CELEX: 32019H0553
Language: fi
Date: 2019-04-03 00:00:00
Title: Komission suositus (EU) 2019/553, annettu 3 päivänä huhtikuuta 2019, energia-alan kyberturvallisuudesta (tiedoksiannettu numerolla C(2019) 2400)

5.4.2019   
            
            
               FI
            
            
               Euroopan unionin virallinen lehti
            
            
               L 96/50
            
         
      KOMISSION SUOSITUS (EU) 2019/553,
      annettu 3 päivänä huhtikuuta 2019,
      energia-alan kyberturvallisuudesta
      
         
            (tiedoksiannettu numerolla C(2019) 2400)
         
      
      EUROOPAN KOMISSIO, joka
      ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 292 artiklan,
      sekä katsoo seuraavaa:
      
                  (1)
               
               
                  Euroopan energia-alalla on meneillään merkittävä muutos kohti vähähiilistä taloutta, jossa toimitusvarmuus ja kilpailukyky ovat turvattuina. Osana tätä energiakäännettä ja siihen liittyvää uusiutuviin energianlähteisiin perustuvan energiantuotannon hajauttamista teknologian kehitys, alojen yhteenliittäminen ja digitalisaatio ovat muuttamassa Euroopan sähköverkon ”älyverkoksi”. Tämä kehitys tuo samalla myös uusia riskejä, kun digitalisaatio saattaa energiajärjestelmän yhä alttiimmaksi kyberhyökkäyksille ja -häiriöille, jotka voivat vaarantaa energian toimitusvarmuuden.
               
            
                  (2)
               
               
                  ”Puhdasta energiaa kaikille eurooppalaisille” -paketin kaikkien kahdeksan säädösehdotuksen (1), mukaan lukien paketille ponnahduslautana toiminut energiaunionin hallintoa koskeva säädös, hyväksyminen mahdollistaa suotuisat olosuhteet energia-alan digitalisaatiolle. Siinä otetaan myös huomioon energia-alan kyberturvallisuuden tärkeys. Erityisesti sähkön sisämarkkinoita koskevassa uudelleenlaaditussa asetuksessa (2) säädetään sähköä koskevien teknisten sääntöjen antamisesta, esimerkiksi rajat ylittävien sähkönsiirtojen kyberturvallisuusnäkökohtiin liittyviä alakohtaisia sääntöjä, yhteisiä vähimmäisvaatimuksia, suunnittelua, seurantaa, raportointia ja kriisinhallintaa koskevat verkkosäännöt. Riskeihin varautumista sähköalalla koskevassa asetuksessa (3) noudatetaan pitkälti kaasun toimitusvarmuutta koskevan asetuksen (4) lähestymistapaa eli korostetaan kaikkien riskien, mukaan lukien kyberturvallisuuteen liittyvät riskit, asianmukaisen arvioimisen tärkeyttä ja ehdotetaan toimenpiteiden toteuttamista todettujen riskien ehkäisemiseksi ja lieventämiseksi.
               
            
                  (3)
               
               
                  Kun komissio hyväksyi EU:n kyberturvallisuusstrategian (5) vuonna 2013, sen yksi painopiste oli unionin kyberuhkien sietokyvyn vahvistaminen. Yksi strategian keskeisistä tuloksista on verkko- ja tietojärjestelmien turvallisuutta koskeva direktiivi (6) (jäljempänä ’verkko- ja tietoturvadirektiivi’), joka annettiin heinäkuussa 2016. Verkko- ja tietoturvadirektiivi on ensimmäinen osa kyberturvallisuutta koskevaa EU:n horisontaalista lainsäädäntöä ja parantaa kyberturvallisuuden yleistä tasoa unionissa kehittämällä kansallisia kyberturvallisuusvalmiuksia, lisäämällä EU:n tason yhteistyötä ja ottamalla käyttöön turvallisuutta ja poikkeamista ilmoittamista koskevia velvoitteita yrityksille, joihin viitataan ”keskeisten palvelujen tarjoajina”. Poikkeamista ilmoittaminen on pakollista keskeisillä aloilla, mukaan lukien energia-ala.
               
