(EU) 2024/1366Nařízení Komise v přenesené pravomoci (EU) 2024/1366 ze dne 11. března 2024, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2019/943 zavedením kodexu sítě pro odvětvová pravidla pro aspekty kybernetické bezpečnosti přeshraničních toků elektřiny

1.   Toto nařízení se vztahuje na aspekty kybernetické bezpečnosti přeshraničních toků elektřiny při činnostech následujících subjektů, pokud jsou v souladu s článkem 24 označeny za subjekty s vysokým dopadem nebo subjekty s kritickým dopadem:

2.   Za plnění úkolů stanovených v tomto nařízení jsou v rámci svých stávajících mandátů odpovědné tyto orgány:

3.   Toto nařízení se rovněž vztahuje na všechny subjekty, které nejsou usazeny v Unii, ale poskytují služby subjektům v Unii, pokud je příslušné orgány v souladu s čl. 24 odst. 2 označily za subjekty s vysokým dopadem nebo subjekty s kritickým dopadem.

4.   Tímto nařízením není dotčena odpovědnost členských států za ochranu národní bezpečnosti a jejich pravomoc chránit další základní funkce státu, včetně zajištění územní celistvosti státu a udržování veřejného pořádku.

5.   Tímto nařízením není dotčena odpovědnost členských států za ochranu národní bezpečnosti, pokud jde o činnosti při výrobě elektřiny z jaderných elektráren, včetně činností v rámci jaderného hodnotového řetězce, v souladu se Smlouvami.

6.   Subjekty, příslušné orgány, jednotná kontaktní místa na úrovni subjektů a týmy CSIRT zpracovávají osobní údaje v rozsahu nezbytném pro účely tohoto nařízení a v souladu s nařízením (EU) 2016/679; takové zpracování je založeno zejména na článku 6 uvedeného nařízení.

1.   Každý členský stát určí co nejdříve, nejpozději však 13. prosince 2024 národní vládní nebo regulační orgán odpovědný za plnění úkolů, jimiž je pověřen v tomto nařízení (dále jen „příslušný orgán“). Dokud není příslušný orgán pověřen plněním úkolů podle tohoto nařízení, plní úkoly příslušného orgánu v souladu s tímto nařízením regulační orgán určený každým členským státem podle čl. 57 odst. 1 směrnice (EU) 2019/944.

2.   Členské státy neprodleně oznámí Komisi, ACER, ENISA, skupině pro spolupráci v oblasti bezpečnosti sítí a informací zřízené podle článku 14 směrnice (EU) 2022/2555 a Koordinační skupině pro otázky elektrické energie zřízené podle článku 1 rozhodnutí Komise ze dne 15. listopadu 2012 (17) název a kontaktní údaje svého příslušného orgánu určeného podle odstavce 1 tohoto článku a jejich případné následné změny.

3.   Členské státy mohou příslušnému orgánu povolit, aby úkoly, které mu byly svěřeny tímto nařízením, s výjimkou úkolů uvedených v článku 5, přenesl na jiné vnitrostátní orgány, Každý příslušný orgán sleduje, jak orgány, na něž úkoly přenesl, uplatňují toto nařízení. Příslušný orgán sdělí Komisi, ACER, Koordinační skupině pro otázky elektrické energie, ENISA a skupině pro spolupráci v oblasti bezpečnosti sítí a informací název, kontaktní údaje a přidělené úkoly orgánů, na které na které byly úkoly přeneseny, a jejich veškeré následné změny.

1.   Provozovatelé přenosových soustav vypracují ve spolupráci se subjektem EU DSO návrhy podmínek nebo metodik podle odstavce 2 nebo plánů podle odstavce 3.

2.   Následující podmínky nebo metodiky a jejich změny podléhají schválení všemi příslušnými orgány:

3.   Návrhy regionálních plánů pro zmírnění kybernetických bezpečnostních rizik podle článku 22 podléhají schválení všemi příslušnými orgány dotčeného regionu pro provoz soustavy.

4.   Návrhy podmínek a metodik uvedených v odstavci 2 nebo plánů uvedených v odstavci 3 musí obsahovat návrh harmonogramu jejich zavádění a popis jejich předpokládaného dopadu na cíle tohoto nařízení.

5.   Subjekt EU DSO může dotčeným provozovatelům přenosových soustav poskytnout odůvodněné stanovisko do tří týdnů před uplynutím lhůty pro předložení návrhu podmínek nebo metodik či plánů příslušným orgánům. Provozovatelé přenosových soustav odpovědní za návrh podmínek nebo metodik či plánů zohlední odůvodněné stanovisko subjektu EU DSO před předložením návrhu příslušným orgánům ke schválení. Pokud stanovisko subjektu EU DSO není zohledněno, provozovatelé přenosových soustav pro to poskytnou odůvodnění.

6.   Při společném vypracovávání podmínek a metodik nebo plánů zúčastnění provozovatelé přenosových soustav úzce spolupracují. Provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO pravidelně informují příslušné orgány a ACER o pokroku při vypracovávání podmínek nebo metodik či plánů.

1.   Pokud provozovatelé přenosových soustav, kteří rozhodují o návrzích podmínek nebo metodik, nedokážou dosáhnout dohody, rozhodnou na základě hlasování kvalifikovanou většinou. Kvalifikovaná většina pro tyto návrhy se vypočítá takto:

2.   U rozhodnutí o návrzích podmínek nebo metodik uvedených v čl. 6 odst. 2 tvoří blokační menšinu provozovatelé přenosových soustav, kteří zastupují nejméně čtyři členské státy, jinak se kvalifikovaná většina považuje za dosaženou.

3.   Pokud provozovatelé přenosových soustav z regionů pro provoz soustavy, kteří rozhodují o návrzích plánů uvedených v čl. 6 odst. 2, nedokážou dosáhnout dohody a pokud se daný region pro provoz soustavy skládá z více než pěti členských států, rozhodují provozovatelé přenosových soustav na základě hlasování kvalifikovanou většinou. Kvalifikovaná většina pro návrhy uvedené v čl. 6 odst. 2 vyžaduje tuto většinu:

4.   U rozhodnutí o návrzích plánů musí blokační menšinu tvořit alespoň minimální počet provozovatelů přenosových soustav zastupujících více než 35 % obyvatelstva zúčastněných členských států a navíc provozovatelé přenosových soustav zastupující nejméně jeden další dotčený členský stát, jinak se kvalifikovaná většina považuje za dosaženou.

5.   Při rozhodování provozovatelů přenosových soustav o návrzích podmínek nebo metodik podle čl. 6 odst. 2 je každému členskému státu přidělen jeden hlas. Působí-li na území členského státu více provozovatelů přenosových soustav, rozdělí mezi ně členský stát hlasovací práva.

6.   Nepředloží-li provozovatelé přenosových soustav ve spolupráci se subjektem EU DSO prvotní nebo pozměněný návrh podmínek nebo metodik nebo plánů příslušným orgánům ve lhůtách stanovených v tomto nařízení, poskytnou příslušným orgánům a ACER příslušné pracovní verze podmínek nebo metodik nebo plánů. Vysvětlí, co bránilo dosažení dohody. Příslušné orgány společně přijmou vhodné kroky k přijetí požadovaných podmínek nebo metodik nebo požadovaných plánů. To lze provést například vyžádáním změn pracovních verzí předložených podle tohoto odstavce, revizí a doplněním těchto pracovních verzí, nebo pokud žádné pracovní verze nebyly předloženy, vymezením a schválením požadovaných podmínek nebo metodik či plánů.

1.   Provozovatelé přenosových soustav předloží návrhy podmínek nebo metodik či plánů příslušným orgánům ke schválení v příslušných lhůtách stanovených v článcích 18, 23, 29, 33, 34, 35 a 37. Příslušné orgány mohou tyto lhůty za výjimečných okolností společně prodloužit, zejména v případech, kdy není možné lhůtu dodržet vzhledem k okolnostem mimo sféru působnosti provozovatelů přenosových soustav nebo subjektu EU DSO.

2.   Návrhy podmínek a metodik nebo plánů podle odstavce 1 se současně s jejich předložením příslušným orgánům předkládají ACER k informaci.

3.   Na společnou žádost národních regulačních orgánů vydá ACER stanovisko k návrhu podmínek nebo metodik či plánů do šesti měsíců od obdržení návrhů podmínek nebo metodik či plánů a toto stanovisko oznámí národním regulačním orgánům a příslušným orgánům. Národní regulační orgány, příslušné orgány odpovědné za kybernetickou bezpečnost a všechny ostatní orgány určené jako příslušné orgány se vzájemně koordinují předtím, než národní regulační orgány požádají ACER o stanovisko. ACER může do tohoto stanoviska zahrnout doporučení. Před vydáním stanoviska k návrhům uvedeným v čl. 6 odst. 2 konzultuje ACER agenturu ENISA.

4.   Příslušné orgány se navzájem konzultují, úzce spolupracují a koordinují svou činnost s cílem dosáhnout dohody o navrhovaných podmínkách, metodikách nebo plánech. Před schválením podmínek nebo metodik či plánů své návrhy, v případě potřeby po konzultaci s ENTSO pro elektřinu a subjektem EU DSO, revidují a doplní, aby zajistily, že návrhy jsou v souladu s tímto nařízením a přispívají k vysoké společné úrovni kybernetické bezpečnosti v Unii.

5.   O podmínkách nebo metodikách nebo o plánech rozhodnou příslušné orgány do šesti měsíců poté, co je příslušný orgán nebo případně poslední příslušný orgán, kterého se to týká, obdrží.

6.   Vydá-li ACER stanovisko, příslušné orgány toto stanovisko zohlední a do šesti měsíců od jeho obdržení přijmou svá rozhodnutí.

7.   Pokud příslušné orgány společně požadují změnu navrhovaných podmínek nebo metodik či plánů za účelem jejich schválení, vypracují provozovatelé přenosových soustav ve spolupráci se subjektem EU DSO návrh takové změny podmínek nebo metodik či plánů. Pozměněný návrh provozovatelé přenosových soustav předloží ke schválení do dvou měsíců od žádosti příslušných orgánů. Příslušné orgány rozhodnou o změněných podmínkách nebo metodikách či plánech do dvou měsíců od jejich předložení.

8.   Nedokážou-li příslušné orgány dosáhnout dohody ve lhůtě uvedené v odstavci 5 nebo 7, informují o tom Komisi. Komise může přijmout vhodné kroky, aby umožnila přijetí požadovaných podmínek nebo metodik či plánů.

9.   Po schválení příslušnými orgány provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a subjekt EU DSO zveřejní podmínky nebo metodiky či plány na svých internetových stránkách s výjimkou případů, kdy jsou tyto informace v souladu s článkem 47 považovány za důvěrné.

