întreprinderi din domeniul energiei electrice, în sensul definiției de la articolul 2 punctul 57 din Directiva (UE) 2019/944;

operatori ai pieței de energie electrică desemnați („OPEED”), în sensul definiției de la articolul 2 punctul 8 din Regulamentul (UE) 2019/943;

„piețe organizate”, astfel cum sunt definite la articolul 2 punctul 4 din Regulamentul de punere în aplicare (UE) nr. 1348/2014 al Comisiei ( 1 ), care organizează tranzacții cu produse relevante pentru fluxurile transfrontaliere de energie electrică;

furnizorii critici de servicii TIC, astfel cum sunt menționați la articolul 3 punctul 9 din prezentul regulament;

ENTSO pentru energie electrică, instituită în temeiul articolului 28 din Regulamentul (UE) 2019/943;

entitatea OSD UE, instituită în temeiul articolului 52 din Regulamentul (UE) 2019/943;

părțile responsabile cu echilibrarea, în sensul definiției de la articolul 2 punctul 14 din Regulamentul (UE) 2019/943;

operatorii unui punct de reîncărcare, astfel cum sunt definiți în anexa I la Directiva (UE) 2022/2555;

centrele de coordonare regionale, instituite în temeiul articolului 35 din Regulamentul (UE) 2019/943;

furnizorii de servicii de securitate gestionate, în sensul definiției de la articolul 6 punctul 40 din Directiva (UE) 2022/2555;

orice altă entitate sau terț căruia i-au fost delegate sau atribuite responsabilități în temeiul prezentului regulament.

Agenția Uniunii Europene pentru Cooperarea Autorităților de Reglementare din Domeniul Energiei („ACER”), instituită prin Regulamentul (UE) 2019/942 al Parlamentului European și al Consiliului ( 2 );

autoritățile naționale competente responsabile cu îndeplinirea sarcinilor care le-au fost atribuite în temeiul prezentului regulament și desemnate de statele membre în temeiul articolului 4 sau „autorității competente”;

autoritățile naționale de reglementare (denumite în continuare „ANR”) desemnate de fiecare stat membru în temeiul articolului 57 alineatul (1) din Directiva (UE) 2019/944;

autoritățile competente în domeniul pregătirii pentru riscuri („ANC-PR”), instituite în temeiul articolului 3 din Regulamentul (UE) 2019/941;

echipele de intervenție în caz de incidente de securitate informatică („echipele CSIRT”), desemnate sau instituite în temeiul articolului 10 din Directiva (UE) 2022/2555;

autoritățile competente responsabile cu securitatea cibernetică („ANC-SC”), desemnate sau instituite în temeiul articolului 8 din Directiva (UE) 2022/2555;

Agenția Uniunii Europene pentru Securitate Cibernetică, instituită în temeiul Regulamentului (UE) 2019/881;

orice alte autorități sau orice alți terți cărora li s-au delegat sau li s-au atribuit responsabilități în temeiul articolului 4 alineatul (3).

metodologiile de evaluare a riscurilor în materie de securitate cibernetică, în temeiul articolului 18 alineatul (1);

raportul cuprinzător de evaluare a riscurilor în materie de securitate cibernetică a fluxurilor transfrontaliere de energie electrică, în temeiul articolului 23;

controalele minime și controalele avansate de securitate cibernetică în temeiul articolului 29, punerea în corespondență a controalelor de securitate cibernetică în domeniul energiei electrice cu standardele în temeiul articolului 34, inclusiv a controalelor minime și a controalelor avansate de securitate cibernetică din cadrul lanțului de aprovizionare, în conformitate cu articolul 33;

o recomandare privind achizițiile publice în domeniul securității cibernetice, în temeiul articolului 35;

metodologia grilei de clasificare a atacurilor cibernetice, în temeiul articolului 37 alineatul (8).

OST reprezentând cel puțin 55 % dintre statele membre și

OST reprezentând state membre care cuprind cel puțin 65 % din populația Uniunii.