            
                  (4)
               
               
                  Kyberturvallisuuteen liittyviä valmistautumistoimia toteutettaessa asianomaisten sidosryhmien, mukaan lukien verkko- ja tietoturvadirektiivissä määritetyt keskeisten energiapalvelujen tarjoajat, olisi otettava huomioon verkko- ja tietoturvadirektiivin 11 artiklan nojalla perustetun verkko- ja tietoturva-alan yhteistyöryhmän laatimat horisontaaliset ohjeet. Mainittu yhteistyöryhmä, joka koostuu jäsenvaltioiden, Euroopan unionin kyberturvallisuusviraston (ENISA) sekä komission edustajista, on antanut turvatoimia ja poikkeamista ilmoittamista koskevia ohjeasiakirjoja. Kesäkuussa 2018 yhteistyöryhmä laati energiaa koskevan erillisen menettelyn.
               
            
                  (5)
               
               
                  Vuonna 2017 julkaistussa kyberturvallisuutta koskevassa yhteisessä tiedonannossa (7) todetaan, että EU:n tason alakohtaiset näkökohdat ja vaatimukset ovat tärkeitä myös energia-alalla. Kyberturvallisuudesta ja mahdollisista poliittisista vaikutuksista on viime vuosina käyty unionissa kattavaa keskustelua. Näin ollen ollaan yhä tietoisempia siitä, että yksittäisillä talouden aloilla on erityisiä kyberturvallisuuteen liittyviä kysymyksiä, minkä vuoksi niiden on tarpeen kehittää omat alakohtaiset lähestymistapansa laajemmassa yleisten kyberturvallisuusstrategioiden kontekstissa.
               
            
                  (6)
               
               
                  Tietojen vaihto ja luottamus ovat kyberturvallisuuden keskeisiä tekijöitä. Komissio pyrkii lisäämään asianomaisten sidosryhmien välistä tietojen vaihtoa järjestämällä erityisiä tapahtumia, esimerkkeinä mainittakoon Roomassa maaliskuussa 2017 järjestetty korkean tason kokous energia-alan kyberturvallisuudesta ja Brysselissä lokakuussa 2018 järjestetty korkean tason konferenssi energia-alan kyberturvallisuudesta. Komissio haluaa myös tehostaa yhteistyötä asianomaisten sidosryhmien ja erikoistuneiden tahojen kuten eurooppalaisen energia-alan tiedonjako- ja analyysikeskuksen välillä.
               
            
                  (7)
               
               
                  Asetuksella EU:n kyberturvallisuusvirasto ENISAsta ja tieto- ja viestintätekniikan kyberturvallisuussertifioinnista (”kyberturvallisuusasetus”) (8) vahvistetaan EU:n kyberturvallisuusviraston toimeksiantoa jäsenvaltioiden tukemiseksi paremmin kyberturvallisuuteen liittyvien uhkien ja hyökkäysten torjunnassa. Lisäksi siinä luodaan tuotteiden, prosessien ja palveluiden sertifioimiseen liittyvä Euroopan kyberturvallisuuskehys, joka on voimassa koko unionissa ja koskee erityisesti energia-alaa.
               
            
                  (8)
               
               
                  Komissio on esittänyt viidennen sukupolven (5G) verkkoteknologioiden kyberturvallisuusriskeihin vastaamista koskevan suosituksen (9) antaen ohjeita asianmukaisista kansallisen tason riskianalyysi- ja riskinhallintatoimenpiteistä, koordinoidun eurooppalaisen riskianalyysin kehittämisestä ja prosessin laatimisesta riskinhallintatoimenpiteitä koskevien yhteisten parhaiden käytäntöjen kehittämiseksi. Kun 5G-verkot otetaan käyttöön, ne muodostavat selkärangan laajalle määrälle palveluja, jotka ovat olennaisia sisämarkkinoiden toiminnan ja yhteiskunnan ja talouden keskeisten toimintojen kuten energian kannalta.
               