10.   Příslušné orgány mohou společně požádat provozovatele přenosových soustav a subjekt EU DSO o návrhy změn schválených podmínek nebo metodik nebo schválených plánů a stanovit lhůtu pro předložení těchto návrhů. Provozovatelé přenosových soustav mohou ve spolupráci se subjektem EU DSO navrhovat příslušným orgánům změny i z vlastního podnětu. Návrhy na změnu podmínek nebo metodik nebo na změny plánů se vypracovávají a schvalují postupem podle tohoto článku.

11.   Nejméně každé tři roky po prvním přijetí příslušných podmínek nebo metodik nebo příslušných přijatých plánů provozovatelé přenosových soustav ve spolupráci se subjektem EU DSO přezkoumají účinnost přijatých podmínek nebo metodik nebo přijatých plánů a o výsledcích přezkumu bez zbytečného odkladu podají zprávu příslušným orgánům a ACER.

1.   Provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO konzultují se zainteresovanými subjekty, včetně ACER, ENISA a příslušného orgánu každého členského státu, o návrzích podmínek nebo metodik uvedených v čl. 6 odst. 2 a o plánech uvedených v čl. 6 odst. 3. Konzultace musí trvat nejméně jeden měsíc.

2.   Návrhy podmínek nebo metodik uvedených v čl. 6 odst. 2, které předkládají provozovatelé přenosových soustav ve spolupráci se subjektem EU DSO, se zveřejňují a předkládají ke konzultaci na úrovni Unie. Návrhy plánů uvedených v čl. 6 odst. 3, které předkládají příslušní provozovatelé přenosových soustav ve spolupráci se subjektem EU DSO na regionální úrovni, se předkládají ke konzultaci přinejmenším na regionální úrovni.

3.   Provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a subjekt EU DSO odpovědný za návrh podmínek nebo metodik či plánů před jeho předložením regulačním orgánům ke schválení řádně zohlední názory zainteresovaných subjektů vyplývající z konzultací provedených v souladu s odstavcem 1. Ve všech případech musí být předloženo řádné odůvodnění, proč názory vzešlé z konzultací byly či nebyly do návrhu zahrnuty; toto odůvodnění se přiloží k návrhu předkládanému ke schválení a zároveň se toto odůvodnění včas zveřejní, a to před předložením návrhu podmínek nebo metodik nebo současně s ním.

1.   Náklady, které nesou provozovatelé přenosových soustav a provozovatelé distribučních soustav podléhající regulaci síťových tarifů a které vyplývají z povinností stanovených v tomto nařízení, včetně nákladů nesených ENTSO pro elektřinu a subjektem EU DSO, posuzuje příslušný národní regulační orgán každého členského státu.

2.   Náklady, jež budou posouzeny jako rozumné, účinné a přiměřené se uhradí prostřednictvím síťových tarifů nebo jiných vhodných mechanismů, jež určí příslušný národní regulační orgán.

3.   Na žádost příslušných národních regulačních orgánů jsou provozovatelé přenosových soustav a provozovatelé distribučních soustav podle odstavce 1 v přiměřené lhůtě stanovené národním regulačním orgánem povinni předložit informace potřebné pro účely posouzení vzniklých nákladů.

1.   ACER sleduje provádění tohoto nařízení v souladu s čl. 32 odst. 1 nařízení (EU) 2019/943 a čl. 4 odst. 2 nařízení (EU) 2019/942. Při provádění tohoto sledování může ACER spolupracovat s ENISA a požádat o podporu ENTSO pro elektřinu a subjekt EU DSO. O provádění tohoto nařízení ACER pravidelně informuje Koordinační skupinu pro otázky elektrické energie a skupinu pro spolupráci v oblasti bezpečnosti sítí a informací.

2.   Nejméně každé tři roky od vstupu tohoto nařízení v platnost ACER zveřejní zprávu s cílem

3.   Do 13. června 2025 může ACER ve spolupráci s ENISA a po konzultaci s ENTSO pro elektřinu a subjektem EU DSO vydat pokyny ohledně příslušných informací, které mají být sdělovány ACER pro účely sledování, a ohledně postupu a četnosti jejich shromažďování, a to na základě ukazatelů výkonnosti stanovených v souladu s odstavcem 5.

4.   Příslušné orgány mohou mít přístup k příslušným informacím, které má ACER k dispozici a které shromáždila v souladu s tímto článkem.

5.   ACER ve spolupráci s ENISA a s podporou ENTSO pro elektřinu a subjektu EU DSO vydá nezávazné ukazatele výkonnosti pro hodnocení provozní spolehlivosti, které se týkají aspektů kybernetické bezpečnosti přeshraničních toků elektřiny.

6.   Subjekty uvedené v čl. 2 odst. 1 tohoto nařízení předkládají ACER informace potřebné k tomu, aby mohla ACER plnit úkoly uvedené v odstavci 2.

1.   Do 13. června 2025 ACER ve spolupráci s ENISA vypracuje nezávaznou příručku pro srovnávací hodnocení kybernetické bezpečnosti. Příručka vysvětlí národním regulačním orgánům zásady srovnávacího hodnocení kontrol prováděných v oblasti kybernetické bezpečnosti podle odstavce 2 tohoto článku, přičemž zohlední náklady na provádění kontrol a účinnost funkce procesů, produktů, služeb, systémů a řešení používaných při provádění těchto kontrol. Při vypracovávání nezávazné příručky pro srovnávací hodnocení kybernetické bezpečnosti ACER zohlední stávající zprávy o srovnávacím hodnocení. Nezávaznou příručku pro srovnávací hodnocení kybernetické bezpečnosti předloží ACER pro informaci národním regulačním orgánům.

2.   Do dvanácti měsíců od vytvoření příručky pro srovnávací hodnocení podle odstavce 1 provedou národní regulační orgány srovnávací analýzu s cílem posoudit, zda současné investice do kybernetické bezpečnosti:

3.   Při srovnávací analýze mohou národní regulační orgány zohlednit nezávaznou příručku pro srovnávací hodnocení kybernetické bezpečnosti, kterou vypracovala ACER, a posoudí zejména:

4.   S veškerými informace týkajícími se srovnávací analýzy se zachází a zpracovávají se v souladu s požadavky na klasifikaci údajů podle tohoto nařízení, minimálními kontrolami v oblasti kybernetické bezpečnosti a zprávou o posouzení kybernetických bezpečnostních rizik pro přeshraniční toky elektřiny. Srovnávací analýza uvedená v odstavcích 2 a 3 se nezveřejňuje.

5.   Aniž jsou dotčeny požadavky na důvěrnost uvedené v článku 47 a potřeba chránit bezpečnost subjektů, na které se vztahují ustanovení tohoto nařízení, sdílí se srovnávací analýza uvedená v odstavcích 2 a 3 tohoto článku se všemi národními regulačními orgány, všemi příslušnými orgány, ACER, ENISA a Komisí.

1.   Provozovatelé přenosových soustav z regionu pro provoz soustavy, který sousedí se třetí zemí, usilují, aby do 18 měsíců od vstupu tohoto nařízení v platnost uzavřeli dohody s provozovateli přenosových soustav ze sousední třetí země, které jsou v souladu s příslušnými právními předpisy Unie a které stanoví základ pro spolupráci v oblasti ochrany kybernetické bezpečnosti, a ujednání o spolupráci v oblasti kybernetické bezpečnosti s těmito provozovateli přenosových soustav.

2.   O dohodách uzavřených podle odstavce 1 provozovatelé přenosových soustav informují příslušný orgán.

1.   Subjekty, které nemají provozovnu v Unii, ale poskytují služby subjektům v Unii a byly v souladu s čl. 24 odst. 6 oznámeny jako subjekty s vysokým dopadem nebo subjekty s kritickým dopadem, do tří měsíců od oznámení písemně určí svého zástupce v Unii a informují o tom příslušný oznamující orgán.

2.   Na tohoto zástupce se bude moci obracet jakýkoli příslušný orgán nebo tým CSIRT v Unii, a to dodatečně k subjektu s vysokým dopadem nebo subjektu s kritickým dopadem nebo namísto nich, pokud jde o povinnosti subjektu podle tohoto nařízení. Subjekt s vysokým dopadem nebo subjekt s kritickým dopadem musí svému právnímu zástupci poskytnout nezbytné pravomoci a dostatečné zdroje, aby byla zaručena jeho účinná a včasná spolupráce s příslušnými orgány nebo týmy CSIRT.

3.   Zástupce musí být usazen v jednom z členských států, kde subjekt nabízí své služby. Má se za to, že subjekt spadá pod jurisdikci členského státu, v němž je zástupce usazen. Subjekty s vysokých dopadem nebo subjekty s kritickým dopadem oznámí jméno, poštovní adresu, e-mailovou adresu a telefonní číslo svého právního zástupce příslušnému orgánu v členském státě, ve kterém má tento právní zástupce bydliště nebo je usazen.

4.   Určený právní zástupce může nést odpovědnost za neplnění povinností podle tohoto nařízení, aniž je dotčena odpovědnost a právní kroky, které by mohly být zahájeny proti samotnému subjektu s vysokým dopadem nebo subjektu s kritickým dopadem.

5.   Pokud zástupce v Unii určený podle tohoto článku neexistuje, může kterýkoli členský stát, v němž subjekt poskytuje služby, podniknout právní kroky proti subjektu za neplnění povinností podle tohoto nařízení.

6.   Určení právního zástupce v Unii podle odstavce 1 nepředstavuje usazení v Unii.

1.   ENTSO pro elektřinu a subjekt EU DSO spolupracují při provádění posouzení kybernetických bezpečnostních rizik podle článků 19 a 21, a zejména při plnění těchto úkolů:

2.   Spolupráce mezi ENTSO pro elektřinu a subjektem EU DSO může mít podobu pracovní skupiny pro kybernetická bezpečnostní rizika.

3.   ENTSO pro elektřinu a subjekt EU DSO pravidelně informují ACER, ENISA, skupinu pro spolupráci v oblasti bezpečnosti sítí a informací a Koordinační skupinu pro otázky elektrické energie o pokroku při provádění posouzení kybernetických bezpečnostních rizik na celou Unii a na úrovni regionů podle článků 19 a 21.

1.   Do 13. března 2025 předloží provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu ve spolupráci se subjektem EU DSO a po konzultaci se skupinou pro spolupráci v oblasti bezpečnosti sítí a informací návrh metodik pro posuzování kybernetických bezpečnostních rizik pro celou Unii, na regionální úrovni a na úrovni členských států.

2.   Metodiky pro posuzování kybernetických bezpečnostních rizik na úrovni Unie, na regionální úrovni a na úrovni členských států zahrnují:

3.   Metodiky pro posuzování kybernetických bezpečnostních rizik na úrovni Unie, na regionální úrovni a na úrovni členských států posuzují kybernetická bezpečnostní rizika pomocí stejné matice dopadu rizik. Matice dopadu rizik:

4.   Metodiky pro posuzování kybernetických bezpečnostních rizik na úrovni Unie popisují, jak budou vymezeny hodnoty indexu ECII pro práh vysokého dopadu a práh kritického dopadu. Index ECII umožní subjektům odhadnout s pomocí kritérií uvedených v odst. 2 písm. a) dopad těchto rizik na jejich obchodní proces během posouzení obchodního dopadu, které provádějí podle čl. 26 odst. 4 písm. c) bodu i).

