Artykuł 5

Kryteria wstępnej kwalifikacji związane z cyberbezpieczeństwem i bezpieczeństwem danych wymagają od oferentów:

a) przyjęcia odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych, które odzwierciedlają zasady uwzględniania bezpieczeństwa na etapie projektowania i domyślnego bezpieczeństwa, aby zagwarantować bezpieczeństwo sieci i systemów informatycznych instalacji wytwarzających energię odnawialną, w tym, w stosownych przypadkach, środków wymienionych w art. 21 ust. 2 dyrektywy (UE) 2022/2555;

b) w przypadku gdy co najmniej 9 miesięcy przed publikacją aukcji objętej zakresem art. 26 rozporządzenia (UE) 2024/1735 oferent podlega jurysdykcji państwa trzeciego, która zobowiązuje go do przekazywania organom tego państwa informacji na temat podatności oprogramowania lub sprzętu na zagrożenia przed powzięciem informacji o tym, że doszło do wykorzystania tych podatności, lub gdy istnieje publiczne oświadczenie wydane w imieniu Unii lub państwa członkowskiego prowadzącego aukcję, że

agresorzy działający z terytorium tego państwa trzeciego prowadzą szkodliwe działania lub kampanie w cyberprzestrzeni – przedstawienia planu cyberbezpieczeństwa wskazującego sposoby zagwarantowania przez oferenta bezpieczeństwa instalacji i całego systemu, w szczególności przyjęcia niezbędnych środków technicznych, operacyjnych i organizacyjnych w celu zagwarantowania, aby dane wykorzystywane lub generowane w toku jego działalności gospodarczej związanej z aukcją były przechowywane w Europejskim Obszarze Gospodarczym i nie były przekazywane poza jego terytorium;

c) w przypadku gdy oferent polega na dostawcach w zakresie dostaw produktów ICT wykorzystywanych w instalacji wytwarzających energię odnawialną lub usług ICT związanych z jej eksploatacją – zagwarantowania i wykazania, że dostawcy stosują środki, o których mowa w lit. a), oraz – w przypadku gdy dostawcy ci spełniają którykolwiek z dwóch warunków określonych w lit. b) w odniesieniu do oferentów – że dostawcy ci również stosują środki, o których mowa w lit. b);

d) zagwarantowania, aby operator mający siedzibę w Europejskim Obszarze Gospodarczym zachował kontrolę operacyjną nad instalacją.