            
                  (9)
               
               
                  Tämän suosituksen olisi tarjottava suuntaa-antavaa ohjeistusta jäsenvaltioille ja asianomaisille sidosryhmille, erityisesti verkonhaltijoille ja teknologian toimittajille, paremman kyberturvallisuuden tason saavuttamiseksi ottaen huomioon energia-alaa koskevat erityiset reaaliaikaisuusvaatimukset, ketjureaktiovaikutukset sekä vanhojen ja viimeisintä kehitystä edustavien teknologioiden yhdistäminen. Tämän ohjeistuksen tavoitteena on auttaa sidosryhmiä pitämään mielessä energia-alan erityisvaatimukset niiden pannessa täytäntöön kansainvälisesti tunnustettuja kyberturvallisuusstandardeja (10).
               
            
                  (10)
               
               
                  Komissio aikoo tarkistaa tätä suositusta säännöllisesti unionissa saavutetun edistyksen perusteella kuullen myös jäsenvaltioita ja asianomaisia sidosryhmiä. Komissio jatkaa ponnistelujaan energia-alan kyberturvallisuuden vahvistamiseksi erityisesti verkko- ja tietoturva-alan yhteistyöryhmän kautta, millä varmistetaan jäsenvaltioiden välinen strateginen yhteistyö ja tietojen vaihto kyberturvallisuuden alalla,
               
            ON ANTANUT TÄMÄN SUOSITUKSEN:
      
         KOHDE
      
      
               
                  (1)
               
               
                  Tässä suosituksessa esitetään tärkeimmät energia-alan kyberturvallisuuteen liittyvät kysymykset eli reaaliaikaisuusvaatimukset, ketjureaktiovaikutukset sekä vanhojen ja viimeisintä kehitystä edustavien teknologioiden yhdistäminen, ja määritetään tärkeimmät toimet kyberturvallisuuteen liittyvien valmistautumistoimien täytäntöönpanemiseksi energia-alalla.
               
            
               
                  (2)
               
               
                  Jäsenvaltioiden olisi tätä suositusta soveltaessaan kannustettava asianomaisia sidosryhmiä kehittämään energia-alan kyberturvallisuuteen liittyviä tietoja ja taitoja. Jäsenvaltioiden olisi tarvittaessa sisällytettävä nämä näkökohdat kansalliseen kyberturvallisuuskehykseensä erityisesti strategioiden, lakien, asetusten ja muiden hallinnollisten määräysten avulla.
               
            
         ENERGIAINFRASTRUKTUURIN OSIEN REAALIAIKAISUUSVAATIMUKSET
      
      
               
                  (3)
               
               
                  Jäsenvaltioiden olisi varmistettava, että asianomaiset sidosryhmät, erityisesti energiaverkkojen haltijat ja teknologian toimittajat ja etenkin verkko- ja tietoturvadirektiivissä määritetyt keskeisten palvelujen tarjoajat, panevat täytäntöön asianmukaiset kyberturvallisuutta koskevat valmistautumistoimet, jotka liittyvät reaaliaikaisuusvaatimuksiin energia-alalla. Tiettyjen energiajärjestelmän osien on toimittava ”reaaliajassa” eli reagoitava komentoihin muutamassa millisekunnissa, joten kyberturvallisuustoimenpiteiden käyttöönotto on ajanpuutteen vuoksi vaikeaa tai jopa mahdotonta.
               
