las empresas eléctricas, tal y como se definen en el artículo 2, punto 57, de la Directiva (UE) 2019/944;

los operadores designados para el mercado eléctrico o NEMO, según se definen en el artículo 2, punto 8, del Reglamento (UE) 2019/943;

los mercados organizados, según se definen en el artículo 2, punto 4, del Reglamento de Ejecución (UE) n.o 1348/2014 de la Comisión ( 1 ), que gestionen operaciones sobre productos pertinentes para los flujos transfronterizos de electricidad;

los proveedores de servicios de TIC críticos contemplados en el artículo 3, punto 9, del presente Reglamento;

la REGRT de Electricidad, creada en virtud del artículo 28 del Reglamento (UE) 2019/943;

la entidad de los GRD de la UE, creada en virtud del artículo 52 del Reglamento (UE) 2019/943;

los sujetos de liquidación responsables del balance, según se definen en el artículo 2, punto 14, del Reglamento (UE) 2019/943;

los operadores de puntos de recarga, según se definen en el anexo I de la Directiva (UE) 2022/2555;

los centros de coordinación regionales creados de conformidad con el artículo 35 del Reglamento (UE) 2019/943;

los proveedores de servicios de seguridad gestionados, según se definen en el artículo 6, punto 40, de la Directiva (UE) 2022/2555;

cualquier otra entidad o tercero en que se hayan delegado responsabilidades o que tenga responsabilidades asignadas con arreglo al presente Reglamento.

la Agencia de la Unión Europea para la Cooperación de los Reguladores de la Energía (ACER), creada por el Reglamento (UE) 2019/942 del Parlamento Europeo y del Consejo ( 2 );

las autoridades nacionales competentes responsables de llevar a cabo las tareas que les hayan sido asignadas con arreglo al presente Reglamento y designadas por los Estados miembros con arreglo al artículo 4, o «autoridades competentes»;

las autoridades reguladoras nacionales designadas por cada Estado miembro de conformidad con el artículo 57, apartado 1, de la Directiva (UE) 2019/944;

las autoridades competentes en materia de preparación frente a los riesgos establecidas de conformidad con el artículo 3 del Reglamento (UE) 2019/941;

los equipos de respuesta a incidentes de seguridad informática («CSIRT») designados o establecidos de conformidad con el artículo 10 de la Directiva (UE) 2022/2555;

las autoridades competentes encargadas de la ciberseguridad designadas o establecidas de conformidad con el artículo 8 de la Directiva (UE) 2022/2555;

la Agencia de la Unión Europea para la Ciberseguridad, creada en virtud del Reglamento (UE) 2019/881;

cualquier otra autoridad o tercero en que se hayan delegado responsabilidades o que tenga responsabilidades asignadas con arreglo al artículo 4, apartado 3.

las metodologías de evaluación de riesgos para la ciberseguridad, de conformidad con el artículo 18, apartado 1;

el informe exhaustivo sobre la evaluación de riesgos para la ciberseguridad de los flujos transfronterizos de electricidad, de conformidad con el artículo 23;

los controles mínimos y avanzados de ciberseguridad, de conformidad con el artículo 29; la cartografía de los controles de ciberseguridad de la electricidad con respecto a las normas, de conformidad con el artículo 34, incluidos los controles mínimos y avanzados de ciberseguridad en la cadena de suministro, de conformidad con el artículo 33;

una recomendación sobre contratación en materia de ciberseguridad, de conformidad con el artículo 35;

la metodología de la escala de clasificación de los ciberataques, de conformidad con el artículo 37, apartado 8.

los GRT que representen al menos el 55 % de los Estados miembros, y

los GRT que representen a Estados miembros que reúnan como mínimo el 65 % de la población de la Unión.

los GRT representen al menos el 72 % de los Estados miembros interesados, y

los GRT representen a Estados miembros que reúnan como mínimo el 65 % de la población de la zona de que se trate.

