1.   El presente Reglamento se aplica a los aspectos relativos a la ciberseguridad de los flujos transfronterizos de electricidad en el marco de las actividades de las siguientes entidades, si se consideran como entidades de impacto alto o de impacto crítico de conformidad con el artículo 24:

2.   Las siguientes autoridades son responsables, en el marco de sus mandatos actuales, de llevar a cabo las tareas asignadas por el presente Reglamento:

3.   El presente Reglamento se aplicará también a todas las entidades que no estén establecidas en la Unión pero presten servicios a entidades de la Unión, siempre que hayan sido consideradas como entidades de impacto alto o de impacto crítico por las autoridades competentes de conformidad con el artículo 24, apartado 2.

4.   El presente Reglamento se entenderá sin perjuicio de las responsabilidades de los Estados miembros de salvaguardar la seguridad nacional y de sus competencias para salvaguardar otras funciones esenciales del Estado, como garantizar la integridad territorial del Estado o mantener el orden público.

5.   El presente Reglamento se entenderá sin perjuicio de la responsabilidad de los Estados miembros de salvaguardar la seguridad nacional con respecto a las actividades de producción de electricidad a partir de centrales nucleares, incluidas las actividades dentro de la cadena de valor nuclear, de conformidad con los Tratados.

6.   Las entidades, las autoridades competentes, los puntos de contacto únicos a nivel de entidad y los CSIRT tratarán los datos personales en la medida necesaria para los fines del presente Reglamento y de conformidad con el Reglamento (UE) 2016/679; en particular, dicho tratamiento se basará en su artículo 6.

1.   Lo antes posible y, en cualquier caso, a más tardar el 13 de diciembre de 2024, cada Estado miembro designará una autoridad nacional gubernamental o reguladora responsable de llevar a cabo las tareas que le asigna el presente Reglamento («autoridad competente»). Hasta que se haya encomendado a la autoridad competente que lleve a cabo las tareas contempladas en el presente Reglamento, la autoridad reguladora designada por cada Estado miembro con arreglo al artículo 57, apartado 1, de la Directiva (UE) 2019/944 llevará a cabo las tareas de la autoridad competente de conformidad con el presente Reglamento.

2.   Los Estados miembros notificarán sin demora a la Comisión, a la ACER, a la ENISA, al Grupo de Cooperación SRI, creado en virtud del artículo 14 de la Directiva (UE) 2022/2555, y al Grupo de Coordinación de la Electricidad, creado en virtud del artículo 1 de la Decisión de la Comisión de 15 de noviembre de 2012 (17), y les comunicarán el nombre y los datos de contacto de su autoridad competente designada con arreglo al apartado 1 del presente artículo, así como cualquier modificación posterior de esta información.

3.   Los Estados miembros podrán autorizar a su autoridad competente a delegar en otras autoridades nacionales las tareas asignadas por el presente Reglamento, con excepción de las tareas contempladas en el artículo 5. Cada autoridad competente supervisará la aplicación del presente Reglamento por parte de las autoridades en las que haya delegado tareas. La autoridad competente comunicará a la Comisión, a la ACER, al Grupo de Coordinación de la Electricidad, a la ENISA y al Grupo de Cooperación SRI el nombre de las autoridades en las que se haya delegado una tarea, sus datos de contacto y las tareas asignadas, así como cualquier modificación posterior de esta información.

1.   Los GRT elaborarán, en cooperación con la entidad de los GRD de la UE, propuestas de condiciones o metodologías con arreglo al apartado 2, o de planes con arreglo al apartado 3.

2.   Las siguientes condiciones o metodologías y sus modificaciones deberán ser aprobadas por todas las autoridades competentes:

3.   Las propuestas de planes regionales de mitigación de riesgos para la ciberseguridad con arreglo al artículo 22 estarán sujetas a la aprobación de todas las autoridades competentes de la región de operación del sistema de que se trate.

4.   Las propuestas de condiciones o metodologías a que se refiere el apartado 2, o las propuestas de planes a que se refiere el apartado 3, incluirán un calendario propuesto para su aplicación, así como una descripción de su impacto previsto en los objetivos del presente Reglamento.

5.   La entidad de los GRD de la UE podrá presentar un dictamen motivado a los GRT correspondientes hasta tres semanas antes de la fecha límite para presentar la propuesta de condiciones o metodologías, o de planes, a las autoridades competentes. Los GRT responsables de la propuesta de condiciones o metodologías, o de planes, tendrán en cuenta el dictamen motivado de la entidad de los GRD de la UE antes de presentarla para la aprobación de las autoridades competentes. Los GRT razonarán los casos en que no tengan en cuenta la opinión de la entidad de los GRD de la UE.

6.   Cuando elaboren conjuntamente condiciones y metodologías, y también planes, los GRT participantes cooperarán estrechamente. Los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, informarán periódicamente a las autoridades competentes y a la ACER sobre los avances en el desarrollo de las condiciones o metodologías, o de los planes.

1.   Si los GRT que decidan sobre las propuestas de condiciones o metodologías no consiguen llegar a un acuerdo, tomarán una decisión por mayoría cualificada. La mayoría cualificada para dichas propuestas se calculará sobre la base de:

2.   La minoría de bloqueo para las decisiones sobre las propuestas de condiciones o metodologías a que se refiere el artículo 6, apartado 2, incluirá GRT que representen, por lo menos, a cuatro Estados miembros; de lo contrario, se considerará alcanzada la mayoría cualificada.

3.   Si los GRT de una región de operación del sistema que decidan sobre las propuestas de planes a que se refiere el artículo 6, apartado 2, no consiguen llegar a un acuerdo y si la región de operación del sistema en cuestión abarca más de cinco Estados miembros, los GRT tomarán una decisión por mayoría cualificada. La mayoría cualificada para la adopción de las propuestas a que se refiere el artículo 6, apartado 2, será una mayoría en la que:

4.   La minoría de bloqueo para las decisiones sobre propuestas de planes incluirá, por lo menos, un número mínimo de GRT que representen a más del 35 % de la población de los Estados miembros participantes, más GRT que representen al menos a un Estado miembro interesado adicional; de lo contrario, se considerará alcanzada la mayoría cualificada.

