diritto.io

Regolamento delegato (UE) 2024/1366 della Commissione dell'11 marzo 2024 che integra il regolamento (UE) 2019/943 del Parlamento europeo e del Consiglio istituendo un codice di rete relativo a disposizioni settoriali per gli aspetti di cibersicurezza dei flussi transfrontalieri di energia elettrica (Testo rilevante ai fini del SEE)

Testo vigente

LA COMMISSIONE EUROPEA,

visto il regolamento (UE) 2019/943 del Parlamento europeo e del Consiglio, del 5 giugno 2019, sul mercato interno dell’energia elettrica1, in particolare l’articolo 59, paragrafo 2, lettera e),

La gestione dei rischi per la cibersicurezza è fondamentale per mantenere la sicurezza dell’approvvigionamento di energia elettrica e garantire un alto livello di cibersicurezza nel settore dell’energia elettrica.

La digitalizzazione e la cibersicurezza sono decisive per la fornitura di servizi essenziali e hanno pertanto rilevanza strategica per le infrastrutture energetiche critiche.

La direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio2 dispone misure per un livello comune elevato di cibersicurezza nell’Unione. Il regolamento (UE) 2019/941 del Parlamento europeo e del Consiglio3 integra la direttiva (UE) 2022/2555 garantendo che gli incidenti di cibersicurezza nel settore dell’energia elettrica siano adeguatamente identificati come rischio e che le misure adottate per risolverli siano adeguatamente riprese nei piani di preparazione ai rischi. Il regolamento (UE) 2019/943 integra la direttiva (UE) 2022/2555 e il regolamento (UE) 2019/941 stabilendo disposizioni specifiche per il settore dell’energia elettrica a livello dell’Unione. Il presente regolamento delegato a sua volta integra le disposizioni della direttiva (UE) 2022/2555 relative al settore dell’energia elettrica per tutti i casi che riguardano flussi transfrontalieri di energia elettrica.

In un contesto di interconnessione dei sistemi digitalizzati dell’energia elettrica, la prevenzione e la gestione delle crisi dell’energia elettrica connesse agli attacchi informatici non possono essere considerate un compito esclusivamente nazionale. È opportuno sviluppare al massimo il potenziale che risiede nell’adozione di misure più efficienti e meno costose attraverso la cooperazione a livello regionale e dell’Unione. È pertanto necessario dotarsi di un quadro comune di regole e procedure meglio coordinate per garantire che gli Stati membri e altri soggetti possano collaborare efficacemente attraverso le frontiere in uno spirito di maggiore trasparenza, fiducia e solidarietà tra Stati membri e autorità competenti per l’energia elettrica e la cibersicurezza.

La gestione dei rischi per la cibersicurezza nell’ambito di applicazione del presente regolamento richiede un processo strutturato che comprenda, tra l’altro, l’individuazione dei rischi per i flussi transfrontalieri di energia elettrica derivanti da attacchi informatici, i relativi processi operativi e perimetri e i corrispondenti controlli e meccanismi di verifica della cibersicurezza. Il calendario dell’intero processo copre diversi anni e tutte le sue fasi dovrebbero contribuire a un elevato livello comune di cibersicurezza nel settore e all’attenuazione dei rischi per la cibersicurezza. Tutti i partecipanti al processo dovrebbero adoperarsi al massimo per sviluppare e concordare il prima possibile le metodologie, senza indebito ritardo e in ogni caso entro i termini definiti nel presente regolamento.

Le valutazioni dei rischi per la cibersicurezza a livello di Unione, di Stati membri, di regioni e di soggetti di cui al presente regolamento possono essere limitate a quelle derivanti da attacchi informatici quali definiti nel regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio4, escludendo così, ad esempio, gli attacchi fisici, le catastrofi naturali e le indisponibilità dovute alla perdita di strutture o di risorse umane. I rischi a livello dell’Unione e regionale connessi ad attacchi fisici o a catastrofi naturali nel settore dell’energia elettrica sono già disciplinati da altre normative vigenti dell’Unione, tra cui l’articolo 5 del regolamento (UE) 2019/941 o il regolamento (UE) 2017/1485 della Commissione5, che stabilisce orientamenti in materia di gestione del sistema di trasmissione dell’energia elettrica. Analogamente, la direttiva (UE) 2022/2557del Parlamento europeo e del Consiglio6, relativa alla resilienza dei soggetti critici mira a ridurre le vulnerabilità e a rafforzare la resilienza fisica dei soggetti critici e copre tutti i pertinenti rischi naturali e di origine umana che possono incidere sulla fornitura di servizi essenziali, fra cui gli incidenti, le catastrofi naturali, le emergenze di sanità pubblica come pandemie, minacce ibride o altre minacce antagoniste, compresi i reati di terrorismo, le infiltrazioni criminali e il sabotaggio.

La nozione di «soggetti ad alto impatto e a impatto critico» di cui al presente regolamento è fondamentale per circoscrivere l’ambito dei soggetti interessati dagli obblighi ivi descritti. L’approccio basato sul rischio delineato nelle diverse disposizioni mira a individuare i processi, gli asset di supporto e i soggetti che li gestiscono che incidono sui flussi transfrontalieri di energia elettrica. A seconda del grado di impatto dei possibili attacchi informatici sulle loro operazioni di flussi transfrontalieri di energia elettrica, tali soggetti possono essere considerati «ad alto impatto» o «a impatto critico». L’articolo 3 della direttiva (UE) 2022/2555 stabilisce le nozioni di soggetti essenziali e importanti e i criteri per individuare i soggetti appartenenti a tali categorie. Sebbene molti di essi siano considerati e identificati simultaneamente come «essenziali» ai sensi dell’articolo 3 della direttiva (UE) 2022/2555 e ad alto impatto o a impatto critico ai sensi dell’articolo 24 del presente regolamento, i criteri stabiliti nel presente regolamento si riferiscono unicamente al loro ruolo e al loro impatto nei processi dell’energia elettrica che incidono sui flussi transfrontalieri e non tengono conto dei criteri definiti all’articolo 3 della direttiva (UE) 2022/2555.

I soggetti che rientrano nell’ambito di applicazione del presente regolamento, considerati ad alto impatto o a impatto critico a norma dell’articolo 24 e tenuti al rispetto degli obblighi ivi stabiliti, sono principalmente quelli che hanno un impatto diretto sui flussi transfrontalieri di energia elettrica nell’UE.

Il presente regolamento si avvale di meccanismi e strumenti esistenti, già stabiliti in altre normative, onde garantire l’efficienza ed evitare duplicazioni nel conseguimento degli obiettivi.

Nell’applicazione del presente regolamento, gli Stati membri, le autorità competenti e i gestori di sistema dovrebbero tenere conto delle norme europee e delle specifiche tecniche degli organismi europei di normazione e agire in linea con la legislazione dell’Unione relativa all’immissione sul mercato o alla messa in servizio dei prodotti in essa contemplati.