5.   ENTSO pro elektřinu v koordinaci se subjektem EU DSO informuje Koordinační skupinu pro otázky elektrické energie o návrzích metodik posuzování kybernetických bezpečnostních rizik, které byly vypracovány podle odstavce 1.

1.   Do devíti měsíců od schválení metodik pro hodnocení kybernetických bezpečnostních rizik podle článku 8 a poté každé tři roky provede ENTSO pro elektřinu ve spolupráci se subjektem EU DSO a po konzultaci se skupinou pro spolupráci v oblasti bezpečnosti sítí a informací, aniž je dotčen článek 22 směrnice (EU) 2022/2555, posouzení kybernetických bezpečnostních rizik pro celou Unii a vypracuje návrh zprávy o posouzení kybernetických bezpečnostních rizik pro celou Unii. Za tímto účelem použijí metodiky vypracované podle článku 18 a schválené podle článku 8, aby zjistily, analyzovaly a vyhodnotily možné důsledky kybernetických útoků, jež ovlivňují provozní bezpečnost elektrizační soustavy a narušují přeshraniční toky elektřiny. Při posouzení kybernetických bezpečnostních rizik pro celou Unii se nezvažuje právní a finanční újma ani újma na dobré pověsti způsobená kybernetickými útoky.

2.   Zpráva o posouzení kybernetických bezpečnostních rizik pro celou Unie obsahuje tyto prvky:

3.   Pokud jde o procesy s vysokým dopadem na celou Unii a procesy s kritickým dopadem na celou Unii, zpráva o posouzení kybernetických bezpečnostních rizik pro celou Unii obsahuje:

4.   Návrh zprávy o posouzení kybernetických bezpečnostních rizik pro celou Unii s výsledky posouzení kybernetických bezpečnostních rizik pro celou Unii předloží ENTSO pro elektřinu ve spolupráci se subjektem EU DSO ACER k vyjádření stanoviska. K návrhu zprávy vydá ACER stanovisko do tří měsíců od jejího obdržení. ENTSO pro elektřinu a subjekt EU DSO při dokončování této zprávy stanovisko ACER zohlední v nejvyšší míře.

5.   Do tří měsíců od obdržení stanoviska ACER ENTSO pro elektřinu ve spolupráci se subjektem EU DSO předloží ACER, Komisi, ENISA a příslušným orgánům konečnou zprávu o posouzení kybernetických bezpečnostních rizik pro celou Unii.

1.   Každý příslušný orgán provede posouzení kybernetických bezpečnostních rizik na úrovni členského státu u všech subjektů s vysokým dopadem a subjektů s kritickým dopadem ve svém členském státě za použití metodik vypracovaných podle článku 18 a schválených podle článku 8. Posouzení kybernetických bezpečnostních rizik na úrovni členského státu určí a analyzuje rizika kybernetických útoků ovlivňujících provozní bezpečnost elektrizační soustavy a narušujících přeshraniční toky elektřiny. Při posouzení kybernetických bezpečnostních rizik na úrovni členského státu se nezvažuje právní a finanční újma ani újma na dobré pověsti způsobená kybernetickými útoky.

2.   Každý příslušný orgán s podporou týmu CSIRT a po konzultaci s příslušným orgánem odpovědným za kybernetickou bezpečnost v elektroenergetice do 21 měsíců od oznámení subjektů s vysokým dopadem a subjektů s kritickým dopadem podle čl. 24 odst. 6 a každé tři roky po tomto datu předloží ENTSO pro elektřinu a subjektu EU DSO zprávu o posouzení kybernetických bezpečnostních rizik na úrovni členského státu, která obsahuje tyto informace ohledně každého obchodního procesu s vysokým dopadem a procesu s kritickým dopadem:

3.   Zpráva o posouzení kybernetických bezpečnostních rizik na úrovni členského státu zohlední plán rizikové připravenosti členského státu vypracovaný podle článku 10 nařízení (EU) 2019/941.

4.   Informace obsažené ve zprávě o posouzení kybernetických bezpečnostních rizik na úrovni členského státu podle odst. 2 písm. a) až d) nesouvisí s konkrétními subjekty nebo aktivy. Zpráva o posouzení kybernetických bezpečnostních rizik na úrovni členského státu rovněž zahrnuje posouzení rizik vyplývajících z dočasných výjimek vydaných příslušnými orgány členských států podle článku 30.

5.   ENTSO pro elektřinu a subjekt EU DSO si mohou od příslušných orgánů vyžádat další informace týkající se úkolů stanovených v odst. 2 písm. a) a c).

6.   Příslušné orgány zajistí, aby informace, které poskytují, byly přesné a správné.

1.   ENTSO pro elektřinu ve spolupráci se subjektem EU DSO a po konzultaci s příslušným regionálním koordinačním centrem provede posouzení kybernetických bezpečnostních rizik na úrovni regionů pro každý region pro provoz soustavy za použití metodik vypracovaných podle článku 19 a schválených podle článku 8 s cílem určit, analyzovat a vyhodnotit rizika kybernetických útoků ovlivňujících provozní bezpečnost elektrizační soustavy a narušujících přeshraniční toky elektřiny. Při posouzení kybernetických bezpečnostních rizik na úrovni regionů se nezvažuje právní a finanční újma ani újma na dobré pověsti způsobená kybernetickými útoky.

2.   Do 30 měsíců od oznámení subjektů s vysokým dopadem a subjektů s kritickým dopadem podle čl. 24 odst. 6 a poté každé tři roky vypracuje ENTSO pro elektřinu ve spolupráci se subjektem EU DSO a po konzultaci se skupinou pro spolupráci v oblasti bezpečnosti sítí a informací zprávu o posouzení kybernetických bezpečnostních rizik na úrovni regionu pro každý region pro provoz soustavy.

3.   Zpráva o posouzení kybernetických bezpečnostních rizik na úrovni regionu musí zohlednit příslušné informace obsažené ve zprávách o posouzení kybernetických bezpečnostních rizik pro celou Unii a ve zprávách o posouzení kybernetických bezpečnostních rizik na úrovni členských států.

4.   Posouzení kybernetických bezpečnostních rizik na úrovni regionu musí zohlednit regionální scénáře elektroenergetických krizí související s kybernetickou bezpečností zjištěné podle článku 6 nařízení (EU) 2019/941.

1.   Do 36 měsíců od oznámení subjektů s vysokým dopadem a subjektů s kritickým dopadem podle čl. 24 odst. 6, nejpozději však do 13. června 2031, a každé tři roky po tomto datu vypracují provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu, ve spolupráci se subjektem EU DSO a po konzultaci s regionálními koordinačními centry a skupinou pro spolupráci v oblasti bezpečnosti sítí a informací regionální plán ke zmírnění kybernetických bezpečnostních rizik pro každý region pro provoz soustavy.

2.   Regionální plány ke zmírnění kybernetických bezpečnostních rizik zahrnují:

3.   ENTSO pro elektřinu předloží regionální plány ke zmírnění rizik příslušným provozovatelům přenosových soustav, příslušným orgánům a Koordinační skupině pro otázky elektrické energie. Koordinační skupina pro otázky elektrické energie může doporučit změny.

4.   Provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu, ve spolupráci se subjektem EU DSO a po konzultaci se skupinou pro spolupráci v oblasti bezpečnosti sítí a informací aktualizují regionální plány ke zmírnění rizik každé tři roky, pokud okolnosti nevyžadují častější aktualizace.

1.   Do 40 měsíců od oznámení subjektů s vysokým dopadem a subjektů s kritickým dopadem podle čl. 24 odst. 6 a poté každé tři roky provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu, ve spolupráci se subjektem EU DSO a po konzultaci se skupinou pro spolupráci v oblasti bezpečnosti sítí a informací předloží Koordinační skupině pro otázky elektrické energie zprávu o výsledku posouzení kybernetických bezpečnostních rizik s ohledem na přeshraniční toky elektřiny (dále jen „zpráva o komplexním posouzení kybernetických bezpečnostních rizik pro přeshraniční toky elektřiny“).

2.   Zpráva o komplexním posouzení kybernetických bezpečnostních rizik pro přeshraniční toky elektřiny vychází ze zprávy o posouzení kybernetických bezpečnostních rizik pro celou Unii, zpráv o posouzení kybernetických bezpečnostních rizik na úrovni členských států a zpráv o posouzení kybernetických bezpečnostních rizik na úrovni regionů a obsahuje tyto informace:

3.   Subjekty uvedené v čl. 2 odst. 1 mohou přispívat k vypracování zprávy o komplexním posouzení kybernetických bezpečnostních rizik pro přeshraniční toky elektřiny, přičemž musí respektovat důvěrnost informací v souladu s článkem 47. Provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO konzultují tyto subjekty již od počáteční fáze.

4.   Na zprávu o komplexním posouzení kybernetických bezpečnostních rizik pro přeshraniční toky elektřiny se vztahují pravidla o ochraně výměny informací podle článku 46. Aniž jsou dotčena ustanovení čl. 10 odst. 4 a čl. 47 odst. 4, ENTSO pro elektřinu a subjekt EU DSO zveřejní veřejné znění této zprávy, které nesmí obsahovat informace, jež mohou způsobit újmu subjektům uvedeným v čl. 2 odst. 1. Veřejné znění této zprávy bude zveřejněno pouze se souhlasem skupiny pro spolupráci v oblasti bezpečnosti sítí a informací a Koordinační skupiny pro otázky elektrické energie. Za sestavení a zveřejnění veřejného znění zprávy odpovídá ENTSO pro elektřinu v koordinaci se subjektem EU DSO.

1.   Každý příslušný orgán určí pomocí indexu ECII a prahů vysokého dopadu a prahů kritického dopadu uvedených ve zprávě o posouzení kybernetických bezpečnostních rizik pro celou Unii podle čl. 19 odst. 3 písm. b) subjekty s vysokým dopadem a subjekty s kritickým dopadem ve svém členském státě, které jsou zapojeny do procesů s vysokým dopadem na celou Unii a do procesů s kritickým dopadem na celou Unii. Příslušné orgány si mohou vyžádat informace od subjektu ve svém členském státě, aby mohly určit hodnoty indexu ECII pro tento subjekt. Pokud je zjištěná hodnota indexu ECII u subjektu vyšší než práh vysokého dopadu nebo práh kritického dopadu, uvede se určený subjekt ve zprávě o posouzení kybernetických bezpečnostních rizik na úrovni členského státu podle čl. 20 odst. 2.

2.   Každý příslušný orgán určí pomocí indexu ECII a prahu vysokého dopadu a prahu kritického dopadu obsažených ve zprávě o posouzení kybernetických bezpečnostních rizik pro celou Unii podle čl. 19 odst. 3 písm. b) subjekty s vysokým dopadem a subjekty s kritickým dopadem, které nejsou usazeny v Unii, pokud působí v Unii. Příslušný orgán si může vyžádat informace od subjektu, který není usazen v Unii, za účelem stanovení hodnot indexu ECII pro tento subjekt.