5.   Para las decisiones de los GRT sobre las propuestas de condiciones o metodologías con arreglo al artículo 6, apartado 2, se asignará un voto a cada Estado miembro. Si en el territorio de un Estado miembro hay más de un GRT, el Estado miembro deberá repartir los derechos de voto entre los GRT.

6.   Si los GRT, en cooperación con la entidad de los GRD de la UE, no presentan una propuesta inicial o modificada de condiciones o metodologías, o de planes, a las autoridades competentes pertinentes en los plazos establecidos en el presente Reglamento, facilitarán a las autoridades competentes pertinentes y a la ACER los proyectos pertinentes de las condiciones o metodologías, o de los planes. Explicarán los motivos que hayan impedido un acuerdo. Las autoridades competentes tomarán conjuntamente las medidas adecuadas para la adopción de las condiciones o metodologías necesarias, o de los planes necesarios. Esto podrá hacerse, por ejemplo, solicitando modificaciones de los proyectos con arreglo al presente apartado, revisando y completando dichos proyectos o, si no se han presentado proyectos, definiendo y aprobando las condiciones o metodologías necesarias, o los planes necesarios.

1.   Los GRT presentarán las propuestas de condiciones o metodologías, o de planes, a las autoridades competentes pertinentes para su aprobación en los plazos respectivos establecidos en los artículos 18, 23, 29, 33, 34, 35 y 37. Las autoridades competentes podrán prorrogar conjuntamente estos plazos en circunstancias excepcionales, en particular en los casos en que no pueda respetarse un plazo debido a circunstancias externas a la responsabilidad de los GRT o de la entidad de los GRD de la UE.

2.   Las propuestas de condiciones o metodologías, o de planes, con arreglo al apartado 1, se presentarán a la ACER a efectos de información al mismo tiempo que se presenten a las autoridades competentes.

3.   Previa solicitud conjunta de las autoridades reguladoras nacionales, la ACER emitirá un dictamen sobre la propuesta de condiciones o metodologías, o de planes, en un plazo de seis meses a partir de la recepción de las propuestas de condiciones o metodologías, o de planes, y notificará el dictamen a las autoridades reguladoras nacionales y a las autoridades competentes. Las autoridades reguladoras nacionales, las autoridades competentes encargadas de la ciberseguridad y cualquier otra autoridad designada como autoridad competente se coordinarán entre sí antes de que las autoridades reguladoras nacionales soliciten un dictamen a la ACER. La ACER podrá incluir recomendaciones en dicho dictamen. La ACER consultará a la ENISA antes de emitir un dictamen sobre las propuestas a que se refiere el artículo 6, apartado 2.

4.   Las autoridades competentes se consultarán y cooperarán estrechamente, y se coordinarán entre sí para llegar a un acuerdo sobre las condiciones o metodologías propuestas, o los planes propuestos. Antes de aprobar las condiciones o metodologías, o los planes, revisarán y completarán las propuestas cuando sea necesario, previa consulta a la REGRT de Electricidad y a la entidad de los GRD de la UE, a fin de garantizar que las propuestas estén en consonancia con el presente Reglamento y contribuyan a un elevado nivel común de ciberseguridad en toda la Unión.

5.   Las autoridades competentes decidirán sobre las condiciones o metodologías, o los planes, en un plazo de seis meses a partir de la fecha en que la autoridad competente pertinente o, en su caso, la última autoridad competente pertinente de que se trate, reciba las condiciones o metodologías, o los planes.

6.   Si la ACER emite un dictamen, las autoridades competentes pertinentes lo tendrán en cuenta y tomarán sus decisiones en un plazo de seis meses a partir de la recepción del dictamen de la ACER.

7.   Si las autoridades competentes exigen conjuntamente una modificación de las condiciones o metodologías propuestas, o de los planes propuestos, para su aprobación, los GRT elaborarán, en cooperación con la entidad de los GRD de la UE, una propuesta de dicha modificación de las condiciones o metodologías, o de los planes. Los GRT presentarán la propuesta modificada para su aprobación en un plazo de dos meses a partir de la solicitud de las autoridades competentes. Las autoridades competentes decidirán sobre las condiciones o metodologías modificadas, o sobre los planes modificados, en un plazo de dos meses a partir de su presentación.

8.   Si las autoridades competentes no han conseguido alcanzar un acuerdo en el plazo mencionado en los apartados 5 o 7, informarán de ello a la Comisión. La Comisión podrá tomar las medidas adecuadas para hacer posible la adopción de las condiciones o metodologías necesarias, o de los planes necesarios.

9.   Los GRT, con la asistencia de la REGRT de Electricidad, y la entidad de los GRD de la UE publicarán las condiciones o metodologías, o los planes, en sus sitios web tras la aprobación de las autoridades competentes pertinentes, salvo cuando dicha información se considere confidencial de conformidad con el artículo 47.

10.   Las autoridades competentes podrán solicitar conjuntamente a los GRT y a la entidad de los GRD de la UE propuestas de modificación de las condiciones o metodologías aprobadas, o de los planes aprobados, y fijar un plazo para la presentación de dichas propuestas. Los GRT, en cooperación con la entidad de los GRD de la UE, podrán proponer modificaciones a las autoridades competentes también por iniciativa propia. Las propuestas de modificación de las condiciones o metodologías, o de los planes, se elaborarán y aprobarán de conformidad con el procedimiento establecido en el presente artículo.

11.   Al menos cada tres años después de la primera adopción de las condiciones o metodologías respectivas, o de los planes adoptados respectivos, los GRT, en cooperación con la entidad de los GRD de la UE, revisarán la eficacia de las condiciones o metodologías adoptadas, o de los planes adoptados, e informarán de las conclusiones de la revisión a las autoridades competentes y a la ACER sin demora indebida.