OST reprezentând cel puțin 72 % dintre statele membre vizate și

OST reprezentând state membre care cuprind cel puțin 65 % din populația regiunii vizate.

a reexamina stadiul punerii în aplicare a măsurilor aplicabile de gestionare a riscurilor în materie de securitate cibernetică în ceea ce privește entitățile cu impact ridicat și entitățile cu impact critic;

a identifica dacă este posibil să fie necesare norme suplimentare privind cerințele comune, planificarea, monitorizarea, raportarea și gestionarea crizelor pentru a preveni riscurile la adresa sectorului energiei electrice și

a identifica domeniile în care se pot aduce îmbunătățiri în vederea revizuirii prezentului regulament sau a stabili domeniile nedescoperite și noile priorități care pot apărea ca urmare a evoluțiilor tehnologice.

atenuează riscurile care au un impact asupra fluxurilor transfrontaliere de energie electrică;

conduc la rezultatele dorite și generează câștiguri în materie de eficiență pentru dezvoltarea sistemelor de energie electrică;

sunt eficiente și integrate în achizițiile publice globale de active și servicii.

cheltuielile medii legate de securitatea cibernetică pentru atenuarea riscurilor care au un impact asupra fluxurilor transfrontaliere de energie electrică, în special în ceea ce privește entitățile cu impact ridicat și entitățile cu impact critic;

în cooperare cu ENTSO pentru energie electrică și cu entitatea OSD UE, prețurile medii ale serviciilor, sistemelor și produselor de securitate cibernetică ce contribuie în mare măsură la îmbunătățirea și menținerea măsurilor de gestionare a riscurilor în materie de securitate cibernetică în diferitele regiuni de exploatare a sistemului;

existența și nivelul de comparabilitate ale costurilor și funcțiilor aferente serviciilor, sistemelor și soluțiilor de securitate cibernetică adecvate pentru punerea în aplicare a prezentului regulament, identificând eventualele măsuri necesare pentru a promova eficiența în materie de cheltuieli, în special în cazul în care ar putea fi necesare investiții tehnologice în domeniul securității cibernetice.

elaborarea de metodologii de evaluare a riscurilor în materie de securitate cibernetică, în temeiul articolului 18 alineatul (1);

elaborarea raportului cuprinzător de evaluare a riscurilor în materie de securitate cibernetică a fluxurilor transfrontaliere de energie electrică, în temeiul articolului 23;

elaborarea cadrului comun de securitate cibernetică în domeniul energiei electrice în temeiul capitolului III;

elaborarea unei recomandări privind achizițiile publice în domeniul securității cibernetice, în temeiul articolului 35;

elaborarea metodologiei grilei de clasificare a atacurilor cibernetice, în temeiul articolului 37 alineatul (8);

elaborarea indicelui provizoriu de impact în materie de securitate cibernetică în domeniul energiei electrice („ECII”) în temeiul articolului 48 alineatul (1) litera (a);

elaborarea listei provizorii consolidate a entităților cu impact ridicat și a entităților cu impact critic în conformitate cu articolul 48 alineatul (3);

elaborarea listei provizorii consolidate a proceselor cu impact ridicat și a proceselor cu impact critic la nivelul Uniunii, în conformitate cu articolul 48 alineatul (4);

elaborarea listei provizorii de standarde și controale europene și internaționale în conformitate cu articolul 48 alineatul (6);

efectuarea evaluării riscurilor în materie de securitate cibernetică la nivelul Uniunii în temeiul articolului 19;

efectuarea evaluării riscurilor în materie de securitate cibernetică la nivel regional în temeiul articolului 21;

definirea planurilor regionale de atenuare a riscurilor în materie de securitate cibernetică în temeiul articolului 22;

elaborarea de orientări privind sistemele europene de certificare a securității cibernetice pentru achiziționarea de produse TIC, servicii TIC și procese TIC în conformitate cu articolul 36;

elaborarea de orientări pentru punerea în aplicare a prezentului regulament, în consultare cu ACER și ENISA.

o listă a amenințărilor cibernetice care trebuie avute în vedere, care să includă cel puțin următoarele amenințări la nivelul lanțului de aprovizionare:

criteriile de evaluare ca ridicat sau critic a impactului riscurilor în materie de securitate cibernetică, utilizând praguri definite pentru consecințe și probabilitate;

o abordare pentru a analiza riscurile în materie de securitate cibernetică generate de sistemele moștenite, de efectele de cascadă ale atacurilor cibernetice și de funcționarea în timp real a sistemelor care operează rețeaua;

o abordare pentru a analiza riscurile în materie de securitate cibernetică generate de dependența de un singur furnizor de produse TIC, de servicii TIC sau de procese TIC.

măsoară consecințele atacurilor cibernetice pe baza următoarelor criterii:

măsurarea probabilității unui incident ca frecvență anuală a atacurilor cibernetice.

