Artykuł 31

1. Nie później niż w terminie 24 miesięcy

po przyjęciu zabezpieczeń , o których mowa w art. 28 ust. 1 lit. a), b) i c), oraz ustanowieniu systemu zarządzania cyberbezpieczeństwem, o którym mowa w lit. d) tego artykułu, każdy podmiot o krytycznym wpływie zidentyfikowany zgodnie z art. 24 ust. 1 musi być w stanie wykazać na wniosek właściwego organu zgodność z systemem zarządzania cyberbezpieczeństwem oraz minimalnymi lub zaawansowanymi

zabezpieczeniami cyberbezpieczeństwa .

2. Każdy podmiot o krytycznym wpływie wypełnia obowiązek, o którym mowa w ust. 1, przez poddanie się niezależnym audytom bezpieczeństwa przeprowadzanym przez

stronę trzecią zgodnie z wymogami wymienionymi w art. 25 ust. 2 lub przez uczestniczenie w krajowym systemie weryfikacji zgodnie z art. 25 ust. 1.

3. Weryfikacja zgodności podmiotu o krytycznym wpływie z systemem zarządzania cyberbezpieczeństwem oraz minimalnymi lub zaawansowanymi

zabezpieczeniami cyberbezpieczeństwa obejmuje wszystkie aktywa w obszarze o krytycznym wpływie podmiotu o krytycznym wpływie.

4. Weryfikację zgodności podmiotu o krytycznym wpływie z systemem zarządzania cyberbezpieczeństwem oraz minimalnymi lub zaawansowanymi

zabezpieczeniami cyberbezpieczeństwa powtarza się regularnie w terminie najpóźniej 36 miesięcy po zakończeniu pierwszej weryfikacji, a następnie co trzy lata.

5. Każdy podmiot o krytycznym wpływie określony zgodnie z art. 24 wykazuje swoją

zgodność z wymaganymi zabezpieczeniami , o których mowa w art. 28 ust. 1 lit. a), b) i c), oraz ustanowienia systemu zarządzania cyberbezpieczeństwem, o którym mowa w lit. d) tego artykułu, przez złożenie właściwemu organowi sprawozdania w sprawie wyniku weryfikacji zgodności.