Article considérant 5

(5) Afin de veiller à ce que tous les soumissionnaires tiennent dûment compte des risques en matière de cybersécurité et de sécurité des données, les enchères pour le déploiement de l’énergie produite à partir de sources renouvelables devraient inclure des critères de préqualification leur imposant de mettre en œuvre des mesures de gestion des risques liés à la cybersécurité, de les présenter dans un plan en matière de cybersécurité et de veiller à ce que ces mesures soient applicables aux produits ou services TIC proposés par leurs fournisseurs. Le stockage et le traitement des données relatives à l’exploitation d’installations de production d’énergie renouvelable dans des juridictions situées en dehors de l’Espace économique européen peuvent constituer des menaces pour la sécurité des installations et pour l’ensemble du système. Un niveau supplémentaire de protection des données est nécessaire pour garantir la sécurité de l’installation et de l’ensemble du système dans les cas où le soumissionnaire relève de la juridiction d’un pays tiers qui lui impose de communiquer aux autorités dudit pays tiers des informations sur les vulnérabilités logicielles ou matérielles avant que ces vulnérabilités soient réputées avoir été exploitées. Un niveau supplémentaire de protection des données est également nécessaire lorsqu’une déclaration publique faite au nom de l’Union en vertu du cadre pour une réponse diplomatique conjointe de l’UE face aux actes de cybermalveillance ou au nom d’un ou de plusieurs de ses États membres, fait état d’actes ou de campagnes de cybermalveillance perpétrés par des acteurs de la menace opérant en dehors du territoire de ce pays tiers. À cette fin, les États membres devraient en particulier tenir compte des mesures restrictives ciblées imposées par l’Union pour décourager et combattre les cyberattaques qui constituent une menace extérieure pour l’Union ou ses États membres. Les déclarations publiques faites au nom d’un État membre sont particulièrement pertinentes en ce qui concerne les enchères lancées par cet État membre. Dans de tels cas, les soumissionnaires devraient fournir un plan en matière de cybersécurité étayé décrivant les mesures techniques, opérationnelles et organisationnelles qu’ils prennent pour garantir que les données utilisées ou générées dans le cadre de leurs activités économiques liées à l’enchère sont stockées et traitées dans l’Espace économique européen (EEE) et ne sont pas transférées en dehors de celui-ci. Il importe qu’un exploitant établi dans l’EEE conserve le contrôle opérationnel de l’installation afin d’assurer une surveillance et une application appropriées du droit de l’Union en vue de garantir la sécurité de l’installation et du système dans son ensemble.