procesele cu impact ridicat la nivelul Uniunii și procesele cu impact critic la nivelul Uniunii;

o matrice de evaluare a impactului riscurilor pe care entitățile și autoritățile competente o vor utiliza pentru a evalua riscurile în materie de securitate cibernetică identificate în evaluarea riscurilor în materie de securitate cibernetică la nivel de stat membru, efectuată în temeiul articolului 20, și în evaluarea riscurilor în materie de securitate cibernetică la nivel de entitate în temeiul articolului 26 alineatul (2) litera (b).

o evaluare a posibilelor consecințe ale unui atac cibernetic utilizând indicatorii definiți în metodologia de evaluare a riscurilor în materie de securitate cibernetică elaborată în temeiul articolului 18 alineatele (2), (3) și (4) și aprobată în temeiul articolului 8;

ECII și pragurile de impact ridicat și pragurile de impact critic pe care autoritățile competente le vor utiliza în temeiul articolului 24 alineatele (1) și (2) pentru a identifica entitățile cu impact ridicat și entitățile cu impact critic implicate în procesele cu impact ridicat la nivelul Uniunii și în procesele cu impact critic la nivelul Uniunii.

stadiul implementării controalelor minime și a controalelor avansate de securitate cibernetică în temeiul articolului 29;

o listă a tuturor atacurilor cibernetice raportate în ultimii trei ani în temeiul articolului 38 alineatul (3);

o sinteză a tuturor informațiilor referitoare la amenințări cibernetice raportate în ultimii trei ani în temeiul articolului 38 alineatul (6);

pentru fiecare proces cu impact ridicat sau proces cu impact critic la nivelul Uniunii, o estimare a riscurilor de compromitere a confidențialității, a integrității și a disponibilității informațiilor și activelor relevante;

dacă este necesar, o listă a entităților suplimentare identificate ca fiind cu impact ridicat sau cu impact critic în temeiul articolului 24 alineatele (1), (2), (3) și (5).

controale minime și controale avansate de securitate cibernetică pe care entitățile cu impact ridicat și entitățile cu impact critic le aplică în regiunea de exploatare a sistemului;

riscurile reziduale în materie de securitate cibernetică în regiunile de exploatare a sistemului după aplicarea controalelor menționate la litera (a).

lista proceselor cu impact ridicat și a proceselor cu impact critic la nivelul Uniunii, identificate în raportul de evaluare a riscurilor în materie de securitate cibernetică la nivelul Uniunii în conformitate cu articolul 19 alineatul (2) litera (a), inclusiv estimarea probabilității și a impactului riscurilor în materie de securitate cibernetică evaluate în cursul rapoartelor de evaluare a riscurilor în materie de securitate cibernetică la nivel regional în temeiul articolului 21 alineatul (2) și al articolului 19 alineatul (3) litera (a);

amenințările cibernetice actuale, cu un accent special pe amenințările și riscurile emergente pentru sistemul de energie electrică;

atacurile cibernetice pentru perioada anterioară la nivelul Uniunii, oferind o imagine de ansamblu critică asupra modului în care astfel de atacuri cibernetice ar fi putut avea un impact asupra fluxurilor transfrontaliere de energie electrică;

stadiul general al implementării măsurilor de securitate cibernetică;

stadiul implementării fluxurilor de informații în temeiul articolelor 37 și 38;

lista informațiilor sau a criteriilor specifice pentru clasificarea informațiilor în temeiul articolului 46;

riscurile identificate și evidențiate care pot decurge din gestionarea nesigură a lanțului de aprovizionare;

rezultatele și experiențele acumulate în urma exercițiilor regionale și transregionale de securitate cibernetică organizate în temeiul articolului 44;

o analiză a evoluției riscurilor transfrontaliere globale în materie de securitate cibernetică în sectorul energiei electrice de la ultimele evaluări ale riscurilor în materie de securitate cibernetică la nivel regional;

orice alte informații care pot fi utile pentru a identifica posibile îmbunătățiri ale prezentului regulament sau necesitatea unei revizuiri a prezentului regulament sau a oricăruia dintre instrumentele sale și

informații agregate și anonimizate privind derogările acordate în temeiul articolului 30 alineatul (3).

entitatea face parte dintr-un grup de entități supuse unui risc semnificativ de a fi afectate simultan de un atac cibernetic;

ECII agregate la nivelul grupului de entități se situează peste pragul de impact ridicat sau peste pragul de impact critic.