            
               
                  (4)
               
               
                  Energiaverkkojen haltijoiden olisi erityisesti:
                  
                              a)
                           
                           
                              sovellettava uusiin laitteistoihin uusimpia turvallisuusstandardeja aina sen ollessa aiheellista ja harkittava täydentäviä fyysisiä turvatoimia, kun kyberturvallisuusmekanismit eivät ole riittäviä vanhojen laitteistojen laitekannan suojaamiseksi;
                           
                        
                              b)
                           
                           
                              pantava täytäntöön kansainväliset kyberturvallisuusstandardit ja asianmukaiset turvallista reaaliaikaista viestintää koskevat erityiset tekniset standardit välittömästi tuotteiden tullessa kaupallisesti saataville;
                           
                        
                              c)
                           
                           
                              otettava huomioon reaaliaikaisuudesta aiheutuvat rajoitteet resurssien yleisessä turvallisuuskäsitteessä, etenkin resurssien luokittelussa;
                           
                        
                              d)
                           
                           
                              harkittava yksityisomistuksessa olevia verkkoja kaukoturvajärjestelmien käyttöön reaaliaikaisuusrajoitteiden vuoksi vaadittavan palvelunlaadun varmistamiseksi; yleisiä viestintäverkkoja käytettäessä verkonhaltijoiden olisi harkittava erityisen taajuusalueen varmistamista, vasteaikavaatimuksia ja viestintäturvallisuuteen liittyviä toimenpiteitä;
                           
                        
                              e)
                           
                           
                              jaettava koko järjestelmä loogisiksi vyöhykkeiksi ja kunkin vyöhykkeen osalta määritettävä aika- ja prosessirajoitteet, jotta voidaan mahdollistaa asianmukaisten kyberturvallisuustoimenpiteiden soveltaminen tai harkita vaihtoehtoisia suojausmenetelmiä.
                           
                        
            
               
                  (5)
               
               
                  Lisäksi energiaverkkojen haltijoiden olisi mahdollisuuksien mukaan:
                  
                              a)
                           
                           
                              valittava turvallinen viestintäprotokolla ottaen huomioon reaaliaikaisuusvaatimukset esimerkiksi laitteiston ja sen hallintajärjestelmien välillä (energianhallintajärjestelmä/jakelunhallintajärjestelmä);
                           
                        
                              b)
                           
                           
                              otettava käyttöön asianmukainen, laitteiden välistä viestintää koskeva todentamismekanismi, joka täyttää reaaliaikaisuusvaatimukset.
                           
                        
            
         KETJUREAKTIOVAIKUTUKSET
      
      
               
                  (6)
               
               
                  Jäsenvaltioiden olisi varmistettava, että asianomaiset sidosryhmät, erityisesti energiaverkkojen haltijat ja teknologian toimittajat ja etenkin verkko- ja tietoturvadirektiivissä määritetyt keskeisten palvelujen tarjoajat, panevat täytäntöön asianmukaiset kyberturvallisuutta koskevat valmistautumistoimet, jotka liittyvät ketjureaktiovaikutuksiin energia-alalla. Euroopan sähköverkot ja kaasuputket ovat vahvasti sidoksissa toisiinsa, ja käyttökatkon tai häiriön osassa energiajärjestelmää aiheuttava kyberhyökkäys voisi aiheuttaa kauaskantoisia ketjureaktiovaikutuksia järjestelmän muihin osiin.
               
            
               
                  (7)
               
               
                  Jäsenvaltioiden olisi tätä suositusta soveltaessaan arvioitava sähköntuotanto- ja kysyntäjoustojärjestelmien, siirto- ja jakeluasemien, siirto- ja jakelujohtojen sekä niihin liittyvien sidosryhmien (mukaan lukien rajat ylittävät tilanteet) väliset riippuvuudet ja kriittisyys onnistuneen kyberhyökkäyksen tai -häiriön tapauksessa. Lisäksi jäsenvaltioiden olisi varmistettava, että energiaverkkojen haltijoilla on yhdessä tärkeimpien sidosryhmien kanssa viestintäkehys, jolla voidaan jakaa varhaisia varoitusmerkkejä ja tehdä yhteistyötä kriisinhallinnassa. Arkaluonteisten tietojen jakamiseksi kaikkien asianomaisten sidosryhmien, tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden sekä asianomaisten viranomaisten kanssa olisi oltava käytössä jäsenneltyjä viestintäkanavia ja yhteisesti sovittuja malleja.
               