1.   Los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, consultarán a las partes interesadas, incluidas la ACER, la ENISA y la autoridad competente de cada Estado miembro, sobre los proyectos de propuestas de condiciones o metodologías a que se refiere el artículo 6, apartado 2, y de los planes a que se refiere el artículo 6, apartado 3. La consulta tendrá una duración no inferior a un mes.

2.   Las propuestas de condiciones o metodologías a que se refiere el artículo 6, apartado 2, presentadas por los GRT, en cooperación con la entidad de los GRD de la UE, se publicarán y se someterán a consulta a nivel de la Unión. Las propuestas de planes a que se refiere el artículo 6, apartado 3, presentadas a nivel regional por los GRT pertinentes, en cooperación con la entidad de los GRD de la UE, se someterán a consulta al menos a nivel regional.

3.   Los GRT, con la asistencia de la REGRT de Electricidad, y la entidad de los GRD de la UE, responsables de la propuesta de condiciones o metodologías, o de planes, tendrán debidamente en cuenta los puntos de vista de las partes interesadas resultantes de las consultas realizadas de conformidad con el apartado 1, antes de su presentación para su aprobación reglamentaria. En todos los casos, deberá incluirse en la presentación una justificación bien razonada de la inclusión o la no inclusión de los puntos de vista resultantes de la consulta, y dicha justificación se publicará con antelación suficiente o al mismo tiempo que la propuesta de condiciones o metodologías.

1.   Los costes soportados por los GRT y los GRD sujetos a la regulación de las tarifas de red y derivados de las obligaciones establecidas en el presente Reglamento, incluidos los costes soportados por la REGRT de Electricidad y la entidad de los GRD de la UE, serán evaluados por la autoridad reguladora nacional pertinente de cada Estado miembro.

2.   Los costes evaluados como razonables, eficientes y proporcionados se recuperarán mediante tarifas de red u otros mecanismos adecuados, según determine la autoridad reguladora nacional pertinente.

3.   Si así lo solicitan las autoridades reguladoras nacionales pertinentes, los GRT y los GRD a que se refiere el apartado 1 proporcionarán, en un plazo razonable determinado por la autoridad reguladora nacional, la información necesaria para facilitar la evaluación de los costes incurridos.

1.   La ACER supervisará la ejecución del presente Reglamento de conformidad con el artículo 32, apartado 1, del Reglamento (UE) 2019/943 y el artículo 4, apartado 2, del Reglamento (UE) 2019/942. Al realizar esta supervisión, la ACER podrá cooperar con la ENISA y solicitar el apoyo de la REGRT de Electricidad y de la entidad de los GRD de la UE. La ACER informará periódicamente al Grupo de Coordinación de la Electricidad y al Grupo de Cooperación SRI sobre la ejecución del presente Reglamento.

2.   La ACER publicará un informe al menos cada tres años después de la entrada en vigor del presente Reglamento a fin de:

3.   A más tardar el 13 de junio de 2025, la ACER, en cooperación con la ENISA y previa consulta a la REGRT de Electricidad y a la entidad de los GRD de la UE, podrá publicar orientaciones sobre la información pertinente que deba comunicarse a la ACER a efectos de supervisión, así como sobre el proceso y la frecuencia de la recogida, sobre la base de los indicadores de rendimiento definidos de conformidad con el apartado 5.

4.   Las autoridades competentes podrán tener acceso a la información pertinente en poder de la ACER que esta haya recogido de conformidad con el presente artículo.

5.   La ACER, en cooperación con la ENISA y con el apoyo de la REGRT de Electricidad y la entidad de los GRD de la UE, emitirá indicadores de rendimiento no vinculantes para la evaluación de la fiabilidad operativa vinculados con los aspectos relativos a la ciberseguridad de los flujos transfronterizos de electricidad.

6.   Las entidades contempladas en el artículo 2, apartado 1, del presente Reglamento presentarán a la ACER la información necesaria para que esta lleve a cabo las tareas mencionadas en el apartado 2.

1.   A más tardar el 13 de junio de 2025, la ACER, en cooperación con la ENISA, establecerá una guía de análisis comparativo no vinculante en materia de ciberseguridad. La guía explicará a las autoridades reguladoras nacionales los principios de análisis comparativo de los controles de ciberseguridad aplicados con arreglo al apartado 2 del presente artículo, teniendo en cuenta los costes de aplicación de los controles y la eficacia de la función desempeñada por los procesos, productos, servicios, sistemas y soluciones utilizados para aplicar dichos controles. La ACER tendrá en cuenta los informes de análisis comparativo existentes al establecer la guía de análisis comparativo no vinculante en materia de ciberseguridad. La ACER presentará la guía de análisis comparativo no vinculante en materia de ciberseguridad a las autoridades reguladoras nacionales a efectos de información.

2.   En un plazo de 12 meses a partir del establecimiento de la guía de análisis comparativo con arreglo al apartado 1, las autoridades reguladoras nacionales llevarán a cabo un análisis comparativo para evaluar si las inversiones actuales en ciberseguridad:

3.   Para el análisis comparativo, las autoridades reguladoras nacionales podrán tener en cuenta la guía de análisis comparativo no vinculante en materia de ciberseguridad establecida por la ACER, y evaluarán en particular:

4.   Toda información relacionada con el análisis comparativo se gestionará y tratará con arreglo a los requisitos de clasificación de datos del presente Reglamento, los controles mínimos de ciberseguridad y el informe sobre la evaluación de riesgos para la ciberseguridad de los flujos transfronterizos de electricidad. El análisis comparativo a que se refieren los apartados 2 y 3 no se hará público.

5.   Sin perjuicio de los requisitos de confidencialidad del artículo 47 y de la necesidad de proteger la seguridad de las entidades sujetas a las disposiciones del presente Reglamento, el análisis comparativo a que se refieren los apartados 2 y 3 del presente artículo se compartirá con todas las autoridades reguladoras nacionales, todas las autoridades competentes, la ACER, la ENISA y la Comisión.

