Les critères de préqualification relatifs à la cybersécurité et à la sécurité des données exigent des soumissionnaires:
a) qu’ils prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées reflétant les principes de la sécurité dès la conception et par défaut dans le but de garantir la sécurité des réseaux et des systèmes d’information de l’installation d’énergie renouvelable, y compris, le cas échéant, les mesures énumérées à l’article 21, paragraphe 2, de la directive (UE) 2022/2555;
b) dans le cas où ils relèvent, 9 mois ou plus avant la publication d’une enchère relevant du champ d’application de l’article 26 du règlement (UE) 2024/1735, de la juridiction d’un pays tiers qui leur impose de communiquer à ses autorités des informations sur les vulnérabilités logicielles ou matérielles avant que ces vulnérabilités soient réputées avoir été exploitées, ou lorsqu’une déclaration publique a été faite au nom de l’Union ou de l’État membre procédant à l’enchère faisant état d’actes ou de campagnes de cybermalveillance perpétrés par des acteurs de la menace opérant depuis le territoire dudit pays tiers, qu’ils présentent un plan en matière de cybersécurité décrivant la manière dont ils garantissent la sécurité de l’installation et de l’ensemble du système, et, plus spécifiquement, qu’ils prennent les mesures techniques, opérationnelles et organisationnelles nécessaires pour assurer le stockage des données utilisées ou générées dans le cadre de leurs activités commerciales liées à l’enchère au sein de l’Espace économique européen, et pour faire en sorte qu’elles ne soient pas transférées en dehors de celui-ci;
c) qu’ils garantissent et démontrent, lorsqu’ils font appel à des fournisseurs pour les produits TIC utilisés dans l’installation d’énergie renouvelable ou pour les services TIC liés à son exploitation, que lesdits fournisseurs prennent les mesures visées au point a) et, lorsque ces derniers répondent à l’une des deux conditions énoncées au point b) concernant les soumissionnaires, qu’ils prennent également les mesures visées au point b);
d) qu’ils veillent à ce que le contrôle opérationnel de l’installation soit exercé par un opérateur établi dans l’Espace économique européen.