Per attenuare i rischi per la cibersicurezza, è necessario stabilire un insieme dettagliato di regole che disciplini gli interventi e la cooperazione dei portatori di interessi pertinenti, le cui attività riguardano aspetti di cibersicurezza dei flussi transfrontalieri di energia elettrica, al fine di garantire la sicurezza del sistema. Tali regole organizzative e tecniche dovrebbero garantire che la maggior parte degli incidenti elettrici derivanti da problemi di cibersicurezza sia affrontata efficacemente a livello operativo. È necessario stabilire gli interventi che i portatori di interessi pertinenti dovrebbero intraprendere per prevenire queste crisi e quali misure possono adottare qualora le regole di gestione del sistema si rivelino insufficienti. È pertanto necessario stabilire un quadro comune di disposizioni per la prevenzione, la preparazione e la gestione delle crisi simultanee dell’energia elettrica derivanti da problemi di cibersicurezza. Si aumenta così la trasparenza nella fase di preparazione e nello svolgimento di una crisi simultanea dell’energia elettrica e si garantisce che le misure siano adottate in modo coordinato ed efficace insieme alle autorità competenti per la cibersicurezza negli Stati membri. Gli Stati membri e i soggetti interessati dovrebbero avere l’obbligo di cooperare a livello regionale e, se del caso, a livello bilaterale, in uno spirito di solidarietà. La cooperazione e le regole sono intese a conseguire una migliore preparazione ai rischi per la cibersicurezza a costi minori, anche in linea con gli obiettivi della direttiva (UE) 2022/2555. Appare inoltre necessario rafforzare il mercato interno dell’energia elettrica incrementando il livello di fiducia in tutti gli Stati membri, in particolare attenuando il rischio di un’indebita riduzione dei flussi transfrontalieri di energia elettrica e riducendo così il rischio di effetti di ricaduta negativi sugli Stati membri confinanti.

La sicurezza dell’approvvigionamento di energia elettrica comporta un’efficace cooperazione tra Stati membri, istituzioni, organi, uffici e agenzie dell’Unione nonché pertinenti portatori di interessi. I gestori dei sistemi di distribuzione e i gestori dei sistemi di trasmissione svolgono un ruolo fondamentale nel garantire la sicurezza, l’affidabilità e l’efficienza del sistema elettrico, conformemente agli articoli 31 e 40 della direttiva (UE) 2019/944 del Parlamento europeo e del Consiglio7. Le varie autorità di regolazione e altre autorità nazionali competenti svolgono altresì un ruolo importante nell’assicurare e monitorare la cibersicurezza nell’ambito dell’approvvigionamento di energia elettrica, nel quadro dei compiti loro attribuiti dalle direttive (UE) 2019/944 e (UE) 2022/2555. Gli Stati membri dovrebbero designare un’entità esistente o nuova quale autorità nazionale competente per l’attuazione del presente regolamento, al fine di garantire la partecipazione trasparente e inclusiva di tutti gli attori coinvolti, la preparazione efficiente e la corretta attuazione delle disposizioni, la cooperazione fra i diversi portatori di interessi e le autorità competenti per l’energia elettrica e la cibersicurezza, nonché al fine di agevolare la prevenzione e la valutazione ex post sia delle crisi dell’energia elettrica derivanti da problemi di cibersicurezza sia degli scambi di informazioni al riguardo.

Qualora un soggetto ad alto impatto o a impatto critico fornisca servizi in più di uno Stato membro, o abbia la propria sede o un altro stabilimento o un rappresentante in uno Stato membro e i suoi sistemi informatici e di rete in uno o più altri Stati membri, gli Stati membri interessati dovrebbero incoraggiare le rispettive autorità competenti a compiere ogni sforzo per cooperare e assistersi reciprocamente per quanto necessario.

Gli Stati membri dovrebbero garantire che le autorità competenti dispongano dei poteri necessari, in relazione ai soggetti ad alto impatto e a impatto critico, per promuovere il rispetto del presente regolamento. Tali poteri dovrebbero consentire alle autorità competenti di effettuare ispezioni in loco e vigilanza a distanza. Ciò può includere controlli casuali, lo svolgimento di audit periodici, audit mirati sulla sicurezza basati su valutazioni del rischio o su informazioni disponibili relative al rischio e scansioni di sicurezza basate su criteri di valutazione del rischio oggettivi, non discriminatori, equi e trasparenti e che includano la richiesta delle informazioni necessarie per valutare le misure di cibersicurezza adottate dal soggetto. Tali informazioni dovrebbero includere politiche di cibersicurezza documentate, dati, documenti o qualsiasi informazione necessaria per lo svolgimento dei loro compiti di vigilanza, nonché prove dell’attuazione delle politiche di cibersicurezza, quali i risultati degli audit di sicurezza effettuati da un revisore qualificato e le rispettive prove sottostanti.

Al fine di evitare lacune o duplicazioni per quanto riguarda gli obblighi di gestione dei rischi per la cibersicurezza imposti ai soggetti ad alto impatto e a impatto critico, le autorità nazionali designate a norma della direttiva (UE) 2022/2555 e le autorità competenti a norma del presente regolamento dovrebbero cooperare all’attuazione delle misure di gestione dei rischi per la cibersicurezza e alla vigilanza della conformità con tali misure a livello nazionale. Le autorità competenti a norma della direttiva (UE) 2022/2555 potrebbero considerare la conformità di un soggetto ai requisiti di gestione dei rischi per la cibersicurezza di cui al presente regolamento come garanzia della conformità ai corrispondenti requisiti stabiliti in tale direttiva, o viceversa.

Per un approccio comune alla prevenzione e alla gestione delle crisi simultanee dell’energia elettrica occorre che gli Stati membri condividano una nozione comune di quanto costituisce una crisi simultanea dell’energia elettrica e di quando un attacco importante ne è un fattore rilevante. In particolare, si dovrebbe agevolare il coordinamento fra Stati membri e soggetti interessati al fine di affrontare una situazione in cui sia presente o imminente il rischio potenziale di significativa carenza di energia elettrica o di impossibilità di fornire energia elettrica ai clienti in conseguenza di un attacco informatico.

Il considerando 1 del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio8 riconosce il ruolo essenziale delle reti e dei sistemi informativi e delle reti e dei servizi di comunicazione elettronica nel mantenere il buon funzionamento dell’economia in settori chiave come l’energia, mentre il considerando 44 afferma che l’Agenzia dell’Unione europea per la cibersicurezza («ENISA») dovrebbe instaurare rapporti con l’Agenzia dell’Unione europea per la cooperazione fra i regolatori nazionali dell’energia («ACER»).

Il regolamento (UE) 2019/943 attribuisce responsabilità specifiche in materia di cibersicurezza ai gestori dei sistemi di trasmissione («TSO») e ai gestori dei sistemi di distribuzione («DSO»). Le loro associazioni europee, vale a dire la rete europea dei TSO per l’energia elettrica («ENTSO per l’energia elettrica») e l’ente europeo dei gestori dei sistemi di distribuzione («EU DSO») promuovono, a norma rispettivamente degli articoli 30 e 55 di quel regolamento, la cibersicurezza in cooperazione con le autorità competenti e le entità regolamentate.

