1.   Настоящият регламент се прилага по отношение на свързаните с киберсигурността аспекти на трансграничните потоци на електроенергия в дейностите на следните субекти, ако те са определени като субекти с голямо въздействие или с критично въздействие в съответствие с член 24:

2.   За изпълнението на задачите, възложени с настоящия регламент, са отговорни следните органи, като част от настоящите им правомощия:

3.   Настоящият регламент се прилага и за всички субекти, които не са установени в Съюза, но предоставят услуги на субекти в Съюза, при условие че компетентните органи са ги определили като субекти с голямо въздействие или с критично въздействие в съответствие с член 24, параграф 2.

4.   Настоящият регламент не засяга отговорността на държавите членки да опазват националната сигурност и правомощието им да гарантират други основни функции на държавата, включително да осигуряват нейната териториална цялост и да поддържат законността и реда.

5.   Настоящият регламент не засяга отговорността на държавите членки да опазват националната сигурност по отношение на дейностите по производство на електроенергия от ядрени електроцентрали, включително дейностите в рамките на веригата за създаване на стойност в сектора на ядрената енергия, в съответствие с Договорите.

6.   Субектите, компетентните органи, единните звена за контакт на равнище субект и ЕРИКС обработват лични данни, доколкото това е необходимо за целите на настоящия регламент и в съответствие с Регламент (ЕС) 2016/679, като по-специално това обработване се основава на член 6 от него.

1.   Във възможно най-кратък срок и във всички случаи до 13 декември 2024 г. всяка държава членка определя национален правителствен или регулаторен орган, отговорен за изпълнението на задачите, които му се възлагат с настоящия регламент („компетентен орган“). До момента, в който на компетентния орган бъде възложено изпълнението на задачите съгласно настоящия регламент, регулаторният орган, определен от всяка държава членка съгласно член 57, параграф 1 от Директива (ЕС) 2019/944, изпълнява задачите на компетентния орган в съответствие с настоящия регламент.

2.   Държавите членки незабавно уведомяват Комисията, ACER, ENISA, групата за сътрудничество за МИС, създадена съгласно член 14 от Директива (ЕС) 2022/2555, и Групата за координация в областта на електроенергетиката, създадена съгласно член 1 от Решение на Комисията от 15 ноември 2012 г. (17), и им съобщават наименованието и данните за контакт на своя компетентен орган, определен съгласно параграф 1 от настоящия член, както и всички последващи промени в тях.

3.   Държавите членки може да разрешат на своя компетентен орган да делегира задачите, възложени му по силата на настоящия регламент, на други национални органи, с изключение на задачите, изброени в член 5. Всеки компетентен орган следи за прилагането на настоящия регламент от страна на органите, на които е делегирал задачи. Компетентният орган съобщава на Комисията, на ACER, на Групата за координация в областта на електроенергетиката, на ENISA и на групата за сътрудничество за МИС наименованието и данните за контакт на органите, на които е делегирана задача, както и възложените им задачи и всички последващи промени в посочените данни.

1.   ОПС в сътрудничество с ООРСЕС разработват предложения за общите условия или методиките в съответствие с параграф 2 или за плановете в съответствие с параграф 3.

2.   На одобрение от всички компетентни органи подлежат следните общи условия или методики и техните изменения:

3.   Предложенията за регионални планове за намаляване на рисковете за киберсигурността в съответствие с член 22 подлежат на одобрение от всички компетентни органи на съответния регион на експлоатация на системата.

4.   Предложенията за общи условия, за методиките, изброени в параграф 2, или за плановете, посочени в параграф 3, включват предложения график за тяхното прилагане и описание на очакваното им въздействие върху целите на настоящия регламент.

5.   ООРСЕС може да предостави мотивирано становище на съответните ОПС до три седмици преди крайния срок за представяне на компетентните органи на предложението за общи условия или методики, или за планове. ОПС, които са отговорни за предложението за общи условия или методики, или за планове, вземат предвид мотивираното становище на ООРСЕС, преди да представят предложението за одобрение от компетентните органи. ОПС предоставят обосновка, когато не са се съобразили със становището на ООРСЕС.

6.   Участващите ОПС си сътрудничат тясно при съвместното разработване на общи условия и методики, и планове. ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, редовно информират компетентните органи и ACER за напредъка по разработването на общи условия или методики, или на планове.

1.   Когато ОПС, приемащи решения по предложенията за общи условия или методики, не могат да постигнат съгласие, те приемат решението чрез гласуване с квалифицирано мнозинство. Квалифицираното мнозинство за такива предложения се изчислява, както следва:

2.   Блокиращото малцинство за решенията по предложения за условията или методиките по член 6, параграф 2 трябва да включва ОПС, представляващи най-малко четири държави членки, а ако липсва такова, квалифицираното мнозинство се счита за постигнато.

3.   Когато ОПС от даден регион на експлоатация на системата, приемащи решения по предложения за плановете, посочени в член 6, параграф 2, не могат да постигнат съгласие и когато засегнатият регион на експлоатация на системата е съставен от над пет държави членки, ОПС приемат решението чрез гласуване с квалифицирано мнозинство. За постигане на квалифицирано мнозинство за предложенията по член 6, параграф 2 се изисква следното мнозинство:

4.   Блокиращото малцинство при вземането на решения по предложенията за планове включва поне минимален брой ОПС, представляващи повече от 35 % от населението на участващите държави членки, плюс ОПС, представляващи най-малко още една засегната държава членка, а ако липсва такова блокиращо малцинство, квалифицираното мнозинство се счита за постигнато.

5.   За решенията на ОПС по предложения за общите условия или методиките по член 6, параграф 2 всяка държава членка има един глас. Ако на територията на държава членка има повече от един ОПС, държавата членка разпределя правата на глас между тези ОПС.

6.   Ако ОПС, в сътрудничество с ООРСЕС, не успеят да представят на съответните компетентни органи първоначално или изменено предложение за общи условия или методики, или за планове, в сроковете, определени в настоящия регламент, те предоставят на засегнатите компетентни органи и на ACER съответните проекти на общите условия или методики, или на плановете. Те обясняват какво е попречило на постигането на съгласие. Компетентните органи съвместно предприемат подходящите стъпки за приемане на изискваните общи условия или методики, или на изискваните планове. Това може да стане например чрез искане на изменения на проектите съгласно настоящия параграф, чрез преразглеждане и допълване на тези проекти или, когато не са предоставени проекти, чрез определяне и одобряване на изискваните общи условия или методики, или на изискваните планове.

1.   ОПС представят на засегнатите компетентни органи предложенията за общи условия или методики, или за планове за одобрение в рамките на съответните срокове, посочени в членове 18, 23, 29, 33, 34, 35 и 37. Компетентните органи може съвместно да удължат тези срокове при извънредни обстоятелства, по-специално в случаите, когато даден срок не може да бъде спазен поради обстоятелства, които са извън сферата на ОПС или на ООРСЕС.

2.   Предложенията за общи условия или методики, или за планове съгласно параграф 1 се представят за информация на ACER едновременно с представянето им на компетентните органи.

3.   По съвместно искане от страна на НРО ACER издава становище по предложението за общи условия или методики, или за планове в рамките на шест месеца след получаването на предложенията за общи условия или методики, или за планове и уведомява НРО и компетентните органи за становището. НРО, КООКС и всички други органи, определени като компетентни органи, се координират помежду си, преди НРО да поискат становище от ACER. ACER може да включи в това становище препоръки. ACER се консултира с ENISA, преди да предостави становище по предложенията, изброени в член 6, параграф 2.

4.   Компетентните органи се консултират взаимно, сътрудничат си тясно и се координират помежду си, за да постигнат съгласие по предложените общи условия, методики или планове. Преди да одобрят общите условия или методиките, или плановете, те преразглеждат и допълват предложенията, когато е необходимо, след консултация с ЕМОПС за електроенергия и с ООРСЕС, за да се гарантира, че предложенията са в съответствие с настоящия регламент и допринасят за постигането на високо общо ниво на киберсигурност в целия Съюз.

5.   Компетентните органи приемат решение по общите условия или методиките, или по плановете в рамките на шест месеца след получаването на общите условия или методиките, или на плановете от съответния компетентен орган или, когато е приложимо, от последния засегнат съответен компетентен орган.

6.   Когато ACER предостави становище, съответните компетентни органи вземат предвид това становище и приемат своите решения в рамките на шест месеца от получаването на становището на ACER.

7.   Когато компетентните органи съвместно изискват изменение на предложените общи условия или методики, или планове, за да ги одобрят, ОПС в сътрудничество с ООРСЕС разработват предложение за такова изменение на общите условия или методиките, или на плановете. ОПС представят измененото предложение за одобрение в рамките на два месеца след искането на компетентните органи. Компетентните органи приемат решение относно изменените общи условия или методики, или планове, в рамките на два месеца след представянето им.

8.   Когато компетентните органи не са успели да постигнат съгласие в рамките на срока, посочен в параграф 5 или 7, те информират Комисията. Комисията може да предприеме подходящи стъпки, за да направи възможно приемането на изискваните общи условия или методики, или планове.

9.   ОПС, със съдействието на ЕМОПС за електроенергия и на ООРСЕС, оповестяват общите условия или методиките, или плановете на своите уебсайтове след одобряването им от съответните компетентни органи, освен когато тази информация се счита за поверителна в съответствие с член 47.