3.   Každý příslušný orgán může ve svém členském státě určit další subjekty jako subjekty s vysokým dopadem nebo subjekty s kritickým dopadem, jsou-li splněna tato kritéria:

4.   Určí-li příslušný orgán další subjekty v souladu s odstavcem 3, považují se všechny procesy v těchto subjektech, u nichž jsou hodnoty indexu ECII agregované za skupinu vyšší než práh vysokého dopadu, za procesy s vysokým dopadem a všechny procesy v těchto subjektech, u nichž jsou hodnoty indexu ECII agregované za skupinu vyšší než prahy kritického dopadu, se považují za procesy s kritickým dopadem.

5.   Určí-li příslušný orgán subjekty uvedené v odst. 3 písm. a) ve více než jednom členském státě, informuje o tom ostatní příslušné orgány, ENTSO pro elektřinu a subjekt EU DSO. ENTSO pro elektřinu ve spolupráci se subjektem EU DSO na základě informací obdržených od všech příslušných orgánů poskytne příslušným orgánům analýzu agregace subjektů ve více než jednom členském státě, která může způsobit distribuované narušení přeshraničních toků elektřiny a může vést ke kybernetickému útoku. Je-li skupina subjektů v několika členských státech určena jako agregace, jejíž index ECII je vyšší než práh vysokého dopadu nebo práh kritického dopadu, všechny dotčené příslušné orgány určí subjekty v této skupině jako subjekty s vysokým dopadem nebo subjekty s kritickým dopadem pro svůj příslušný členský stát na základě agregovaného indexu ECII pro skupinu subjektů a určené subjekty se uvedou ve zprávě o posouzení kybernetických bezpečnostních rizik pro celou Unii.

6.   Každý příslušný orgán do devíti měsíců poté, co mu ENTSO pro elektřinu a subjekt EU DSO oznámí zprávu o posouzení kybernetických bezpečnostních rizik pro celou Unii podle čl. 19 odst. 5, nejpozději však do 13. června 2028, oznámí subjektům uvedeným na seznamu, že byly v jeho členském státě určeny jako subjekty s vysokým nebo subjekty s kritickým dopadem.

7.   Je-li poskytovatel služeb oznámen příslušnému orgánu jako poskytovatel kritických služeb IKT podle čl. 27 písm. c), oznámí to tento příslušný orgán příslušným orgánům členských států, na jejichž území má tento poskytovatel služeb sídlo nebo zástupce. Posledně uvedený příslušný orgán oznámí poskytovateli služeb, že byl označen za poskytovatele kritických služeb.

1.   Příslušné orgány mohou zavést vnitrostátní systém ověřování k ověření toho, že subjekty s kritickým dopadem určené podle čl. 24 odst. 1 zavedly vnitrostátní legislativní rámec, který je obsažen v mapovací matici uvedené v článku 34. Vnitrostátní systém ověřování může být založen na inspekci prováděné příslušným orgánem, nezávislých bezpečnostních auditech nebo vzájemných hodnoceních prováděných subjekty s kritickým dopadem ve stejném členském státě, ve kterém příslušný orgán vykonává dohled.

2.   Rozhodne-li se příslušný orgán zavést vnitrostátní systém ověřování, zajistí, aby ověřování bylo prováděno v souladu s následujícími požadavky:

3.   Rozhodne-li se příslušný orgán zavést vnitrostátní systém ověřování, podává každoročně agentuře ACER zprávu o četnosti kontrol provedených v rámci tohoto systému.

1.   Každý subjekt s vysokým dopadem a každý subjekt s kritickým dopadem určený příslušnými orgány podle čl. 24 odst. 1 provádí řízení kybernetických bezpečnostních rizik pro všechna svá aktiva v perimetru vysokého dopadu a perimetru kritického dopadu. Každý subjekt s vysokým dopadem a subjekt s kritickým dopadem provádí každé tři roky řízení rizik, jež obsahuje fáze uvedené v odstavci 2.

2.   Každý subjekt s vysokým dopadem a subjekt s kritickým dopadem musí při řízení kybernetických bezpečnostních rizik vycházet z přístupu, jehož cílem je chránit jeho síť a informační systémy a který zahrnuje tyto fáze:

3.   Ve fázi stanovení kontextu každý subjekt s vysokým dopadem a každý subjekt kritickým dopadem:

4.   Ve fázi posuzování kybernetických bezpečnostních rizik každý subjekt s vysokým dopadem a subjekt s kritickým dopadem:

5.   Během fáze řešení kybernetických bezpečnostních rizik každý subjekt s vysokým dopadem a subjekt s kritickým dopadem vypracuje plán ke zmírnění rizik na úrovni subjektu tím, že zvolí možnosti řešení rizik vhodné pro řízení rizik a určení zbytkových rizik.

6.   Ve fázi přijetí kybernetického bezpečnostního rizika se každý subjekt s vysokým dopadem a subjekt s kritickým dopadem rozhodne, zda přijme zbytkové riziko na základě kritérií pro přijetí rizik stanovených v odst. 3 písm. b).

7.   Každý subjekt s vysokým dopadem a subjekt s kritickým dopadem zaeviduje aktiva určená v odstavci 1 v seznamu aktiv. Tento seznam aktiv není součástí zprávy o posouzení rizik.

8.   Aktiva v seznamu může příslušný orgán zkontrolovat při kontrolách.

1.   Společný rámec kybernetické bezpečnosti elektřiny se skládá z následujících kontrolních mechanismů a systému řízení kybernetické bezpečnosti:

2.   Všechny subjekty s vysokým dopadem uplatňují minimální kontroly v oblasti kybernetické bezpečnosti podle odst. 1 písm. a) v rámci svého perimetru vysokého dopadu.

3.   Všechny subjekty s kritickým dopadem uplatňují pokročilé kontroly v oblasti kybernetické bezpečnosti podle odst. 1 písm. b) v rámci svého perimetru kritického dopadu.

4.   Do sedmi měsíců od předložení prvního návrhu zprávy o posouzení kybernetických bezpečnostních rizik pro celou Unii podle čl. 19 odst. 4 se společný rámec kybernetické bezpečnosti elektřiny uvedený v odstavci 1 doplní o minimální a pokročilé kontroly kybernetické bezpečnosti v dodavatelském řetězci vypracované podle článku 33.

1.   Do sedmi měsíců od předložení prvního návrhu zprávy o posouzení kybernetických bezpečnostních rizik pro celou Unii podle čl. 19 odst. 4 vypracují provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO návrh minimálních a pokročilých kontrol v oblasti kybernetické bezpečnosti.

2.   Do šesti měsíců od vypracování každé zprávy o posouzení kybernetických bezpečnostních rizik na úrovni regionu podle čl. 21 odst. 2 provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO navrhnou příslušnému orgánu změnu minimálních a pokročilých kontrol v oblasti kybernetické bezpečnosti. Návrh bude proveden v souladu s čl. 8 odst. 10 a zohlední rizika zjištěná při posouzení rizik na úrovni regionu.

3.   Minimální a pokročilé kontroly v oblasti kybernetické bezpečnosti jsou ověřitelné účastí ve vnitrostátním systému ověřování v souladu s postupem stanoveným v článku 31 nebo absolvováním nezávislých bezpečnostních auditů prováděných třetí stranou v souladu s požadavky uvedenými v čl. 25 odst. 2.

4.   Počáteční minimální a pokročilé kontroly v oblasti kybernetické bezpečnosti vypracované podle odstavce 1 vycházejí z rizik, která byla zjištěna ve zprávě o posouzení kybernetických bezpečnostních rizik pro celou Unii uvedené v čl. 19 odst. 5. Pozměněné minimální a pokročilé kontroly v oblasti kybernetické bezpečnosti vypracované podle odstavce 2 vycházejí ze zprávy o posouzení kybernetických bezpečnostních rizik na úrovni regionu uvedené v čl. 21 odst. 2.

5.   Minimální kontroly v oblasti kybernetické bezpečnosti zahrnují kontroly na ochranu informací vyměňovaných podle článku 46.

6.   Do 12 měsíců od schválení minimálních a pokročilých kontrol v oblasti kybernetické bezpečnosti podle čl. 8 odst. 5 nebo po každé aktualizaci podle čl. 8 odst. 10 uplatní subjekty uvedené v čl. 2 odst. 1 a označené jako subjekty s kritickým dopadem a subjekty s vysokým dopadem podle článku 24 během zavádění plánu ke snižování rizik na úrovni subjektu podle čl. 26 odst. 5 minimální kontroly v oblasti kybernetické bezpečnosti v perimetru vysokého dopadu a pokročilé kontroly v oblasti kybernetické bezpečnosti v perimetru kritického dopadu.

1.   Subjekty uvedené v čl. 2 odst. 1 mohou požádat příslušný orgán o udělení výjimky z povinnosti uplatňovat minimální a pokročilé kontroly v oblasti kybernetické bezpečnosti uvedené v čl. 29 odst. 6. Příslušný orgán může tuto výjimku udělit z jednoho z těchto důvodů:

2.   Do tří měsíců od obdržení žádosti uvedené v odstavci 1 každý příslušný orgán rozhodne, zda výjimka z minimálních a pokročilých kontrol v oblasti kybernetické bezpečnosti má být udělena. Odchylky od minimálních nebo pokročilých kontrol v oblasti kybernetické bezpečnosti se udělují na dobu nejvýše tří let s možností prodloužení.

3.   Souhrnné a anonymizované informace o udělených výjimkách se připojí jako příloha ke zprávě o komplexním posouzení kybernetických bezpečnostních rizik pro přeshraniční toky elektřiny uvedené v článku 23. ENTSO pro elektřinu a subjekt EU DSO tento seznam v případě potřeby společně aktualizují.

1.   Nejpozději 24 měsíců od přijetí kontrol uvedených v čl. 28 odst. 1 písm. a), b) a c) a zavedení systému řízení kybernetické bezpečnosti uvedeného v čl. 28 odst. 1 písm. d) musí být každý subjekt s kritickým dopadem určený v souladu s čl. 24 odst. 1 schopen na žádost příslušného orgánu prokázat, že dodržuje systém řízení kybernetické bezpečnosti a minimální nebo pokročilé kontroly v oblasti kybernetické bezpečnosti.

2.   Každý subjekt s kritickým dopadem splní povinnost uvedenou v odstavci 1 buď absolvováním nezávislého bezpečnostního auditu provedeného třetí stranou v souladu s požadavky uvedenými v čl. 25 odst. 2, nebo účastní ve vnitrostátním systému ověřování v souladu s čl. 25 odst. 1.

