Artykuł 18

ryzyka cyberbezpieczeństwa

1. Do dnia 13 marca 2025 r. OSP, z pomocą ENTSO energii elektrycznej, we współpracy z organizacją OSD UE i po konsultacji z grupą współpracy NIS, przedkładają propozycję metod oceny

ryzyka cyberbezpieczeństwa na szczeblu unijnym, regionalnym i na szczeblu państw członkowskich.

2. Metody oceny

ryzyka cyberbezpieczeństwa na szczeblu unijnym, regionalnym i na szczeblu państw członkowskich obejmują:

a) wykaz cyberzagrożeń, które należy uwzględnić, obejmujący co najmniej następujące zagrożenia dla łańcucha dostaw:

(i) poważne i nieoczekiwane zaburzenie łańcucha dostaw;

(ii) brak dostępności produktów ICT, usług ICT lub procesów ICT z łańcucha dostaw;

(iii) cyberataki inicjowane z wykorzystaniem uczestników łańcucha dostaw;

(iv) wycieki informacji szczególnie chronionych w łańcuchu dostaw, w tym śledzenie łańcucha dostaw;

(v) wprowadzanie luk lub backdoorów do produktów ICT, usług ICT lub procesów ICT z wykorzystaniem uczestników łańcucha dostaw;

b) kryteria oceny wpływu ryzyka w cyberbezpieczeństwie jako wysokiego lub krytycznego z zastosowaniem określonych progów

w zakresie skutków i prawdopodobieństwa ;

c) podejście do analizy ryzyka w cyberbezpieczeństwie wynikającego z dotychczasowych systemów, kaskadowych skutków cyberataków oraz charakteru systemów obsługujących sieć w czasie rzeczywistym;

d) podejście do analizy ryzyka w cyberbezpieczeństwie wynikającego z zależności od jednego dostawcy produktów ICT, usług ICT lub procesów ICT.

3. W ramach metody oceny

ryzyka cyberbezpieczeństwa na szczeblu unijnym, regionalnym i na szczeblu państw członkowskich dokonuje się oceny

ryzyka cyberbezpieczeństwa przy użyciu tej samej macierzy wpływu ryzyka. Macierz wpływu ryzyka:

a) służy do pomiaru skutków cyberataków w oparciu o następujące kryteria:

(i) czas braku dostaw energii elektrycznej;

(ii) ograniczenie wytwarzania energii elektrycznej;

(iii) utrata mocy w ramach rezerwy pierwotnej utrzymania częstotliwości;

(iv) utrata mocy do przywrócenia działania sieci elektroenergetycznej bez polegania na zewnętrznej sieci przesyłowej po całkowitym lub częściowym wyłączeniu (zwanego również „rozruchem autonomicznym”);

(v) przewidywany czas wyłączenia dostaw energii elektrycznej wpływającego na odbiorców w połączeniu ze skalą wyłączenia pod względem liczby odbiorców oraz

(vi) wszelkie inne kryteria ilościowe lub jakościowe, które w racjonalny sposób mogłyby służyć jako wskaźnik wpływu cyberataku na transgraniczne przepływy energii elektrycznej;

b) służy do pomiaru prawdopodobieństwa wystąpienia incydentu jako częstotliwość cyberataków rocznie.

4. Metodyki oceny

ryzyka cyberbezpieczeństwa na poziomie Unii opisują, w jaki sposób zostaną określone wartości ECII dla progu dużego wpływu i progu krytycznego wpływu. ECII umożliwia podmiotom oszacowanie za pomocą kryteriów, o których mowa w ust. 2 lit. b), wpływu ryzyka na ich proces biznesowy

podczas oszacowań wpływu na działalność biznesową , które przeprowadzają zgodnie z art. 26 ust. 4 lit. c) pkt (i).

5. ENTSO energii elektrycznej, we współpracy z organizacją OSD UE, informuje Grupę Koordynacyjną ds. Energii Elektrycznej o propozycjach dotyczących metod oceny

ryzyka cyberbezpieczeństwa opracowanych zgodnie z ust. 1.