10.   Компетентните органи може съвместно да поискат от ОПС и ООРСЕС предложения за изменения на одобрените общи условия или методики или на одобрените планове и да определят краен срок за подаване на тези предложения. ОПС, в сътрудничество с ООРСЕС, може да предлагат на компетентните органи изменения и по собствена инициатива. Предложенията за изменение на общите условия или на методиките, или за изменение на плановете се разработват и одобряват в съответствие с процедурата, посочена в настоящия член.

11.   Най-малко веднъж на всеки три години след първоначалното приемане на съответните общи условия или методики, или на съответните приети планове ОПС, в сътрудничество с ООРСЕС, правят преглед на ефективността на приетите общи условия или методики, или на приетите планове и докладват без неоправдано забавяне констатациите от прегледа на компетентните органи и на ACER.

1.   ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, се консултират със заинтересованите страни, включително ACER, ENISA и компетентния орган на всяка държава членка, относно проектопредложенията за общи условия или методики, изброени в член 6, параграф 2, или за плановете, посочени в член 6, параграф 3. Консултацията продължава не по-малко от един месец.

2.   Предложенията за общи условия или методики, изброени в член 6, параграф 2, представени от ОПС в сътрудничество с ООРСЕС, се оповестяват и се подлагат на консултация на равнището на Съюза. Предложенията за плановете, посочени в член 6, параграф 3, представени от съответните ОПС в сътрудничество с ООРСЕС на регионално равнище, се подлагат на консултации най-малко на регионално равнище.

3.   ОПС, със съдействието на ЕМОПС за електроенергия, и ООРСЕС, отговаряща за предложението за общи условия или методики или за планове, надлежно вземат предвид становищата на заинтересованите страни, изразени при проведените съгласно параграф 1 консултации, преди да представят това предложение за регулаторно одобрение. Във всички случаи при представянето на предложението се прилага солидна обосновка за причините за включването или невключването на становищата, изразени при консултацията, и тази обосновка се оповестява своевременно преди или едновременно с оповестяването на предложението за общите условия или методиките.

1.   Разходите, понесени от ОПС и ОРС, които са обект на регулиране на мрежовите тарифи, и произтичащи от задълженията, предвидени в настоящия регламент, включително разходите, понесени от ЕМОПС за електроенергия и от ООРСЕС, се оценяват от съответния НРО на всяка държава членка.

2.   Разходите, оценени като приемливи, ефективни и пропорционални, се възстановяват чрез мрежови тарифи или други подходящи механизми, определени от съответния НРО.

3.   ОПС и ОРС, посочени в параграф 1, предоставят в приемлив срок, определен от НРО, информацията, необходима за улесняване на оценката на направените разходи, ако такава бъде поискана от съответните НРО.

1.   ACER наблюдава изпълнението на настоящия регламент в съответствие с член 32, параграф 1 от Регламент (ЕС) 2019/943 и член 4, параграф 2 от Регламент (ЕС) 2019/942. При извършването на това наблюдение ACER може да си сътрудничи с ENISA и да поиска подкрепа от ЕМОПС за електроенергия и от ООРСЕС. ACER редовно информира Групата за координация в областта на електроенергетиката и групата за сътрудничество за МИС относно прилагането на настоящия регламент.

2.   Най-малко на всеки три години след влизането в сила на настоящия регламент ACER публикува доклад с цел:

3.   До 13 юни 2025 г. ACER, в сътрудничество с ENISA и след консултация с ЕМОПС за електроенергия и ООРСЕС, може да издаде насоки относно съответната информация, която трябва да се съобщава на ACER за целите на наблюдението, както и относно процеса и честотата на събирането ѝ, въз основа на показателите за изпълнението, определени в съответствие с параграф 5.

4.   Компетентните органи може да разполагат с достъп до съответната информация, съхранявана от ACER, която агенцията е събрала в съответствие с настоящия член.

5.   ACER, в сътрудничество с ENISA и с подкрепата на ЕМОПС за електроенергия и на ООРСЕС, издава необвързващи показатели за изпълнението за оценка на експлоатационната надеждност, които се отнасят до свързаните с киберсигурността аспекти на трансграничните потоци на електроенергия.

6.   Субектите, изброени в член 2, параграф 1 от настоящия регламент, предоставят на ACER информацията, необходима на агенцията за изпълнението на задачите, изброени в параграф 2.

1.   До 13 юни 2025 г. ACER, в сътрудничество с ENISA, изготвя ръководство с незадължителен характер за сравнителен анализ на киберсигурността. В ръководството на НРО се обясняват принципите за сравнителен анализ на прилаганите мерки за контрол във връзка с киберсигурността съгласно параграф 2 от настоящия член, като се вземат предвид разходите за прилагане на мерките за контрол и ефективността на функцията, изпълнявана от процесите, продуктите, услугите, системите и решенията, използвани за прилагането на такива мерки за контрол. При изготвянето на ръководството с незадължителен характер за сравнителен анализ на киберсигурността ACER взема предвид съществуващите доклади за сравнителен анализ. ACER предоставя на НРО за информация ръководството с незадължителен характер за сравнителен анализ на киберсигурността.

2.   В рамките на 12 месеца след създаването на ръководството за сравнителен анализ съгласно параграф 1 НРО извършват сравнителен анализ, за да оценят дали с настоящите инвестиции в киберсигурността:

3.   За целите на сравнителния анализ НРО може да вземат предвид ръководството с незадължителен характер за сравнителен анализ на киберсигурността, изготвено от ACER, и по-специално да оценяват:

4.   Всяка информация, свързана със сравнителния анализ, се обработва и преработва в съответствие с изискванията за класификация на данните в настоящия регламент, с минималните мерки за контрол във връзка с киберсигурността и с доклада за оценка на трансграничните рискове за киберсигурността в електроенергетиката. Сравнителният анализ, посочен в параграфи 2 и 3, не се оповестява публично.

5.   Без да се засягат изискванията за поверителност, посочени в член 47, и необходимостта от опазване на сигурността на субектите, за които се прилагат разпоредбите на настоящия регламент, сравнителният анализ, посочен в параграфи 2 и 3 от настоящия член, се предоставя на всички НРО, всички компетентни органи, ACER, ENISA и Комисията.

1.   В рамките на 18 месеца след влизането в сила на настоящия регламент ОПС от регион на експлоатация на система, който е съседен на трета държава, полагат усилия да сключат споразумения с ОПС от съседната трета държава, които са в съответствие с приложимото право на Съюза и в които се определят основата за сътрудничество в областта на защитата на киберсигурността и договореностите за сътрудничество в областта на киберсигурността с тези ОПС.

2.   ОПС информират компетентния орган за споразуменията, сключени съгласно параграф 1.

1.   Субекти, които нямат място на стопанска дейност в Съюза, но предоставят услуги на субекти в Съюза и за които е постъпило уведомление, че са определени като субекти с голямо или с критично въздействие в съответствие с член 24, параграф 6, в срок от три месеца след уведомяването определят писмено свой представител в Съюза и информират с оглед на това уведомяващия компетентен орган.

2.   Този представител разполага с правомощия, позволяващи към него да се обръща всеки компетентен орган или ЕРИКС в Съюза, вместо към или в допълнение към субекта с голямо въздействие или субекта с критично въздействие по отношение на задълженията на въпросния субект съгласно настоящия регламент. Субектът с голямо въздействие или субектът с критично въздействие предоставя на своя законен представител необходимите правомощия и достатъчно ресурси, за да се гарантира ефективното и своевременно сътрудничество със съответните компетентни органи или ЕРИКС.

3.   Представителят трябва да е установен в една от държавите членки, в които субектът предлага своите услуги. Приема се, че субектът е под юрисдикцията на държавата членка, в която е установен представителят. Субектите с голямо въздействие или с критично въздействие съобщават името, пощенския адрес, адреса на електронната поща и телефонния номер на своя законен представител на компетентния орган в държавата членка, в която пребивава или е установен законният представител.

4.   Възможно е определеният законен представител да бъде подведен под отговорност за неспазване на задълженията по настоящия регламент, без да се засягат отговорността и правните действия, които биха могли да бъдат предприети срещу самия субект с голямо или с критично въздействие.

5.   При липсата на представител в Съюза, определен съгласно настоящия член, всяка държава членка, в която субектът предоставя услуги, може да предприеме правни действия срещу него за неизпълнение на задълженията съгласно настоящия регламент.

6.   Определянето на представител в Съюза съгласно параграф 1 не представлява установяване в Съюза.

1.   ЕМОПС за електроенергия и ООРСЕС си сътрудничат при извършването на оценки на рисковете за киберсигурността съгласно член 19 и член 21, и по-специално при изпълнението на следните задачи:

2.   Сътрудничеството между ЕМОПС за електроенергия и ООРСЕС може да се осъществява под формата на работна група относно рисковете за киберсигурността.

3.   ЕМОПС за електроенергия и ООРСЕС редовно информират ACER, ENISA, групата за сътрудничество за МИС и Групата за координация в областта на електроенергетиката за напредъка по изпълнението на оценките в целия Съюз и регионалните оценки на рисковете за киберсигурността в съответствие с член 19 и член 21.

1.   До 13 март 2025 г. ОПС, със съдействието на ЕМОПС за електроенергия, в сътрудничество с ООРСЕС и след консултация с групата за сътрудничество за МИС, представят предложение за методиките за оценка на рисковете за киберсигурността на равнището на Съюза, на регионално равнище и на равнището на държавата членка.

