Art. 25. - Krajowe systemy weryfikacji - Rozporządzenie delegowane 2024/1366 uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/943 poprzez ustanowienie kodeksu sieci dotyczącego zasad sektorowych w zakresie aspektów cyberbezpieczeństwa w transgranicznych przepływach energii elektrycznej

Dzienniki UE

Dz.U.UE.L.2024.1366

Akt obowiązujący

Wersja od: 24 maja 2024 r.

Artykuł  25

Krajowe systemy weryfikacji

1. Właściwe organy mogą utworzyć krajowy system weryfikacji w celu sprawdzenia, czy podmioty o krytycznym wpływie zidentyfikowane zgodnie z art. 24 ust. 1 wdrożyły krajowe ramy prawne zawarte w macierzy mapowania, o której mowa w art. 34. Krajowy system weryfikacji może opierać się na inspekcji przeprowadzanej przez właściwy organ, niezależnych audytach bezpieczeństwa lub wzajemnych ocenach przeprowadzanych przez podmioty o krytycznym wpływie w tym samym państwie członkowskim nadzorowane przez właściwy organ.

2. Jeżeli właściwy organ podejmie decyzję o utworzeniu krajowego systemu weryfikacji, organ ten zapewnia prowadzenie weryfikacji zgodnie z następującymi wymogami:

a) każda strona przeprowadzająca wzajemną ocenę, audyt lub inspekcję musi być niezależna od weryfikowanego podmiotu o krytycznym wpływie i nie może znajdować się w sytuacji konfliktu interesów;

b) personel przeprowadzający wzajemną ocenę, audyt lub inspekcję posiada możliwą do wykazania wiedzę na temat następujących zagadnień:

(i) cyberbezpieczeństwo w sektorze energii elektrycznej;

(ii) systemy zarządzania cyberbezpieczeństwem;

(iii) zasady audytu;

(iv) oceny ryzyka w cyberprzestrzeni;

(v) wspólne ramy cyberbezpieczeństwa w odniesieniu do energii elektrycznej;

(vi) krajowe ramy prawne i regulacyjne oraz normy europejskie i międzynarodowe objęte zakresem weryfikacji;

(vii) procesy o krytycznym wpływie wchodzące w zakres weryfikacji;

c) strona przeprowadzająca wzajemną ocenę, audyt lub inspekcję musi otrzymać wystarczająco dużo czasu na wykonanie tych działań;

d) strona przeprowadzająca wzajemną ocenę, audyt lub inspekcję podejmuje odpowiednie środki w celu ochrony informacji, które gromadzi podczas weryfikacji, zgodnie z ich poziomem poufności; oraz

e) wzajemne oceny, audyty lub inspekcje przeprowadza się co najmniej raz w roku i odbywają się one w pełnym zakresie weryfikacji co najmniej raz na trzy lata.

3. Jeżeli właściwy organ podejmie decyzję o utworzeniu krajowego systemu weryfikacji, co roku informuje ACER o częstotliwości przeprowadzania inspekcji w ramach tego systemu.