revisar el estado de aplicación de las medidas de gestión de riesgos para la ciberseguridad aplicables en relación con las entidades de impacto alto y de impacto crítico;

determinar si pueden ser necesarias normas adicionales sobre los requisitos comunes, la planificación, la supervisión, la información y la gestión de crisis para prevenir riesgos para el sector de la electricidad, y

detectar ámbitos de mejora para la revisión del presente Reglamento, o determinar los ámbitos no cubiertos y las nuevas prioridades que puedan surgir debido a los avances tecnológicos.

mitigan los riesgos que repercuten en los flujos transfronterizos de electricidad;

proporcionan los resultados deseados y generan mejoras de eficiencia para el desarrollo de los sistemas eléctricos;

son eficientes y están integradas en la contratación general de activos y servicios.

el gasto medio relacionado con la ciberseguridad para mitigar los riesgos que repercuten en los flujos transfronterizos de electricidad, especialmente con respecto a las entidades de impacto alto y de impacto crítico;

en cooperación con la REGRT de Electricidad y la entidad de los GRD de la UE, los precios medios de los servicios, sistemas y productos de ciberseguridad que contribuyen en gran medida a mejorar y mantener las medidas para la gestión de riesgos para la ciberseguridad en las diferentes regiones de operación del sistema;

la existencia y el nivel de comparabilidad de los costes y funciones de los servicios, sistemas y soluciones de ciberseguridad adecuados para la ejecución del presente Reglamento, determinando las posibles medidas necesarias para fomentar la eficiencia del gasto, en particular cuando puedan ser necesarias inversiones tecnológicas en ciberseguridad.

desarrollo de las metodologías de evaluación de riesgos para la ciberseguridad, de conformidad con el artículo 18, apartado 1;

desarrollo del informe exhaustivo sobre la evaluación de riesgos para la ciberseguridad de los flujos transfronterizos de electricidad, de conformidad con el artículo 23;

desarrollo del marco común de ciberseguridad de la electricidad, de conformidad con el capítulo III;

desarrollo de la recomendación sobre contratación en materia de ciberseguridad, de conformidad con el artículo 35;

desarrollo de la metodología de la escala de clasificación de los ciberataques, de conformidad con el artículo 37, apartado 8;

desarrollo del índice provisional de impacto en la ciberseguridad de la electricidad, de conformidad con el artículo 48, apartado 1, letra a);

elaboración de la lista provisional consolidada de entidades de impacto alto y de impacto crítico, de conformidad con el artículo 48, apartado 3;

elaboración de la lista provisional de procesos de impacto alto y de impacto crítico a escala de la Unión, de conformidad con el artículo 48, apartado 4;

elaboración de la lista provisional de normas y controles europeos e internacionales, de conformidad con el artículo 48, apartado 6;

realización de la evaluación de riesgos para la ciberseguridad a escala de la Unión, de conformidad con el artículo 19;

realización de las evaluaciones regionales de riesgos para la ciberseguridad, de conformidad con el artículo 21;

definición de los planes regionales de mitigación de riesgos para la ciberseguridad, de conformidad con el artículo 22;

elaboración de orientaciones sobre los esquemas europeos de certificación de la ciberseguridad para productos, servicios y procesos de TIC, de conformidad con el artículo 36;

elaboración de directrices para la ejecución del presente Reglamento en consulta con la ACER y la ENISA.

una lista de ciberamenazas que deben tenerse en cuenta, en la que figuren, como mínimo, las siguientes amenazas a la cadena de suministro:

los criterios para evaluar el impacto de los riesgos para la ciberseguridad como alto o crítico utilizando umbrales definidos para las consecuencias y la probabilidad;

un enfoque para analizar los riesgos para la ciberseguridad derivados de los sistemas heredados, los efectos en cascada de los ciberataques y la naturaleza en tiempo real de los sistemas que funcionan en la red;

un enfoque para analizar los riesgos para la ciberseguridad derivados de la dependencia de un único proveedor de productos, servicios o procesos de TIC.

medirá las consecuencias de los ciberataques sobre la base de los siguientes criterios:

medirá la probabilidad de que se produzca un incidente como la frecuencia de ciberataques al año.