2.   Методиките за оценка на рисковете за киберсигурността на равнището на Съюза, на регионално равнище и на равнището на държавата членка включват:

3.   С методиките за оценка на рисковете за киберсигурността на равнището на Съюза, на регионално равнище и на равнището на държавата членка се оценяват рисковете за киберсигурността, като се използва една и съща матрица на въздействието на риска. С матрицата на въздействието на риска:

4.   В методиките за оценка на рисковете за киберсигурността на равнището на Съюза се описват начините за определяне на стойностите на ECII за праговете на голямо и на критично въздействие. ECII дава възможност на субектите да оценяват с помощта на критериите, посочени в параграф 2, буква б), въздействието на рисковете върху техния работен процес по време на оценките на въздействието върху дейността, които извършват съгласно член 26, параграф 4, буква в), подточка i).

5.   ЕМОПС за електроенергия, в координация с ООРСЕС, информира Групата за координация в областта на електроенергетиката относно предложенията за методики за оценка на рисковете за киберсигурността, които са разработени в съответствие с параграф 1.

1.   В рамките на 9 месеца след одобряването на методиките за оценка на рисковете за киберсигурността в съответствие с член 8 и на всеки три години след това ЕМОПС за електроенергия, в сътрудничество с ООРСЕС и като се консултира с групата за сътрудничество за МИС, без да се засяга член 22 от Директива (ЕС) 2022/2555, извършва оценка на рисковете за киберсигурността в целия Съюз и изготвя проектодоклад за оценка на рисковете за киберсигурността в целия Съюз. За тази цел те ще използват методиките, разработени съгласно член 18 и одобрени съгласно член 8, за определяне, анализ и оценка на възможните последици от кибератаки, които засягат експлоатационната сигурност на електроенергийната система и нарушават трансграничните потоци на електроенергия. При оценката на рисковете за киберсигурността в целия Съюз не се вземат предвид правните и финансовите вреди или уронването на доброто име, дължащи се на кибератаки.

2.   Докладът за оценка на рисковете за киберсигурността в целия Съюз включва следните елементи:

3.   По отношение на процесите с голямо въздействие в целия Съюз и процесите с критично въздействие в целия Съюз докладът за оценка на рисковете за киберсигурността в целия Съюз включва:

4.   ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, предоставя на ACER за становище проектодоклада за оценка на рисковете за киберсигурността в целия Съюз, съдържащ резултатите от оценката на рисковете за киберсигурността в целия Съюз. ACER дава становище по проектодоклада в срок от три месеца след получаването му. При оформянето на окончателната редакция на този доклад ЕМОПС за електроенергия и ООРСЕС отчитат в максимална степен становището на ACER.

5.   В рамките на три месеца след получаването на становището на ACER ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, уведомява ACER, Комисията, ENISA и компетентните органи за окончателния доклад за оценка на рисковете за киберсигурността в целия Съюз.

1.   Всеки компетентен орган извършва оценка на рисковете за киберсигурността на равнище държава членка за всички субекти с голямо въздействие и с критично въздействие в своята държава членка, като използва методиките, разработени съгласно член 18 и одобрени съгласно член 8. При оценката на рисковете за киберсигурността на равнище държава членка се определят и анализират рисковете от кибератаки, които засягат експлоатационната сигурност на електроенергийната система и нарушават трансграничните потоци на електроенергия. При оценката на рисковете за киберсигурността на равнище държава членка не се вземат предвид правните и финансовите вреди или уронването на доброто име, дължащи се на кибератаки.

2.   В рамките на 21 месеца след уведомяването на субектите с голямо въздействие и с критично въздействие съгласно член 24, параграф 6 и на всеки три години след тази дата, и след консултация с КООКС, отговарящ за електроенергията, всеки компетентен орган, подпомаган от ЕРИКС, предоставя на ЕМОПС за електроенергия и на ООРСЕС доклад за оценка на рисковете за киберсигурността на равнище държава членка, съдържащ следната информация за всеки работен процес с голямо въздействие и с критично въздействие:

3.   В доклада за оценка на рисковете за киберсигурността на равнище държава членка се взема предвид планът за готовност за справяне с рискове на държавата членка, изготвен съгласно член 10 от Регламент (ЕС) 2019/941.

4.   Информацията, съдържаща се в доклада за оценка на рисковете за киберсигурността на равнище държава членка съгласно параграф 2, букви а)—г), не трябва да се свързва с конкретни субекти или активи. Докладът за оценка на рисковете за киберсигурността на равнище държава членка включва и оценка на риска, свързан с временните дерогации, издадени от компетентните органи в държавите членки съгласно член 30.

5.   ЕМОПС за електроенергия и ООРСЕС може да поискат допълнителна информация от компетентните органи във връзка със задачите, посочени в параграф 2, букви а) и в).

6.   Компетентните органи гарантират, че предоставената от тях информация е точна и вярна.

1.   ЕМОПС за електроенергия, в сътрудничество с ООРСЕС и като се консултира със съответния регионален координационен център, извършва регионална оценка на рисковете за киберсигурността за всеки регион на експлоатация на системата, като използва методиките, разработени съгласно член 19 и одобрени съгласно член 8, за да установи, анализира и оцени рисковете от кибератаки, засягащи експлоатационната сигурност на електроенергийната система и нарушаващи трансграничните потоци на електроенергия. При регионалните оценки на рисковете за киберсигурността не се вземат предвид правните и финансовите вреди или уронването на доброто име, дължащи се на кибератаки.

2.   В рамките на 30 месеца след уведомяването на субектите с голямо въздействие и с критично въздействие съгласно член 24, параграф 6 и на всеки три години след това ЕМОПС за електроенергия, в сътрудничество с ООРСЕС и като се консултира с групата за сътрудничество за МИС, изготвя регионален доклад за оценка на рисковете за киберсигурността за всеки регион на експлоатация на системата.

3.   В регионалния доклад за оценка на рисковете за киберсигурността се взема предвид съответната информация, съдържаща се в докладите за оценка на рисковете за киберсигурността в целия Съюз и в докладите за оценка на рисковете за киберсигурността на равнище държава членка.

4.   При регионалната оценка на рисковете за киберсигурността се разглеждат сценариите при регионална криза в електроснабдяването, свързана с киберсигурността, определени съгласно член 6 от Регламент (ЕС) 2019/941.

1.   В рамките на 36 месеца след уведомяването на субектите с голямо и с критично въздействие съгласно член 24, параграф 6 и не по-късно от 13 юни 2031 г., както и на всеки три години след тази дата, ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, и като се консултират с регионалните координационни центрове и с групата за сътрудничество за МИС, разработват регионален план за намаляване на рисковете за киберсигурността за всеки регион на експлоатация на системата.

2.   Регионалните планове за намаляване на рисковете за киберсигурността включват:

3.   ЕМОПС за електроенергия предоставя регионалните планове за намаляване на рисковете на съответните оператори на преносни системи, на компетентните органи и на Групата за координация в областта на електроенергетиката. Групата за координация в областта на електроенергетиката може да препоръча внасянето на изменения.

4.   ОПС, със съдействието на ЕМОПС за електроенергия в сътрудничество с ООРСЕС и като се консултират с групата за сътрудничество за МИС, актуализират регионалните планове за намаляване на рисковете на всеки три години, освен ако обстоятелствата не налагат по-чести актуализации.

1.   В рамките на 40 месеца след уведомяването на субектите с голямо въздействие и субектите с критично въздействие в съответствие с член 24, параграф 6 и на всеки три години след това ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, и като се консултират с групата за сътрудничество за МИС, предоставят на Групата за координация в областта на електроенергетиката доклад относно резултатите от оценката на рисковете за киберсигурността по отношение на трансграничните потоци на електроенергия („доклад за цялостна оценка на трансграничните рискове за киберсигурността в електроенергетиката“).

2.   Докладът за цялостна оценка на трансграничните рискове за киберсигурността в електроенергетиката се основава на доклада за оценка на рисковете за киберсигурността в целия Съюз, на докладите за оценка на рисковете за киберсигурността на равнище държава членка и на регионалните доклади за оценка на рисковете за киберсигурността и включва следната информация:

3.   Субектите, изброени в член 2, параграф 1, може да допринасят за изготвянето на доклада за цялостна оценка на трансграничните рискове за киберсигурността в електроенергетиката, като съблюдават поверителността на информацията в съответствие с член 47. ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, се консултират на ранен етап с тези субекти.

4.   Докладът за цялостна оценка на трансграничните рискове за киберсигурността в електроенергетиката е предмет на правилата за защита на обмена на информация съгласно член 46. Без да се засягат разпоредбите на член 10, параграф 4 и член 47, параграф 4, ЕМОПС за електроенергия и ООРСЕС публикуват публична версия на този доклад, която не съдържа информация, която може да причини вреда на субектите, изброени в член 2, параграф 1. Публичната версия на този доклад се публикува само със съгласието на групата за сътрудничество за МИС и Групата за координация в областта на електроенергетиката. ЕМОПС за електроенергия в координация с ООРСЕС отговаря за съставянето и публикуването на публичната версия на доклада.

1.   Всеки компетентен орган, като използва ECII и праговете на голямо и на критично въздействие, включени в доклада за оценка на рисковете за киберсигурността в целия Съюз в съответствие с член 19, параграф 3, буква б), определя субектите с голямо въздействие и субектите с критично въздействие в своята държава членка, които участват в процесите с голямо въздействие в целия Съюз и в процесите с критично въздействие в целия Съюз. Компетентните органи могат да поискат информация от даден субект в тяхната държава членка, за да определят стойностите на ECII за този субект. Ако определената стойност на ECII на даден субект е над прага на голямо или на критично въздействие, определеният субект бива включен в доклада за оценка на рисковете за киберсигурността на равнище държава членка, посочен в член 20, параграф 2.