3.   Ověření, zda subjekt s kritickým dopadem dodržuje systém řízení kybernetické bezpečnosti a minimální nebo pokročilé kontroly v oblasti kybernetické bezpečnosti, se vztahuje na všechna aktiva v perimetru subjektu s kritickým dopadem.

4.   Ověření, zda subjekt s kritickým dopadem dodržuje systém řízení kybernetické bezpečnosti a minimální nebo pokročilé kontroly v oblasti kybernetické bezpečnosti, se pravidelně opakuje nejpozději 36 měsíců od skončení prvního ověření a poté každé tři roky.

5.   Každý subjekt s kritickým dopadem určený v souladu s článkem 24 prokáže soulad s kontrolami uvedenými v čl. 28 odst. 1 písm. a), b) a c) a zavedení systému řízení kybernetické bezpečnosti uvedeného v čl. 28 odst. 1 písm. d) tím, že podá příslušnému orgánu zprávu o výsledku ověření souladu.

1.   Do 24 měsíců poté, co jim příslušný orgán oznámil, že byly určeny jako subjekt s vysokým dopadem nebo subjekt s kritickým dopadem v souladu s čl. 24 odst. 6, zavede každý subjekt s vysokým dopadem a subjekt s kritickým dopadem systém řízení kybernetické bezpečnosti a následně jej každé tři roky přezkoumá s cílem:

2.   Oblast působnosti systému řízení kybernetické bezpečnosti musí zahrnovat všechna aktiva v perimetru vysokého dopadu a v perimetru kritického dopadu subjektu s vysokým dopadem a subjektu s kritickým dopadem.

3.   Příslušné orgány podporují používání evropských nebo mezinárodních norem a specifikací týkajících se systémů řízení a souvisejících s bezpečností sítí a informačních systémů, aniž by vnucovaly nebo diskriminovaly používání určitého druhu technologie.

1.   Do sedmi měsíců od předložení prvního návrhu zprávy o posouzení kybernetických bezpečnostních rizik pro celou Unii podle čl. 19 odst. 4 provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO vypracují návrh minimálních a pokročilých kontrol kybernetické bezpečnosti v dodavatelském řetězci, které zmírňují rizika dodavatelského řetězce zjištěná při posouzení kybernetických bezpečnostních rizik pro celou Unii a které doplňují minimální a pokročilé kontroly v oblasti kybernetické bezpečnosti vypracované podle článku 29. Minimální a pokročilé kontroly kybernetické bezpečnosti v dodavatelském řetězci se vypracovávají spolu s minimálními a pokročilými kontrolami v oblasti kybernetické bezpečnosti podle článku 29. Minimální a pokročilé kontroly kybernetické bezpečnosti v dodavatelském řetězci musí zahrnovat celý životní cyklus všech produktů IKT, služeb IKT a procesů IKT uvnitř perimetru vysokého dopadu nebo perimetru kritického dopadu subjektu s vysokým dosahem nebo subjektu s kritickým dopadem. Při vypracování návrhu minimálních a pokročilých kontrol kybernetické bezpečnosti v dodavatelském řetězci se konzultuje skupina pro spolupráci v oblasti bezpečnosti sítí a informací.

2.   Minimální kontroly kybernetické bezpečnosti v dodavatelském řetězci se skládají z kontrol pro subjekty s vysokým dopadem a subjekty s kritickým dopadem, které:

3.   Pro specifikace kybernetické bezpečnosti v doporučení pro zadávání zakázek v oblasti kybernetické bezpečnosti uvedeném v odst. 2 písm. a) použijí subjekty s vysokým dopadem nebo subjekty s kritickým dopadem zásady zadávání veřejných zakázek podle směrnice Evropského parlamentu a Rady (ES) 2014/24/EU (19) v souladu s čl. 35 odst. 4, nebo stanoví vlastní specifikace na základě výsledků posouzení kybernetických bezpečnostních rizik na úrovni subjektu.

4.   Pokročilé kontroly kybernetické bezpečnosti v dodavatelském řetězci zahrnují kontroly u subjektů s kritickým dopadem s cílem ověřit během zadávání zakázek, že produkty IKT, služby IKT a procesy IKT, které budou používány jako aktiva s kritickým dopadem, splňují specifikace kybernetické bezpečnosti. Produkt IKT, služba IKT nebo proces IKT musí být ověřeny buď prostřednictvím evropského systému certifikace kybernetické bezpečnosti uvedeného v článku 31, nebo prostřednictvím ověřovacích činností, které si subjekt zvolí a zorganizuje. Hloubka a rozsah ověřovacích činností musí být dostatečné, aby poskytly jistotu, že produkt IKT, službu IKT nebo proces IKT lze použít ke zmírnění rizik zjištěných při posouzení rizik na úrovni subjektu. Subjekt s kritickým dopadem kroky přijaté k omezení zjištěných rizik zdokumentuje.

5.   Minimální a pokročilé kontroly kybernetické bezpečnosti v dodavatelském řetězci se vztahují na zadávání zakázek na příslušné produkty IKT, služby IKT a procesy IKT. Minimální a pokročilé kontroly kybernetické bezpečnosti dodavatelského řetězce se budou vztahovat na procesy zadávání zakázek v rámci subjektů označených jako subjekty s kritickým dopadem a subjekty s vysokým dopadem podle článku 24, které budou zahájeny šest měsíců po přijetí nebo aktualizaci minimálních a pokročilých kontrol v oblasti kybernetické bezpečnosti uvedených v článku 29.

6.   Do šesti měsíců od vypracování každé zprávy o posouzení kybernetických bezpečnostních rizik na úrovni regionů podle čl. 21 odst. 2 navrhnou provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO příslušnému orgánu změnu minimálních a pokročilých kontrol kybernetické bezpečnosti v dodavatelském řetězci. Návrh bude proveden v souladu s čl. 8 odst. 10 a zohlední rizika zjištěná při posouzení rizik na úrovni regionu.

1.   Do sedmi měsíců od předložení prvního návrhu zprávy o posouzení kybernetických bezpečnostních rizik pro celou Unii podle čl. 19 odst. 4 vypracují provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO a po konzultaci s ENISA návrh matice pro mapování kontrol uvedených v čl. 28 odst. 1 písm. a) a b) podle vybraných evropských a mezinárodních norem, jakož i podle příslušných technických specifikací (dále jen „mapovací matice“). ENTSO pro elektřinu a subjekt EU DSO zdokumentují rovnocennost různých kontrol s kontrolami uvedenými v čl. 28 odst. 1 písm. a) a b).

2.   Příslušné orgány mohou poskytnout ENTSO pro elektřinu a subjektu EU DSO zmapování kontrol uvedených v čl. 28 odst. 1 písm. a) a b) s odkazem na související vnitrostátní právní nebo regulační rámce, včetně příslušných vnitrostátních norem členských států podle článku 25 směrnice (EU) 2022/2555. Pokud příslušný orgán členského státu takové zmapování poskytne, ENTSO pro elektřinu a subjekt EU DSO toto vnitrostátní zmapování zahrnou do mapovací matice.

3.   Do šesti měsíců od vypracování každé zprávy o posouzení kybernetických bezpečnostních rizik na úrovni regionu podle čl. 21 odst. 2 navrhnou provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO a po konzultaci s ENISA příslušnému orgánu změnu mapovací matice. Návrh bude proveden v souladu s čl. 8 odst. 10 a zohlední rizika zjištěná při posouzení rizik na úrovni regionu.

1.   Provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO vypracují v rámci pracovního programu, který bude stanoven a aktualizován pokaždé, když bude přijata zpráva o posouzení kybernetických bezpečnostních rizik na úrovni regionu, soubory nezávazných doporučení pro zadávání zakázek v oblasti kybernetické bezpečnosti, které mohou subjekty s vysokým dopadem a subjekty s kritickým dopadem použít jako základ pro zadávání zakázek na produkty IKT, služby IKT a procesy IKT v perimetru vysokého dopadu a v perimetru kritického dopadu. Tento pracovní program zahrnuje:

2.   ENTSO pro elektřinu ve spolupráci se subjektem EU DSO do šesti měsíců od přijetí nebo aktualizace zprávy o posouzení kybernetických bezpečnostních rizik poskytne ACER shrnutí tohoto pracovního programu.

3.   Provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO usilují o to, aby nezávazná doporučení pro zadávání zakázek v oblasti kybernetické bezpečnosti vypracovaná na základě příslušného posouzení kybernetických bezpečnostních rizik na úrovni regionu byla podobná nebo srovnatelná ve všech regionech pro provoz soustavy. Soubory doporučení pro zadávání zakázek v oblasti kybernetické bezpečnosti zahrnují alespoň specifikace uvedené v čl. 33 odst. 2 písm. a). Specifikace se pokud možno vybírají z evropských a mezinárodních norem.

4.   Provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO zajistí, aby soubory doporučení pro zadávání zakázek v oblasti kybernetické bezpečnosti:

1.   Nezávazná doporučení pro zadávání zakázek v oblasti kybernetické bezpečnosti vypracovaná podle článku 35 mohou zahrnovat odvětvové pokyny týkající se používání evropských systémů certifikace kybernetické bezpečnosti, kdykoli je k dispozici vhodný systém pro určitý druh produktu IKT, služby IKT nebo procesu IKT používaný subjekty s kritickým dopadem, aniž je dotčen rámec pro zřizování evropských systémů certifikace kybernetické bezpečnosti podle článku 46 nařízení (EU) 2019/881.

2.   Provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO úzce spolupracují s ENISA při poskytování odvětvových pokynů obsažených v nezávazných doporučeních pro zadávání zakázek v oblasti kybernetické bezpečnosti podle odstavce 1.

1.   Pokud příslušný orgán obdrží informace týkající se kybernetického útoku podléhajícího hlášení, tento příslušný orgán:

2.   Pokud se tým CSIRT dozví o neopravené aktivně zneužívané zranitelnosti, musí:

3.   Pokud se příslušný orgán dozví o neopravené aktivně zneužívané zranitelnosti, musí:

4.   Pokud se příslušný orgán dozví o neopravené zranitelnosti, aniž by bylo prokázáno, že je dosud aktivně zneužívána, bez zbytečného odkladu koordinuje svou činnost s týmem CSIRT za účelem koordinovaného zveřejnění zranitelnosti, jak je stanoveno v čl. 12 odst. 1 směrnice (EU) 2022/2555.

5.   Pokud tým CSIRT obdrží od jednoho nebo více subjektů s vysokým dopadem nebo subjektů s kritickým dopadem informace týkající se kybernetických hrozeb podle čl. 38 odst. 6, bez zbytečného odkladu, nejpozději však do čtyř hodin od obdržení informací předá tyto informace nebo jakékoli jiné informace důležité pro prevenci a odhalení souvisejícího rizika, reakci na ně a jeho zmírnění subjektům s kritickým dopadem a subjektům s vysokým dopadem ve svém členském státě a v příslušných případech všem dotčeným týmům CSIRT a svému národnímu jednotnému kontaktnímu místu.

