c) kiek įmanoma, turi būti grindžiamos nacionaliniais, Europos ar tarptautiniais standartais ir geriausia praktika;

d) turi būti dokumentuojamos.

4. 2 straipsnio 1 dalyje išvardyti subjektai užtikrina, kad bet kuris asmuo, kuriam suteikta prieiga prie pagal šį reglamentą teikiamos, gautos ar perduodamos informacijos, taip pat informacijos, kuria keičiamasi pagal šį reglamentą, būtų informuotas apie taikomas subjekto lygmens saugumo taisykles ir apie informacijos apsaugai aktualias priemones ir procedūras. Tie subjektai užtikrina, kad atitinkamas asmuo pripažintų atsakomybę užtikrinti informacijos apsaugą, kaip nurodyta jį informuojant.

5. 2 straipsnio 1 dalyje išvardyti subjektai užtikrina, kad prieiga prie pagal šį reglamentą teikiamos, gautos ar perduodamos informacijos, taip pat informacijos, kuria keičiamasi, būtų suteikiama tik asmenims:

a) kuriems su ta informacija susipažinti leidžiama atsižvelgiant į jų funkcijas ir tik vykdant pavestas užduotis;

b) kurių etikos ir sąžiningumo principus galėjo įvertinti subjektas ir dėl kurių nėra įrodymų, kad pagal subjekto geriausią praktiką ir standartinius saugumo reikalavimus ir, kai būtina, nacionalinius įstatymus ir kitus teisės aktus atlikus asmens patikimumo patikrinimą buvo gauti neigiami rezultatai.

6. 2 straipsnio 1 dalyje išvardyti subjektai turi gauti raštišką fizinio ar juridinio asmens, kuris pirmasis sukūrė arba pateikė informaciją, sutikimą, prieš pateikdami tą informaciją trečiajai šaliai, kuriai šis reglamentas netaikomas.

7. 2 straipsnio 1 dalyje nurodytas subjektas gali svarstyti galimybę šia informacija dalytis nesilaikant šio straipsnio 1 ir 4 dalių, kad būtų užkirstas kelias vienalaikei elektros energijos sektoriaus krizei, kurios pagrindinė priežastis yra kibernetinis saugumas, arba bet kokiai tarpvalstybinei krizei Sąjungoje kitame sektoriuje. Tokiu atveju jis:

a) konsultuojasi su kompetentinga institucija ir gauna jos leidimą dalytis tokia informacija;

b) suanonimina tokią informaciją neprarasdamas elementų, būtinų siekiant informuoti visuomenę apie neišvengiamą ir didelį pavojų tarpvalstybiniams elektros energijos srautams ir galimas švelninimo priemones;

c) apsaugo informacijos rengėjo ir subjektų, kurie tokią informaciją tvarkė pagal šį reglamentą, tapatybę.

8. Nukrypstant nuo šio straipsnio 6 dalies, kompetentingos institucijos gali teikti pagal šį reglamentą pateiktą, gautą ar perduotą informaciją, taip pat informaciją, kuria pasikeista, 2 straipsnio 1 dalyje nenurodytai trečiajai šaliai be išankstinio raštiško informacijos rengėjo sutikimo, tačiau apie tai kuo anksčiau jį informuoja. Prieš atskleisdama bet kokią pagal šį reglamentą pateiktą, gautą ar perduotą informaciją, taip pat informaciją, kuria pasikeista, 2 straipsnio 1 dalyje nenurodytai trečiajai šaliai, atitinkama kompetentinga institucija pagrįstai užtikrina, kad ta trečioji šalis žinotų galiojančias saugumo taisykles, ir gauna pagrįstą patikinimą, kad ta trečioji šalis gali apsaugoti gautą informaciją pagal šio straipsnio 1–5 dalis. Kompetentinga institucija tokią informaciją suanonimina, neprarasdama elementų, būtinų siekiant informuoti visuomenę apie neišvengiamą ir didelį pavojų tarpvalstybiniams elektros energijos srautams ir galimas švelninimo priemones, ir apsaugo informacijos rengėjo tapatybę. Šiuo atveju 2 straipsnio 1 dalyje nenurodyta trečioji šalis apsaugo gautą informaciją pagal subjekto lygmeniu jau galiojančias nuostatas arba, jei tai neįmanoma, atitinkamos kompetentingos institucijos pateiktas nuostatas ir nurodymus.

9. Šis straipsnis netaikomas 2 straipsnio 1 dalyje nenurodytiems subjektams, kuriems informacija teikiama pagal šio straipsnio 6 dalį. Šiuo atveju taikoma šio straipsnio 7 dalis arba kompetentinga institucija gali pateikti tam subjektui rašytines nuostatas, taikytinas tais atvejais, kai informacija gaunama pagal šį reglamentą.