orice parte care efectuează evaluarea inter pares, auditul sau inspecția este independentă de entitatea cu impact critic verificată și nu se află în conflict de interese;

personalul care efectuează evaluarea inter pares, auditul sau inspecția are cunoștințe demonstrabile cu privire la:

partea care efectuează evaluarea inter pares, auditul sau inspecția are la dispoziție suficient timp pentru a desfășura aceste activități;

partea care efectuează evaluarea inter pares, auditul sau inspecția ia măsurile adecvate pentru a proteja informațiile pe care le colectează în timpul verificării, în conformitate cu nivelul de confidențialitate al acestora și

evaluările inter pares, auditurile sau inspecțiile se efectuează cel puțin o dată pe an și acoperă întreaga sferă a verificării cel puțin o dată la trei ani.

stabilirea contextului;

evaluarea riscurilor în materie de securitate cibernetică la nivel de entitate;

tratarea riscurilor în materie de securitate cibernetică;

acceptarea riscurilor în materie de securitate cibernetică.

definește sfera evaluării riscurilor în materie de securitate cibernetică, inclusiv procesele cu impact ridicat și procesele cu impact critic identificate de ENTSO pentru energie electrică și de entitatea OSD UE, precum și alte procese care pot fi vizate de atacuri cibernetice cu impact ridicat sau cu impact critic asupra fluxurilor transfrontaliere de energie electrică, și

definește criteriile de evaluare a riscurilor și criteriile de acceptare a riscurilor în conformitate cu matricea de evaluare a impactului riscurilor pe care entitățile și autoritățile competente trebuie să o utilizeze pentru a evalua riscurile în materie de securitate cibernetică din metodologiile de evaluare a riscurilor în materie de securitate cibernetică la nivelul Uniunii, la nivel regional și la nivel de stat membru, elaborate de ENTSO pentru energie electrică și de entitatea OSD UE în conformitate cu articolul 19 alineatul (2).

identifică riscurile în materie de securitate cibernetică, ținând seama de:

analizează probabilitatea și consecințele riscurilor în materie de securitate cibernetică identificate la litera (a) și determină nivelul de risc de securitate cibernetică utilizând matricea de evaluare a impactului riscurilor utilizată pentru a evalua riscurile în materie de securitate cibernetică din metodologiile de evaluare a riscurilor în materie de securitate cibernetică la nivelul Uniunii, la nivel regional și la nivel de stat membru, elaborate de OST, cu sprijinul ENTSO pentru energie electrică și în cooperare cu entitatea OSD UE în conformitate cu articolul 19 alineatul (2);

clasifică activele în funcție de posibilele consecințe atunci când este compromisă securitatea cibernetică și determină perimetrul cu impact ridicat și perimetrul cu impact critic utilizând următoarele etape:

evaluează riscurile în materie de securitate cibernetică, ierarhizându-le prin intermediul criteriilor de evaluare a riscurilor și al criteriilor de acceptare a riscurilor menționate la alineatul (3) litera (b).

controalele minime de securitate cibernetică, elaborate în conformitate cu articolul 29;

controalele avansate de securitate cibernetică, elaborate în conformitate cu articolul 29;

matricea de corespondență, elaborată în conformitate cu articolul 34, care corelează controalele menționate la literele (a) și (b) cu standardele europene și internaționale selectate și cu cadrele legislative sau de reglementare naționale;

sistemul de gestionare a securității cibernetice instituit în temeiul articolului 32.

în circumstanțe excepționale, atunci când entitatea poate demonstra că implementarea controalelor de securitate cibernetică adecvate presupune costuri care depășesc în mod semnificativ beneficiile. ACER și ENTSO pentru energie electrică, în cooperare cu entitatea OSD, pot elabora în comun orientări pentru estimarea costurilor controalelor de securitate cibernetică pentru a ajuta entitățile;

în cazul în care entitatea furnizează un plan de tratare a riscurilor la nivel de entitate care atenuează riscurile de securitate cibernetică utilizând controale alternative la un nivel acceptabil în conformitate cu criteriile de acceptare a riscurilor menționate la articolul 26 alineatul (3) litera (b).