Un approccio comune alla prevenzione e alla gestione delle crisi simultanee dell’energia elettrica derivanti da problemi di cibersicurezza richiede che tutti i portatori di interessi utilizzino metodi e definizioni armonizzati per individuare i rischi per la cibersicurezza nell’approvvigionamento di energia elettrica. È inoltre necessario che siano in grado di confrontare efficacemente il loro livello di prestazioni con quello dei paesi vicini. Occorre pertanto stabilire i processi, i ruoli e le responsabilità per elaborare e aggiornare le metodologie di gestione dei rischi, le scale di classificazione degli incidenti e le misure di cibersicurezza adattate ai rischi per la cibersicurezza che incidono sui flussi transfrontalieri di energia elettrica.

Agli Stati membri spetta individuare, tramite l’autorità competente designata per il presente regolamento, i soggetti che soddisfano i criteri per essere designati soggetti ad alto impatto e a impatto critico. Al fine di eliminare le divergenze tra gli Stati membri a tale riguardo e garantire la certezza del diritto per quanto riguarda le misure di gestione dei rischi per la cibersicurezza e gli obblighi di segnalazione per tutti i soggetti pertinenti, è opportuno stabilire un insieme di criteri che determini quali soggetti rientrano nell’ambito di applicazione del presente regolamento. Tale insieme di criteri dovrebbe essere definito e regolarmente aggiornato attraverso il processo di elaborazione e adozione dei termini, delle condizioni e delle metodologie stabilito nel presente regolamento.

Le disposizioni del presente regolamento dovrebbero lasciare impregiudicate le norme specifiche previste nel diritto dell’Unione sulla certificazione dei prodotti delle tecnologie dell’informazione e della comunicazione («TIC»), dei servizi TIC e dei processi TIC, in particolare il regolamento (UE) 2019/881 per quanto riguarda il quadro per l’istituzione di sistemi europei di certificazione della cibersicurezza. Nel contesto del presente regolamento, i prodotti TIC dovrebbero includere anche dispositivi tecnici e software che consentano l’interazione diretta con la rete elettrotecnica, in particolare i sistemi di controllo industriale che possono essere utilizzati per la trasmissione, la distribuzione e la produzione di energia, nonché per la raccolta e trasmissione delle relative informazioni. Le disposizioni dovrebbero garantire che i prodotti TIC, i servizi TIC e i processi TIC da appaltare soddisfino i pertinenti obiettivi di sicurezza di cui all’articolo 51 del regolamento (UE) 2019/881.

Gli attacchi informatici recenti dimostrano che i soggetti sono sempre più bersaglio di attacchi alla catena di approvvigionamento. Questi attacchi non solo hanno un impatto sui singoli soggetti che rientrano nell’ambito di applicazione, ma possono anche avere un effetto a cascata e risultare in attacchi di maggiore portata nei confronti di altri soggetti collegati mediante la rete elettrica. Sono state pertanto aggiunte disposizioni e raccomandazioni per contribuire ad attenuare i rischi per la cibersicurezza associati ai processi della catena di approvvigionamento, in particolare gli appalti, che hanno un impatto sui flussi transfrontalieri di energia elettrica.

Poiché lo sfruttamento delle vulnerabilità dei sistemi informatici e di rete può causare gravi interruzioni dell’approvvigionamento energetico e danni all’economia e ai consumatori, tali vulnerabilità dovrebbero essere individuate e corrette rapidamente in modo da ridurre i rischi. Al fine di agevolare l’efficace attuazione del presente regolamento, i soggetti interessati e le autorità competenti dovrebbero cooperare per esercitare e sperimentare attività ritenute adeguate a tale scopo, compresi lo scambio di informazioni su minacce informatiche, attacchi informatici, vulnerabilità, strumenti e metodi, tattiche, tecniche e procedure, preparazione alla gestione delle crisi di cibersicurezza e altre esercitazioni. Considerando la costante evoluzione della tecnologia e i rapidi progressi della digitalizzazione del settore dell’energia elettrica, l’attuazione delle disposizioni adottate non dovrebbe pregiudicare l’innovazione o costituire un ostacolo all’accesso al mercato dell’energia elettrica e al successivo utilizzo di soluzioni innovative che contribuiscano all’efficienza e alla sostenibilità del sistema elettrico.

Le informazioni raccolte ai fini del controllo dell’attuazione del presente regolamento dovrebbero essere ragionevolmente limitate sulla base del principio della necessità di conoscere. I portatori di interessi dovrebbero poter presentare queste informazioni entro termini temporali realizzabili ed efficaci. È opportuno evitare la doppia notifica.

La protezione della cibersicurezza non si ferma alle frontiere dell’Unione. Un sistema sicuro esige il coinvolgimento dei paesi terzi vicini. L’Unione e i suoi Stati membri dovrebbero adoperarsi per sostenere i paesi terzi limitrofi la cui infrastruttura elettrica è collegata alla rete europea nell’applicazione di disposizioni in materia di cibersicurezza analoghe a quelle del presente regolamento.

Al fine di migliorare il coordinamento della sicurezza fin dalle prime fasi e sperimentare futuri termini, condizioni e metodologie vincolanti, l’ENTSO per l’energia elettrica, l’EU DSO e le autorità competenti dovrebbero iniziare a elaborare orientamenti non vincolanti immediatamente dopo l’entrata in vigore del presente regolamento. Gli orientamenti fungeranno da base per lo sviluppo dei termini, delle condizioni e delle metodologie futuri. Parallelamente, le autorità competenti dovrebbero individuare i soggetti candidati alla designazione come soggetti ad alto impatto e a impatto critico per avviare l’adempimento degli obblighi su base volontaria.

Il presente regolamento è stato elaborato in stretta collaborazione con l’ACER, l’ENISA, l’ENTSO per l’energia elettrica, l’EU DSO e altri portatori di interessi, al fine di adottare regole efficaci, equilibrate e proporzionate in modo trasparente e partecipativo.

Il presente regolamento integra e potenzia le misure di gestione delle crisi stabilite nel quadro di risposta alle crisi di cibersicurezza dell’UE di cui alla raccomandazione (UE) 2017/1584 della Commissione9. Un attacco informatico potrebbe anche causare una crisi dell’energia elettrica quale definita all’articolo 2, punto 9), del regolamento (UE) 2019/941, contribuirvi o coincidere con essa, con ripercussioni sui flussi transfrontalieri di energia elettrica. Ne potrebbe risultare una crisi simultanea dell’energia elettrica quale definita all’articolo 2, punto 10), del regolamento (UE) 2019/941. Un siffatto incidente potrebbe avere ripercussioni anche su altri settori dipendenti dalla sicurezza dell’approvvigionamento di energia elettrica. Qualora ciò si traduca in un incidente di cibersicurezza su vasta scala ai sensi dell’articolo 16 della direttiva (UE) 2022/2555, dovrebbero applicarsi le disposizioni del medesimo articolo che istituiscono la rete europea delle organizzazioni di collegamento per le crisi informatiche («EU-CyCLONe»). Per la gestione delle crisi a livello dell’Unione, le parti interessate dovrebbero affidarsi ai dispositivi integrati dell’UE per la risposta politica alle crisi («dispositivi IPCR») nel quadro della decisione di esecuzione (UE) 2018/1993 del Consiglio10.