6.   Pokud se příslušný orgán dozví od jednoho nebo více subjektů s vysokým dopadem nebo subjektů s kritickým dopadem informace týkající se kybernetických hrozeb, předá tyto informace týmu CSIRT pro účely uvedené v odstavci 5.

7.   Příslušné orgány mohou po dohodě mezi dotčenými příslušnými orgány přenést zcela nebo částečně povinnosti podle odstavců 3 a 4 týkající se jednoho nebo více subjektů s vysokým dopadem nebo subjektů s kritickým dopadem, které působí ve více členských státech, na jiný příslušný orgán v jednom z těchto členských států.

8.   Provozovatelé přenosových soustav s pomocí ENTSO pro elektřinu a ve spolupráci se subjektem EU DSO vypracují do 13. června 2025 metodiku stupnice pro klasifikaci kybernetických útoků. Provozovatelé přenosových soustav mohou s pomocí ENTSO pro elektřinu a subjektu EU DSO požádat příslušné orgány, aby konzultovaly ENISA a své příslušné orgány odpovědné za kybernetickou bezpečnost o pomoc při vypracování takové klasifikační stupnice. Metodika musí stanovit klasifikaci závažnosti kybernetického útoku podle pěti úrovní, přičemž dvě nejvyšší úrovně jsou „vysoká“ a „kritická“. Klasifikace je založena na posouzení těchto parametrů:

9.   Do 13. června 2026 provede ENTSO pro elektřinu ve spolupráci se subjektem EU DSO studii proveditelnosti s cílem posoudit možnosti a finanční náklady nezbytné pro vytvoření společného nástroje, který umožní všem subjektům sdílet informace s příslušnými vnitrostátními orgány.

10.   Studie proveditelnosti posoudí možnosti, aby takový nástroj:

11.   ENTSO pro elektřinu ve spolupráci se subjektem EU DSO:

12.   ENTSO pro elektřinu může ve spolupráci se subjektem EU DSO analyzovat a usnadňovat iniciativy navržené subjekty s kritickým dopadem a subjekty s vysokým dopadem za účelem vyhodnocení a testování těchto nástrojů pro sdílení informací.

1.   Každý subjekt s vysokým dopadem a subjekt s kritickým dopadem:

2.   ENISA může v rámci úkolu stanoveného v čl. 6 odst. 2 nařízení (EU) 2019/881 vydat nezávazné pokyny týkající se vytváření takových schopností nebo zadávání služeb poskytovatelům řízených bezpečnostních služeb.

3.   Každý subjekt s kritickým dopadem a subjekt s vysokým dopadem sdílí příslušné informace týkající se kybernetického útoku podléhajícího hlášení se svými týmy CSIRT a příslušným orgánem bez zbytečného odkladu, nejpozději však do čtyř hodin od okamžiku, kdy se dozví, že incident podléhá hlášení.

4.   Informace týkající se kybernetického útoku se považují za podléhající ohlášení, pokud dotčený subjekt vyhodnotí kybernetický útok jako kritický v rozmezí od „vysoké“ do „kritické“ podle metodiky stupnice pro klasifikaci kybernetických útoků podle čl. 37 odst. 8. Klasifikaci incidentu sdělí jednotné kontaktní místo na úrovni subjektu určené podle odst. 1 písm. c).

5.   Pokud subjekty s kritickým dopadem a subjekty s vysokým dopadem oznámí týmu CSIRT příslušné informace týkající se neopravené aktivně zneužívané zranitelnosti, může tým CSIRT tyto informace předat svému příslušnému orgánu. S ohledem na úroveň citlivosti oznámených informací může tým CSIRT na základě oprávněných důvodů souvisejících s kybernetickou bezpečností informace dále neposkytnout nebo jejich předání odložit.

6.   Každý subjekt s kritickým dopadem a subjekt s vysokým dopadem poskytne bez zbytečného odkladu svým týmům CSIRT veškeré informace týkající se kybernetických hrozeb podléhajících hlášení, které mohou mít přeshraniční dopad. Informace týkající se kybernetické hrozby se považují za podléhající hlášení, je-li splněna alespoň jedna z těchto podmínek:

7.   Každý subjekt s kritickým dopadem a subjekt s vysokým dopadem při sdílení informací podle tohoto článku uvede tyto údaje:

8.   Pokud subjekt s kritickým dopadem nebo subjekt s vysokým dopadem oznámí významný incident podle článku 23 směrnice (EU) 2022/2555 a oznámení incidentu podle uvedeného článku obsahuje příslušné informace požadované podle odstavce 3 tohoto článku, oznámení subjektu podle čl. 23 odst. 1 uvedené směrnice představuje nahlášení informací podle odstavce 3 tohoto článku.

9.   Každý subjekt s kritickým dopadem a subjekt s vysokým dopadem podává zprávy svému příslušnému orgánu nebo týmu CSIRT, přičemž jasně označí konkrétní informace, které mohou být sdíleny pouze s příslušným orgánem nebo týmem CSIRT v případech, kdy by sdílení informací mohlo být zdrojem kybernetického útoku. Každý subjekt s kritickým dopadem a subjekt s vysokým dopadem má právo poskytnout příslušnému týmu CSIRT verzi informací, která nemá důvěrný charakter.

1.   Subjekty s kritickým dopadem a subjekty s vysokým dopadem s nezbytnou podporou příslušného orgánu, ENTSO pro elektřinu a subjektu EU DSO vyvinou potřebné schopnosti pro zvládání odhalených kybernetických útoků. Subjekty s kritickým dopadem a subjekty s vysokým dopadem může podporovat tým CSIRT určený v jejich příslušném členském státě, a to v rámci úkolu, který je týmu CSIRT svěřen podle čl. 11 odst. 5 písm. a) směrnice (EU)2022/2555. Subjekty s kritickým dopadem a subjekty s vysokým dopadem zavedou účinné postupy pro určování a klasifikaci kybernetických útoků, které ovlivní nebo mohou ovlivnit přeshraniční toky elektřiny, a pro reakci na tyto útoky, aby se minimalizoval jejich dopad.

2.   Pokud má kybernetický útok vliv na přeshraniční toky elektřiny, jednotná kontaktní místa na úrovni subjektů v dotčených subjektech s kritickým dopadem a subjektech s vysokým dopadem spolupracují při vzájemném sdílení informací, které koordinuje příslušný orgán členského státu, v němž byl kybernetický útok nahlášen jako první.

3.   Subjekty s kritickým dopadem a subjekty s vysokým dopadem:

4.   Úkoly uvedené v odstavci 1 mohou členské státy rovněž přenést na regionální koordinační centra v souladu s čl. 37 odst. 2 nařízení (EU) 2019/943.

1.   Pokud příslušný orgán zjistí, že elektroenergetická krize souvisí s kybernetickým útokem, který má dopad na více než jeden členský stát, příslušné orgány z dotčených členských států, příslušné orgány odpovědné za kybernetickou bezpečnost, příslušný orgán pro rizikovou připravenost a orgány pro řízení kybernetických krizí ovlivňujících bezpečnost sítí a informací z dotčených členských států společně vytvoří ad hoc skupinu pro přeshraniční krizovou koordinaci.

2.    Ad hoc skupina pro přeshraniční krizovou koordinaci:

3.   Pokud je kybernetický útok označen nebo se očekává, že bude označen jako rozsáhlý kybernetický bezpečnostní incident, ad hoc skupina pro přeshraniční krizovou koordinaci o tom v souladu s čl. 9 odst. 1 směrnice (EU) 2022/2555 neprodleně informuje vnitrostátní orgány pro řízení kybernetických krizí v členských státech zasažených incidentem, jakož i Komisi a síť EU CyCLONe. V takové situaci ad hoc skupina pro přeshraniční krizovou koordinaci podporuje síť EU CyCLONe, pokud jde o odvětvová specifika.

4.   Subjekty s kritickým dopadem a subjekty s vysokým dopadem vyvinou a mají k dispozici kapacity, interní směrnice, plány připravenosti a zaměstnance, kteří se budou podílet na odhalování přeshraničních krizí a zmírňování jejich následků. Subjekt s kritickým dopadem nebo subjekt s vysokým dopadem, který je postižen souběžnou elektroenergetickou krizí, prošetří ve spolupráci se svým příslušným orgánem příčinu takové krize a určí, do jaké míry krize souvisí s kybernetickým útokem.

5.   Úkoly uvedené v odstavci 4 mohou členské státy rovněž přenést na regionální koordinační centra v souladu s čl. 37 odst. 2 nařízení (EU) 2019/943.

1.   Do 24 měsíců poté, co byla ACER oznámena zpráva o posouzení rizik pro celou Unii, ACER v úzké spolupráci s ENISA, ENTSO pro elektřinu, subjektem EU DSO, příslušnými orgány odpovědnými za kybernetickou bezpečnost, příslušnými orgány, příslušnými orgány pro rizikovou připravenost, národními regulačními orgány a orgány pro řízení kybernetických krizí ovlivňujících bezpečnost sítí a informací vypracuje plán řízení kybernetických bezpečnostních krizí v odvětví elektroenergetiky a reakce na tyto krize na úrovni Unie.

2.   Do 12 měsíců poté, co ACER vypracuje plán řízení kybernetických bezpečnostních krizí v odvětví elektroenergetiky a reakce na tyto krize na úrovni Unie podle odstavce 1, vypracuje každý příslušný orgán národní plán řízení kybernetických bezpečnostních krizí ovlivňujících přeshraniční toky elektřiny a reakce na tyto krize, přičemž zohlední plán řízení kybernetických bezpečnostních krizí na úrovni Unie a národní plán rizikové připravenosti vypracovaný v souladu s článkem 10 nařízení (EU) 2019/941. Tento plán musí být v souladu s plánem reakce na rozsáhlé kybernetické bezpečnostní incidenty a krize podle čl. 9 odst. 4 směrnice (EU) 2022/2555. Příslušný orgán koordinuje svou činnost se subjekty s kritickým dopadem a se subjekty s vysokým dopadem a s příslušným orgánem pro rizikovou připravenost ve svém členském státě.

3.   Národní plán reakce na rozsáhlé kybernetické bezpečnostních incidenty a krize vyžadovaný podle čl. 9 odst. 4 směrnice (EU) 2022/2555 se považuje za národní plán řízení kybernetických bezpečnostních krizí podle tohoto článku, pokud obsahuje ustanovení o řízení krizí ovlivňujících přeshraniční toky elektřiny a reakci na tyto krize.

4.   Úkoly uvedené v odstavcích 1 a 2 mohou členské státy rovněž přenést na regionální koordinační centra v souladu s čl. 37 odst. 2 nařízení (EU) 2019/943.