los procesos de impacto alto a escala de la Unión y los procesos de impacto crítico a escala de la Unión;

una matriz de impacto del riesgo que las entidades y las autoridades competentes utilizarán para evaluar los riesgos para la ciberseguridad señalados en la evaluación de riesgos para la ciberseguridad a nivel de Estado miembro, realizada con arreglo al artículo 20, y en la evaluación de riesgos para la ciberseguridad a nivel de entidad, realizada con arreglo al artículo 26, apartado 2, letra b).

una evaluación de las posibles consecuencias de un ciberataque utilizando los parámetros definidos en la metodología de evaluación de riesgos para la ciberseguridad desarrollada con arreglo al artículo 18, apartados 2, 3, y 4, y aprobada con arreglo al artículo 8;

los umbrales ECII y del impacto alto e impacto crítico que las autoridades competentes utilizarán con arreglo al artículo 24, apartados 1 y 2, para determinar las entidades de impacto alto y de impacto crítico que intervienen en los procesos de impacto alto a escala de la Unión y en los procesos de impacto crítico a escala de la Unión.

el estado de aplicación de los controles mínimos y avanzados de ciberseguridad, de conformidad con el artículo 29;

una lista de todos los ciberataques notificados en los tres años anteriores, de conformidad con el artículo 38, apartado 3;

un resumen de la información sobre ciberamenazas comunicada en los tres años anteriores, de conformidad con el artículo 38, apartado 6;

para cada proceso de impacto alto o de impacto crítico a escala de la Unión, una estimación de los riesgos de que la confidencialidad, integridad y disponibilidad de la información y los activos pertinentes se vean comprometidas;

en caso necesario, una lista de entidades adicionales consideradas como entidades de impacto alto o de impacto crítico, de conformidad con el artículo 24, apartados 1, 2, 3 y 5.

los controles mínimos y avanzados de ciberseguridad que las entidades de impacto alto y de impacto crítico aplicarán en la región de operación del sistema;

los riesgos residuales para la ciberseguridad en las regiones de operación del sistema tras aplicar los controles a que se refiere la letra a).

la lista de procesos de impacto alto y de impacto crítico a escala de la Unión señalados en el informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión de conformidad con el artículo 19, apartado 2, letra a), incluida la estimación de la probabilidad y el impacto de los riesgos para la ciberseguridad evaluados durante los informes sobre la evaluación regional de riesgos para la ciberseguridad con arreglo al artículo 21, apartado 2, y al artículo 19, apartado 3, letra a);

las ciberamenazas actuales, prestando especial atención a las amenazas emergentes y los riesgos para el sistema eléctrico;

los ciberataques durante el período anterior a nivel de la Unión, proporcionando una visión general crítica de cómo dichos ciberataques pueden haber tenido un impacto en los flujos transfronterizos de electricidad;

el estado general de aplicación de las medidas de ciberseguridad;

el estado de aplicación de los flujos de información con arreglo a los artículos 37 y 38;

la lista de información o criterios específicos para la clasificación de la información con arreglo al artículo 46;

los riesgos detectados y destacados que pueden derivarse de una gestión precaria de la cadena de suministro;

los resultados y las experiencias acumuladas de los ejercicios de ciberseguridad regionales y transregionales organizados con arreglo al artículo 44;

un análisis de la evaluación del conjunto de riesgos transfronterizos para la ciberseguridad en el sector de la electricidad desde las últimas evaluaciones regionales de riesgos para la ciberseguridad;

cualquier otra información que pueda ser útil para detectar posibles mejoras del presente Reglamento o la necesidad de revisar el presente Reglamento o cualquiera de sus instrumentos, y

información agregada y anonimizada de las excepciones concedidas con arreglo al artículo 30, apartado 3.

la entidad forma parte de un grupo de entidades que corren un riesgo significativo de verse afectadas simultáneamente por un ciberataque;

el ECII agregado del grupo de entidades supera el umbral del impacto alto o del impacto crítico.