            
               
                  (8)
               
               
                  Energiaverkkojen haltijoiden olisi erityisesti:
                  
                              a)
                           
                           
                              varmistettava, että uusien laitteiden, mukaan lukien esineiden internetiin kuuluvat laitteet, kyberturvallisuuden taso on laitoksen kriittisyyden kannalta riittävä ja pysyy riittävänä myös tulevaisuudessa;
                           
                        
                              b)
                           
                           
                              otettava kyberfyysiset vaikutukset asianmukaisesti huomioon laatiessaan ja säännöllisesti arvioidessaan liiketoiminnan jatkuvuussuunnitelmia;
                           
                        
                              c)
                           
                           
                              laadittava suunnittelukriteerit ja rakenne kestävälle verkolle, joka voitaisiin saavuttaa:
                              
                                          —
                                       
                                       
                                          ottamalla käyttöön perusteellisia laitoskohtaisia suojatoimenpiteitä, jotka on suunniteltu laitoksen kriittisyyden perusteella;
                                       
                                    
                                          —
                                       
                                       
                                          tunnistamalla kriittiset solmukohdat sekä sähköntuotantokapasiteetin että asiakkaiden vaikutuksen osalta; verkon kriittiset toiminnot olisi suunniteltava siten, että pienennetään riskejä, jotka voivat aiheuttaa ketjureaktiovaikutuksia, ottamalla huomioon varmennus, vaiheheilahtelun kestokyky sekä suojatoimet kaskadimaisesti leviäviä katkoksia vastaan;
                                       
                                    
                                          —
                                       
                                       
                                          tekemällä yhteistyötä muiden asianomaisten toimijoiden ja teknologian toimittajien kanssa ketjureaktiovaikutusten ehkäisemiseksi asianmukaisten toimenpiteiden ja palvelujen avulla;
                                       
                                    
                                          —
                                       
                                       
                                          suunnittelemalla ja rakentamalla viestintä- ja valvontaverkostot siten, että mahdolliset fyysiset ja loogiset viat eivät pääse leviämään rajattujen verkostojen osien ulkopuolelle ja lieventämistoimenpiteiden riittävyys ja ripeys varmistetaan.
                                       
                                    
                        
            
         VANHA JA VIIMEISINTÄ KEHITYSTÄ EDUSTAVA TEKNOLOGIA
      
      
               
                  (9)
               
               
                  Jäsenvaltioiden olisi varmistettava, että asianomaiset sidosryhmät, erityisesti energiaverkkojen haltijat ja teknologian toimittajat ja etenkin verkko- ja tietoturvadirektiivissä määritetyt keskeisten palvelujen tarjoajat, panevat täytäntöön asianmukaiset kyberturvallisuutta koskevat valmistautumistoimet, jotka liittyvät vanhan ja viimeisintä kehitystä edustavan teknologian yhdistämiseen energia-alalla. Nykyisessä energiajärjestelmässä on käytössä kahdentyyppisiä teknologioita: vanhempaa teknologiaa, jonka elinkaari on 30–60 vuotta ja joka on suunniteltu ennen kyberturvallisuusnäkökohtia, sekä nykyaikaisia laitteita, jotka edustavat digitalisaation viimeisintä kehitystä ja älylaitteita.
               
            
               
                  (10)
               
               
                  Jäsenvaltioiden olisi tätä suositusta soveltaessaan kannustettava energiaverkkojen haltijoita ja teknologian toimittajia noudattamaan oleellisia kansainvälisesti hyväksyttyjä kyberturvallisuusstandardeja aina kun mahdollista. Sidosryhmien ja asiakkaiden olisi puolestaan noudatettava kyberturvallisuuslähtöistä lähestymistapaa yhdistäessään laitteita verkkoon.
               