5.   Subjekty s kritickým dopadem a subjekty s vysokým dopadem zajistí, aby jejich procesy řízení krizí souvisejících s kybernetickou bezpečností:

6.   Do 12 měsíců od oznámení subjektů s vysokým dopadem a subjektů s kritickým dopadem podle čl. 24 odst. 6 a poté každé tři roky vypracují subjekty s kritickým dopadem a subjekty s vysokým dopadem plán krizového řízení na úrovni subjektu pro případ krize související s kybernetickou bezpečností, který bude zahrnut do jejich obecných plánů krizového řízení. Tento plán musí obsahovat alespoň tyto prvky:

7.   Opatření krizového řízení podle čl. 21 odst. 2 písm. c) směrnice (EU) 2022/2555 se považují za plán krizového řízení v odvětví elektroenergetiky na úrovni subjektu podle tohoto článku, pokud zahrnují všechny požadavky uvedené v odstavci 6.

8.   Plány krizového řízení se testují během cvičení v oblasti kybernetické bezpečnosti uvedených v článcích 43, 44 a 45.

9.   Subjekty s kritickým dopadem a subjekty s vysokým dopadem zahrnou své plány krizového řízení na úrovni subjektu do svých plánů kontinuity činností pro procesy s kritickým dopadem a procesy s vysokým dopadem. Plány krizového řízení na úrovni subjektu zahrnují:

10.   Subjekty s kritickým dopadem a subjekty s vysokým dopadem aktualizují své plány krizového řízení na úrovni subjektu nejméně jednou za tři roky a kdykoli v případě potřeby.

11.   ACER aktualizuje plán řízení kybernetických bezpečnostních krizí v odvětví elektroenergetiky a reakce na tyto krize na úrovni Unie vypracovaný podle odstavce 1 nejméně jednou za tři roky a kdykoli v případě potřeby.

12.   Každý příslušný orgán aktualizuje národní plán řízení kybernetických bezpečnostních krizí ovlivňujících přeshraniční toky elektřiny a reakce na tyto krize vypracovaný podle odstavce 2 nejméně jednou za tři roky a kdykoli v případě potřeby.

13.   Subjekty s kritickým dopadem a subjekty s vysokým dopadem testují své plány kontinuity činností nejméně jednou za tři roky nebo po významných změnách procesu s kritickým dopadem. Výsledek testů plánu kontinuity činnosti musí být zdokumentován. Subjekty s kritickým dopadem a subjekty s vysokým dopadem mohou test plánu kontinuity činností zahrnout do svých cvičení v oblasti kybernetické bezpečnosti.

14.   Subjekty s kritickým dopadem a subjekty s vysokým dopadem aktualizují svůj plán kontinuity činností s ohledem na výsledek testu kdykoli v případě potřeby, nejméně však jednou za tři roky.

15.   Zjistí-li test nedostatky v plánu kontinuity činností, subjekt s kritickým dopadem a subjekt s vysokým dopadem do 180 kalendářních dnů od testování tyto nedostatky napraví a provede nový test, aby prokázal, že nápravná opatření jsou účinná.

16.   Pokud subjekt s kritickým nebo subjekt s vysokým dopadem nemůže nedostatky napravit do 180 kalendářních dnů, uvede důvody ve zprávě, kterou předloží svému příslušnému orgánu v souladu s článkem 27.

1.   Příslušné orgány spolupracují s ENISA na rozvoji schopností včasného varování v oblasti kybernetické bezpečnosti elektřiny (ECEAC) v rámci pomoci členským státům podle čl. 6 odst. 2 a 7 nařízení (EU) 2019/881.

2.   Schopnosti včasného varování v oblasti kybernetické bezpečnosti v elektroenergetice umožní ENISA při plnění úkolů uvedených v čl. 7 odst. 7 nařízení (EU) 2019/881:

3.   Týmy CSIRT neprodleně předají informace obdržené od ENISA dotčeným subjektům v rámci svých úkolů vymezených v čl. 11 odst. 3 písm. b) směrnice (EU) 2022/2555.

4.   ACER sleduje účinnost schopností včasného varování v oblasti kybernetické bezpečnosti v elektroenergetice. ENISA je ACER nápomocna tím, že jí poskytuje veškeré potřebné informace podle čl. 6 odst. 2 a čl. 7 odst. 1 nařízení (EU) 2019/881. Analýza této sledovací činnosti je součástí sledování podle článku 12 tohoto nařízení.

1.   Do 31. prosince roku následujícího po oznámení subjektů s kritickým dopadem a poté každé tři roky provede každý subjekt s kritickým dopadem cvičení v oblasti kybernetické bezpečnosti zahrnující jeden nebo více scénářů s kybernetickými útoky, které přímo nebo nepřímo ovlivňují přeshraniční toky elektřiny a souvisejí s riziky zjištěnými během posouzení kybernetických bezpečnostních rizik na úrovni členských států a na úrovni subjektů v souladu s článkem 20 a článkem 27.

2.   Odchylně od odstavce 1 může příslušný orgán pro rizikovou připravenost po konzultaci s příslušným orgánem a příslušným orgánem pro řízení kybernetických krizí určeným nebo zřízeným podle článku 9 směrnice (EU) 2022/2555 rozhodnout o uspořádání cvičení v oblasti kybernetické bezpečnosti na úrovni členského státu, jak je popsáno v odstavci 1, namísto provedení cvičení v oblasti kybernetické bezpečnosti na úrovni subjektu. Příslušný orgán v tomto ohledu informuje:

3.   Příslušný orgán pro rizikovou připravenost s technickou podporou svých týmů CSIRT zorganizuje cvičení v oblasti kybernetické bezpečnosti na úrovni členského státu popsané v odstavci 2, a to samostatně nebo v rámci jiného cvičení v oblasti kybernetické bezpečnosti v daném členském státě. Aby bylo možné tato cvičení sdružit, může příslušný orgán pro rizikovou připravenost cvičení v oblasti kybernetické bezpečnosti na úrovni členského státu uvedené v odstavci 1 odložit o jeden rok.

4.   Cvičení v oblasti kybernetické bezpečnosti na úrovni subjektů a na úrovni členských států musí být v souladu s vnitrostátními rámci pro řízení kybernetických bezpečnostních krizí podle čl. 9 odst. 4 písm. d) směrnice (EU) 2022/2555.

5.   Do 31. prosince 2026 a poté každé tři roky zpřístupní ENTSO pro elektřinu ve spolupráci se subjektem EU DSO šablonu scénáře cvičení pro provádění cvičení v oblasti kybernetické bezpečnosti na úrovni subjektů a na úrovni členských států uvedených v odstavci 1. Tato šablona zohledňuje výsledky posledně provedeného posouzení kybernetických bezpečnostních rizik na úrovni subjektu a na úrovni členského státu a obsahuje klíčová kritéria úspěšnosti. ENTSO pro elektřinu a subjekt EU DSO zapojí do vývoje této šablony ACER a ENISA.

1.   Do 31. prosince 2029 a poté každé tři roky uspořádá ENTSO pro elektřinu ve spolupráci se subjektem EU DSO v každém regionu pro provoz soustavy regionální cvičení v oblasti kybernetické bezpečnosti. Regionálního cvičení v oblasti kybernetické bezpečnosti se účastní subjekty s kritickým dopadem v daném regionu pro provoz soustavy. ENTSO pro elektřinu ve spolupráci se subjektem EU DSO může uspořádat namísto regionálního cvičení v oblasti kybernetické bezpečnosti meziregionální cvičení v oblasti kybernetické bezpečnosti ve více než jednom regionu pro provoz soustavy ve stejném časovém rámci. Cvičení by mělo zohlednit i další existující posouzení kybernetických bezpečnostních rizik a scénáře vypracované na úrovni Unie.

2.   ENTSO pro elektřinu a subjekt EU DSO při přípravě a organizaci cvičení v oblasti kybernetické bezpečnosti na regionální nebo meziregionální úrovni podporuje ENISA.

3.   ENTSO pro elektřinu v koordinaci se subjektem EU DSO informuje subjekty s kritickým dopadem, které se zúčastní regionálního nebo meziregionálního cvičení v oblasti kybernetické bezpečnosti, šest měsíců před jeho konáním.

4.   Pořadatel pravidelného cvičení kybernetické bezpečnosti na úrovni Unie podle čl. 7 odst. 5 nařízení (EU) 2019/881 nebo jakéhokoli povinného cvičení v oblasti kybernetické bezpečnosti týkajícího se odvětví elektřiny ve stejném zeměpisném perimetru může k účasti přizvat ENTSO pro elektřinu a subjekt EU DSO. V takových případech se povinnost uvedená v odstavci 1 neuplatní, pokud se téhož cvičení účastní všechny subjekty s kritickým dopadem v daném regionu pro provoz soustavy.

5.   Účastní-li se ENTSO pro elektřinu a subjekt EU DSO cvičení v oblasti kybernetické bezpečnosti podle odstavce 4, mohou regionální nebo meziregionální cvičení v oblasti kybernetické bezpečnosti uvedené v odstavci 1 odložit o jeden rok.

6.   Do 31. prosince 2027 a každé tři roky po tomto datu zpřístupní ENTSO pro elektřinu v koordinaci se subjektem EU DSO šablonu cvičení pro provádění regionálních a meziregionálních cvičení v oblasti kybernetické bezpečnosti. Tato šablona zohledňuje výsledky posledně provedeného posouzení kybernetických bezpečnostních rizik na regionální úrovni a obsahuje klíčová kritéria úspěšnosti. ENTSO pro elektřinu konzultuje organizaci a provádění regionálních a meziregionálních cvičení v oblasti kybernetické bezpečnosti s Komisí a může si k nim vyžádat poradenství od ACER, ENISA a Společného výzkumného střediska.

1.   Poskytovatelé kritických služeb se na žádost subjektu s kritickým dopadem účastní cvičení v oblasti kybernetické bezpečnosti uvedených v čl. 43 odst. 1 a 2 a v čl. 44 odst. 1, pokud poskytují subjektu s kritickým dopadem služby v oblasti odpovídající rozsahu příslušného cvičení v oblasti kybernetické bezpečnosti.

2.   Pořadatelé cvičení v oblasti kybernetické bezpečnosti uvedených v čl. 43 odst. 1 a 2 a v čl. 44 odst. 1 provedou s poradenstvím ENISA, pokud o ně požádají, a podle čl. 7 odst. 5 nařízení (EU) 2019/881 analýzu příslušného cvičení v oblasti kybernetické bezpečnosti a uzavřou ho prostřednictvím zprávy shrnující získané poznatky, která je určena všem účastníkům. Zpráva musí obsahovat:

3.   Na žádost sítě CSIRT nebo skupiny pro spolupráci v oblasti bezpečnosti sítí a informací nebo sítě EU CyCLONe pořadatelé cvičení v oblasti kybernetické bezpečnosti uvedených v čl. 43 odst. 1 a 2 a v čl. 44 odst. 1 sdílejí výsledky příslušného cvičení v oblasti kybernetické bezpečnosti. Pořadatelé sdílejí s každým subjektem účastnícím se cvičení informace uvedené v odst. 2 písm. a) a b) tohoto článku. Seznam doporučení uvedených v uvedeném odstavci písmenu c) sdílejí pořadatelé výhradně se subjekty, jichž se doporučení týkají.