2.   Всеки компетентен орган, като използва ECII и праговете на голямо и на критично въздействие, включени в доклада за оценка на рисковете за киберсигурността в целия Съюз в съответствие с член 19, параграф 3, буква б), определя субектите с голямо въздействие и с критично въздействие, които не са установени в Съюза, доколкото те извършват дейност в рамките на Съюза. Компетентният орган може да поиска информация от субект, който не е установен в Съюза, за да определи стойностите на ECII за този субект.

3.   Всеки компетентен орган може да определи допълнителни субекти в своята държава членка като субекти с голямо въздействие или с критично въздействие, ако са изпълнени следните критерии:

4.   Ако компетентният орган определи допълнителни субекти в съответствие с параграф 3, всички процеси в тези субекти, за които ECII, обобщени за групата субекти, са над прага на голямо въздействие, се считат за процеси с голямо въздействие, а всички процеси в тези субекти, за които ECII, обобщени за групата субекти, са над праговете на критично въздействие, се считат за процеси с критично въздействие.

5.   Ако компетентен орган определи посочени в параграф 3, буква а) субекти в повече от една държава членка, той информира за това другите компетентни органи, ЕМОПС за електроенергия и ООРСЕС. Въз основа на информацията, получена от всички компетентни органи, ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, предоставя на компетентните органи анализ на съвкупностите от субекти в повече от една държава членка, които могат да създадат разпределени смущения в трансграничните потоци на електроенергия и могат да доведат до кибератака. Когато група субекти в няколко държави членки са определени като съвкупност, чийто ECII надвишава прага на голямо въздействие или на критично въздействие, всички засегнати компетентни органи определят субектите в такава група като субекти с голямо въздействие или с критично въздействие за своята съответна държава членка въз основа на обобщения индекс ECII за групата субекти, а определените субекти се описват в доклада за оценка на рисковете за киберсигурността в целия Съюз.

6.   В рамките на девет месеца след получаването на уведомление от ЕМОПС за електроенергия и от ООРСЕС за доклада за оценка на рисковете за киберсигурността в целия Съюз по член 19, параграф 5, но във всички случаи не по-късно от 13 юни 2028 г., всеки компетентен орган уведомява субектите в списъка, че те са определени като субекти с голямо въздействие или с критично въздействие в неговата държава членка.

7.   Когато на компетентен орган е докладвано за даден доставчик на услуги, че той е доставчик на ИКТ услуги с критично въздействие в съответствие с член 27, буква в), този компетентен орган уведомява за това компетентните органи на държавите членки, на чиято територия се намира седалището или представителството. Последният компетентен орган уведомява доставчика на услуги, че е бил определен като доставчик на критични услуги.

1.   Компетентните органи може да създадат национална схема за проверки, за да се удостоверява, че субектите с критично въздействие, определени съгласно член 24, параграф 1, са приложили националната законодателна рамка, която е включена в матрицата на съответствията, посочена в член 34. Националната схема за проверка може да се основава на инспекция, извършвана от компетентния орган, на независими одити на сигурността или на взаимни партньорски проверки от субекти с критично въздействие в същата държава членка, контролирани от компетентния орган.

2.   Ако даден компетентен орган реши да създаде национална схема за проверка, този компетентен орган гарантира, че проверката се извършва в съответствие със следните изисквания:

3.   Ако даден компетентен орган реши да създаде национална схема за проверка, той докладва ежегодно на ACER колко често е извършвал проверки по тази схема.

1.   Всеки субект с голямо въздействие и с критично въздействие, определен от компетентните органи съгласно член 24, параграф 1, изпълнява дейности по управление на риска в областта на киберсигурността за всички свои активи в периметъра си на голямо въздействие и на критично въздействие. Всеки субект с голямо въздействие и с критично въздействие извършва управление на риска, съдържащо етапите, описани в параграф 2, на всеки три години.

2.   Управлението на риска в областта на киберсигурността на всеки субект с голямо въздействие и с критично въздействие се основава на подход, целящ да предпази мрежите и информационните системи на този субекти и включващ следните етапи:

3.   По време на етапа на установяване на контекста всеки субект с голямо въздействие и с критично въздействие:

4.   По време на етапа на оценка на рисковете за киберсигурността всеки субект с голямо въздействие и с критично въздействие:

5.   По време на етапа на третиране на рисковете за киберсигурността всеки субект с голямо въздействие и с критично въздействие изготвя план за намаляване на рисковете за киберсигурността на равнище субект, като избира варианти за третиране на риска, подходящи за управление на рисковете, и определя остатъчните рискове.

6.   По време на етапа на приемане на риска за киберсигурността всеки субект с голямо въздействие и с критично въздействие решава дали да приеме остатъчния риск въз основа на критериите за приемане на риска, установени в параграф 3, буква б).

7.   Всеки субект с голямо въздействие и с критично въздействие регистрира активите, установени в параграф 1, в опис на активите. Този опис на активите не е част от доклада за оценка на риска.

8.   Компетентният орган може да проверява активите в описа по време на проверките.

1.   Общата рамка в областта на киберсигурността в електроенергетиката се състои от следните мерки за контрол във връзка с киберсигурността и следната система за управление на киберсигурността:

2.   Всички субекти с голямо въздействие прилагат минималните мерки за контрол във връзка с киберсигурността в съответствие с параграф 1, буква а) в рамките на своя периметър на голямо въздействие.

3.   Всички субекти с критично въздействие прилагат разширените мерки за контрол във връзка с киберсигурността в съответствие с параграф 1, буква б) в рамките на своя периметър на критично въздействие.

4.   В рамките на 7 месеца след предаването на първия проектодоклад за оценка на рисковете за киберсигурността в целия Съюз в съответствие с член 19, параграф 4 общата рамка в областта на киберсигурността в електроенергетиката, посочена в параграф 1, се допълва от минималните и разширените мерки за контрол във връзка с киберсигурността по веригата на доставките, разработени в съответствие с член 33.

1.   В рамките на 7 месеца след представянето на първия проектодоклад за оценка на рисковете за киберсигурността в целия Съюз съгласно член 19, параграф 4 ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, изготвят предложение за минимални и разширени мерки за контрол във връзка с киберсигурността.

2.   В рамките на 6 месеца след изготвянето на всеки регионален доклад за оценка на рисковете за киберсигурността в съответствие с член 21, параграф 2 ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, предлагат на компетентния орган изменение на минималните и разширените мерки за контрол във връзка с киберсигурността. Предложението ще бъде направено в съответствие с член 8, параграф 10 и в него ще бъдат отчетени рисковете, установени при регионалната оценка на рисковете.

3.   Минималните и разширените мерки за контрол във връзка с киберсигурността са проверими чрез участие в национална схема за проверка в съответствие с процедурата, посочена в член 31, или чрез провеждане на независими одити на сигурността от трети страни, извършени в съответствие с изискванията, изброени в член 25, параграф 2.

4.   Първоначалните минимални и разширени мерки за контрол във връзка с киберсигурността, разработени съгласно параграф 1, се основават на рисковете, които са установени в доклада за оценка на рисковете за киберсигурността в целия Съюз, посочен в член 19, параграф 5. Изменените минимални и разширени мерки за контрол във връзка с киберсигурността, разработени в съответствие с параграф 2, се основават на регионалния доклад за оценка на рисковете за киберсигурността, посочен в член 21, параграф 2.

5.   Минималните мерки за контрол във връзка с киберсигурността включват мерки за защита на информацията, обменяна съгласно член 46.

6.   В рамките на 12 месеца след одобряването на минималните и на разширените мерки за контрол във връзка с киберсигурността съгласно член 8, параграф 5 или след всяка актуализация съгласно член 8, параграф 10 субектите, изброени в член 2, параграф 1 и определени като субекти с критично въздействие и субекти с голямо въздействие съгласно член 24, прилагат минималните мерки за контрол във връзка с киберсигурността в рамките на периметъра на голямо въздействие и разширените мерки за контрол във връзка с киберсигурността в рамките на периметъра на критично въздействие по време на изготвянето на плана за намаляване на рисковете за киберсигурността на равнище субект съгласно член 26, параграф 5.

1.   Изброените в член 2, параграф 1 субекти може да поискат от съответния компетентен орган да им предостави дерогация от задължението им да прилагат минималните и разширените мерки за контрол във връзка с киберсигурността, посочени в член 29, параграф 6. Компетентният орган може да предостави такава дерогация въз основа на едно от следните основания:

2.   В срок от три месеца от получаването на посоченото в параграф 1 искане всеки компетентен орган решава дали трябва да предостави дерогация от минималните и разширените мерки за контрол във връзка с киберсигурността. Дерогациите от минималните или разширените мерки за контрол във връзка с киберсигурността се предоставят за максимален срок от три години, като е налице възможност за удължаване на срока.

3.   Обобщена и анонимизирана информация за предоставените дерогации се включва като приложение към доклада за цялостна оценка на трансграничните рискове за киберсигурността в електроенергетиката, посочен в член 23. ЕМОПС за електроенергия и ООРСЕС актуализират съвместно списъка, когато това е необходимо.

