Με τις αλλαγές που προτείνει στον Κώδικα Διαχείρισης του ΕΣΜΗΕ, τα περιστατικά κυβερνοασφάλειας αντιμετωπίζονται πλέον ως δυνητική απειλή για την ίδια την ασφαλή λειτουργία του ηλεκτρικού συστήματος, ενώ θεσπίζονται σαφέστερες ευθύνες για την πρόληψη, την παρακολούθηση και την άμεση αναφορά τους. Η πρόταση τροποποίησης του Κώδικα, την οποία υπέβαλε ο ΑΔΜΗΕ στη ΡΑΑΕΥ και έχει τεθεί σε δημόσια διαβούλευση, διευρύνει τον ορισμό των σημαντικών περιστατικών κυβερνοασφάλειας και παράλληλα ενισχύει τις υποχρεώσεις τόσο του Διαχειριστή όσο και των χρηστών του Συστήματος για την πρόληψη, τον εντοπισμό και την άμεση γνωστοποίησή τους. Κομβικό στοιχείο των αλλαγών αποτελεί η ρητή σύνδεση του Κώδικα Διαχείρισης του ΕΣΜΗΕ με την ευρωπαϊκή Οδηγία NIS 2 για την κυβερνοασφάλεια. Ειδικότερα, προτείνεται να προστεθεί στο άρθρο 1.3 αναφορά στην Οδηγία (ΕΕ) 2022/2555, η οποία καθορίζει το ευρωπαϊκό πλαίσιο για την επίτευξη υψηλού κοινού επιπέδου κυβερνοασφάλειας στην Ευρωπαϊκή Ένωση. Παράλληλα, διευρύνεται ο ορισμός των «Σημαντικών Περιστατικών του ΕΣΜΗΕ». Μέχρι σήμερα σε αυτά περιλαμβάνονταν συμβάντα ικανά να επηρεάσουν τη λειτουργία του Συστήματος, όπως λειτουργία εγκαταστάσεων πέραν των επιτρεπόμενων ορίων, ακραίες καιρικές συνθήκες, βλάβες εξοπλισμού, προβλήματα στα συστήματα ελέγχου, επικοινωνιών ή μετρήσεων, καθώς και μη προγραμματισμένοι χειρισμοί. Με την προτεινόμενη τροποποίηση στη συγκεκριμένη κατηγορία εντάσσονται ρητά και τα επιβεβαιωμένα περιστατικά κυβερνοασφάλειας, όταν αυτά μπορούν να προκαλέσουν μη ελεγχόμενη ή μη συμφωνημένη μεταβολή στη διαθεσιμότητα, την ακεραιότητα ή την εμπιστευτικότητα υπηρεσιών και πληροφοριών. Στην πράξη, η κυβερνοασφάλεια παύει να αντιμετωπίζεται αποκλειστικά ως ζήτημα πληροφοριακών και τηλεπικοινωνιακών συστημάτων και συνδέεται ευθέως με την ασφάλεια λειτουργίας του ηλεκτρικού συστήματος. Ένα κυβερνοπεριστατικό μπορεί πλέον να χαρακτηριστεί σημαντικό περιστατικό του ΕΣΜΗΕ εφόσον είναι ικανό να επηρεάσει κρίσιμες λειτουργίες ή πληροφορίες.
Αυστηρότερο γίνεται και το πλαίσιο ενημέρωσης μεταξύ του ΑΔΜΗΕ και των χρηστών του Συστήματος. Οι δύο πλευρές θα έχουν αμοιβαία υποχρέωση γνωστοποίησης σημαντικών περιστατικών, είτε αυτά έχουν ήδη εκδηλωθεί είτε θεωρούνται εύλογα αναμενόμενα, με τη σχετική πρόβλεψη να καλύπτει πλέον ρητά και τα κρίσιμα συμβάντα κυβερνοασφάλειας. Ειδικά για τις κυβερνοαπειλές, η γνωστοποίηση προβλέπεται να γίνεται μέσω επικοινωνίας των Κέντρων Επιχειρήσεων Ασφαλείας, των SOC (Security Operations Centers), με το αντίστοιχο SOC του ΑΔΜΗΕ και μέσω ειδικής ηλεκτρονικής διεύθυνσης. Παραμένει παράλληλα η γενική υποχρέωση άμεσης αναφοράς ενός συμβάντος από τη στιγμή που αυτό γίνεται αντιληπτό από τον Διαχειριστή ή τον χρήστη. Ιδιαίτερο βάρος δίνεται στους μεγάλους χρήστες του δικτύου, οι οποίοι θα είναι υπεύθυνοι για την εφαρμογή βασικών μέτρων κυβερνοασφάλειας στις εγκαταστάσεις τους. Αντίστοιχες υποχρεώσεις προβλέπονται και για τους σημαντικούς χρήστες του δικτύου που χαρακτηρίζονται υψηλής προτεραιότητας. Ο Κώδικας προβλέπει ότι δεν επιτρέπεται η πρόσβαση μη εξουσιοδοτημένων προσώπων στον εξοπλισμό μετρήσεων, στα συστήματα SCADA, στους υπολογιστές και στον τηλεπικοινωνιακό εξοπλισμό που συνδέεται με τον Διαχειριστή. Οι χρήστες αποκτούν έτσι σαφέστερες ευθύνες, από την αξιολόγηση των κινδύνων φυσικής ασφάλειας και πρόσβασης μέχρι την εφαρμογή των απαραίτητων τεχνικών μέτρων προστασίας. Το νέο πλαίσιο επεκτείνει την ευθύνη τους για την ασφάλεια στο σύνολο των εγκαταστάσεών τους, με ιδιαίτερη έμφαση στον εξοπλισμό μέσω του οποίου συνδέονται με το ΕΣΜΗΕ. Παράλληλα, καλούνται να συνεργάζονται με τον ΑΔΜΗΕ για την ανάπτυξη αναλυτικών διαδικασιών και να λαμβάνουν επαρκή μέτρα για τον περιορισμό των κινδύνων. Μεταξύ των απαιτήσεων περιλαμβάνονται τακτικές αξιολογήσεις και εκτιμήσεις κινδύνου, συνεχής παρακολούθηση μέσω SOC, αυστηρός έλεγχος των προσβάσεων, καθώς και οργανωμένες διαδικασίες για τις ενημερώσεις και τις επιδιορθώσεις ασφαλείας των συστημάτων.