1.   En un plazo de 18 meses a partir de la entrada en vigor del presente Reglamento, los GRT de una región de operación del sistema que sea vecina de un tercer país procurarán celebrar acuerdos con GRT del tercer país vecino que sean conformes con el Derecho pertinente de la Unión y que establezcan las bases para la cooperación en materia de protección de la ciberseguridad y los acuerdos de cooperación en materia de ciberseguridad con dichos GRT.

2.   Los GRT informarán a la autoridad competente de los acuerdos celebrados con arreglo al apartado 1.

1.   Las entidades que no tengan un establecimiento en la Unión, pero que presten servicios a entidades de la Unión y a las que se haya notificado su condición de entidades de impacto alto o de impacto crítico de conformidad con el artículo 24, apartado 6, designarán por escrito, en un plazo de tres meses a partir de la notificación, a un representante en la Unión e informarán de ello a la autoridad competente notificante.

2.   Se estipulará que contacte con dicho representante, además de con la entidad de impacto alto o de impacto crítico o en lugar de con ella, cualquier autoridad competente o un CSIRT de la Unión, con respecto a las obligaciones de la entidad en virtud del presente Reglamento. La entidad de impacto alto o de impacto crítico proporcionará a su representante legal las facultades necesarias y los recursos suficientes para garantizar su cooperación eficiente y oportuna con las autoridades competentes o los CSIRT pertinentes.

3.   El representante deberá estar establecido en uno de los Estados miembros en los que la entidad ofrece los servicios. La entidad se considerará sometida a la jurisdicción del Estado miembro en el que esté establecido su representante. Las entidades de impacto alto o de impacto crítico notificarán el nombre, el domicilio postal, la dirección de correo electrónico y el número de teléfono de su representante legal a la autoridad competente del Estado miembro en el que dicho representante legal resida o esté establecido.

4.   El representante legal designado podrá ser considerado responsable por el incumplimiento de las obligaciones en virtud del presente Reglamento, sin perjuicio de la responsabilidad de la propia entidad de impacto alto o de impacto crítico y de las acciones legales que pudiesen iniciarse contra ella.

5.   En ausencia de un representante dentro de la Unión designado con arreglo al presente artículo, cualquier Estado miembro en el que la entidad preste servicios podrá emprender acciones legales contra la entidad por incumplimiento de las obligaciones recogidas en el presente Reglamento.

6.   La designación de un representante legal en la Unión con arreglo al apartado 1 no constituirá un establecimiento en la Unión.

1.   La REGRT de Electricidad y la entidad de los GRD de la UE cooperarán en la realización de evaluaciones de riesgos para la ciberseguridad con arreglo al artículo 19 y al artículo 21, y en particular en las siguientes tareas:

2.   La cooperación entre la REGRT de Electricidad y la entidad de los GRD de la UE podrá adoptar la forma de un grupo de trabajo sobre riesgos para la ciberseguridad.

3.   La REGRT de Electricidad y la entidad de los GRD de la UE informarán periódicamente a la ACER, a la ENISA, al Grupo de Cooperación SRI y al Grupo de Coordinación de la Electricidad sobre los avances en la aplicación de las evaluaciones de riesgos para la ciberseguridad a escala de la Unión y las evaluaciones regionales de riesgos para la ciberseguridad con arreglo a los artículos 19 y 21.

1.   A más tardar el 13 de marzo de 2025, los GRT, con la asistencia de la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE y previa consulta con el Grupo de Cooperación SRI, presentarán una propuesta de metodologías de evaluación de riesgos para la ciberseguridad a nivel de la Unión, regional y de los Estados miembros.

2.   Las metodologías de evaluación de riesgos para la ciberseguridad a nivel de la Unión, regional y de los Estados miembros incluirán:

3.   Las metodologías de evaluación de riesgos para la ciberseguridad a nivel de la Unión, regional y de los Estados miembros evaluarán los riesgos para la ciberseguridad utilizando la misma matriz de impacto del riesgo. La matriz de impacto del riesgo:

4.   Las metodologías de evaluación de riesgos para la ciberseguridad a nivel de la Unión describirán cómo se definirán los valores ECII para los umbrales del impacto alto y del impacto crítico. El ECII permitirá a las entidades estimar, con ayuda de los criterios a que se refiere el apartado 2, letra b), el impacto de los riegos sobre su proceso de negocio durante las evaluaciones del impacto sobre la actividad que realicen con arreglo al artículo 26, apartado 4, letra c), inciso i).

5.   La REGRT de Electricidad, en coordinación con la entidad de los GRD de la UE, informará al Grupo de Coordinación de la Electricidad sobre las propuestas de metodologías de evaluación de riesgos para la ciberseguridad que se elaboren con arreglo al apartado 1.

1.   En un plazo de nueve meses a partir de la aprobación de las metodologías de evaluación de riesgos para la ciberseguridad con arreglo a lo dispuesto en el artículo 8 y posteriormente cada tres años, la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE y en consulta con el Grupo de Cooperación SRI, llevará a cabo, sin perjuicio de lo dispuesto en el artículo 22 de la Directiva (UE) 2022/2555, una evaluación de riesgos para la ciberseguridad a escala de la Unión, y elaborará un proyecto de informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión. A tal fin, utilizará las metodologías desarrolladas con arreglo al artículo 18, y aprobadas con arreglo al artículo 8, para determinar, analizar y evaluar las posibles consecuencias de los ciberataques que afecten a la seguridad operativa del sistema eléctrico y perturben los flujos transfronterizos de electricidad. La evaluación de riesgos para la ciberseguridad a escala de la Unión no tendrá en cuenta los daños de los ciberataques desde el punto de vista jurídico o financiero, ni tampoco los daños a la reputación.