1.   Не по-късно от 24 месеца след приемането на мерките за контрол, посочени в член 28, параграф 1, букви а), б) и в), и създаването на системата за управление на киберсигурността, посочена в буква г) от въпросния член, всеки субект с критично въздействие, установен в съответствие с член 24, параграф 1, трябва да може да докаже, по искане на компетентния орган, че спазва системата за управление на киберсигурността и минималните или разширените мерки за контрол във връзка с киберсигурността.

2.   Всеки субект с критично въздействие изпълнява задължението, посочено в параграф 1, като провежда независими одити на сигурността, извършвани от трета страна в съответствие с изискванията, посочени в член 25, параграф 2, или като участва в национална схема за проверка в съответствие с член 25, параграф 1.

3.   Проверката, с която се установява спазване от страна на субект с критично въздействие на системата за управление на киберсигурността и на минималните или разширените мерки за контрол във връзка с киберсигурността, обхваща всички активи в рамките на периметъра на критично въздействие на субекта с критично въздействие.

4.   Проверката, с която се установява спазване от страна на субект с критично въздействие на системата за управление на киберсигурността и на минималните или разширените мерки за контрол във връзка с киберсигурността, се повтаря периодично най-късно 36 месеца след края на първата проверка и на всеки 3 години след това.

5.   Всеки субект с критично въздействие, определен в съответствие с член 24, доказва спазването от негова страна на мерките за контрол, посочени в член 28, параграф 1, букви а), б) и в), и създаването на система за управление на киберсигурността, посочена в буква г) от въпросния член, като докладва на компетентния орган резултатите от проверката на съответствието.

1.   В срок от 24 месеца след уведомяването от компетентния орган за определянето му като субект с голямо въздействие или с критично въздействие в съответствие с член 24, параграф 6, всеки субект с голямо въздействие и с критично въздействие създава система за управление на киберсигурността и я преразглежда на всеки три години след това, за да:

2.   Обхватът на системата за управление на киберсигурността включва всички активи в рамките на периметъра на голямо въздействие и на критично въздействие на субекта с голямо въздействие и с критично въздействие.

3.   Компетентните органи, без да налагат употребата на определен тип технология или да упражняват дискриминация в нейна полза, насърчават използването на европейски или международни стандарти и спецификации, свързани със системите за управление, които са от значение за сигурността на мрежите и информационните системи.

1.   В рамките на 7 месеца след представянето на първия проектодоклад за оценка на рисковете за киберсигурността в целия Съюз съгласно член 19, параграф 4 ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, разработват предложение за минимални и разширени мерки за контрол във връзка с киберсигурността по веригата на доставките, с което се намаляват рисковете за веригата на доставките, установени в оценките на рисковете за киберсигурността в целия Съюз, които да допълнят минималните и разширените мерки за контрол във връзка с киберсигурността, разработени в съответствие с член 29. Минималните и разширените мерки за контрол във връзка с киберсигурността във веригата на доставките се разработват заедно с минималните и разширените мерки за контрол във връзка с киберсигурността в съответствие с член 29. Минималните и разширените мерки за контрол във връзка с киберсигурността във веригата на доставките обхващат целия жизнен цикъл на всички ИКТ продукти, ИКТ услуги и ИКТ процеси в рамките на периметрите на критично въздействие и на голямо въздействие на субект с голямо въздействие или субект с критично въздействие. При разработването на предложението за минимални и разширени мерки за контрол във връзка с киберсигурността във веригата на доставките се провеждат консултации с групата за сътрудничество за МИС.

2.   Минималните мерки за контрол във връзка с киберсигурността във веригата на доставките включват мерки за контрол за субекти с голямо въздействие и с критично въздействие, които:

3.   По отношение на спецификациите за киберсигурност в препоръката относно обществени поръчки в областта на киберсигурността, посочени в параграф 2, буква а), субектите с голямо въздействие или с критично въздействие използват принципите на обществените поръчки съгласно Директива 2014/24/ЕС на Европейския парламент и на Съвета (19), в съответствие с член 35, параграф 4, или определят свои собствени спецификации въз основа на резултатите от оценката на рисковете за киберсигурността на равнище субект.

4.   Разширените мерки за контрол във връзка с киберсигурността във веригата на доставките включват мерки за контрол за субекти с критично въздействие, целящи по време на обществените поръчки да се провери дали ИКТ продуктите, ИКТ услугите и ИКТ процесите, които ще бъдат използвани като активи с критично въздействие, отговарят на спецификациите за киберсигурност. ИКТ продуктът, ИКТ услугата или ИКТ процесът се проверяват или чрез посочената в член 31 европейска схема за сертифициране на киберсигурността, или чрез дейности за проверка, избрани и организирани от субекта. Задълбочеността и обхватът на дейностите за проверка трябва да са достатъчни, за да осигурят увереност, че ИКТ продуктът, ИКТ услугата или ИКТ процесът може да се използва за намаляване на рисковете, установени в оценката на рисковете на равнище субект. Субектът с критично въздействие документира стъпките, предприети за намаляване на установените рискове.

5.   Минималните и разширените мерки за контрол във връзка с киберсигурността във веригата на доставките се прилагат по отношение на обществени поръчки за съответните ИКТ продукти, ИКТ услуги и ИКТ процеси. Минималните и разширените мерки за контрол във връзка с киберсигурността по веригата на доставките ще се прилагат по отношение на процеси за обществени поръчки в субектите, установени като субекти с критично въздействие и с голямо въздействие в съответствие с член 24, като началото ще бъде поставено шест месеца след приемането или актуализирането на минималните и разширените мерки за контрол във връзка с киберсигурността, посочени в член 29.

6.   В срок от 6 месеца след изготвянето на всеки регионален доклад за оценка на рисковете за киберсигурността в съответствие с член 21, параграф 2 ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, предлагат на компетентния орган изменение на минималните и разширените мерки за контрол във връзка с киберсигурността по веригата на доставките. Предложението ще бъде направено в съответствие с член 8, параграф 10 и в него ще бъдат отчетени рисковете, установени при регионалната оценка на рисковете.

1.   В рамките на 7 месеца след представянето на първия проектодоклад за оценка на рисковете за киберсигурността в целия Съюз съгласно член 19, параграф 4 ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС и като се консултират с ENISA, разработват предложение за матрица за съпоставяне на мерките за контрол, определени в член 28, параграф 1, букви а) и б) с избрани европейски и международни стандарти, както и съответните технически спецификации („матрица на съответствията“). ЕМОПС за електроенергия и ООРСЕС документират еквивалентността на различните мерки за контрол с мерките за контрол, определени в член 28, параграф 1, букви а) и б).

2.   Компетентните органи може да предоставят на ЕМОПС за електроенергия и на ООРСЕС съпоставяне на мерките за контрол, определени в член 28, параграф 1, букви а) и б), като се позоват на съответните национални законодателни или регулаторни рамки, включително относимите национални стандарти на държавите членки в съответствие с член 25 от Директива (ЕС) 2022/2555. Ако компетентният орган на държава членка предостави такова съпоставяне, ЕМОПС за електроенергия и ООРСЕС интегрират това съпоставяне на национално равнище в матрицата на съответствията.

3.   В рамките на 6 месеца след изготвянето на всеки регионален доклад за оценка на рисковете за киберсигурността в съответствие с член 21, параграф 2 ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС и като се консултират с ENISA, предлагат на компетентния орган изменение във връзка с матрицата на съответствията. Предложението ще бъде направено в съответствие с член 8, параграф 10 и в него ще бъдат отчетени рисковете, установени при регионалната оценка на рисковете.

1.   ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, разработват в рамките на работна програма, която трябва да се изготви и актуализира всеки път при приемането на регионален доклад за оценка на рисковете за киберсигурността, набор от необвързващи препоръки относно обществени поръчки в областта на киберсигурността, които субекти с критично въздействие или с голямо въздействие може да използват като основа за обществените поръчки за ИКТ продукти, ИКТ услуги и ИКТ процеси в рамките на периметрите на голямо въздействие и на критично въздействие. Тази работна програма включва следното:

2.   в рамките на 6 месеца след приемането или актуализирането на регионалния доклад за оценка на рисковете за киберсигурността ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, предоставя на ACER обобщение на тази работна програма.

3.   ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, се стремят да гарантират, че необвързващите препоръки относно обществени поръчки в областта на киберсигурността, разработени въз основа на съответната регионална оценка на рисковете за киберсигурността, са подобни или сравними между отделните региони на експлоатация на системата. Наборите от препоръки относно обществени поръчки в областта на киберсигурността обхващат най-малкото спецификациите, посочени в член 33, параграф 2, буква а). Когато е възможно, спецификациите се избират от европейски и международни стандарти.

4.   ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, гарантират, че наборите от препоръки за обществени поръчки в областта на киберсигурността:

1.   Необвързващите препоръки относно обществени поръчки в областта на киберсигурността, разработени съгласно член 35, може да включват специфични за сектора насоки относно използването на европейски схеми за сертифициране на киберсигурността, когато за използвания от субекти с критично въздействие тип ИКТ продукт, ИКТ услуга или ИКТ процес е налице подходяща схема, без да се засяга рамката за установяване на европейски схеми за сертифициране на киберсигурността съгласно член 46 от Регламент (ЕС) 2019/881.

2.   ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, си сътрудничат тясно с ENISA при предоставяне на специфични за сектора насоки, включени в необвързващите препоръки относно обществени поръчки в областта на киберсигурността, посочени в параграф 1.