cualquier parte que realice la revisión por pares, la auditoría o la inspección será independiente de la entidad de impacto crítico que se esté verificando y no tendrá conflictos de intereses;

el personal que realice la revisión por pares, la auditoría o la inspección tendrá conocimientos demostrables de:

la parte que realice la revisión por pares, la auditoría o la inspección dispondrá de tiempo suficiente para llevar a cabo estas actividades;

la parte que realice la revisión por pares, la auditoría o la inspección tomará las medidas adecuadas para proteger la información recogida durante la verificación, de acuerdo con su nivel de confidencialidad, y

las revisiones por pares, las auditorías o las inspecciones se realizarán al menos una vez al año y abarcarán el alcance completo de la verificación al menos cada tres años.

establecimiento del contexto;

evaluación de los riesgos para la ciberseguridad a nivel de entidad;

gestión de los riesgos para la ciberseguridad;

aceptación de los riesgos para la ciberseguridad.

definirá el alcance de la evaluación de riesgos para la ciberseguridad, incluidos los procesos de impacto alto y de impacto crítico determinados por la REGRT de Electricidad y la entidad de los GRD de la UE, y otros procesos que puedan ser objeto de ciberataques con un impacto alto o un impacto crítico en los flujos transfronterizos de electricidad, y

definirá los criterios para la evaluación y aceptación de los riesgos de conformidad con la matriz de impacto del riesgo que las entidades y las autoridades competentes utilizarán para evaluar los riesgos para la ciberseguridad en las metodologías de evaluación de riesgos para la ciberseguridad a nivel de la Unión, regional y de los Estados miembros desarrolladas por la REGRT de Electricidad y la entidad de los GRD de la UE de conformidad con el artículo 19, apartado 2.

detectará riesgos para la ciberseguridad teniendo en cuenta:

analizará la probabilidad y las consecuencias de los riesgos para la ciberseguridad señalados en la letra a) y determinará el nivel de riesgo para la ciberseguridad valiéndose de la matriz de impacto del riesgo utilizada para evaluar los riesgos para la ciberseguridad en las metodologías de evaluación de riesgos para la ciberseguridad a nivel de la Unión, regional y de los Estados miembros desarrolladas por los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, de conformidad con el artículo 19, apartado 2;

clasificará los activos en función de las posibles consecuencias cuando la ciberseguridad se vea comprometida y determinará el perímetro del impacto alto y del impacto crítico siguiendo los siguientes pasos:

evaluará los riesgos para la ciberseguridad priorizándolos a través de los criterios de evaluación de los riesgos y los criterios de aceptación de los riesgos a que se refiere el apartado 3, letra b).

los controles mínimos de ciberseguridad, desarrollados de conformidad con el artículo 29;

los controles avanzados de ciberseguridad, desarrollados de conformidad con el artículo 29;

la matriz cartográfica, elaborada de conformidad con el artículo 34, para cartografiar los controles a que se refieren las letras a) y b) con respecto a una selección de normas europeas e internacionales y marcos legislativos o reglamentarios nacionales;

el sistema de gestión de la ciberseguridad, establecido de conformidad con el artículo 32.

en circunstancias excepcionales, cuando la entidad pueda demostrar que los costes de aplicar los controles de ciberseguridad adecuados superan significativamente los beneficios. La ACER y la REGRT de Electricidad, en cooperación con la entidad de los GRD, podrán elaborar conjuntamente orientaciones para estimar los costes de los controles de ciberseguridad a fin de ayudar a las entidades;

cuando la entidad presente un plan de gestión de riesgos a nivel de entidad que mitigue los riesgos para la ciberseguridad utilizando controles alternativos hasta alcanzar un nivel aceptable de conformidad con los criterios de aceptación de los riesgos a que se refiere el artículo 26, apartado 3, letra b).

determinar el alcance del sistema de gestión de la ciberseguridad, teniendo en cuenta las interfaces y dependencias con otras entidades;

garantizar que todos sus altos directivos estén informados de las obligaciones jurídicas pertinentes y contribuyan activamente a la implementación del sistema de gestión de la ciberseguridad con decisiones oportunas y reacciones rápidas;

garantizar que los recursos necesarios para el sistema de gestión de la ciberseguridad estén disponibles;

establecer una política de ciberseguridad que se documentará y se comunicará dentro de la entidad y a las partes afectadas por los riesgos de seguridad;

asignar y comunicar las responsabilidades de las funciones pertinentes para la ciberseguridad;