ca să stabilească domeniul de aplicare al sistemului de gestionare a securității cibernetice, luând în considerare interfețele cu alte entități și dependențele față de acestea;

ca să se asigure că toți membrii conducerii sale superioare sunt informați cu privire la obligațiile legale relevante și contribuie activ la implementarea sistemului de gestionare a securității cibernetice prin decizii rapide și reacții prompte;

ca să asigure disponibilitatea resurselor necesare funcționării sistemului de gestionare a securității cibernetice;

ca să instituie o politică de securitate cibernetică documentată și comunicată, accesibilă atât în cadrul entității, cât și părților afectate de riscurile de securitate;

ca să atribuie și să comunice responsabilitățile pentru rolurile pertinente în securitatea cibernetică;

ca să efectueze gestionarea riscurilor de securitate cibernetică la nivel de entitate, astfel cum este definită la articolul 26;

ca să stabilească și să furnizeze resursele necesare pentru implementarea, întreținerea și îmbunătățirea continuă a sistemului de gestionare a securității cibernetice, ținând seama de competența necesară și de sensibilizarea cu privire la resursele de securitate cibernetică;

ca să determine comunicarea internă și externă relevantă pentru securitatea cibernetică;

ca să creeze, actualizeze și controleze informații documentate legate de sistemul de gestionare a securității cibernetice;

ca să evalueze performanța și eficacitatea sistemului de gestionare a securității cibernetice;

ca să efectueze audituri interne la intervale planificate pentru a se asigura că sistemul de gestionare a securității cibernetice este implementat și întreținut cu eficacitate;

ca să revizuiască implementarea sistemului de gestionare a securității cibernetice la intervale planificate; și ca să controleze și corecteze neconformitatea resurselor și activităților cu politicile, procedurile și orientările din sistemul de gestionare a securității cibernetice.

să includă recomandări pentru achizițiile publice de produse TIC, de servicii TIC și de procese TIC referitoare la specificațiile în materie de securitate cibernetică, care să acopere cel puțin:

impun acestor entități să țină seama de recomandările de achiziții menționate la litera (a) atunci când încheie contracte cu furnizorii, cu parteneri de colaborare și cu alte părți din lanțul de aprovizionare, care vizează livrările obișnuite de produse TIC, servicii TIC și procese TIC, precum și de evenimente și circumstanțe nesolicitate, cum ar fi rezilierea și tranziția contractelor în cazuri de neglijență a partenerului contractual;

impun acestor entități să țină seama de rezultatele evaluărilor coordonate relevante ale riscurilor în materie de securitate ale lanțurilor de aprovizionare critice, efectuate în conformitate cu articolul 22 alineatul (1) din Directiva (UE) 2022/2555;

includ criterii pentru selectarea și contractarea furnizorilor care pot îndeplini specificațiile de securitate cibernetică menționate la litera (a) și care dețin un nivel de securitate cibernetică adecvat riscurilor în materie de securitate cibernetică ale produsului TIC, serviciului TIC sau proceselor TIC pe care furnizorul le livrează;

includ criterii de diversificare a surselor de aprovizionare pentru produsele TIC, serviciile TIC și procesele TIC și reduc riscul de dependență de furnizor;

includ criterii de monitorizare, revizuire sau auditare periodică a specificațiilor de securitate cibernetică pentru procesele operaționale interne ale furnizorilor pe parcursul întregului ciclu de viață al fiecărui produs TIC, serviciu TIC și proces TIC.

o descriere și o clasificare a tipurilor de produse TIC, servicii TIC și procese TIC utilizate de entitățile cu impact ridicat și de entitățile cu impact critic în perimetrul cu impact ridicat și în perimetrul cu impact critic;

o listă a tipurilor de produse TIC, servicii TIC și procese TIC pentru care se elaborează un set de recomandări în materie de securitate cibernetică fără caracter obligatoriu, pe baza rapoartelor relevante de evaluare a riscurilor în materie de securitate cibernetică la nivel regional și a priorităților entităților cu impact ridicat și ale entităților cu impact critic.

respectă principiile achizițiilor publice în temeiul Directivei 2014/24/UE și

sunt compatibile cu cele mai recente sisteme europene de certificare a securității cibernetice disponibile, relevante pentru produsul TIC, serviciul TIC sau procesul TIC, și țin seama de acestea.

evaluează nivelul de confidențialitate al informațiilor respective și informează entitatea cu privire la rezultatul evaluării sale fără întârzieri nejustificate și nu mai târziu de 24 de ore de la primirea informațiilor;