Il presente regolamento dovrebbe lasciare impregiudicata la competenza degli Stati membri di adottare le misure necessarie per assicurare la tutela degli interessi essenziali della loro sicurezza, salvaguardare l’ordine pubblico e la pubblica sicurezza e consentire la ricerca, l’individuazione e il perseguimento dei reati, nel rispetto del diritto dell’Unione. Conformemente all’articolo 346 del TFUE, nessuno Stato membro è tenuto a fornire informazioni la cui divulgazione sia dallo stesso considerata contraria agli interessi essenziali della propria sicurezza.

Sebbene il presente regolamento si applichi, in via di principio, ai soggetti che svolgono attività di produzione di energia elettrica da centrali nucleari, alcune di tali attività possono essere collegate alla sicurezza nazionale.

A qualsiasi trattamento di dati personali ai sensi del presente regolamento dovrebbe applicarsi il diritto dell’Unione in materia di protezione dei dati personali e della vita privata. Il presente regolamento non pregiudica in particolare il regolamento (UE) 2016/67911, la direttiva 2002/58/CE12 e il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio13. Il presente regolamento non dovrebbe pertanto pregiudicare, tra l’altro, i compiti e i poteri delle autorità competenti di monitorare il rispetto del diritto dell’Unione in vigore in materia di protezione dei dati personali e della vita privata.

Data l’importanza della cooperazione internazionale in materia di cibersicurezza, le autorità competenti per l’esecuzione dei compiti loro assegnati a norma del presente regolamento e designate dagli Stati membri dovrebbero poter partecipare alle reti di cooperazione internazionale. Pertanto, ai fini dello svolgimento dei loro compiti, le autorità competenti dovrebbero poter scambiare informazioni, compresi i dati personali, con autorità competenti di paesi terzi, purché siano soddisfatte le condizioni previste dal diritto dell’Unione in materia di protezione dei dati per i trasferimenti di dati personali verso paesi terzi, tra cui quelle dell’articolo 49 del regolamento (UE) 2016/679.

Il trattamento dei dati personali, nella misura necessaria e proporzionata a garantire la sicurezza degli asset da parte di soggetti ad alto impatto o a impatto critico, potrebbe essere considerato lecito in virtù del fatto che è conforme a un obbligo legale cui è soggetto il titolare del trattamento, conformemente ai requisiti di cui all’articolo 6, paragrafo 1, lettera c), e all’articolo 6, paragrafo 3, del regolamento (UE) 2016/679. Il trattamento dei dati personali potrebbe essere necessario anche per i legittimi interessi perseguiti dai soggetti ad alto impatto o a impatto critico, nonché dai fornitori di tecnologie e servizi di sicurezza che agiscono per conto di tali soggetti, a norma dell’articolo 6, paragrafo 1, lettera f), del regolamento (UE) 2016/679, anche qualora sia necessario per accordi di condivisione delle informazioni in materia di cibersicurezza o per la notifica volontaria di informazioni pertinenti a norma del presente regolamento. Le misure relative alla prevenzione, al rilevamento, all’individuazione, al contenimento e all’analisi degli attacchi informatici e alla risposta agli stessi, le misure di sensibilizzazione in relazione a specifiche minacce informatiche, lo scambio di informazioni nel contesto della risoluzione e della divulgazione coordinata delle vulnerabilità, lo scambio volontario di informazioni su tali attacchi informatici, sulle minacce informatiche e sulle vulnerabilità, sugli indicatori di compromissione, sulle tattiche, sulle tecniche e le procedure, sugli allarmi di cibersicurezza e sugli strumenti di configurazione potrebbero richiedere il trattamento di talune categorie di dati personali, quali indirizzi IP, localizzatori uniformi di risorse (URL), nomi di dominio, indirizzi di posta elettronica e, laddove rivelino dati personali, marcature temporali. Il trattamento dei dati personali da parte delle autorità competenti, dei punti di contatto unici e dei CSIRT potrebbe costituire un obbligo legale o essere considerato necessario per svolgere un compito di interesse pubblico o connesso all’esercizio dei pubblici poteri di cui è investito il titolare del trattamento ai sensi dell’articolo 6, paragrafo 1, lettera c) o e), e dell’articolo 6, paragrafo 3, del regolamento (UE) 2016/679, o per perseguire un interesse legittimo dei soggetti ad alto impatto e a impatto critico di cui all’articolo 6, paragrafo 1, lettera f), di tale regolamento. Inoltre, il diritto nazionale potrebbe stabilire norme che consentano alle autorità competenti, ai punti di contatto unici e ai CSIRT, nella misura necessaria e proporzionata al fine di garantire la sicurezza dei sistemi informatici e di rete dei soggetti ad alto impatto o a impatto critico, di trattare categorie particolari di dati personali conformemente all’articolo 9 del regolamento (UE) 2016/679, in particolare prevedendo misure adeguate e specifiche per tutelare i diritti e gli interessi fondamentali delle persone fisiche, comprese limitazioni tecniche al riutilizzo di tali dati e l’uso di misure all’avanguardia in materia di sicurezza e di tutela della vita privata, quali la pseudonimizzazione o la cifratura qualora l’anonimizzazione possa incidere significativamente sulla finalità perseguita.

In molti casi gli attacchi informatici compromettono i dati personali. In tale contesto, le autorità competenti dovrebbero cooperare e scambiarsi informazioni su tutte le questioni pertinenti con le autorità di cui al regolamento (UE) 2016/679 e alla direttiva 2002/58/CE.

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 17 novembre 2023,

HA ADOTTATO IL PRESENTE REGOLAMENTO:

Capo I. Disposizioni generali

Art. 1 Oggetto

Il presente regolamento istituisce un codice di rete che dispone regole settoriali specifiche per gli aspetti di cibersicurezza dei flussi transfrontalieri di energia elettrica, anche su requisiti minimi comuni, pianificazione, monitoraggio, comunicazione e gestione delle crisi.

Art. 2 Ambito di applicazione

1. Il presente regolamento si applica agli aspetti di cibersicurezza dei flussi transfrontalieri di energia elettrica nelle attività dei seguenti soggetti, se sono individuati come soggetti ad alto impatto o a impatto critico a norma dell’articolo 24:

  1. a) le imprese elettriche quali definite all’articolo 2, punto 57), della direttiva (UE) 2019/944;

  2. b) i gestori del mercato elettrico designati quali definiti all’articolo 2, punto 8), della direttiva (UE) 2019/943;

  3. c) i mercati organizzati quali definiti all’articolo 2, punto 4), del regolamento di esecuzione (UE) n. 1348/2014 della Commissione14 che gestiscono operazioni su prodotti pertinenti ai flussi transfrontalieri di energia elettrica;

  4. d) i prestatori di servizi TIC critici di cui all’articolo 3, punto 9), del presente regolamento;

  5. e) l’ENTSO per l’energia elettrica istituita a norma dell’articolo 28 del regolamento (UE) 2019/943;

  6. f) l’EU DSO istituito a norma dell’articolo 52 del regolamento (UE) 2019/943;

  7. g) i responsabili del bilanciamento quali definiti all’articolo 2, punto 14), del regolamento (UE) 2019/943;

  8. h) i gestori di punti di ricarica quali definiti nell’allegato I della direttiva (UE) 2022/2555;

  9. i) i centri di coordinamento regionali (RCC) istituiti a norma dell’articolo 35 del regolamento (UE) 2019/943;

  10. j) i prestatori di servizi di sicurezza gestiti (MSSP) quali definiti all’articolo 6, punto 40), della direttiva (UE) 2022/2555;

  11. k) ogni altro soggetto o terzo cui sono state delegate o attribuite responsabilità a norma del presente regolamento.