1.   Ако компетентен орган получава информация, свързана с подлежаща на докладване кибератака, този компетентен орган:

2.   Ако ЕРИКС разбере за некоригирана активно използвана уязвимост, той:

3.   Ако компетентен орган узнае за некоригирана активно използвана уязвимост, този компетентен орган:

4.   Ако компетентният орган узнае за некоригирана уязвимост, без да са налице доказателства, че тя вече се използва активно, той се координира без ненужно забавяне с ЕРИКС за целите на координираното оповестяване на уязвимости, определено в член 12, параграф 1 от Директива (ЕС) 2022/2555.

5.   Ако ЕРИКС получи информация, свързана с киберзаплахи от един или от няколко субекта с голямо въздействие или с критично въздействие в съответствие с член 38, параграф 6, той разпространява тази информация или всяка друга информация, която е от значение за предотвратяване, откриване, отговаряне или намаляване на съответните рискове за субекти с критично въздействие и с голямо въздействие в своята държава членка и, когато е целесъобразно, до всички съответни ЕРИКС и до своето национално единно звено за контакт, без ненужно забавяне и не по-късно от четири часа след получаването на информацията.

6.   Ако компетентен орган узнае информация, свързана с киберзаплахи от един или от няколко субекта с голямо въздействие или с критично въздействие, той препраща тази информация на ЕРИКС за целите на параграф 5.

7.   Компетентните органи може да делегират изцяло или частично отговорностите по параграфи 3 и 4, засягащи един или повече субекти с голямо въздействие или с критично въздействие, които работят в повече от една държава членка, на друг компетентен орган в една от тези държави членки след споразумение между засегнатите компетентни органи.

8.   ОПС, със съдействието на ЕМОПС за електроенергия и в сътрудничество с ООРСЕС, разработват методика за скала за класификация на кибератаките до 13 юни 2025 г. ОПС, със съдействието на ЕМОПС за електроенергия и ООРСЕС, може да поискат от компетентните органи да проведат консултации с ENISA и с техните компетентни органи, отговарящи за киберсигурността, във връзка с помощта при разработването на такава скала за класификация. С методиката се предоставя класификация за тежестта на кибератака в 5 степени, като двете най-високи степени са „голяма“ и „критична“. Класификацията се основава на оценката на следните параметри:

9.   До 13 юни 2026 г. ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, извършва проучване за осъществимост, за да оцени възможността и финансовите разходи, необходими за разработването на общ инструмент, позволяващ на всички субекти да обменят информация със съответните национални органи.

10.   В проучването за осъществимост се разглежда възможността такъв общ инструмент:

11.   ЕМОПС за електроенергия, в сътрудничество с ООРСЕС:

12.   ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, може да анализира и да улесни предлаганите от субекти с критично въздействие и с голямо въздействие инициативи, за да се оценят и изпитат такива инструменти за обмен на информация.

1.   Всеки субект с голямо въздействие и с критично въздействие:

2.   ENISA може да издава необвързващи насоки за установяване на такива способности или за възлагане на услугата на ДУУС като подизпълнители като част от задачата, определена в член 6, параграф 2 от Регламент (ЕС) 2019/881.

3.   Всеки субект с критично въздействие и с голямо въздействие обменя със своя ЕРИКС и със своя компетентен орган съответната информация, свързана с подлежаща на докладване кибератака, без ненужно забавяне и не по-късно от четири часа след като е узнал, че инцидентът подлежи на докладване.

4.   Свързана с кибератака информация се счита за подлежаща на докладване, когато кибератаката се оценява от засегнатия субект с ниво на критичност, вариращо от „голямо“ до „критично“ въздействие, като се следва методиката за скала за класификация на кибератаките съгласно член 37, параграф 8. Единното звено за контакт на равнище субект, определено съгласно параграф 1, буква в), съобщава класификацията на инцидента.

5.   Когато субекти с критично въздействие и с голямо въздействие уведомяват ЕРИКС за съответната информация, свързана с некоригирани активно използвани уязвимости, ЕРИКС може да препрати тази информация на своя компетентен орган. С оглед на степента на чувствителност на нотифицираната информация, ЕРИКС може да задържи информацията или да забави нейното препращане поради основателни причини, свързани с киберсигурността.

6.   Всеки субект с критично въздействие и с голямо въздействие предоставя без ненужно забавяне на своите ЕРИКС всяка информация, свързана с подлежаща на докладване киберзаплаха, която може да има трансгранично въздействие. Свързаната с киберзаплаха информация се счита за подлежаща на докладване, когато е изпълнено поне едно от следните условия:

7.   Когато обменя информация съгласно настоящия член, всеки субект с критично въздействие и с голямо въздействие уточнява следното:

8.   Когато субект с критично въздействие или с голямо въздействие уведоми за значителен инцидент съгласно член 23 от Директива (ЕС) 2022/2555 и докладването на инцидент съгласно посочения член съдържа съответната информация, изисквана съгласно параграф 3 от настоящия член, докладването от страна на субекта съгласно член 23, параграф 1 от тази директива представлява докладване на информация съгласно параграф 3 от настоящия член.

9.   Всеки субект с критично въздействие или с голямо въздействие докладва на своя компетентен орган или ЕРИКС, като ясно определя конкретна информация, която може да бъде обменена само с компетентния орган или с ЕРИКС в случаи, в които обменяната информация може да бъда източник на кибератака. Всеки субект с критично въздействие или с голямо въздействие има правото да предоставя на компетентния ЕРИКС неповерителна версия на информацията.

1.   Субектите с критично въздействие и с голямо въздействие изграждат необходимите способности за справяне с откритите кибератаки, заедно с необходимата подкрепа от страна на съответния компетентен орган, ЕМОПС за електроенергия и ООРСЕС. Субектите с критично въздействие и с голямо въздействие може да бъдат подкрепени от ЕРИКС, определен в съответната им държава членка, като част от възложената на ЕРИКС задача по член 11, параграф 5, буква а) от Директива (ЕС) 2022/2555. Субектите с критично въздействие и с голямо въздействие изпълняват ефективно процесите за установяване, класифициране и реагиране на киберзаплахи, които ще засегнат или може да засегнат трансграничните потоци на електроенергия с цел да се сведе до минимум тяхното въздействие.

2.   Ако трансграничните потоци на електроенергия бъдат засегнати от кибератака, единните звена за контакт на равнище субект на засегнатите субекти с критично въздействие и с голямо въздействие си сътрудничат, за да обменят помежду си информация, координирана от компетентния орган на държавата членка, в която е докладвано за първи път за кибератаката.

3.   Субектите с критично въздействие и с голямо въздействие:

4.   Изброените в параграф 1 задачи може да бъдат делегирани от държавите членки също и на регионалните координационни центрове в съответствие с член 37, параграф 2 от Регламент (ЕС) 2019/943.

1.   Когато компетентният орган установи, че дадена криза в електроснабдяването е свързана с кибератака, която оказва въздействие върху повече от една държава членка, компетентните органи от засегнатите държави членки, КООКС, КО — ГСР и органите за управление на киберкризи в МИС от засегнатите държави членки създават съвместно ad hoc група за координация при трансгранични кризи.

2.   Ad hoc групата за координация при трансгранични кризи:

3.   Когато кибератаката се квалифицира или се очаква да се квалифицира като мащабен киберинцидент, ad hoc групата за координация при трансгранични кризи незабавно информира националните органи за управление на киберкризи в съответствие с член 9, параграф 1 от Директива (ЕС) 2022/2555 в засегнатите от инцидента държави членки, както и Комисията и EU-CyCLONe. В тази ситуация ad hoc групата за координация при трансгранични кризи подпомага EU-CyCLONe по отношение на секторните особености.

4.   Субектите с критично въздействие и с голямо въздействие разработват и притежават способности, вътрешни насоки, планове за готовност за справяне с рисковете и персонал, който да участва в откриването и ограничаването на трансгранични кризи. Субектът с критично въздействие или с голямо въздействие, засегнат от едновременна криза в електроснабдяването, проучва първопричината за такава криза в сътрудничество със своя компетентен орган с цел да се определи степента, в която кризата е свързана с кибератака.

5.   Задачите в параграф 4 може да бъдат делегирани от държавите членки и на регионалните координационни центрове в съответствие с член 37, параграф 2 от Регламент (ЕС) 2019/943.

1.   В срок от 24 месеца след уведомяването на ACER за доклада за оценка на рисковете в целия Съюз ACER, в тясно сътрудничество с ENISA, ЕМОПС за електроенергия, ООРСЕС, КООКС, компетентните органи, КО — ГСР, НРО и националните органи, отговорни за управлението на киберкризи в МИС, разработват план за управление и реакция при кризи в областта на киберсигурността на равнището на Съюза във връзка с електроенергетиката.

2.   В срок от 12 месеца след разработването от ACER на план за управление и реакция при кризи в областта на киберсигурността на равнището на Съюза във връзка с електроенергетиката съгласно параграф 1, всеки компетентен орган разработва национален план за управление и реакция при кризи в областта на киберсигурността за трансгранични потоци на електроенергия, като взема предвид плана за управление на кризи в областта на киберсигурността на равнището на Съюза и националния план за готовност за справяне с рисковете, създаден в съответствие с член 10 от Регламент (ЕС) 2019/941. Този план е в съответствие с плана за реакция при мащабни киберинциденти и кризи съгласно член 9, параграф 4 от Директива (ЕС) 2022/2555. Компетентният орган координира дейността си със субектите с критично въздействие и с голямо въздействие и с КО — ГСР в своята държава членка.