            
               
                  (11)
               
               
                  Erityisesti teknologian toimittajien olisi tarjottava testattuja ratkaisuja vanhojen ja uusien teknologioiden turvallisuusongelmiin veloituksetta ja välittömästi turvallisuusongelman tullessa ilmi.
               
            
               
                  (12)
               
               
                  Energiaverkkojen haltijoiden olisi erityisesti:
                  
                              a)
                           
                           
                              analysoitava vanhan teknologian ja esineiden internetin yhdistämiseen liittyvät riskit ja tiedostettava sisäiset ja ulkoiset rajapinnat ja niiden haavoittuvuudet;
                           
                        
                              b)
                           
                           
                              toteutettava asianmukaisia toimenpiteitä suojautumiseksi vihamielisiltä hyökkäyksiltä, jotka toteutetaan ottamalla vahingoittamistarkoituksessa hallintaan suuri määrä kuluttajalaitteita tai sovelluksia;
                           
                        
                              c)
                           
                           
                              laadittava automaattiset seuranta- ja analysointivalmiudet vanhan teknologian ja esineiden internetin turvallisuuteen liittyville tapahtumille kuten epäonnistuneille sisäänkirjautumisyrityksille, kaapin oven avaamisen laukaisemille hälytyksille ja muille tapahtumille;
                           
                        
                              d)
                           
                           
                              suoritettava säännöllisesti erityinen kyberturvallisuusriskianalyysi kaikkien vanhojen laitteistojen osalta erityisesti silloin, kun yhdistetään vanhaa ja uutta teknologiaa; koska vanhat laitteistot muodostavat usein merkittävän osan resursseista, riskianalyysin voisi suorittaa resurssiluokittain;
                           
                        
                              e)
                           
                           
                              päivitettävä vanhojen järjestelmien ja esineiden internetin järjestelmien ohjelmistot ja laitteistot aina tarvittaessa; näin toimiessaan energiaverkkojen haltijoiden tulisi harkita täydentäviä toimenpiteitä kuten järjestelmien eriyttämistä tai ulkoisen suojauksen lisäämistä silloin, kun korjaukset tai päivitykset olisivat aiheellisia mutta eivät mahdollisia, esimerkiksi tuotteet, joita ei tueta;
                           
                        
                              f)
                           
                           
                              otettava kyberturvallisuus huomioon tarjouskilpailuja laadittaessa eli vaadittava tietoa turvallisuusominaisuuksista, varmistettava nykyisten kyberturvallisuusstandardien noudattaminen, varmistettava jatkuvat ehdotukset hälytys-, korjaus- ja lieventämistoimenpiteistä löydettäessä haavoittuvuuksia, ja selvennettävä myyjän vastuuta kyberhyökkäysten ja -häiriöiden yhteydessä;
                           
                        
                              g)
                           
                           
                              tehtävä yhteistyötä teknologian toimittajien kanssa vanhojen järjestelmien korvaamiseksi aina, kun se on turvallisuussyistä hyödyllistä, mutta otettava huomioon kriittiset järjestelmätoiminnot.
                           
                        
            
         VALVONTA
      
      
               
                  (13)
               
               
                  Jäsenvaltioiden olisi ilmoitettava komissiolle 12 kuukauden kuluessa tämän suosituksen antamisesta ja sen jälkeen joka toinen vuosi yksityiskohtaiset tiedot tämän suosituksen täytäntöönpanon edistymisestä verkko- ja tietoturva-alan yhteistyöryhmän kautta.
               
            
         UUDELLEENTARKASTELU
      
      
               
                  (14)
               
               
                  Komissio tarkastelee jäsenvaltioiden toimittamien tietojen perusteella tämän suosituksen täytäntöönpanoa ja arvioi lisätoimenpiteiden tarpeellisuutta kuullen myös jäsenvaltioita ja asianomaisia sidosryhmiä.
               