2. Le autorità seguenti sono responsabili, nell’ambito dei loro attuali mandati, dell’esecuzione dei compiti assegnati dal presente regolamento:

  1. a) l’Agenzia dell’Unione europea per la cooperazione fra i regolatori nazionali dell’energia (ACER) istituita dal regolamento (UE) 2019/942 del Parlamento europeo e del Consiglio15;

  2. b) le autorità nazionali competenti per l’esecuzione dei compiti loro assegnati a norma del presente regolamento e designate dagli Stati membri a norma dell’articolo 4 («autorità competente»);

  3. c) le autorità nazionali di regolazione designate da ciascuno Stato membro ai sensi dell’articolo 57, paragrafo 1, della direttiva (UE) 2019/944;

  4. d) le autorità competenti per la preparazione ai rischi istituite a norma dell’articolo 3 del regolamento (UE) 2019/941;

  5. e) i team di risposta agli incidenti di sicurezza informatica («CSIRT») quali designati o istituiti a norma dell’articolo 10 della direttiva (UE) 2022/2555;

  6. f) le autorità competenti per la cibersicurezza quali designate o istituite a norma dell’articolo 8 della direttiva (UE) 2022/2555;

  7. g) l’Agenzia dell’Unione europea per la cibersicurezza, istituita a norma del regolamento (UE) 2019/881;

  8. h) ogni altra autorità o terzo cui sono state delegate o attribuite responsabilità a norma dell’articolo 4, paragrafo 3.

3. Il presente regolamento si applica anche a tutti i soggetti che non sono stabiliti nell’Unione ma prestano servizi a soggetti nell’Unione, a condizione che le autorità competenti li abbiano individuati come soggetti ad alto impatto o a impatto critico a norma dell’articolo 24, paragrafo 2.

4. Il presente regolamento lascia impregiudicata la responsabilità degli Stati membri di tutelare la sicurezza nazionale e il loro potere di salvaguardare altre funzioni essenziali dello Stato, tra cui la garanzia della sua integrità territoriale e il mantenimento dell’ordine pubblico.

5. Il presente regolamento lascia impregiudicata la responsabilità degli Stati membri di salvaguardare la sicurezza nazionale relativamente alle attività di produzione di energia elettrica da centrali nucleari, comprese le attività all’interno della catena del valore nucleare, conformemente ai trattati.

6. I soggetti, le autorità competenti, i punti di contatto unici a livello di soggetto e i CSIRT trattano i dati personali nella misura necessaria ai fini del presente regolamento e conformemente al regolamento (UE) 2016/679, in particolare trattandoli in base all’articolo 6 dello stesso.

Art. 3 Definizioni

Si applicano le definizioni seguenti:

  1. 1) «asset»: un’informazione, software o hardware nei sistemi informatici e di rete, materiale o immateriale, che ha valore per un singolo, un’organizzazione o un governo;

  2. 2) «autorità competente per la preparazione ai rischi»: l’autorità competente designata a norma dell’articolo 3 del regolamento (UE) 2019/941;

  3. 3) «team di risposta agli incidenti di sicurezza informatica»: il gruppo responsabile del trattamento dei rischi e degli incidenti conformemente all’articolo 10 della direttiva (UE) 2022/2555;

  4. 4) «asset a impatto critico»: l’asset necessario per eseguire un processo a impatto critico;

  5. 5) «soggetto a impatto critico»: il soggetto che svolge un processo a impatto critico e è individuato dalle autorità competenti conformemente all’articolo 24;

  6. 6) «perimetro di impatto critico»: il perimetro definito da un soggetto di cui all’articolo 2, paragrafo 1, che contiene tutti gli asset a impatto critico, in cui l’accesso agli asset può essere controllato e che definisce l’ambito di applicazione dei controlli avanzati di cibersicurezza;

  7. 7) «processo a impatto critico»: il processo operativo effettuato da un soggetto per il quale gli indici di impatto sulla cibersicurezza dell’energia elettrica sono superiori alla soglia di impatto critico;

  8. 8) «soglia di impatto critico»: i valori degli indici di impatto sulla cibersicurezza dell’energia elettrica di cui all’articolo 19, paragrafo 3, lettera b), al di sopra dei quali un attacco informatico a un processo operativo causa perturbazioni critiche dei flussi transfrontalieri di energia elettrica;

  9. 9) «prestatore di servizi TIC critici»: l’entità che fornisce un servizio TIC o un processo TIC necessari per un processo a impatto critico o ad alto impatto che incide sugli aspetti di cibersicurezza dei flussi transfrontalieri di energia elettrica e che, se compromesso, può determinare un attacco informatico con un impatto superiore alla soglia di impatto critico o di alto impatto;

  10. 10) «flusso transfrontaliero di energia elettrica»: il flusso transfrontaliero quale definito all’articolo 2, punto 3), del regolamento (UE) 2019/943;

  11. 11) «attacco informatico»: l’incidente quale definito all’articolo 3, punto 14), del regolamento (UE) 2022/2554;

  12. 12) «cibersicurezza»: la cibersicurezza quale definita all’articolo 2, punto 1), del regolamento (UE) 2019/881;

  13. 13) «controllo della cibersicurezza»: le azioni o le procedure svolte al fine di evitare, identificare, contrastare o ridurre al minimo i rischi per la cibersicurezza;

  14. 14) «incidente di cibersicurezza»: l’incidente quale definito all’articolo 6, punto 6), della direttiva (UE) 2022/2555;

  15. 15) «sistema di gestione della cibersicurezza»: le politiche, le procedure, gli orientamenti e le risorse e attività associate, gestite collettivamente da un soggetto nell’intento di proteggere i suoi asset informatici dalle minacce informatiche, istituendo, attuando, gestendo, monitorando, riesaminando, mantenendo e migliorando sistematicamente la sicurezza dei sistemi informatici e di rete di un’organizzazione;

  16. 16) «centro operativo per la cibersicurezza»: il centro apposito in cui una squadra tecnica composta da uno o più esperti, coadiuvata da sistemi informatici di cibersicurezza, esegue compiti connessi alla sicurezza (servizi del centro operativo per la cibersicurezza, «CSOC»), quali la gestione degli attacchi informatici e degli errori di configurazione della sicurezza, il monitoraggio della sicurezza, l’analisi dei log e l’identificazione degli attacchi informatici;