3.   Изискваният съгласно член 9, параграф 4 от Директива (ЕС) 2022/2555 национален план за реакция при мащабни киберинциденти и кризи се счита за национален план за управление на кризи в областта на киберсигурността при кризи съгласно посочения член, ако включва разпоредби за управление и реакция при кризи във връзка с трансграничните потоци на електроенергия.

4.   Изброените в параграфи 1 и 2 задачи може да бъдат делегирани от държавите членки и на регионалните координационни центрове в съответствие с член 37, параграф 2 от Регламент (ЕС) 2019/943.

5.   Субектите с критично въздействие и с голямо въздействие гарантират, че техните процеси за управление на кризи, свързани с киберсигурността:

6.   В срок от 12 месеца след уведомяването на субектите с голямо въздействие и с критично въздействие съгласно член 24, параграф 6 и на всеки три години след това субектите с критично въздействие и с голямо въздействие разработват план за управление на кризи на равнище субект за свързана с киберсигурността криза, който се включва в техните общи планове за управление на кризи. Този план включва най-малкото следното:

7.   Мерките за управление на кризи в съответствие с член 21, параграф 2, буква в) от Директива (ЕС) 2022/2555 се считат за план за управление на кризи на равнище субект във връзка с електроенергетиката съгласно настоящия член, ако той включва всички изисквания, изброени в параграф 6.

8.   Плановете за управление на кризи се изпробват по време на ученията в областта на киберсигурността, посочени в членове 43, 44 и 45.

9.   Субектите с критично и с голямо въздействие включват плановете си за управление на кризи на равнище субект в своите планове за непрекъснатост на дейността във връзка с процесите с критично въздействие и с голямо въздействие. Плановете за управление на кризи на равнище субект включват:

10.   Субектите с критично въздействие и с голямо въздействие актуализират своите планове за управление на кризи на равнище субект поне на всеки три години и когато това е необходимо.

11.   ACER актуализира плана за управление и реакция при кризи в областта на киберсигурността на равнището на Съюза във връзка с електроенергетиката, разработен съгласно параграф 1, поне на всеки три години и когато това е необходимо.

12.   Всеки компетентен орган актуализира националния план за управление и реакция при кризи в областта на киберсигурността във връзка с трансграничните потоци на електроенергия, разработен съгласно параграф 2, поне на всеки три години и когато това е необходимо.

13.   Субектите с критично въздействие и с голямо въздействие изпробват своите планове за непрекъснатост на дейността поне веднъж на всеки три години или след големи промени в процес с критично въздействие. Резултатът от изпробванията на плана за непрекъснатост на дейността се документират. Субектите с критично въздействие и с голямо въздействие може да включват в ученията в областта на киберсигурността изпробването на своя план за непрекъснатост на дейността.

14.   Субектите с критично въздействие и с голямо въздействие актуализират своя план за непрекъснатост на дейността винаги когато е необходимо и поне веднъж на всеки три години, като вземат предвид резултата от изпробването.

15.   Ако при изпробване са установени недостатъци в плана за непрекъснатост на дейността, субектът с критично въздействие и с голямо въздействие коригира тези недостатъци в срок от 180 календарни дни след изпробването и провежда ново изпробване, за да предостави доказателства за ефективността на коригиращите мерки.

16.   Когато субект с критично въздействие или с голямо въздействие не може да коригира недостатъците в срок от 180 календарни дни, той включва причините в доклада, който трябва да бъде предоставен на неговия компетентен орган в съответствие с член 27.

1.   Компетентните органи си сътрудничат с ENISA за разработването на възможности за ранно предупреждение за киберсигурността в електроенергетиката (ECEAC) като част от помощта за държавите членки съгласно член 6, параграфи 2 и 7 от Регламент (ЕС) 2019/881.

2.   ECEAC дават възможност на ENISA при изпълнение на задачите, изброени в член 7, параграф 7 от Регламент (ЕС) 2019/881:

3.   ЕРИКС разпространяват незабавно получената от ENISA информация до съответните субекти в рамките на своите задачи, определени в член 11, параграф 3, буква б) от Директива (ЕС) 2022/2555.

4.   ACER наблюдава ефективността на ECEAC. ENISA оказва помощ на ACER чрез предоставяне на цялата необходима информация съгласно член 6, параграф 2 и член 7, параграф 1 от Регламент (ЕС) 2019/881. Анализът на настоящата дейност за наблюдение е част от наблюдението съгласно член 12 от настоящия регламент.

1.   До 31 декември на годината след уведомяването на субектите с критично въздействие и на всеки три години след това всеки субект с критично въздействие провежда учения в областта на киберсигурността, които включват един или повече сценарии с кибератаки, засягащи пряко или косвено трансграничните потоци на електроенергия и свързани с рисковете, установени по време на оценките на рисковете за киберсигурността на равнище държава членка и на равнище субект в съответствие с член 20 и член 27.

2.   Чрез дерогация от параграф 1 КО — ГСР, след консултация с компетентния орган и съответния орган за управление на киберкризи, определен или създаден съгласно член 9 от Директива (ЕС) 2022/2555, може да реши, вместо да провежда учения в областта на киберсигурността на равнище субект, да организира учения в областта на киберсигурността на равнище държава членка, както е посочено в параграф 1. Във връзка с това компетентният орган информира:

3.   КО — ГСР с техническата подкрепа на своите ЕРИКС организира посочените в параграф 2 учения в областта на киберсигурността на равнище държава членка, независимо или в контекста на друго учение в областта на киберсигурността във въпросната държава членка. За да може да групира тези учения, КО — ГСР може да отложи посочените в параграф 1 учения в областта на киберсигурността на равнище държава членка с една година.

4.   Ученията в областта на киберсигурността на равнище субект и на равнище държава членка са в съответствие с националните рамки за управление на кризи в областта на киберсигурността в съответствие с член 9, параграф 4, буква г) от Директива (ЕС) 2022/2555.

5.   До 31 декември 2026 г. и на всеки три години след това ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, предоставя образец за сценарий на учения за провеждането на учения в областта на киберсигурността на равнище субект и на равнище държава членка, посочени в параграф 1. В този образец се вземат предвид резултатите от най-скорошната оценка на рисковете за киберсигурността на равнище субект и на равнище държава членка и се съдържат ключови критерии за успех. ЕМОПС за електроенергия и ООРСЕС включват ACER и ENISA в разработването на такъв образец.

1.   До 31 декември 2029 г. и на всеки три години след това във всеки регион на експлоатация на системата ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, организира регионално учение в областта на киберсигурността. В регионалното учение в областта на киберсигурността участват субектите с критично въздействие в региона на експлоатация на системата. ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, може вместо да организира учение в областта на киберсигурността, да организира междурегионално учение в областта на киберсигурността в повече от един регион на експлоатация на системата в рамките на същия период. При учението следва да се вземат предвид други съществуващи оценки на рисковете за киберсигурността и сценарии, разработени на равнището на Съюза.

2.   ENISA подкрепя ЕМОПС за електроенергия и ООРСЕС при подготовката и организирането на ученията в областта на киберсигурността на регионално или на междурегионално равнище.

3.   ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, информира субектите с критично въздействие, че ще участват в учение в областта на киберсигурността на регионално или на междурегионално равнище, шест месеца преди провеждане на учението.

4.   Организаторът на редовно учение в областта на киберсигурността на равнището на Съюза съгласно член 7, параграф 5 от Регламент (ЕС) 2019/881 или на всяко задължително учение в областта на киберсигурността, свързано с електроенергетиката в рамките на същия географски периметър, може да покани ЕМОПС за електроенергия и ООРСЕС да участват. В такива случаи задължението по параграф 1 не се прилага, при условие че всички субекти с критично въздействие в региона на експлоатация на системата участват в едно и също учение.

5.   В случай че ЕМОПС за електроенергия и ООРСЕС участват в учение в областта на киберсигурността, посочено в параграф 4, те може да отложат посоченото в параграф 1 регионално или междурегионално учение в областта на киберсигурността с една година.

6.   До 31 декември 2027 г. и на всеки три години след тази дата ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, предоставя образец на учение за провеждане на регионални и междурегионални учения в областта на киберсигурността. В този образец се вземат предвид резултатите от най-скорошната оценка на рисковете за киберсигурността на регионално равнище и се съдържат ключови критерии за успех. ЕМОПС за електроенергия се консултира с Комисията и може да поиска съвет от ACER, ENISA и Съвместния изследователски център относно организацията и провеждането на регионалните и междурегионалните учения в областта на киберсигурността.

1.   По искане от субект с критично въздействие доставчиците на критични услуги участват в ученията в областта на киберсигурността, посочени в член 43, параграфи 1 и 2 и в член 44, параграф 1, когато предоставят услуги за субекта с критично въздействие в областта, съответстваща на обхвата на съответното учение в областта на киберсигурността.

2.   Организаторите на ученията в областта на киберсигурността, посочени в член 43, параграфи 1 и 2 и в член 44, параграф 1, като се консултират с ENISA по тяхно искане и съгласно член 7, параграф 5 от Регламент (ЕС) 2019/881, анализират и приключват съответното учение в областта на киберсигурността чрез доклад, обобщаващ изводите, който е предназначен за всички участници. Докладът включва:

3.   По искане на мрежата на ЕРИКС или групата за сътрудничество за МИС, или на EU-CyCLONe организаторите на ученията в областта на киберсигурността, посочени в член 43, параграфи 1 и 2 и в член 44, параграф 1, споделят резултата от съответните учения в областта на киберсигурността. Организаторите споделят с всеки субект, участващ в ученията, информацията, посочена в параграф 2, букви а) и б) от настоящия член. Организаторите споделят списъка с препоръки, посочен в същия параграф, буква в), изключително със субектите, към които се отнасят препоръките.

