Artykuł 30

zabezpieczeń cyberbezpieczeństwa

1. Podmioty wymienione w art. 2 ust. 1 mogą zwrócić się do odpowiedniego właściwego organu o przyznanie odstępstwa od obowiązku stosowania minimalnych i zaawansowanych

zabezpieczeń cyberbezpieczeństwa , o których mowa w art. 29 ust. 6. Właściwy organ może przyznać takie odstępstwo z jednego z następujących powodów:

a) w wyjątkowych okolicznościach, jeżeli podmiot jest w stanie wykazać, że koszty wdrożenia odpowiednich

zabezpieczeń cyberbezpieczeństwa znacznie przewyższają korzyści. ACER i ENTSO energii elektrycznej we współpracy z organizacją OSD UE mogą wspólnie opracować wytyczne dotyczące szacowania kosztów

zabezpieczeń cyberbezpieczeństwa , aby pomóc podmiotom;

b) jeżeli podmiot przedstawia plan postępowania z ryzykiem na poziomie podmiotu, który ogranicza ryzyko cyberbezpieczeństwa za pomocą alternatywnych zabezpieczeń do poziomu akceptowalnego zgodnie z kryteriami akceptacji ryzyka, o których mowa w art. 26 ust. 3 lit. b).

2. W terminie trzech miesięcy od otrzymania wniosku, o którym mowa w ust. 1, każdy właściwy organ podejmuje decyzję o przyznaniu odstępstwa od minimalnych i zaawansowanych

zabezpieczeń cyberbezpieczeństwa . Odstępstwa od minimalnych lub zaawansowanych

zabezpieczeń cyberbezpieczeństwa przyznaje się na okres maksymalnie trzech lat, z możliwością przedłużenia.

3. Zagregowane i zanonimizowane informacje dotyczące przyznanych odstępstw zamieszcza się w załączniku do kompleksowego sprawozdania z oceny

ryzyka cyberbezpieczeństwa w odniesieniu do transgranicznych przepływów energii elektrycznej, o którym mowa w art. 23. ENTSO energii elektrycznej i organizacja OSD UE wspólnie aktualizują ten wykaz w stosownych przypadkach.