realizar la gestión de riesgos para la ciberseguridad a nivel de entidad, tal como se define en el artículo 26;

determinar y proporcionar los recursos necesarios para la implementación, el mantenimiento y la mejora continua del sistema de gestión de la ciberseguridad, teniendo en cuenta la competencia y el conocimiento necesarios de los recursos de ciberseguridad;

determinar la comunicación interna y externa pertinente para la ciberseguridad;

crear, actualizar y controlar la información documentada relacionada con el sistema de gestión de la ciberseguridad;

evaluar el rendimiento y la eficacia del sistema de gestión de la ciberseguridad;

realizar auditorías internas a intervalos planificados para garantizar la implementación y el mantenimiento efectivos del sistema de gestión de la ciberseguridad;

revisar la implementación del sistema de gestión de la ciberseguridad a intervalos previstos; y controlar y corregir la no conformidad de los recursos y actividades con las políticas, procedimientos y directrices del sistema de gestión de la ciberseguridad.

incluyan recomendaciones para la contratación de productos, servicios y procesos de TIC referentes a especificaciones de ciberseguridad, que abarquen, como mínimo:

exijan a dichas entidades que tengan en cuenta las recomendaciones sobre contratación a que se refiere la letra a) al celebrar contratos con proveedores, socios colaboradores y otras partes de la cadena de suministro, que cubrirán las entregas ordinarias de productos, servicios y procesos de TIC, así como los acontecimientos y circunstancias no deseados, como la rescisión y la transición de contratos en casos de negligencia del socio contractual;

exijan a dichas entidades que tengan en cuenta los resultados de las evaluaciones coordinadas pertinentes de los riesgos de seguridad de las cadenas de suministro críticas realizadas de conformidad con el artículo 22, apartado 1, de la Directiva (UE) 2022/2555;

incluyan criterios para seleccionar y contratar a proveedores que puedan cumplir las especificaciones de ciberseguridad establecidas en la letra a) y que posean un nivel de ciberseguridad adecuado a los riesgos para la ciberseguridad del producto, servicio o proceso de TIC que ofrezca el proveedor;

incluyan criterios para diversificar las fuentes de suministro de productos, servicios y procesos de TIC y reducir el riesgo de dependencia de un proveedor;

incluyan criterios para supervisar, revisar o auditar periódicamente las especificaciones de ciberseguridad de los procesos operativos internos de los proveedores a lo largo de todo el ciclo de vida de cada producto, servicio y proceso de TIC.

una descripción y clasificación de los tipos de productos, servicios y procesos de TIC utilizados por las entidades de impacto alto y de impacto crítico en el perímetro del impacto alto y del impacto crítico;

una lista de los tipos de productos, servicios y procesos de TIC para los que se elaborará un conjunto de recomendaciones no vinculantes en materia de ciberseguridad sobre la base de los informes pertinentes sobre las evaluaciones regionales de riesgos para la ciberseguridad y de las prioridades de las entidades de impacto alto y de impacto crítico.

cumplan los principios de la contratación con arreglo a la Directiva 2014/24/UE, y

sean compatibles con los esquemas europeos de certificación de la ciberseguridad más recientes disponibles pertinentes para el producto, servicio o proceso de TIC, y los tengan en cuenta.

evaluará el nivel de confidencialidad de la información e informará a la entidad del resultado de su evaluación sin demora indebida y, a más tardar, en un plazo de veinticuatro horas a partir de la recepción de la información;

intentará encontrar otros ciberataques similares en la Unión notificados a otras autoridades competentes, con el fin de correlacionar la información recibida en el contexto del ciberataque notificable con la información facilitada en el contexto de otros ciberataques y enriquecer la información existente, reforzar y coordinar las respuestas en materia de ciberseguridad;

será responsable de la eliminación de secretos comerciales y de la anonimización de la información de conformidad con las normas nacionales y de la Unión pertinentes;

compartirá la información con los puntos de contacto únicos nacionales, los CSIRT y todas las autoridades competentes designadas con arreglo al artículo 4 en otros Estados miembros sin demora indebida y a más tardar veinticuatro horas después de la recepción de un ciberataque notificable, y facilitará información actualizada periódicamente a dichas autoridades u organismos;