încearcă să găsească orice alt atac cibernetic similar în Uniune raportat altor autorități competente, pentru a corela informațiile primite în contextul atacului cibernetic raportabil cu informațiile furnizate în contextul altor atacuri cibernetice și pentru a îmbogăți informațiile existente, a consolida și a coordona răspunsurile în materie de securitate cibernetică;

este responsabilă de eliminarea secretelor de afaceri și de anonimizarea informațiilor în conformitate cu normele relevante de la nivel național și de la nivelul Uniunii;

comunică informațiile punctelor unice de contact naționale, echipelor CSIRT și tuturor autorităților competente ale altor state membre, desemnate în temeiul articolului 4, fără întârzieri nejustificate și în termen de cel mult 24 de ore de la primirea informațiilor referitoare la un atac cibernetic raportabil și furnizează periodic informații actualizate autorităților sau organismelor respective;

diseminează informațiile privind atacul cibernetic, după anonimizarea și eliminarea secretelor de afaceri în temeiul alineatului (1) litera (c), entităților cu impact critic și entităților cu impact ridicat din statul său membru, fără întârzieri nejustificate și în termen de cel mult 24 de ore de la primirea informațiilor în conformitate cu alineatul (1) litera (a), și furnizează periodic informații actualizate care să permită entităților să își organizeze apărarea în mod eficace;

poate solicita entității raportoare cu impact ridicat sau entității raportoare cu impact critic să disemineze în continuare informațiile raportabile privind atacurile cibernetice în mod securizat către alte entități care pot fi afectate, cu scopul de a genera conștientizarea situației de către sectorul energiei electrice și de a preveni materializarea unui risc care ar putea escalada, devenind un incident transfrontalier de securitate cibernetică în sectorul energiei electrice;

transmite ENISA un raport de sinteză, după anonimizare și eliminarea secretelor de afaceri, cu informații privind atacul cibernetic.

să o partajeze fără întârziere cu ENISA prin intermediul unui canal securizat adecvat de schimb de informații, cu excepția cazului în care se prevede altfel în alte acte legislative ale Uniunii;

să sprijine entitatea în cauză să primească din partea producătorului sau a furnizorului o gestionare eficace, coordonată și rapidă a vulnerabilității necorectate exploatate activ sau a unor măsuri de atenuare eficace și eficiente;

să facă schimb de informații disponibile cu vânzătorul și să solicite producătorului sau furnizorului, atunci când este posibil, să identifice o listă a CSIRT din statele membre vizate de vulnerabilitatea necorectată exploatată activ și care să fie informată;

să partajeze informațiile disponibile cu echipele CSIRT identificate la litera anterioară, pe baza principiului necesității de a cunoaște;

să partajeze, acolo unde există, strategiile și măsurile de atenuare cu vulnerabilitatea necorectată exploatată activ care a fost raportată.

să partajeze, în cazul în care există, strategiile și măsurile de atenuare cu vulnerabilitatea necorectată exploatată activ care a fost raportată, în coordonare cu echipele CSIRT din statul său membru;

să comunice informațiile unei echipe CSIRT din statul membru în care a fost raportată vulnerabilitatea necorectată exploatată activ.

impactul potențial având în vedere activele și perimetrele expuse, determinate în conformitate cu articolul 26 alineatul (4) litera (c) și

gravitatea atacului cibernetic.

să sprijine entitățile cu impact critic și entitățile cu impact ridicat furnizându-le informații relevante legate de securitatea operațiunilor legate de fluxuri transfrontaliere de energie electrică, cum ar fi raportarea în timp aproape real a atacurilor cibernetice, alertele timpurii legate de aspecte legate de securitatea cibernetică și vulnerabilitățile nedivulgate ale echipamentelor utilizate în sistemul de energie electrică;

să fie menținut într-un mediu adecvat și foarte fiabil;

să permită colectarea de date de la entități cu impact critic și de la entități cu impact ridicat și să faciliteze eliminarea informațiilor confidențiale și anonimizarea datelor, precum și diseminarea promptă a acestora către entitățile cu impact critic și entitățile cu impact ridicat.

consultă ENISA și Grupul de cooperare NIS, punctele unice de contact naționale și reprezentanții principalelor părți interesate atunci când evaluează fezabilitatea;

prezintă rezultatele studiului de fezabilitate ACER și Grupului de cooperare NIS.

stabilește, pentru toate activele din perimetrul său de securitate cibernetică stabilit în temeiul articolului 26 alineatul (4) litera (c), cel puțin capacitățile CSOC pentru:

are dreptul de a achiziționa, integral sau parțial, aceste capacități în temeiul literei (a) prin intermediul MSSP-urilor. Entitățile cu impact critic și entitățile cu impact ridicat rămân responsabile pentru MSSP și supraveghează eforturile acestora;

desemnează un punct unic de contact la nivel de entitate în scopul schimbului de informații.

