Чл. 24

Член 24 Определяне на субекти с голямо въздействие и субекти с критично въздействие

1. Всеки компетентен орган, като използва ECII и праговете на голямо и на критично въздействие, включени в доклада за оценка на рисковете за киберсигурността в целия Съюз в съответствие с член 19, параграф 3, буква б), определя субектите с голямо въздействие и субектите с критично въздействие в своята държава членка, които участват в процесите с голямо въздействие в целия Съюз и в процесите с критично въздействие в целия Съюз. Компетентните органи могат да поискат информация от даден субект в тяхната държава членка, за да определят стойностите на ECII за този субект. Ако определената стойност на ECII на даден субект е над прага на голямо или на критично въздействие, определеният субект бива включен в доклада за оценка на рисковете за киберсигурността на равнище държава членка, посочен в член 20, параграф 2.
2. Всеки компетентен орган, като използва ECII и праговете на голямо и на критично въздействие, включени в доклада за оценка на рисковете за киберсигурността в целия Съюз в съответствие с член 19, параграф 3, буква б), определя субектите с голямо въздействие и с критично въздействие, които не са установени в Съюза, доколкото те извършват дейност в рамките на Съюза. Компетентният орган може да поиска информация от субект, който не е установен в Съюза, за да определи стойностите на ECII за този субект.

Всеки компетентен орган може да определи допълнителни субекти в своята държава членка като субекти с голямо

1. въздействие или с критично въздействие, ако са изпълнени следните критерии:

а) субектът е част от група субекти, за които съществува значителен риск да бъдат засегнати едновременно от кибератака; б) ECII, обобщен за групата субекти, е над прага на голямо въздействие или на критично въздействие.

1. Ако компетентният орган определи допълнителни субекти в съответствие с параграф 3, всички процеси в тези субекти, за които ECII, обобщени за групата субекти, са над прага на голямо въздействие, се считат за процеси с голямо въздействие, а всички процеси в тези субекти, за които ECII, обобщени за групата субекти, са над праговете на критично въздействие, се считат за процеси с критично въздействие.

Ако компетентен орган определи посочени в параграф 3, буква а) субекти в повече от една държава членка, той 5. информира за това другите компетентни органи, ЕМОПС за електроенергия и ООРСЕС. Въз основа на информацията, получена от всички компетентни органи, ЕМОПС за електроенергия, в сътрудничество с ООРСЕС, предоставя на компетентните органи анализ на съвкупностите от субекти в повече от една държава членка, които могат да създадат разпределени смущения в трансграничните потоци на електроенергия и могат да доведат до кибератака. Когато група субекти в няколко държави членки са определени като съвкупност, чийто ECII надвишава прага на голямо въздействие или на критично въздействие, всички засегнати компетентни органи определят субектите в такава група като субекти с голямо въздействие или с критично въздействие за своята съответна държава членка въз основа на обобщения индекс ECII за групата субекти, а определените субекти се описват в доклада за оценка на рисковете за киберсигурността в целия Съюз.

1. В рамките на девет месеца след получаването на уведомление от ЕМОПС за електроенергия и от ООРСЕС за доклада за оценка на рисковете за киберсигурността в целия Съюз по член 19, параграф 5, но във всички случаи не по-късно от 13 юни 2028 г., всеки компетентен орган уведомява субектите в списъка, че те са определени като субекти с голямо въздействие или с критично въздействие в неговата държава членка.
2. Когато на компетентен орган е докладвано за даден доставчик на услуги, че той е доставчик на ИКТ услуги с критично въздействие в съответствие с член 27, буква в), този компетентен орган уведомява за това компетентните органи на държавите членки, на чиято територия се намира седалището или представителството. Последният компетентен орган уведомява доставчика на услуги, че е бил определен като доставчик на критични услуги.

22/44 ELI: http://data.europa.eu/eli/reg_del/2024/1366/oj

OB L, 24.5.2024 г. BG