difundirá la información sobre el ciberataque, tras la anonimización y eliminación de secretos comerciales con arreglo al apartado 1, letra c), a las entidades de impacto crítico y de impacto alto de su Estado miembro sin demora indebida y a más tardar veinticuatro horas después de recibir la información con arreglo al apartado 1, letra a), y facilitará información actualizada periódicamente, de manera que las entidades puedan organizar su defensa de manera eficaz;

podrá solicitar a la entidad de impacto alto o de impacto crítico notificante que difunda la información sobre el ciberataque notificable de manera segura a otras entidades que puedan verse afectadas, a fin de poner al sector de la electricidad en conocimiento de la situación e impedir la materialización de un riesgo que pueda escalar hasta dar lugar a un incidente eléctrico transfronterizo de ciberseguridad;

compartirá con la ENISA un informe resumido, tras la anonimización y eliminación de secretos comerciales, con la información sobre el ciberataque.

compartirá este conocimiento sin demora con la ENISA a través de un canal seguro adecuado de puesta en común de información, salvo que se especifique otra cosa en otros actos legislativos de la Unión;

ayudará a la entidad de que se trate para que el fabricante o proveedor le proporcione una gestión eficaz, coordinada y rápida de la vulnerabilidad aprovechada activamente no subsanada, o de medidas de mitigación eficaces y eficientes;

pondrá en común la información disponible con el vendedor y solicitará al fabricante o proveedor, en la medida de lo posible, que localice una lista de CSIRT de los Estados miembros afectados por la vulnerabilidad aprovechada activamente no subsanada y a los que se informará de ella;

pondrá en común la información disponible con los CSIRT determinados en el punto anterior, sobre la base del principio de necesidad de conocer;

compartirá, cuando existan, estrategias y medidas de mitigación de la vulnerabilidad aprovechada activamente no subsanada que se haya notificado.

compartirá, cuando existan, estrategias y medidas de mitigación de la vulnerabilidad aprovechada activamente no subsanada que se haya notificado, en coordinación con los CSIRT de su Estado miembro;

pondrá en común la información con un CSIRT del Estado miembro en el que se haya notificado la vulnerabilidad aprovechada activamente no subsanada.

el impacto potencial teniendo en cuenta los activos y perímetros expuestos determinados de conformidad con el artículo 26, apartado 4, letra c), y

la severidad del ciberataque.

apoye a las entidades de impacto crítico y de impacto alto con información relacionada con la seguridad pertinente para las operaciones de flujos transfronterizos de electricidad, como la notificación en tiempo cuasirreal de ciberataques, las alertas tempranas relacionadas con cuestiones de ciberseguridad y las vulnerabilidades no divulgadas de los equipos en uso en el sistema eléctrico;

se mantenga en un entorno adecuado y altamente fiable;

permita la recogida de datos de las entidades de impacto crítico y de impacto alto y facilite la eliminación de información confidencial y la anonimización de los datos, así como su rápida difusión entre las entidades de impacto crítico y de impacto alto.

consultará a la ENISA y al Grupo de Cooperación SRI, a los puntos de contacto únicos nacionales y a los representantes de las principales partes interesadas al evaluar la viabilidad;

presentará los resultados del estudio de viabilidad a la ACER y al Grupo de Cooperación SRI.

establecerá, para todos los activos de su perímetro de ciberseguridad determinado con arreglo al artículo 26, apartado 4, letra c), al menos las capacidades de los centros operativos de ciberseguridad para:

tendrá derecho a contratar la totalidad o parte de estas capacidades con arreglo a la letra a) a través de proveedores de servicios de seguridad gestionados; las entidades de impacto crítico y de impacto alto seguirán siendo responsables de los proveedores de servicios de seguridad gestionados y supervisarán sus esfuerzos;

designará un punto de contacto único a nivel de entidad para la puesta en común de información.