furnizează informații relevante, pentru alte entități cu impact critic și pentru alte entități cu impact ridicat, legate de prevenirea, detectarea, răspunsul sau atenuarea impactului riscului;

tehnicile, tacticile și procedurile identificate utilizate în contextul unui atac conduc la informații precum adrese URL sau IP compromise, hash-uri sau orice alt atribut util pentru contextualizarea și corelarea atacului;

o amenințare cibernetică poate fi evaluată și contextualizată mai amănunțit cu ajutorul informațiilor suplimentare furnizate de prestatori de servicii sau terți care nu fac obiectul prezentului regulament.

că informațiile sunt transmise în temeiul prezentului regulament;

dacă informațiile se referă la:

în cazul unui atac cibernetic raportabil, nivelul atacului cibernetic în conformitate cu metodologia grilei de clasificare a atacurilor cibernetice menționată la articolul 37 alineatul (8), precum și informațiile care conduc la această clasificare, inclusiv cel puțin nivelul de criticalitate al atacului cibernetic.

se asigură că propriul punct unic de contact la nivel de entitate are acces, pe baza principiului necesității de a cunoaște, la informațiile primite de la punctul unic de contact național prin intermediul autorității lor competente;

dacă nu s-a efectuat deja notificarea în temeiul articolului 3 alineatul (4) din Directiva (UE) 2022/2555, notifică autorității competente din statul membru în care sunt stabilite și punctului unic de contact național o listă a punctelor lor unice de contact în materie de securitate cibernetică la nivel de entitate:

instituie proceduri de gestionare a atacurilor cibernetice în cazul atacurilor cibernetice, inclusiv roluri și responsabilități, sarcini și reacții pe baza evoluției observabile a atacului cibernetic în perimetrele cu impact critic și în perimetrele cu impact ridicat;

testează procedurile generale de gestionare a atacurilor cibernetice cel puțin o dată pe an prin testarea a cel puțin unui scenariu care afectează direct sau indirect fluxurile transfrontaliere de energie electrică. Testul anual respectiv poate fi efectuat de entitățile cu impact critic și de entitățile cu impact ridicat în timpul exercițiilor periodice menționate la articolul 43. Orice activitate de răspuns la atacuri cibernetice în direct cu o consecință clasificată cel puțin la scara 2, în conformitate cu metodologia grilei de clasificare a atacurilor cibernetice menționată la articolul 37 alineatul (8), și a căror cauză principală este legată de securitatea cibernetică, poate servi drept test anual al planului de răspuns la atacurile cibernetice.

coordonează recuperarea eficientă și diseminarea în continuare a tuturor informațiilor relevante în materie de securitate cibernetică către entitățile implicate în procesul de gestionare a crizelor;

organizează comunicarea dintre toate entitățile afectate de criză și autoritățile competente, pentru a reduce suprapunerile și a spori eficiența analizelor și a răspunsurilor tehnice care să remedieze crizele simultane de energie electrică ale căror cauze principale sunt legate de securitatea cibernetică;

furnizează, în cooperare cu echipele CSIRT competente, expertiza necesară, inclusiv consiliere operațională cu privire la implementarea unor posibile măsuri de atenuare în cadrul entităților afectate de incident;

notifică și furnizează Comisiei și Grupului de coordonare în domeniul energiei electrice actualizări periodice cu privire la situația incidentului, respectând principiile de protecție prevăzute la articolul 46;

solicită consiliere din partea autorităților, agențiilor sau entităților relevante care ar putea contribui la atenuarea crizei de energie electrică.

au proceduri compatibile de gestionare a incidentelor de securitate cibernetică transfrontaliere, astfel cum este definită la articolul 6 punctul 8 din Directiva (UE) 2022/2555, incluse în mod oficial în planurile lor de gestionare a crizelor;

fac parte din activitățile generale de gestionare a crizelor.

regulile privind declararea crizei, astfel cum se prevede la articolul 14 alineatele (2) și (3) din Regulamentul (UE) 2019/941;

roluri și responsabilități clare pentru gestionarea crizelor, inclusiv rolul altor entități relevante cu impact critic și al altor entități cu impact ridicat;

informații de contact actualizate, precum și norme privind comunicarea și schimbul de informații în timpul unei situații de criză, inclusiv conectarea cu echipele CSIRT.