            
         OSOITUS
      
      
               
                  (15)
               
               
                  Tämä suositus on osoitettu kaikille jäsenvaltioille.
               
            
         Tehty Brysselissä 3 päivänä huhtikuuta 2019.
         
            
               Komission puolesta
            
            Miguel ARIAS CAÑETE
            
               Komission jäsen
            
         
      
      
         (1)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2018/2001, annettu 11 päivänä joulukuuta 2018, uusiutuvista lähteistä peräisin olevan energian käytön edistämisestä (EUVL L 328, 21.12.2018, s. 82). Euroopan parlamentin ja neuvoston direktiivi (EU) 2018/2002, annettu 11 päivänä joulukuuta 2018, energiatehokkuudesta annetun direktiivin 2012/27/EU muuttamisesta (EUVL L 328, 21.12.2018, s. 210). Euroopan parlamentin ja neuvoston asetus (EU) 2018/1999, annettu 11 päivänä joulukuuta 2018, energiaunionin ja ilmastotoimien hallinnosta, Euroopan parlamentin ja neuvoston asetusten (EY) N:o 663/2009 ja (EY) N:o 715/2009, Euroopan parlamentin ja neuvoston direktiivien 94/22/EY, 98/70/EY, 2009/31/EY, 2009/73/EY, 2010/31/EU, 2012/27/EU ja 2013/30/EU, neuvoston direktiivien 2009/119/EY ja (EU) 2015/652 muuttamisesta sekä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 525/2013 kumoamisesta (EUVL L 328, 21.12.2018, s. 1). Euroopan parlamentin ja neuvoston direktiivi (EU) 2018/844, annettu 30 päivänä toukokuuta 2018, rakennusten energiatehokkuudesta annetun direktiivin 2010/31/EU ja energiatehokkuudesta annetun direktiivin 2012/27/EU muuttamisesta (EUVL L 156, 19.6.2018, s. 75). Euroopan parlamentti vahvisti sähkömarkkinoiden rakennetta koskevista ehdotuksista (riskeihin varautumista koskeva asetus, energia-alan sääntelyviranomaisten yhteistyöviraston (ACER) perustamisasetus sekä sähködirektiivi ja sähköasetus) maaliskuussa 2019 pidetyssä täysistunnossa neuvoston kanssa saavutetun poliittisen yhteisymmärryksen. Neuvoston odotetaan antavan virallinen hyväksyntänsä huhtikuussa, ja pian tämän jälkeen säädösteksti julkaistaan EUVL:ssä.
      
         (2)  COM(2016) 861 final.
      
         (3)  COM(2016) 862 final.
      
         (4)  Euroopan parlamentin ja neuvoston asetus (EU) 2017/1938, annettu 25 päivänä lokakuuta 2017, toimista kaasun toimitusvarmuuden turvaamiseksi ja asetuksen (EU) N:o 994/2010 kumoamisesta (EUVL L 280, 28.10.2017, s. 1).
      
         (5)  JOIN(2013) 1.
      
         (6)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148, annettu 6 päivänä heinäkuuta 2016, toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (EUVL L 194, 19.7.2016, s. 1).
      
         (7)  JOIN(2017) 450.
      
         (8)  Euroopan parlamentti hyväksyi kyberturvallisuusasetuksen maaliskuussa 2019. Neuvoston odotetaan antavan virallinen hyväksyntänsä huhtikuussa, ja pian tämän jälkeen säädösteksti julkaistaan EUVL:ssä.
      
         (9)  C(2019) 2335.
      
         (10)  Kansainväliset standardointijärjestöt ovat julkaisseet useita kyberturvallisuuteen (ISO/IEC 27000: Informaatioteknologia) ja riskienhallintaan (ISO/IEC 31000: Riskienhallinta) liittyviä standardeja. Erityinen energia-alaan liittyvä standardi (ISO/IEC 27019: Information security controls for the energy utility industry) laadittiin osana ISO/IEC 27000 -sarjaa lokakuussa 2017.