2.   El informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión incluirá los siguientes elementos:

3.   Con respecto a los procesos de impacto alto y de impacto crítico a escala de la Unión, el informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión incluirá:

4.   La REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, presentará a la ACER el proyecto de informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión con los resultados de la evaluación de riesgos para la ciberseguridad a escala de la Unión, con vistas a que la ACER emita un dictamen. La ACER emitirá un dictamen sobre el proyecto de informe en un plazo de tres meses a partir de su recepción. La REGRT de Electricidad y la entidad de los GRD de la UE tendrán en cuenta el dictamen de la ACER en la mayor medida posible al finalizar el informe.

5.   En un plazo de tres meses a partir de la recepción del dictamen de la ACER, la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, notificará el informe final de evaluación de riesgos para la ciberseguridad a escala de la Unión a la ACER, a la Comisión, a la ENISA y a las autoridades competentes.

1.   Cada autoridad competente someterá todas las entidades de impacto alto y de impacto crítico de su Estado miembro a una evaluación de riesgos para la ciberseguridad del Estado miembro, utilizando las metodologías desarrolladas con arreglo al artículo 18 y aprobadas con arreglo al artículo 8. La evaluación de riesgos para la ciberseguridad del Estado miembro determinará y analizará los riesgos de ciberataques que afecten a la seguridad operativa del sistema eléctrico y perturben los flujos transfronterizos de electricidad. La evaluación de riesgos para la ciberseguridad del Estado miembro no tendrá en cuenta los daños de los ciberataques desde el punto de vista jurídico o financiero, ni tampoco los daños a la reputación.

2.   En un plazo de 21 meses a partir de la notificación de las entidades de impacto alto y de impacto crítico con arreglo al artículo 24, apartado 6, y cada tres años a partir de esa fecha, y previa consulta a la autoridad competente encargada de la ciberseguridad que sea responsable de la electricidad, cada autoridad competente, apoyada por el CSIRT, presentará a la REGRT de Electricidad y a la entidad de los GRD de la UE un informe sobre la evaluación de riesgos para la ciberseguridad del Estado miembro, que contendrá la siguiente información sobre cada proceso de negocio de impacto alto y de impacto crítico:

3.   El informe sobre la evaluación de riesgos para la ciberseguridad del Estado miembro tendrá en cuenta el plan de preparación frente a los riesgos del Estado miembro, establecido con arreglo al artículo 10 del Reglamento (UE) 2019/941.

4.   La información contenida en el informe sobre la evaluación de riesgos para la ciberseguridad del Estado miembro con arreglo al apartado 2, letras a) a d), no estará vinculada a entidades o activos específicos. El informe sobre la evaluación de riesgos para la ciberseguridad del Estado miembro también incluirá una evaluación de riesgos de las excepciones temporales concedidas por las autoridades competentes de los Estados miembros con arreglo al artículo 30.

5.   La REGRT de Electricidad y la entidad de los GRD de la UE podrán solicitar información adicional a las autoridades competentes en relación con las tareas especificadas en el apartado 2, letras a) y c).

6.   Las autoridades competentes velarán por que la información que faciliten sea exacta y correcta.

1.   La REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE y en consulta con el centro de coordinación regional pertinente, llevará a cabo una evaluación regional de riesgos para la ciberseguridad en cada región de operación del sistema utilizando las metodologías desarrolladas con arreglo al artículo 19, y aprobadas con arreglo al artículo 8, para determinar, analizar y evaluar los riesgos de ciberataques que afecten a la seguridad operativa del sistema eléctrico y perturben los flujos transfronterizos de electricidad. Las evaluaciones regionales de riesgos para la ciberseguridad no tendrán en cuenta los daños de los ciberataques desde el punto de vista jurídico o financiero, ni tampoco los daños a la reputación.

2.   En un plazo de 30 meses a partir de la notificación de las entidades de impacto alto y de impacto crítico con arreglo al artículo 24, apartado 6, y cada tres años a partir de entonces, la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE y en consulta con el Grupo de Cooperación SRI, elaborará un informe sobre la evaluación regional de riesgos para la ciberseguridad en cada región de operación del sistema.

3.   El informe sobre la evaluación regional de riesgos para la ciberseguridad tendrá en cuenta la información pertinente contenida en los informes sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión y en los informes sobre las evaluaciones de riesgos para la ciberseguridad de los Estados miembros.

4.   La evaluación regional de riesgos para la ciberseguridad tendrá en cuenta los escenarios de crisis de electricidad regionales relacionados con la ciberseguridad determinados con arreglo al artículo 6 del Reglamento (UE) 2019/941.

1.   En un plazo de 36 meses a partir de la notificación de las entidades de impacto alto y de impacto crítico con arreglo al artículo 24, apartado 6, y a más tardar el 13 de junio de 2031, y cada tres años después de esa fecha, los GRT, con la asistencia de la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE y en consulta con los centros de coordinación regionales y el Grupo de Cooperación SRI, elaborarán un plan regional de mitigación del riesgo para la ciberseguridad en cada región de operación del sistema.

2.   Los planes regionales de mitigación de riesgos para la ciberseguridad incluirán:

3.   La REGRT de Electricidad presentará los planes regionales de mitigación de riesgos a los gestores de redes de transporte pertinentes, a las autoridades competentes y al Grupo de Coordinación de la Electricidad. El Grupo de Coordinación de la Electricidad podrá recomendar modificaciones.

4.   Los GRT, con la asistencia de la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE y en consulta con el Grupo de Cooperación SRI, actualizarán los planes regionales de mitigación de riesgos cada tres años, salvo que las circunstancias exijan actualizaciones más frecuentes.

1.   En un plazo de 40 meses a partir de la notificación de las entidades de impacto alto y de impacto crítico con arreglo al artículo 24, apartado 6, y posteriormente cada tres años, los GRT, con la asistencia de la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE y en consulta con el Grupo de Cooperación SRI, presentarán al Grupo de Coordinación de la Electricidad un informe sobre el resultado de la evaluación de riesgos para la ciberseguridad en relación con los flujos transfronterizos de electricidad («informe exhaustivo sobre la evaluación de riesgos para la ciberseguridad de los flujos transfronterizos de electricidad»).