4.   Организаторите на ученията в областта на киберсигурността, посочени в член 43, параграфи 1 и 2 и в член 44, параграф 1, редовно проследяват субектите, участващи в ученията, относно изпълнението на препоръките съгласно параграф 2, точка в) от настоящия член.

1.   Изброените в член 2, параграф 1 субекти гарантират, че предоставената, получената, обменената или предадената съгласно настоящия регламент информация е достъпна само въз основа на принципа „необходимост да се знае“ и в съответствие със съответните правила на Съюза и национални правила за сигурност на информацията.

2.   Изброените в член 2, параграф 1 субекти гарантират, че предоставената, получената, обменената или предадената съгласно настоящия регламент информация се разглежда и проследява през целия жизнен цикъл на тази информация и че може да бъде оповестена в края на жизнения си цикъл само след като бъде анонимизирана.

3.   Изброените в член 2, параграф 1 субекти гарантират, че са въведени всички необходими мерки за защита от организационно и техническо естество с цел опазване и защитаване на поверителността, цялостността и наличността на информацията и невъзможността за отричане на предоставената, получената, обменената или предадената съгласно настоящия регламент информация, независимо от използваните средства. Мерките за защита:

4.   Изброените в член 2, параграф 1 субекти гарантират, че всяко лице, на което е предоставен достъп до предоставената, получената, обменената или предадената съгласно настоящия регламент информация, е информирано за правилата за сигурност, приложими на равнище субект, и за мерките и процедурите, свързани със защитата на информацията. Тези субекти гарантират, че съответното лице признава отговорността за защитата на информацията съгласно указанията по време на инструктажа.

5.   Изброените в член 2, параграф 1 субекти гарантират, че достъпът до предоставената, получената, обменената или предадената съгласно настоящия регламент информация е ограничен до лица:

6.   Изброените в член 2, параграф 1 субекти получават писменото съгласие на физическото или юридическото лице, което първоначално е създало или предоставило информацията, преди да предоставят тази информация на трета страна, която попада извън обхвата на настоящия регламент.

7.   Посоченият в член 2, параграф 1 субект може да прецени, че тази информация ще бъде обменена, без да се спазват параграфи 1 и 4 от настоящия член, с цел да се предотврати едновременна криза в електроснабдяването, чиято първопричина е киберсигурността, или всяка трансгранична криза в рамките на Съюза в друг сектор. В този случай той:

8.   Чрез дерогация от параграф 6 от настоящия член компетентните органи може да предоставят предоставената, получената, обменената или предадената съгласно настоящия регламент информация на трета страна, която не е изброена в член 2, параграф 1, без предварителното писмено съгласие на първоизточника на информацията, но като информират последния при първа възможност. Преди да оповести каквато и да е предоставена, получена, обменена или предадена съгласно настоящия регламент информация на трета страна, която не е посочена в член 2, параграф 1, съответният компетентен орган гарантира в приемлива степен, че въпросната трета страна е запозната с действащите правила за сигурност и получава достатъчна гаранция, че въпросната трета страна може да защити получената информация в съответствие с параграфи 1—5 от настоящия член. Компетентният орган анонимизира такава информация, без да се губят елементите, необходими за информиране на обществеността за непосредствен и сериозен риск за трансграничните потоци на електроенергия и възможните мерки за намаляване на рисковете и защитава самоличността на първоизточника на информацията. В този случай третата страна, която не е посочена в член 2, параграф 1, защитава получената информация в съответствие с разпоредбите, които вече са в сила на равнище субект, или когато това не е възможно, с разпоредбите и указанията, предоставени от съответния компетентен орган.

9.   Настоящият член не се прилага за субекти, които не са изброени в член 2, параграф 1, на които е предоставена информация съгласно параграф 6 от настоящия член. В този случай се прилага параграф 7 от настоящия член или компетентният орган може да предостави на субекта писмени разпоредби, които да се прилагат в случаите, когато информацията е получена съгласно настоящия регламент.

1.   Всяка предоставена, получена, обменена или предадена съгласно настоящия регламент информация е предмет на условията за опазване на професионалната тайна, посочени в параграфи 2—5 от настоящия член от настоящия регламент, и на изискванията, определени в член 65 от Регламент (ЕС) 2019/943. Всяка информация, предоставена, получена, обменена или предадена между изброените в член 2 от настоящия регламент субекти за целите на прилагането на настоящия регламент, се защитава, като се взема предвид прилаганата от първоизточника на информация степен на поверителност на информацията.

2.   Задължението за професионална тайна се прилага по отношение на субектите, изброени в член 2.

3.   КООКС, НРО, КО — ГСР и ЕРИКС обменят цялата необходима информация за изпълнение на своите задачи.

4.   Всяка информация, получена, обменена или предадена между изброените в член 2, параграф 1 субекти за целите на прилагането на член 23, се анонимизира и обобщава.

5.   Информация, която всеки субект или орган, предмет на настоящия регламент, е получил в хода на изпълнение на своите задължения, не може да се разкрива на друг субект или орган, като това правило не засяга случаите, уредени от националното право, другите разпоредби на настоящия регламент или друго съответно законодателство на Съюза.

6.   Без да се засяга националното законодателство или законодателството на Съюза, орган, субект или физическо лице, което получава информация съгласно настоящия регламент, не може да я използва за цел, различна от изпълнението на своите задължения съгласно настоящия регламент.

7.   ACER, след консултация с ENISA, всички компетентни органи, ЕМОПС за електроенергия и ООРСЕС, до 13 юни 2025 г. издава насоки относно механизмите за обмен на информация за всички изброени в член 2, параграф 1 субекти, и по-специално предвидените комуникационни потоци и методи за анонимизиране и обобщаване на информация за целите на прилагането на настоящия член.

8.   Информация, която е поверителна съгласно правилата на Съюза и националните правила, се обменя с Комисията и другите съответни органи само когато такъв обмен е необходим за прилагането на настоящия регламент. Обменяната информация е ограничена до информацията, която е необходима и пропорционална за целите на този обмен. Обменът на информация се извършва при зачитане на нейната поверителност и на сигурността и търговските интереси на субектите с критично въздействие или с голямо въздействие.

1.   До одобрението на общите условия или методиките, посочени в член 6, параграф 2, или плановете, посочени в член 6, параграф 3, ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, разработва необвързващи насоки по следните въпроси:

2.   До 13 октомври 2024 г. ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, разработва препоръка за временен ECII. ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, уведомява компетентните органи за препоръчания временен ECII.

3.   Четири месеца след получаване на препоръчания временен ECII или най-късно до 13 февруари 2025 г. компетентните органи определят кандидати за субекти с голямо въздействие и с критично въздействие в своята държава членка въз основа на препоръчания ECII и разработват временен списък на субекти с голямо въздействие и с критично въздействие. Определените във временния списък субекти с голямо въздействие и с критично въздействие може доброволно да изпълняват определените им с настоящия регламент задължения въз основа на принципа на предохранителните мерки. До 13 март 2025 г. компетентните органи уведомяват субектите, посочени във временния списък, че са определени като субекти с голямо въздействие или с критично въздействие.

4.   До 13 декември 2024 г. ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, разработва временен списък на процеси с голямо въздействие и с критично въздействие в целия Съюз. Уведомените съгласно параграф 3 субекти, които доброволно решат да изпълнят определените им с настоящия регламент задължения въз основа на принципа на предохранителните мерки, използват временния списък на процеси с голямо въздействие и с критично въздействие, за да определят временните периметри на голямо въздействие и на критично въздействие и да определят активите, които да бъдат включени в първата оценка на рисковете за киберсигурността на равнище субект.

5.   До 13 септември 2024 г. всеки компетентен орган съгласно член 4, параграф 1 предоставя на ЕМОПС за електроенергия и на ООРСЕС списък на своето национално законодателство, което е от значение за свързаните с киберсигурността аспекти на трансграничните потоци на електроенергия.

6.   До 13 юни 2025 г. ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, изготвя временен списък на европейски и международни стандарти и мерки за контрол, изисквани от националното законодателство, които са приложими за свързаните с киберсигурността аспекти на трансграничните потоци на електроенергия, като взема предвид предоставената от компетентните органи информация.

7.   Временният списък на европейските и международните стандарти и мерки за контрол включва:

8.   При окончателното оформяне на временния списък на стандартите ЕМОПС за електроенергия и ООРСЕС вземат предвид предоставените от ENISA и ACER мнения. ЕМОПС за електроенергия и ООРСЕС публикуват временния списък на европейски и международни стандарти и мерки за контрол на своите уебсайтове.

9.   ЕМОПС за електроенергия и ООРСЕС провеждат консултация с ENISA и ACER относно предложенията за необвързващи насоки, разработени съгласно параграф 1.

10.   До разработването на минималните и разширените мерки за контрол във връзка с киберсигурността в съответствие с член 29 и приемането им в съответствие с член 8 всички изброени в член 2, параграф 1 субекти се стремят към постепенно прилагане на необвързващите насоки, разработени съгласно параграф 1.