Artykuł 48

1. Do czasu zatwierdzenia warunków lub metod, o których mowa w art. 6 ust. 2, lub planów, o których mowa w art. 6 ust. 3, ENTSO energii elektrycznej we współpracy z organizacją OSD UE opracowuje niewiążące wytyczne dotyczące następujących kwestii:

a) tymczasowego wskaźnika wpływu na cyberbezpieczeństwo w odniesieniu do energii elektrycznej (ECII) zgodnie z ust. 2 niniejszego artykułu;

b) wstępnego wykazu ogólnounijnych procesów o dużym wpływie i procesów o krytycznym wpływie zgodnie z ust. 4 niniejszego artykułu; oraz

c) wstępnego wykazu europejskich i międzynarodowych

norm i zabezpieczeń wymaganych na mocy przepisów krajowych, mających znaczenie dla aspektów cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej zgodnie z ust. 6 niniejszego artykułu.

2. Do dnia 13 października 2024 r. ENTSO energii elektrycznej we współpracy z organizacją OSD UE opracowuje zalecenie dotyczące tymczasowego ECII. ENTSO energii elektrycznej we współpracy z organizacją OSD UE powiadamia właściwe organy o zalecanym tymczasowym ECII.

3. Cztery miesiące od otrzymania zalecanego tymczasowego wskaźnika wpływu na cyberbezpieczeństwo w odniesieniu do energii elektrycznej lub najpóźniej do dnia 13 lutego 2025 r. właściwe organy określają kandydatów na podmioty o dużym wpływie podmioty o krytycznym wpływie w ich państwie członkowskim na podstawie zalecanego ECII i opracowują wstępny wykaz podmiotów o dużym wpływie i podmiotów o krytycznym wpływie. Podmioty o dużym wpływie i podmioty o krytycznym wpływie wskazane w wstępnym wykazie mogą dobrowolnie wypełniać swoje obowiązki określone w niniejszym rozporządzeniu w oparciu o zasadę ostrożności. Do dnia 13 marca 2025 r. właściwe organy powiadamiają podmioty wskazane w wykazie tymczasowym o tym, że zostały one uznane za podmioty o dużym wpływie lub podmioty o krytycznym wpływie.

4. Do dnia 13 grudnia 2024 r. ENTSO energii elektrycznej we współpracy z organizacją OSD UE opracowuje wstępny wykaz ogólnounijnych procesów o dużym wpływie i procesów o krytycznym wpływie. Podmioty powiadomione zgodnie z ust. 3, które dobrowolnie podejmują decyzję o wypełnieniu swoich obowiązków określonych w niniejszym rozporządzeniu w oparciu o zasadę ostrożności, stosują wstępny wykaz procesów o dużym wpływie i procesów o krytycznym wpływie w celu określenia wstępnych obszarów o dużym wpływie i obszarów o krytycznym wpływie oraz ustalenia, które aktywa należy uwzględnić w pierwszej ocenie

ryzyka cyberbezpieczeństwa na poziomie podmiotu.

5. Do dnia 13 września 2024 r. każdy właściwy organ zgodnie z art. 4 ust. 1 przedstawia ENTSO energii elektrycznej i organizacji OSD UE wykaz swoich przepisów krajowych mających znaczenie dla aspektów cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej.

6. Do dnia 13 czerwca 2025 r. ENTSO energii elektrycznej we współpracy z organizacją OSD UE przygotowuje wstępny wykaz europejskich i międzynarodowych

norm i zabezpieczeń wymaganych na mocy przepisów krajowych, mających znaczenie dla aspektów cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej, z uwzględnieniem informacji przekazanych przez właściwe organy.

7. Wstępny wykaz europejskich i międzynarodowych

norm i zabezpieczeń obejmuje:

a) normy europejskie i międzynarodowe oraz przepisy krajowe zawierające wytyczne dotyczące metodyk zarządzania

ryzykiem cyberbezpieczeństwa na poziomie podmiotu; oraz

b) zabezpieczenia cyberbezpieczeństwa

równoważne zabezpieczeniom , które mają stanowić część minimalnych i zaawansowanych

zabezpieczeń cyberbezpieczeństwa .

8. ENTSO energii elektrycznej i organizacja OSD UE uwzględniają opinie przedstawione przez ENISA i ACER przy finalizacji wstępnego wykazu norm. ENTSO energii elektrycznej i organizacja OSD UE publikują wstępny wykaz europejskich i międzynarodowych

norm i zabezpieczeń na swoich stronach internetowych.

9. ENTSO energii elektrycznej i organizacja OSD UE konsultują się z ENISA i ACER w kwestii propozycji niewiążących wytycznych opracowanych zgodnie z ust. 1.

10. Do czasu opracowania minimalnych i zaawansowanych

zabezpieczeń cyberbezpieczeństwa zgodnie z art. 29 i przyjęcia ich zgodnie z art. 8 wszystkie podmioty wymienione w art. 2 ust. 1 dążą do tego, by stopniowo coraz szerzej stosować niewiążące wytyczne opracowane zgodnie z ust. 1.