2.   El informe exhaustivo sobre la evaluación de riesgos para la ciberseguridad de los flujos transfronterizos de electricidad se basará en el informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión, en los informes sobre la evaluación de riesgos para la ciberseguridad del Estado miembro y en los informes sobre las evaluaciones regionales de riesgos para la ciberseguridad, e incluirá la siguiente información:

3.   Las entidades contempladas en el artículo 2, apartado 1, podrán contribuir al desarrollo del informe exhaustivo sobre la evaluación de riesgos para la ciberseguridad de los flujos transfronterizos de electricidad, respetando la confidencialidad de la información de conformidad con el artículo 47. Los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, consultarán a estas entidades desde una fase temprana.

4.   El informe exhaustivo sobre la evaluación de riesgos para la ciberseguridad de los flujos transfronterizos de electricidad estará sujeto a las normas sobre protección del intercambio de información con arreglo al artículo 46. Sin perjuicio de lo dispuesto en el artículo 10, apartado 4, y en el artículo 47, apartado 4, la REGRT de Electricidad y la entidad de los GRD de la UE emitirán una versión pública de dicho informe que no contendrá información que pueda causar daños a las entidades contempladas en el artículo 2, apartado 1. La versión pública de este informe solo se emitirá con el acuerdo del Grupo de Cooperación SRI y del Grupo de Coordinación de la Electricidad. La REGRT de Electricidad, en coordinación con la entidad de los GRD de la UE, será responsable de la compilación y emisión de la versión pública del informe.

1.   Cada autoridad competente determinará, utilizando los umbrales ECII y del impacto alto e impacto crítico incluidos en el informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión con arreglo al artículo 19, apartado 3, letra b), las entidades de impacto alto e impacto crítico de su Estado miembro que intervienen en los procesos de impacto alto e impacto crítico a escala de la Unión. Las autoridades competentes podrán solicitar información a una entidad de su Estado miembro para determinar los valores ECII de dicha entidad. Si el ECII determinado de una entidad supera el umbral del impacto alto o del impacto crítico, la entidad determinada se incluirá en el informe sobre la evaluación de riesgos para la ciberseguridad del Estado miembro contemplado en el artículo 20, apartado 2.

2.   Cada autoridad competente determinará, utilizando los umbrales ECII y del impacto alto e impacto crítico incluidos en el informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión con arreglo al artículo 19, apartado 3, letra b), las entidades de impacto alto e impacto crítico no establecidas en la Unión en la medida en que estas operen dentro de la Unión. La autoridad competente podrá solicitar información a una entidad no establecida en la Unión para determinar los valores ECII de dicha entidad.

3.   Cada autoridad competente podrá considerar otras entidades de su Estado miembro como entidades de impacto alto o de impacto crítico si se cumplen los siguientes criterios:

4.   Si una autoridad competente determina más entidades de conformidad con el apartado 3, todos los procesos de dichas entidades para las que el ECII agregado del grupo supere el umbral del impacto alto se considerarán procesos de impacto alto, y todos los procesos de dichas entidades para las que el ECII agregado del grupo supere los umbrales del impacto crítico se considerarán procesos de impacto crítico.

5.   Si una autoridad competente determina entidades contempladas en el apartado 3, letra a), en más de un Estado miembro, informará de ello a las demás autoridades competentes, a la REGRT de Electricidad y a la entidad de los GRD de la UE. La REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, basándose en la información recibida de todas las autoridades competentes, facilitará a las autoridades competentes un análisis de la agregación de entidades en más de un Estado miembro que pueda crear una perturbación distribuida en los flujos transfronterizos de electricidad y dar lugar a un ciberataque. Cuando un grupo de entidades de varios Estados miembros se considere como una agregación cuyo ECII supera el umbral del impacto alto o de impacto crítico, todas las autoridades competentes afectadas considerarán las entidades de dicho grupo como entidades de impacto alto o de impacto crítico para su respectivo Estado miembro, basándose en el ECII agregado del grupo de entidades, y las entidades determinadas se incluirán en el informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión.

6.   En un plazo de nueve meses a partir de la fecha en que la REGRT de Electricidad y la entidad de los GRD de la UE notifiquen el informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión con arreglo al artículo 19, apartado 5, y, en cualquier caso, a más tardar el 13 de junio de 2028, cada autoridad competente notificará a las entidades incluidas en la lista que han sido consideradas como entidades de impacto alto o de impacto crítico en su Estado miembro.

7.   Cuando se señale a una autoridad competente que un proveedor de servicios es un proveedor de servicios de TIC críticos con arreglo al artículo 27, letra c), dicha autoridad competente lo notificará a las autoridades competentes de los Estados miembros en cuyo territorio esté situada la sede o el representante. Esta última autoridad competente notificará al proveedor de servicios que ha sido considerado como proveedor de servicios críticos.

1.   Las autoridades competentes podrán establecer un sistema nacional de verificación para comprobar que las entidades de impacto crítico determinadas con arreglo al artículo 24, apartado 1, han implementado el marco legislativo nacional incluido en la matriz cartográfica contemplada en el artículo 34. El sistema nacional de verificación podrá basarse en una inspección realizada por la autoridad competente, en auditorías de seguridad independientes o en revisiones mutuas por pares realizadas por entidades de impacto crítico del mismo Estado miembro supervisadas por la autoridad competente.

2.   Si una autoridad competente decide establecer un sistema nacional de verificación, se asegurará de que la verificación se realice de conformidad con los siguientes requisitos:

3.   Si una autoridad competente decide establecer un sistema nacional de verificación, informará anualmente a la ACER sobre la frecuencia con la que ha llevado a cabo inspecciones en el marco de dicho sistema.