procese în funcție de disponibilitatea, integritatea și fiabilitatea serviciilor informatice;

toate locațiile de asigurare a continuității activității, inclusiv locațiile pentru hardware și software;

toate rolurile și responsabilitățile interne legate de procesele de continuitate a activității.

să colecteze informații în sistem de schimb voluntar de la:

să evalueze și să clasifice informațiile colectate;

să evalueze informațiile la care ENISA are acces pentru identificarea condițiilor de risc cibernetic și a indicatorilor relevanți pentru aspectele fluxurilor transfrontaliere de energie electrică;

să identifice condițiile și indicatorii care se corelează frecvent cu atacurile cibernetice din sectorul energiei electrice;

să definească dacă se iau măsuri suplimentare de analiză și de prevenire prin evaluarea și identificarea factorilor de risc;

să informeze autoritățile competente cu privire la riscurile identificate și la acțiunile preventive recomandate specifice entităților în cauză;

să informeze toate entitățile relevante enumerate la articolul 2 cu privire la rezultatele informațiilor evaluate în conformitate cu literele (b), (c) și (d) de la prezentul alineat;

să includă periodic informațiile relevante în raportul privind conștientizarea situației, elaborat în conformitate cu articolul 7 alineatul (6) din Regulamentul (UE) 2019/881;

să obțină, acolo unde este posibil, date aplicabile care indică o potențială încălcare a securității sau un atac cibernetic („indicatori de compromitere”) din informațiile colectate.

toate entitățile cu impact critic din statul său membru, ANR, echipele CSIRT și ANC-SC cel târziu până la data de 30 iunie a anului care precedă exercițiul de securitate cibernetică la nivel de entitate;

fiecare entitate care participă la exercițiul de securitate cibernetică la nivel de stat membru, cu cel puțin șase luni înainte de începerea exercițiului.

scenariile de exercițiu, rapoartele de reuniune, principalele poziții, reușitele și lecțiile învățate la orice nivel al lanțului valoric al energiei electrice;

dacă au fost îndeplinite principalele criterii de reușită;

o listă de recomandări pentru entitățile care participă la exercițiul de securitate cibernetică relevant pentru a corecta, a adapta sau a modifica procesele de criză de securitate cibernetică, procedurile aferente, modelele de guvernanță asociate și orice angajamente contractuale existente cu furnizorii critici de servicii.

trebuie să fie proporționale;

iau în considerare riscurile în materie de securitate cibernetică legate de amenințările trecute și emergente cunoscute la care pot fi supuse astfel de informații în contextul prezentului regulament;

în măsura posibilului, se bazează pe standarde și bune practici naționale, europene sau internaționale;

sunt susținute de documente justificative.

care sunt autorizate să acceseze informațiile respective pe baza funcțiilor lor și în limita executării sarcinilor atribuite;

în privința cărora entitatea a fost în măsură să evalueze principiile etice și de integritate, precum și în privința cărora nu există dovezi ale unui rezultat negativ în urma unei verificări a antecedentelor pentru a evalua fiabilitatea persoanei în conformitate cu cele mai bune practici și cu cerințele standard de securitate ale entității și, dacă este necesar, cu legile și reglementările naționale.

se consultă cu autoritatea competentă și este autorizată de aceasta să facă schimb de astfel de informații;

anonimizează aceste informații fără a pierde elementele necesare pentru a informa publicul cu privire la un risc iminent și grav la adresa fluxurilor transfrontaliere de energie electrică și la posibilele măsuri de atenuare;

garantează identitatea inițiatorului și a entităților care au prelucrat astfel de informații în temeiul prezentului regulament.

un indice provizoriu de impact în materie de securitate cibernetică în domeniul energiei electrice („ECII”) în temeiul alineatului (2) din prezentul articol;

o listă provizorie a proceselor cu impact ridicat și a proceselor cu impact critic la nivelul Uniunii în temeiul alineatului (4) din prezentul articol și

o listă provizorie a standardelor și controalelor europene și internaționale impuse de legislația națională relevantă pentru aspectele de securitate cibernetică a fluxurilor transfrontaliere de energie electrică în temeiul alineatului (6) din prezentul articol.

standardele europene și internaționale și legislația națională care furnizează orientări privind metodologiile de gestionare a riscurilor în materie de securitate cibernetică la nivel de entitate și

controale de securitate cibernetică echivalente cu controalele care se preconizează că vor face parte din controalele minime și din controalele avansate de securitate cibernetică.