  17. 17) «minaccia informatica»: la minaccia informatica quale definita all’articolo 2, punto 8), del regolamento (UE) 2019/881;

  18. 18) «gestione delle vulnerabilità di cibersicurezza»: la pratica di individuare e affrontare le vulnerabilità;

  19. 19) «soggetto»: il soggetto quale definito all’articolo 6, punto 38), della direttiva (UE) 2022/2555;

  20. 20) «preallarme»: le informazioni necessarie per indicare il sospetto che l’incidente significativo sia stato causato da atti illeciti o dolosi o potrebbe avere un impatto transfrontaliero;

  21. 21) «indice di impatto sulla cibersicurezza dell’energia elettrica» («ECII»): l’indice o la scala che classifica le possibili conseguenze degli attacchi informatici per i processi operativi connessi ai flussi transfrontalieri di energia elettrica;

  22. 22) «sistema europeo di certificazione della cibersicurezza»: il sistema quale definito all’articolo 2, punto 9), del regolamento (UE) 2019/881;

  23. 23) «soggetto ad alto impatto»: il soggetto che svolge un processo ad alto impatto e è individuato dalle autorità competenti conformemente all’articolo 24;

  24. 24) «processo ad alto impatto»: il processo operativo effettuato da un soggetto per il quale gli indici di impatto sulla cibersicurezza dell’energia elettrica sono superiori alla soglia di alto impatto;

  25. 25) «asset ad alto impatto»: l’asset necessario per eseguire un processo ad alto impatto;

  26. 26) «soglia di alto impatto»: i valori degli indici di impatto sulla cibersicurezza dell’energia elettrica di cui all’articolo 19, paragrafo 3, lettera b), al di sopra dei quali un attacco informatico riuscito a un processo causa gravi perturbazioni dei flussi transfrontalieri di energia elettrica;

  27. 27) «perimetro di alto impatto»: il perimetro definito da un soggetto elencato all’articolo 2, paragrafo 1, che contiene tutti gli asset ad alto impatto, nel quale l’accesso agli risorse può essere controllato e che definisce l’ambito di applicazione dei controlli minimi di cibersicurezza;

  28. 28) «prodotto TIC»: il prodotto TIC quale definito all’articolo 2, punto 12), del regolamento (UE) 2019/881;

  29. 29) «servizio TIC»: il servizio TIC quale definito all’articolo 2, punto 13), del regolamento (UE) 2019/881;

  30. 30) «processo TIC»: il processo TIC quale definito all’articolo 2, punto 14), del regolamento (UE) 2019/881;

  31. 31) «sistema legacy»: il sistema legacy di TIC quale definito all’articolo 3, punto 3), del regolamento (UE) 2022/2554;

  32. 32) «punto di contatto unico nazionale»: il punto di contatto unico designato o istituito da ciascuno Stato membro a norma dell’articolo 8, paragrafo 3, della direttiva (UE) 2022/2555;

  33. 33) «autorità nazionali di gestione delle crisi informatiche nei sistemi informatici e di rete»: le autorità designate o istituite a norma dell’articolo 9, paragrafo 1, della direttiva (UE) 2022/2555;

  34. 34) «originatore»: il soggetto che avvia uno scambio di informazioni, una condivisione di informazioni o un’archiviazione di informazioni;

  35. 35) «capitolato di appalto»: le specifiche che i soggetti definiscono per l’appalto di prodotti TIC, processi TIC o servizi TIC nuovi o aggiornati;

  36. 36) «rappresentante»: la persona fisica o giuridica stabilita nell’Unione la quale è esplicitamente designata ad agire per conto di un soggetto ad impatto critico o ad alto impatto non stabilito nell’Unione ma che fornisce servizi a soggetti nell’Unione e alla quale l’autorità competente o il CSIRT può rivolgersi anziché rivolgersi al soggetto riguardo agli obblighi che a questi incombono a norma del presente regolamento;

  37. 37) «rischio»: il rischio quale definito all’articolo 6, punto 9), della direttiva (UE) 2022/2555;

  38. 38) «matrice dell’impatto del rischio»: la matrice utilizzata durante la valutazione del rischio per determinare il livello di impatto del rischio risultante per ciascun rischio valutato;

  39. 39) «crisi simultanea dell’energia elettrica»: la crisi dell’energia elettrica quale definita all’articolo 2, punto 10), del regolamento (UE) 2019/941;

  40. 40) «punto di contatto unico a livello di soggetto»: il punto di contatto unico a livello di soggetto designato a norma dell’articolo 38, paragrafo 1, lettera c);

  41. 41) «portatore di interessi»: la parte avente un interesse nel successo e nella continuità del funzionamento di un’organizzazione o di un processo, quali dipendenti, amministratori, azionisti, autorità di regolazione, associazioni, fornitori e clienti;

  42. 42) «norma»: la norma quale definita all’articolo 2, punto 1), del regolamento (UE) n. 1025/2012 del Parlamento europeo e del Consiglio16;

  43. 43) «regione di gestione del sistema»: una delle regioni di gestione del sistema quali definite nell’allegato I della decisione ACER 05-2022 sulla definizione di regioni di gestione del sistema, istituite a norma dell’articolo 36 del regolamento (UE) 2019/943;

  44. 44) «gestori di sistema»: il «gestore del sistema di distribuzione» (DSO) e il «gestore del sistema di trasmissione» (TSO) quali definiti all’articolo 2, punti 29) e 35), della direttiva (UE) 2019/944;

  45. 45) «processo a impatto critico a livello dell’Unione»: il processo del settore dell’energia elettrica, che può coinvolgere più soggetti, per il quale il possibile impatto di un attacco informatico può essere considerato critico in sede di valutazione del rischio per la cibersicurezza a livello dell’Unione;

  46. 46) «processo ad alto impatto a livello dell’Unione»: il processo del settore dell’energia elettrica, che può coinvolgere più soggetti, per il quale il possibile impatto di un attacco informatico può essere considerato alto in sede di valutazione del rischio per la cibersicurezza a livello dell’Unione;

  47. 47) «vulnerabilità sfruttata attivamente non risolta»: la vulnerabilità non ancora resa pubblica né ancora risolta e per la quale valide prove consentono di ritenere che un attore abbia eseguito un codice malevolo su un sistema senza l’autorizzazione del proprietario del sistema;

  48. 48) «vulnerabilità»: la vulnerabilità quale definita all’articolo 6, punto 15), della direttiva (UE) 2022/2555;

Art. 4 Autorità competente

1. Quanto prima e in ogni caso entro 13 dicembre 2024, ciascuno Stato membro designa un’autorità nazionale governativa o di regolazione responsabile dell’esecuzione dei compiti assegnati dal presente regolamento («autorità competente»). Fino a quando non siano stati assegnati all’autorità competente, i compiti previsti dal presente regolamento sono eseguiti dall’autorità di regolazione designata da ciascuno Stato membro a norma dell’articolo 57, paragrafo 1, della direttiva (UE) 2019/944.