1.   Cada entidad de impacto alto y de impacto crítico determinada por las autoridades competentes con arreglo al artículo 24, apartado 1, llevará a cabo una gestión de riesgos para la ciberseguridad de todos sus activos en sus perímetros del impacto alto y de impacto crítico. Cada entidad de impacto alto y de impacto crítico realizará una gestión de riesgos que incluya las fases del apartado 2 cada tres años.

2.   Cada entidad de impacto alto y de impacto crítico basará su gestión de riesgos para la ciberseguridad en un enfoque que tenga por objeto proteger sus redes y sistemas de información y que comprenda las siguientes fases:

3.   Durante la fase de establecimiento del contexto, cada entidad de impacto alto y de impacto crítico:

4.   Durante la fase de evaluación de riesgos para la ciberseguridad, cada entidad de impacto alto y de impacto crítico:

5.   Durante la fase de gestión de los riesgos para la ciberseguridad, cada entidad de impacto alto y de impacto crítico establecerá un plan de mitigación de riesgos a nivel de entidad seleccionando opciones de gestión de riesgos adecuadas para manejar los riesgos y detectar los riesgos residuales.

6.   Durante la fase de aceptación de los riesgos para la ciberseguridad, cada entidad de impacto alto y de impacto crítico decidirá si acepta el riesgo residual sobre la base de los criterios de aceptación de los riesgos establecidos en el apartado 3, letra b).

7.   Cada entidad de impacto alto y de impacto crítico registrará los activos señalados en el apartado 1 en un inventario de activos. Dicho inventario de activos no formará parte del informe sobre la evaluación de riesgos.

8.   La autoridad competente podrá examinar los activos del inventario durante las inspecciones.

1.   El marco común de ciberseguridad de la electricidad estará compuesto por los siguientes controles y sistema de gestión de la ciberseguridad:

2.   Todas las entidades de impacto alto aplicarán los controles mínimos de ciberseguridad con arreglo al apartado 1, letra a), dentro de su perímetro del impacto alto.

3.   Todas las entidades de impacto crítico aplicarán los controles avanzados de ciberseguridad con arreglo al apartado 1, letra b), dentro de su perímetro del impacto crítico.

4.   En un plazo de siete meses a partir de la presentación del primer proyecto de informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión con arreglo al artículo 19, apartado 4, el marco común de ciberseguridad de la electricidad a que se refiere el apartado 1 se completará con los controles mínimos y avanzados de ciberseguridad en la cadena de suministro desarrollados con arreglo al artículo 33.

1.   En un plazo de siete meses a partir de la presentación del primer proyecto de informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión con arreglo al artículo 19, apartado 4, los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, elaborarán una propuesta de controles mínimos y avanzados de ciberseguridad.

2.   En un plazo de seis meses a partir de la elaboración de cada informe sobre la evaluación regional de riesgos para la ciberseguridad con arreglo al artículo 21, apartado 2, los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, propondrán a la autoridad competente una modificación de los controles mínimos y avanzados de ciberseguridad. La propuesta se realizará de conformidad con el artículo 8, apartado 10, y tendrá en cuenta los riesgos señalados en la evaluación regional de riesgos.

3.   Los controles mínimos y avanzados de ciberseguridad serán verificables participando en un sistema nacional de verificación de conformidad con el procedimiento establecido en el artículo 31 o sometiéndose a auditorías de seguridad realizadas por terceros independientes de conformidad con los requisitos contemplados en el artículo 25, apartado 2.

4.   Los controles mínimos y avanzados de ciberseguridad iniciales desarrollados con arreglo al apartado 1 se basarán en los riesgos señalados en el informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión a que se refiere el artículo 19, apartado 5. Los controles mínimos y avanzados de ciberseguridad modificados desarrollados con arreglo al apartado 2 se basarán en el informe sobre la evaluación regional de riesgos para la ciberseguridad contemplado en el artículo 21, apartado 2.

5.   Los controles mínimos de ciberseguridad incluirán controles para proteger la información intercambiada con arreglo al artículo 46.

6.   En un plazo de 12 meses a partir de la aprobación de los controles mínimos y avanzados de ciberseguridad con arreglo al artículo 8, apartado 5, o después de cada actualización con arreglo al artículo 8, apartado 10, las entidades contempladas en el artículo 2, apartado 1, y consideradas de impacto crítico y de impacto alto con arreglo al artículo 24 aplicarán, durante el establecimiento del plan de mitigación de riesgos a nivel de entidad con arreglo al artículo 26, apartado 5, los controles mínimos de ciberseguridad dentro del perímetro del impacto alto y los controles avanzados de ciberseguridad dentro del perímetro del impacto crítico.

1.   Las entidades contempladas en el artículo 2, apartado 1, podrán solicitar a la autoridad competente respectiva que conceda una excepción a su obligación de aplicar los controles mínimos y avanzados de ciberseguridad contemplados en el artículo 29, apartado 6. La autoridad competente podrá conceder tal excepción por alguno de los motivos siguientes:

2.   En un plazo de tres meses a partir de la recepción de la solicitud a que se refiere el apartado 1, cada autoridad competente decidirá si debe concederse una excepción a los controles mínimos y avanzados de ciberseguridad. Las excepciones a los controles mínimos o avanzados de ciberseguridad se concederán por un período máximo de tres años, con posibilidad de renovación.

3.   La información agregada y anonimizada sobre las excepciones concedidas se incluirá como anexo del informe exhaustivo sobre la evaluación de riesgos para la ciberseguridad de los flujos transfronterizos de electricidad contemplado en el artículo 23. La REGRT de Electricidad y la entidad de los GRD de la UE actualizarán conjuntamente la lista, cuando sea necesario.

1.   A más tardar 24 meses después de la adopción de los controles a que se refiere el artículo 28, apartado 1, letras a), b) y c), y del establecimiento del sistema de gestión de la ciberseguridad a que se refiere la letra d) de dicho artículo, cada entidad de impacto crítico determinada de conformidad con el artículo 24, apartado 1, deberá poder demostrar su conformidad con el sistema de gestión de la ciberseguridad y con los controles mínimos o avanzados de ciberseguridad a petición de la autoridad competente.