la información proporcionada es pertinente para otras entidades de impacto crítico y de impacto alto a fin de prevenir el impacto del riesgo, detectarlo, responder a él o mitigarlo;

las técnicas, tácticas y procedimientos determinados utilizados en el contexto de un ataque generan información como direcciones URL o IP comprometidas, hashes o cualquier otro atributo útil para contextualizar y correlacionar el ataque;

una ciberamenaza puede evaluarse y contextualizarse más en profundidad con información adicional facilitada por proveedores de servicios o terceros no sujetos al presente Reglamento.

que la presentación de la información se realiza con arreglo al presente Reglamento;

si la información se refiere a:

en el caso de un ciberataque notificable, el nivel del ciberataque según la metodología de la escala de clasificación de los ciberataques contemplada en el artículo 37, apartado 8, e información que justifique esta clasificación, incluida al menos la gravedad del ciberataque.

garantizarán que su propio punto de contacto único a nivel de entidad tenga acceso, cuando necesite conocerla, a la información que hayan recibido del punto de contacto único nacional a través de su autoridad competente;

a menos que ya se haya hecho con arreglo al artículo 3, apartado 4, de la Directiva (UE) 2022/2555, notificarán a la autoridad competente del Estado miembro en el que estén establecidas y al punto de contacto único nacional una lista de sus puntos de contacto únicos en materia de ciberseguridad a nivel de entidad:

establecerán procedimientos de gestión de ciberataques para los ciberataques, incluidas las funciones y responsabilidades, tareas y reacciones basadas en la evolución observable del ciberataque dentro de los perímetros del impacto crítico y del impacto alto;

probarán los procedimientos generales de gestión de ciberataques al menos cada año probando al menos un escenario que afecte directa o indirectamente a los flujos transfronterizos de electricidad. Dicha prueba anual podrá ser realizada por entidades de impacto crítico y de impacto alto durante los ejercicios periódicos contemplados en el artículo 43. Cualquier actividad de respuesta a ciberataques en directo con unas consecuencias clasificadas al menos en la escala 2, según la metodología de la escala de clasificación de los ciberataques contemplada en el artículo 37, apartado 8, y cuyas causas raíz tengan que ver con la ciberseguridad, podrá servir de prueba anual del plan de respuesta a ciberataques.

coordinará la recuperación eficiente y la ulterior difusión de toda la información pertinente en materia de ciberseguridad entre las entidades que intervienen en el proceso de gestión de crisis;

organizará la comunicación entre todas las entidades afectadas por la crisis y las autoridades competentes, con el fin de reducir los solapamientos y aumentar la eficiencia de los análisis y las respuestas técnicas para subsanar las crisis simultáneas de electricidad cuyas causas raíz tengan que ver con la ciberseguridad;

proporcionará, en cooperación con los CSIRT competentes, los conocimientos especializados necesarios, incluido el asesoramiento operativo sobre la aplicación de posibles medidas de mitigación dirigido a las entidades afectadas por el incidente;

notificará y proporcionará actualizaciones periódicas sobre el estado del incidente a la Comisión y al Grupo de Coordinación de la Electricidad, con arreglo a los principios de protección establecidos en el artículo 46;

recabará el asesoramiento de las autoridades, agencias o entidades pertinentes que puedan ayudar a mitigar la crisis de electricidad.

cuenten con procedimientos compatibles de gestión de incidentes de ciberseguridad transfronterizos, tal como se define en el artículo 6, punto 8, de la Directiva (UE) 2022/2555, incorporados formalmente a sus planes de gestión de crisis;

formen parte de las actividades generales de gestión de crisis.

las normas de declaración de crisis establecidas en el artículo 14, apartados 2 y 3, del Reglamento (UE) 2019/941;

funciones y responsabilidades claras para la gestión de crisis, incluido el papel de otras entidades pertinentes de impacto crítico y de impacto alto;

información de contacto actualizada, así como normas para la comunicación y la puesta en común de información durante una situación de crisis, incluida la conexión con los CSIRT.

los procesos que dependan de la disponibilidad, integridad y fiabilidad de los servicios informáticos;

todas las ubicaciones relacionadas con la continuidad de las actividades, también las de los equipos y programas informáticos;

todas las funciones y responsabilidades internas relacionadas con los procesos de continuidad de las actividades.