2. Gli Stati membri notificano senza indugio alla Commissione, all’ACER, all’ENISA, al gruppo di cooperazione NIS istituito a norma dell’articolo 14 della direttiva (UE) 2022/2555 e al gruppo di coordinamento per l’energia elettrica istituito a norma dell’articolo 1 della decisione della Commissione del 15 novembre 201217 la loro autorità competente designata a norma del paragrafo 1 del presente articolo, con comunicazione del nome e dei recapiti, e ogni successiva modifica.

3. Gli Stati membri possono autorizzare la loro autorità competente a delegare i compiti assegnatile dal presente regolamento ad altre autorità nazionali, ad eccezione dei compiti elencati all’articolo 5. Ciascuna autorità competente controlla l’applicazione del presente regolamento da parte delle autorità cui ha delegato compiti. L’autorità competente comunica alla Commissione, all’ACER, al gruppo di coordinamento per l’energia elettrica, all’ENISA e al gruppo di cooperazione NIS il nome, i recapiti, i compiti assegnati, e le eventuali successive modifiche, delle autorità cui è stato delegato un compito.

Art. 5 Cooperazione tra le autorità e gli organismi competenti a livello nazionale

Le autorità competenti coordinano e garantiscono un’adeguata cooperazione tra le autorità competenti per la cibersicurezza, le autorità di gestione delle crisi informatiche, le autorità nazionali di regolazione, le autorità competenti per la preparazione ai rischi e i CSIRT ai fini dell’adempimento dei pertinenti obblighi di cui al presente regolamento. Le autorità competenti si coordinano inoltre con altri organismi o autorità stabiliti da ciascuno Stato membro al fine di garantire procedure efficaci ed evitare duplicazioni di compiti e obblighi. Le autorità competenti possono incaricare le rispettive autorità nazionali di regolazione di chiedere all’ACER un parere a norma dell’articolo 8, paragrafo 3.

Art. 6 Termini e condizioni o metodologie o piani

1. I TSO elaborano, in cooperazione con l’EU DSO, proposte di termini e condizioni o metodologie a norma del paragrafo 2, o di piani a norma del paragrafo 3.

2. I termini e condizioni o le metodologie elencati di seguito, nonché eventuali modifiche, sono subordinati all’approvazione di tutte le autorità competenti:

  1. a) le metodologie di valutazione del rischio per la cibersicurezza di cui all’articolo 18, paragrafo 1;

  2. b) la relazione globale di valutazione transfrontaliera del rischio per la cibersicurezza dell’energia elettrica a norma dell’articolo 23;

  3. c) i controlli minimi e avanzati di cibersicurezza a norma dell’articolo 29, la mappatura dei controlli sulla cibersicurezza dell’energia elettrica in riferimento alle norme di cui all’articolo 34, compresi i controlli minimi e avanzati di cibersicurezza nella catena di approvvigionamento conformemente all’articolo 33;

  4. d) una raccomandazione per gli appalti riguardo alla cibersicurezza a norma dell’articolo 35;

  5. e) la metodologia della scala di classificazione degli attacchi informatici a norma dell’articolo 37, paragrafo 8.

3. Le proposte di piani di attenuazione dei rischi per la cibersicurezza a livello regionale a norma dell’articolo 22 sono soggette all’approvazione di tutte le autorità competenti della regione di gestione del sistema interessata.

4. Le proposte di termini e condizioni e di metodologie di cui al paragrafo 2 o di piani di cui al paragrafo 3 includono una proposta di calendario attuativo e una descrizione dell’impatto previsto sugli obiettivi del presente regolamento.

5. L’EU DSO può fornire un parere motivato ai TSO interessati fino a 3 settimane prima del termine per la presentazione alle autorità competenti della proposta di termini e condizioni o di metodologie o di piani. I TSO responsabili della proposta di termini e condizioni o di metodologie o di piani tengono conto del parere motivato dell’EU DSO prima di presentarla alle autorità competenti per approvazione. I TSO motivano l’eventuale decisione di non prendere in considerazione il parere dell’EU DSO.

6. Se elaborano congiuntamente i termini e le condizioni, le metodologie e i piani, i TSO partecipanti cooperano strettamente. I TSO, con l’assistenza dell’ENTSO per l’energia elettrica e in cooperazione con l’EU DSO, informano regolarmente le autorità competenti e l’ACER in merito ai progressi compiuti nell’elaborazione dei termini e delle condizioni o delle metodologie o dei piani.

Art. 7 Regole di voto dei gestori dei sistemi di trasmissione (TSO)

Confronta versioni 2

1. Se non sono in grado di raggiungere un accordo, i TSO che decidono in merito alle proposte di termini e condizioni o di metodologie decidono a maggioranza qualificata. La maggioranza qualificata per tali proposte è calcolata come segue:

  1. a) TSO rappresentanti almeno il 55 % degli Stati membri; e

  2. b) TSO rappresentanti Stati membri che totalizzano almeno il 65 % della popolazione dell’Unione.

2. La minoranza di blocco per le decisioni riguardanti le proposte di termini e condizioni o di metodologie di cui all’articolo 6, paragrafo 2, comprende TSO che rappresentino almeno quattro Stati membri; in caso contrario si ritiene raggiunta la maggioranza qualificata.

3. Se non sono in grado di raggiungere un accordo in una regione composta da più di cinque Stati membri, i TSO che decidono in merito alle proposte di piani di cui all’articolo 6, paragrafo 3, deliberano a maggioranza qualificata. La maggioranza qualificata per le proposte di cui all’articolo 6, paragrafo 2, esige una maggioranza di:

  1. a) TSO rappresentanti almeno il 72 % degli Stati membri interessati; e

  2. b) TSO rappresentanti Stati membri che totalizzano almeno il 65 % della popolazione dell’area interessata.

4. La minoranza di blocco per le decisioni in merito a proposte di piani include almeno il numero minimo di TSO che rappresentano oltre il 35 % della popolazione degli Stati membri partecipanti, più i TSO che rappresentano almeno un altro Stato membro interessato; in caso contrario si ritiene raggiunta la maggioranza qualificata.

5. Per le decisioni dei TSO riguardanti proposte di termini e condizioni o di metodologie in applicazione dell’articolo 6, paragrafo 2, a ogni Stato membro è attribuito un voto. Se sul territorio di uno Stato membro esistono più TSO, lo Stato membro assegna i diritti di voto fra i TSO.

6. Se i TSO, in cooperazione con l’EU DSO, non presentano alle autorità competenti interessate una proposta iniziale o modificata di termini e condizioni o di metodologie, o di piani, entro i termini stabiliti nel presente regolamento, essi trasmettono alle autorità competenti interessate e all’ACER i progetti dei termini e delle condizioni o delle metodologie o dei piani. I TSO motivano il mancato raggiungimento di un accordo. Le autorità competenti prendono congiuntamente i provvedimenti opportuni per l’adozione dei termini e delle condizioni o delle metodologie necessari, o dei piani necessari. Può trattarsi, ad esempio, di chiedere modifiche dei progetti a norma del presente paragrafo, di rivederli e completarli o, se non sono stati trasmessi progetti, di definire e approvare i termini e le condizioni o le metodologie necessari, o i piani necessari.