4.   Pořadatelé cvičení v oblasti kybernetické bezpečnosti uvedených v čl. 43 odst. 1 a 2 a v čl. 44 odst. 1 spolu se subjekty, které se cvičení účastní, pravidelně sledují provádění doporučení podle odst. 2 písm. c) tohoto článku.

1.   Subjekty uvedené v čl. 2 odst. 1 zajistí, aby informace poskytované, přijímané, vyměňované nebo předávané podle tohoto nařízení byly přístupné pouze na základě zásady „vědět jen to nejnutnější“ a v souladu s příslušnými předpisy Unie a vnitrostátními předpisy o bezpečnosti informací.

2.   Subjekty uvedené v čl. 2 odst. 1 zajistí, aby s informacemi poskytnutými, přijatými, vyměněnými nebo předanými podle tohoto nařízení bylo nakládáno a aby byly sledovány po celou dobu životního cyklu těchto informací a aby mohly být na konci svého životního cyklu zveřejněny pouze po anonymizaci.

3.   Subjekty uvedené v čl. 2 odst. 1 zajistí, aby byla zavedena veškerá nezbytná ochranná opatření organizační a technické povahy k zajištění a ochraně důvěrnosti, integrity, dostupnosti a nepopiratelnosti informací poskytovaných, přijímaných, vyměňovaných nebo předávaných podle tohoto nařízení, a to nezávisle na použitých prostředcích. Ochranná opatření musí:

4.   Subjekty uvedené v čl. 2 odst. 1 zajistí, aby každá fyzická osoba, které je umožněn přístup k informacím poskytovaným, přijímaným, vyměňovaným nebo předávaným podle tohoto nařízení, byla poučena o bezpečnostních pravidlech platných na úrovni subjektu a o opatřeních a postupech týkajících se ochrany informací. Tyto subjekty zajistí, aby dotčená fyzická osoba vzala na vědomí odpovědnost za ochranu informací podle pokynů obdržených během instruktáže.

5.   Subjekty uvedené v čl. 2 odst. 1 zajistí, aby přístup k informacím poskytovaným, přijímaným, vyměňovaným nebo předávaným podle tohoto nařízení měly pouze fyzické osoby:

6.   Subjekty uvedené v čl. 2 odst. 1 musí mít písemný souhlas fyzické nebo právnické osoby, která původně informace vytvořila nebo poskytla, před tím, než tyto informace poskytnou třetí straně, která nespadá do oblasti působnosti tohoto nařízení.

7.   Subjekt uvedený v čl. 2 odst. 1 může zvážit sdílení těchto informací bez dodržení odstavců 1 a 4 tohoto článku, aby se zabránilo souběžné elektroenergetické krizi s příčinami v oblasti kybernetické bezpečnosti nebo jakékoli přeshraniční krizi v rámci Unie v jiném odvětví. V takovém případě subjekt musí:

8.   Odchylně od odstavce 6 tohoto článku mohou příslušné orgány informace poskytnuté, obdržené, vyměněné nebo předané podle tohoto nařízení poskytnout třetí straně, která není uvedena v čl. 2 odst. 1, bez předchozího písemného souhlasu původce informací, musí jej však o tom co nejdříve informovat. Před zpřístupněním jakýchkoli informací poskytnutých, obdržených, vyměněných nebo předaných podle tohoto nařízení třetí straně, která není uvedena v čl. 2 odst. 1, dotčený příslušný orgán přiměřeně zajistí, aby si dotčená třetí strana byla vědoma platných bezpečnostních pravidel, a získá přiměřenou jistotu, že dotčená třetí strana může chránit obdržené informace v souladu s odstavci 1 až 5 tohoto článku. Příslušný orgán tyto informace anonymizuje, aniž by se ztratily prvky nezbytné k informování veřejnosti o bezprostředním a vážném riziku pro přeshraniční toky elektřiny a o možných opatřeních ke zmírnění rizika a k ochraně totožnosti původce informací. V takovém případě třetí strana, která není uvedena v čl. 2 odst. 1, chrání obdržené informace v souladu s předpisy již platnými na úrovni subjektu, nebo pokud to není možné, v souladu s předpisy a pokyny vydanými příslušným orgánem.

9.   Tento článek se nevztahuje na subjekty, které nejsou uvedeny v čl. 2 odst. 1 a kterým jsou poskytovány informace podle odstavce 6 tohoto článku. V takovém případě se použije odstavec 7 tohoto článku nebo může příslušný orgán poskytnout tomuto subjektu písemná ustanovení, která se použijí v případech, kdy jsou informace obdrženy podle tohoto nařízení.

1.   Na veškeré informace poskytnuté, přijaté, vyměněné nebo předané podle tohoto nařízení se vztahují podmínky profesního tajemství stanovené v odstavcích 2 až 5 tohoto článku tohoto nařízení a požadavky stanovené v článku 65 nařízení (EU) 2019/943. Veškeré informace poskytované, přijímané, vyměňované nebo předávané mezi subjekty uvedenými v článku 2 tohoto nařízení pro účely provádění tohoto nařízení jsou chráněny s ohledem na úroveň důvěrnosti informací, kterou uplatňuje původce informací.

2.   Povinnost zachovávat profesní tajemství se vztahuje na subjekty uvedené v článku 2.

3.   Příslušné orgány odpovědné za kybernetickou bezpečnost, národní regulační orgány, příslušné orgány odpovědné za rizikovou připravenost a týmy CSIRT si vyměňují veškeré informace nezbytné k plnění svých úkolů.

4.   Veškeré informace přijaté, vyměňované nebo předávané mezi subjekty uvedenými v čl. 2 odst. 1 pro účely provádění článku 23 musí být anonymizovány a agregovány.

5.   Informace, které obdrží jakýkoli subjekt nebo orgán, na který se vztahuje toto nařízení, při plnění svých povinností nesmějí být sděleny žádnému jinému subjektu nebo orgánu, aniž jsou dotčeny případy, na které se vztahuje vnitrostátní právo, jiná ustanovení tohoto nařízení nebo jiné příslušné právní předpisy Unie.

6.   Aniž jsou dotčeny vnitrostátní právní předpisy nebo právní předpisy Unie, nesmí orgán, subjekt nebo fyzická osoba, která obdrží informace podle tohoto nařízení, tyto informace použít k jinému účelu než k plnění svých povinností podle tohoto nařízení.

7.   ACER po konzultaci s ENISA, všemi příslušnými orgány, ENTSO pro elektřinu a subjektem EU-DSO vydá do 13. června 2025 pokyny týkající se mechanismů pro výměnu informací mezi všemi subjekty uvedenými v čl. 2 odst. 1, a zejména předpokládaných komunikačních toků a metod anonymizace a agregace informací pro účely provádění tohoto článku.

8.   Informace, které jsou podle pravidel Unie a vnitrostátních pravidel důvěrné, se vyměňují s Komisí a dalšími příslušnými orgány pouze tehdy, je-li tato výměna nezbytná pro uplatňování tohoto nařízení. Vyměňované informace se omezí na ty, které jsou nezbytné a přiměřené účelu této výměny. Při výměně informací se zachovává důvěrnost těchto informací a chrání se bezpečnostní a obchodní zájmy subjektů s kritickým dopadem nebo subjektů s vysokým dopadem.

1.   Do schválení podmínek nebo metodik uvedených v čl. 6 odst. 2 nebo plánů uvedených v čl. 6 odst. 3 vypracuje ENTSO pro elektřinu ve spolupráci se subjektem EU DSO nezávazné pokyny k následujícím otázkám:

2.   Do 13. října 2024 vypracuje ENTSO pro elektřinu ve spolupráci se subjektem EU DSO doporučení pro předběžný index ECII. ENTSO pro elektřinu ve spolupráci se subjektem EU DSO oznámí doporučený předběžný index ECII příslušným orgánům.

3.   Čtyři měsíce po obdržení doporučeného předběžného indexu dopadu na energetickou bezpečnost elektřiny, nejpozději však do 13. února 2025 určí příslušné orgány na základě doporučeného indexu dopadu na kybernetickou bezpečnost elektřiny kandidáty na subjekty s vysokým dopadem a subjekty s kritickým dopadem ve svém členském státě a vypracují předběžný seznam subjektů s vysokým dopadem a subjektů s kritickým dopadem. Subjekty s vysokým dopadem a subjekty s kritickým dopadem uvedené na předběžném seznamu mohou dobrovolně plnit své povinnosti stanovené v tomto nařízení na základě zásady předběžné opatrnosti. Do 13. března 2025 oznámí příslušné orgány subjektům uvedeným na předběžném seznamu, že byly určeny jako subjekty s vysokým dopadem nebo subjekty s kritickým dopadem.

4.   Do 13. prosince 2024 ENTSO pro elektřinu ve spolupráci se subjektem EU DSO vypracuje předběžný seznam procesů s vysokým dopadem na celou Unii a procesů s kritickým dopadem na celou Unii. Subjekty, jimž bylo zasláno oznámení podle odstavce 3 a které se dobrovolně rozhodnou plnit své povinnosti stanovené v tomto nařízení na základě zásady předběžné opatrnosti, použijí předběžný seznam procesů s vysokým dopadem a procesů s kritickým dopadem k určení předběžných perimetrů vysokého dopadu a perimetrů kritického dopadu a k určení, jaká aktiva mají být zahrnuta do prvního posouzení kybernetických bezpečnostních rizik na úrovni subjektu.

5.   Do 13. září 2024 každý příslušný orgán podle čl. 4 odst. 1 poskytne ENTSO pro elektřinu a subjektu EU DSO seznam svých vnitrostátních právních předpisů, které mají význam pro aspekty kybernetické bezpečnosti přeshraničních toků elektřiny.

6.   Do 13. června 2025 připraví ENTSO pro elektřinu ve spolupráci se subjektem EU DSO předběžný seznam evropských a mezinárodních norem a kontrol vyžadovaných vnitrostátními právními předpisy, které mají význam pro aspekty kybernetické bezpečnosti přeshraničních toků elektřiny, přičemž zohlední informace poskytnuté příslušnými orgány.

7.   Předběžný seznam evropských a mezinárodních norem a kontrol zahrnuje:

8.   ENTSO pro elektřinu a subjekt EU DSO při dokončování předběžného seznamu norem zohlední stanoviska ENISA a ACER. ENTSO pro elektřinu a subjekt EU DSO zveřejní přechodný seznam evropských a mezinárodních norem a kontrol na svých internetových stránkách.

9.   ENTSO pro elektřinu a subjekt EU DSO konzultují s ENISA a ACER návrhy nezávazných pokynů vypracované podle odstavce 1.

10.   Dokud nebudou vypracovány minimální a pokročilé kontroly v oblasti kybernetické bezpečnosti podle článku 29 a přijaty podle článku 8, budou všechny subjekty uvedené v čl. 2 odst. 1 usilovat o postupné uplatňování nezávazných pokynů vypracovaných podle odstavce 1.