recoger información puesta en común voluntariamente por parte de:

evaluar y clasificar la información recogida;

evaluar la información a la que tiene acceso la ENISA para determinar las condiciones de riesgo para la ciberseguridad y los indicadores pertinentes para determinados aspectos de los flujos transfronterizos de electricidad;

determinar las condiciones y los indicadores que suelen estar relacionados con los ciberataques en el sector de la electricidad;

definir si deben realizarse nuevos análisis y tomarse nuevas medidas preventivas mediante la evaluación y la determinación de los factores de riesgo;

informar a las autoridades competentes sobre los riesgos detectados y las medidas preventivas recomendadas específicas para las entidades afectadas;

informar a todas las entidades pertinentes contempladas en el artículo 2 sobre los resultados de la información evaluada de conformidad con las letras b), c) y d) del presente apartado;

incluir periódicamente la información pertinente en el informe sobre el conocimiento de la situación, emitido de conformidad con el artículo 7, apartado 6, del Reglamento (UE) 2019/881;

obtener, cuando sea posible, datos aplicables que indiquen una violación de la seguridad o un ciberataque potenciales («indicadores de compromiso») a partir de la información recogida.

todas las entidades de impacto crítico de su Estado miembro, la autoridad reguladora nacional, los CSIRT y las autoridades competentes encargadas de la ciberseguridad a más tardar el 30 de junio del año anterior al ejercicio de ciberseguridad a nivel de entidad;

cada entidad que vaya a participar en el ejercicio de ciberseguridad a nivel de Estado miembro a más tardar seis meses antes de que tenga lugar el ejercicio.

los escenarios de los ejercicios, los informes de las reuniones, las principales posiciones, los éxitos y las lecciones aprendidas en cualquier nivel de la cadena de valor de la electricidad;

si se cumplieron los criterios clave de éxito;

una lista de recomendaciones para que las entidades participantes en el ejercicio de ciberseguridad pertinente corrijan, adapten o modifiquen los procesos y procedimientos de las crisis de ciberseguridad, los modelos de gobernanza asociados y cualquier compromiso contractual existente con proveedores de servicios críticos.

serán proporcionadas;

tendrán en cuenta los riesgos para la ciberseguridad relacionados con amenazas conocidas pasadas y emergentes a las que pueda estar sujeta dicha información en el contexto del presente Reglamento;

en la medida de lo posible, se basarán en normas y mejores prácticas nacionales, europeas o internacionales;

estarán documentadas.

que estén autorizadas a acceder a dicha información según sus funciones y que se ciñan a la ejecución de las tareas asignadas;

cuyos principios éticos y de integridad haya podido evaluar la entidad, y para quienes no haya pruebas de resultados negativos en una comprobación de antecedentes realizada para evaluar la fiabilidad de la persona de conformidad con las mejores prácticas y los requisitos estándar de seguridad de la entidad y, en caso necesario, con las disposiciones legales y reglamentarias nacionales.

consultará a la autoridad competente y esta deberá autorizarla a poner en común dicha información;

anonimizará dicha información sin perder los elementos necesarios para informar al público de un riesgo inminente y grave para los flujos transfronterizos de electricidad, así como de las posibles medidas de mitigación;

salvaguardará la identidad del originador y de las entidades que hayan tratado dicha información con arreglo al presente Reglamento.

un índice provisional de impacto en la ciberseguridad de la electricidad con arreglo al apartado 2 del presente artículo;

una lista provisional de procesos de impacto alto y de impacto crítico a escala de la Unión con arreglo al apartado 4 del presente artículo, y

una lista provisional de las normas y controles europeos e internacionales exigidos por la legislación nacional pertinentes para los aspectos relativos a la ciberseguridad de los flujos transfronterizos de electricidad con arreglo al apartado 6 del presente artículo.

normas europeas e internacionales y la legislación nacional que proporcionen orientaciones sobre metodologías para la gestión de riesgos para la ciberseguridad a nivel de entidad, y

controles de ciberseguridad equivalentes a los controles que se espera formen parte de los controles mínimos y avanzados de ciberseguridad.