Art. 8 Presentazione delle proposte alle autorità competenti

1. I TSO presentano le proposte di termini e condizioni o di metodologie, o di piani, per approvazione, alle autorità competenti interessate entro i rispettivi termini di cui agli articoli 18, 23, 29, 33, 34, 35 e 37. Le autorità competenti possono prorogare congiuntamente tali termini in circostanze eccezionali, in particolare nei casi in cui un termine non possa essere rispettato per motivi fuori del controllo dei TSO o dell’EU DSO.

2. Le proposte di termini e condizioni, di metodologie o di piani a norma del paragrafo 1 sono trasmesse per informazione all’ACER contemporaneamente alla presentazione alle autorità competenti.

3. Su richiesta congiunta delle autorità nazionali di regolazione, l’ACER formula un parere sulla proposta di termini e condizioni o di metodologie, o di piani, entro sei mesi dall’averla ricevuta, e lo trasmette alle autorità nazionali di regolazione e alle autorità competenti. Le autorità nazionali di regolazione, le autorità competenti per la cibersicurezza e ogni altra autorità designata come autorità competente si coordinano prima che le autorità di regolazione richiedano un parere all’ACER. L’ACER può includere nel parere le proprie raccomandazioni. Prima di emettere un parere sulle proposte di cui all’articolo 6, paragrafo 2, l’ACER consulta l’ENISA.

4. Le autorità competenti si consultano fra loro e mettono in atto una stretta cooperazione e coordinazione al fine di raggiungere un accordo sui termini e sulle condizioni, sulle metodologie o sui piani proposti. Prima di approvare i termini e le condizioni o le metodologie, o i piani, esse rivedono e completano le proposte, se necessario, previa consultazione dell’ENTSO per l’energia elettrica e dell’EU DSO, al fine di garantire che le proposte siano in linea con il presente regolamento e contribuiscano a un alto livello comune di cibersicurezza in tutta l’Unione.

5. Le autorità competenti decidono in merito ai termini e alle condizioni o alle metodologie o ai piani entro sei mesi dalla data in cui li hanno ricevuti o, se del caso, dalla data in cui li ha ricevuti l’ultima autorità competente interessata.

6. Qualora l’ACER emetta un parere, le autorità competenti interessate ne tengono conto e adottano le loro decisioni entro sei mesi dal suo ricevimento.

7. Qualora le autorità competenti richiedano congiuntamente una modifica dei termini e delle condizioni o delle metodologie o dei piani proposti, al fine di approvarli, i TSO elaborano, in collaborazione con l’EU DSO, una proposta di modifica. I TSO presentano la proposta modificata per approvazione entro due mesi dalla richiesta delle autorità competenti. Le autorità competenti decidono in merito ai termini e alle condizioni o alle metodologie o ai piani modificati entro due mesi dalla loro presentazione.

8. Qualora le autorità competenti non abbiano raggiunto un accordo entro il termine di cui al paragrafo 5 o 7, ne informano la Commissione. La Commissione può prendere i provvedimenti opportuni per rendere possibile l’adozione dei termini e condizioni o delle metodologie, o dei piani, necessari.

9. I TSO, con l’assistenza dell’ENTSO per l’energia elettrica e dell’EU DSO, pubblicano i termini e le condizioni o le metodologie, o i piani, sui loro siti web, previa approvazione delle autorità competenti interessate, salvo nei casi in cui tali informazioni sono considerate riservate a norma dell’articolo 47.

10. Le autorità competenti possono richiedere congiuntamente ai TSO e all’EU DSO proposte di modifica dei termini e delle condizioni o delle metodologie, o dei piani, da presentare entro un termine da esse stabilito. I TSO, in cooperazione con l’EU DSO, possono proporre modifiche alle autorità competenti anche di propria iniziativa. Le proposte di modifica dei termini e condizioni o delle metodologie, o dei piani, sono elaborate e approvate secondo la procedura di cui al presente articolo.

11. Almeno ogni tre anni dopo la prima adozione dei rispettivi termini e condizioni o metodologie, o dei rispettivi piani adottati, i TSO, in cooperazione con l’EU DSO, svolgono un riesame dell’efficacia dei termini e delle condizioni o delle metodologie, o dei piani adottati, e ne comunicano senza indebito ritardo i risultati alle autorità competenti e all’ACER.

Art. 9 Consultazione

1. I TSO, con l’assistenza dell’ENTSO per l’energia elettrica e in cooperazione con l’EU DSO, consultano i portatori di interessi, tra cui l’ACER, l’ENISA e l’autorità competente di ciascuno Stato membro, in merito ai progetti di proposte di termini e condizioni o di metodologie elencati all’articolo 6, paragrafo 2, e di piani di cui all’articolo 6, paragrafo 3. La consultazione ha una durata di almeno un mese.

2. Le proposte di termini e condizioni o di metodologie di cui all’articolo 6, paragrafo 2, presentate dai TSO, in cooperazione con l’EU DSO, sono pubblicate e sottoposte a consultazione a livello dell’Unione. Le proposte di piani di cui all’articolo 6, paragrafo 3, presentate a livello regionale dai TSO interessati, in cooperazione con l’EU DSO, sono pubblicate e sottoposte a consultazione almeno a livello regionale.

3. I TSO, con l’assistenza dell’ENTSO per l’energia elettrica, e dell’EU DSO responsabile della proposta di termini e condizioni o di metodologie, o di piani, tengono debitamente conto dei pareri dei portatori di interessi emersi dalle consultazioni svolte a norma del paragrafo 1, prima di presentarla per approvazione regolamentare. In ogni caso, insieme alla proposta è presentata una motivazione valida che giustifichi l’inclusione o l’esclusione dei punti di vista emersi dalla consultazione ed è pubblicata tempestivamente prima della proposta di termini e condizioni o di metodologie o contemporaneamente ad essa.

Art. 10 Partecipazione dei portatori di interessi

L’ACER, in stretta cooperazione con l’ENTSO per l’energia elettrica e con l’EU DSO, organizza la partecipazione dei portatori di interessi, anche mediante riunioni periodiche per individuare i problemi e proporre miglioramenti dell’attuazione del presente regolamento.

Art. 11 Recupero dei costi

1. I costi sostenuti dai TSO e dai DSO soggetti alla regolamentazione delle tariffe di rete e derivanti dagli obblighi stabiliti dal presente regolamento, compresi i costi sostenuti dall’ENTSO per l’energia elettrica e dall’EU DSO, sono valutati dall’autorità nazionale di regolazione competente di ciascuno Stato membro.

2. I costi ritenuti ragionevoli, efficienti e proporzionati sono recuperati mediante tariffe di rete o altri meccanismi appropriati, secondo quanto stabilito dall’autorità nazionale di regolazione competente.

3. Su richiesta delle autorità nazionali di regolazione competenti, i TSO e i DSO di cui al paragrafo 1 trasmettono, entro un termine ragionevole stabilito dall’autorità nazionale di regolazione, le informazioni necessarie per facilitare la valutazione dei costi sostenuti.

Fonti e licenze