Artykuł 19

ryzyka cyberbezpieczeństwa

1. W terminie 9 miesięcy od zatwierdzenia metodyk oceny

ryzyka cyberbezpieczeństwa zgodnie z art. 8, a następnie co trzy lata ENTSO energii elektrycznej, we współpracy z organizacją OSD UE i w porozumieniu z grupą współpracy NIS, bez uszczerbku dla art. 22 dyrektywy (UE) 2022/2555, przeprowadza ogólnounijną ocenę

ryzyka cyberbezpieczeństwa i sporządza projekt ogólnounijnego sprawozdania z oceny

ryzyka cyberbezpieczeństwa . W tym celu będą one korzystać z metod opracowanych na podstawie art. 18 i zatwierdzonych na podstawie art. 8 w celu identyfikacji, analizy i oceny ewentualnych konsekwencji cyberataków mających wpływ na bezpieczeństwo pracy systemu elektroenergetycznego i zakłócających transgraniczne przepływy energii elektrycznej. W ogólnounijnej ocenie

ryzyka cyberbezpieczeństwa nie uwzględnia się kwestii szkody prawnej, szkody finansowej ani nadszarpnięcia reputacji spowodowanych cyberatakami.

2. W ogólnounijnym sprawozdaniu z oceny

ryzyka cyberbezpieczeństwa uwzględnia się następujące elementy:

a) ogólnounijne procesy o dużym wpływie i ogólnounijne procesy o krytycznym wpływie;

b) macierz wpływu ryzyka, którą podmioty i właściwe organy stosują do oceny

ryzyka cyberbezpieczeństwa zidentyfikowanego w ocenie

ryzyka cyberbezpieczeństwa na poziomie państwa członkowskiego przeprowadzonej na podstawie art. 20 oraz w ocenie

ryzyka cyberbezpieczeństwa na poziomie podmiotu zgodnie z art. 26 ust. 2 lit. b).

3. W odniesieniu do ogólnounijnych procesów o dużym wpływie i ogólnounijnych procesów o krytycznym wpływie ogólnounijne sprawozdanie z oceny

ryzyka cyberbezpieczeństwa zawiera:

a) ocenę możliwych konsekwencji cyberataku z wykorzystaniem wskaźników określonych w metodyce oceny

ryzyka cyberbezpieczeństwa opracowanej na podstawie art. 18 ust. 2, 3 i 4 i zatwierdzonej na podstawie art. 8;

b) ECII oraz progi dużego i krytycznego wpływu, które właściwe organy stosują zgodnie z art. 24 ust. 1 i 2 w celu zidentyfikowania podmiotów o dużym wpływie i podmiotów o krytycznym wpływie uczestniczących w ogólnounijnych procesach o dużym wpływie oraz w ogólnounijnych procesach o krytycznym wpływie.

4. ENTSO energii elektrycznej, we współpracy z organizacją OSD UE, przedkłada ACER projekt ogólnounijnego sprawozdania z oceny

ryzyka cyberbezpieczeństwa wraz z wynikami ogólnounijnej oceny

ryzyka cyberbezpieczeństwa . ACER wydaje opinię na temat projektu sprawozdania w terminie trzech miesięcy od jego otrzymania. ENTSO energii elektrycznej i organizacja OSD UE uwzględniają w jak największym stopniu opinię ACER przy przygotowaniu ostatecznej wersji tego sprawozdania.

5. W ciągu trzech miesięcy od otrzymania opinii ACER ENTSO energii elektrycznej, we współpracy z organizacją OSD UE, przedstawia ACER, Komisji, ENISA i właściwym organom wersję ostateczną ogólnounijnego sprawozdania z oceny

ryzyka cyberbezpieczeństwa .