2.   Cada entidad de impacto crítico cumplirá la obligación a que se refiere el apartado 1 sometiéndose a auditorías de seguridad realizadas por terceros independientes de conformidad con los requisitos del artículo 25, apartado 2, o participando en un sistema nacional de verificación de conformidad con el artículo 25, apartado 1.

3.   La verificación de que una entidad de impacto crítico cumple el sistema de gestión de la ciberseguridad y los controles mínimos o avanzados de ciberseguridad abarcará todos los activos dentro del perímetro del impacto crítico de la entidad de impacto crítico.

4.   La verificación de que una entidad de impacto crítico cumple el sistema de gestión de la ciberseguridad y los controles mínimos o avanzados de ciberseguridad se repetirá periódicamente a más tardar 36 meses después de que finalice la primera verificación, y posteriormente cada tres años.

5.   Cada entidad de impacto crítico definida de conformidad con el artículo 24 demostrará su conformidad con los controles a que se refiere el artículo 28, apartado 1, letras a), b) y c), así como con el establecimiento del sistema de gestión de la ciberseguridad mencionado en la letra d) de dicho artículo, notificando el resultado de la verificación del cumplimiento a la autoridad competente.

1.   En un plazo de 24 meses a partir de la fecha en que la autoridad competente notifique a las entidades de impacto alto y de impacto crítico que han sido consideradas como entidad de impacto alto o de impacto crítico de conformidad con el artículo 24, apartado 6, cada una de ellas establecerá un sistema de gestión de la ciberseguridad, y posteriormente lo revisará cada tres años, con el fin de:

2.   El sistema de gestión de la ciberseguridad abarcará todos los activos dentro del perímetro del impacto alto y del impacto crítico de la entidad de impacto alto y de impacto crítico.

3.   Las autoridades competentes, sin imponer ni discriminar en favor de la utilización de un tipo concreto de tecnología, fomentarán el uso de normas y especificaciones europeas o internacionales relacionadas con los sistemas de gestión y pertinentes para la seguridad de las redes y sistemas de información.

1.   En un plazo de siete meses a partir de la presentación del primer proyecto de informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión con arreglo al artículo 19, apartado 4, los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, elaborarán una propuesta de controles mínimos y avanzados de ciberseguridad en la cadena de suministro que mitiguen los riesgos de la cadena de suministro señalados en las evaluaciones de riesgos para la ciberseguridad a escala de la Unión, que completarán los controles mínimos y avanzados de ciberseguridad desarrollados con arreglo al artículo 29. Los controles mínimos y avanzados de ciberseguridad en la cadena de suministro se desarrollarán junto con los controles mínimos y avanzados de ciberseguridad con arreglo al artículo 29. Los controles mínimos y avanzados de ciberseguridad en la cadena de suministro abarcarán el ciclo de vida completo de todos los productos, servicios y procesos de TIC dentro de los perímetros del impacto alto o de impacto crítico de una entidad de impacto alto o de impacto crítico. Se consultará al Grupo de Cooperación SRI durante la elaboración de la propuesta de controles mínimos y avanzados de ciberseguridad en la cadena de suministro.

2.   Los controles mínimos de ciberseguridad en la cadena de suministro consistirán en controles para las entidades de impacto alto y de impacto crítico que:

3.   Para las especificaciones de ciberseguridad de la recomendación de contratación en materia de ciberseguridad a que se refiere el apartado 2, letra a), las entidades de impacto alto o de impacto crítico utilizarán los principios de contratación con arreglo a la Directiva 2014/24/UE del Parlamento Europeo y del Consejo (19), de conformidad con el artículo 35, apartado 4, o definirán sus propias especificaciones basándose en los resultados de la evaluación de riesgos para la ciberseguridad a nivel de entidad.

4.   Los controles avanzados de ciberseguridad en la cadena de suministro incluirán controles para que las entidades de impacto crítico verifiquen, durante la contratación, que los productos, servicios y procesos de TIC que se utilizarán como activos de impacto crítico cumplen las especificaciones de ciberseguridad. El producto, servicio o proceso de TIC se verificará a través de un esquema europeo de certificación de la ciberseguridad contemplado en el artículo 31 o mediante actividades de verificación seleccionadas y organizadas por la entidad. La profundidad y la cobertura de las actividades de verificación serán suficientes para garantizar que el producto, servicio o proceso de TIC puede utilizarse para mitigar los riesgos señalados en la evaluación de riesgos a nivel de entidad. La entidad de impacto crítico documentará las medidas adoptadas para reducir los riesgos detectados.

5.   Los controles mínimos y avanzados de ciberseguridad en la cadena de suministro se aplicarán a la contratación de productos, servicios y procesos de TIC pertinentes. Los controles mínimos y avanzados de ciberseguridad en la cadena de suministro se aplicarán a los procesos de contratación de las entidades consideradas como entidades de impacto crítico y de impacto alto con arreglo al artículo 24 que comiencen seis meses después de la adopción o actualización de los controles mínimos y avanzados de ciberseguridad a que se refiere el artículo 29.

6.   En un plazo de seis meses a partir de la elaboración de cada informe sobre la evaluación regional de riesgos para la ciberseguridad con arreglo al artículo 21, apartado 2, los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, propondrán a la autoridad competente una modificación de los controles mínimos y avanzados de ciberseguridad en la cadena de suministro. La propuesta se realizará de conformidad con el artículo 8, apartado 10, y tendrá en cuenta los riesgos señalados en la evaluación regional de riesgos.

1.   En un plazo de siete meses a partir de la presentación del primer proyecto de informe sobre la evaluación de riesgos para la ciberseguridad a escala de la Unión con arreglo al artículo 19, apartado 4, los GRT, con la asistencia de la REGRT de Electricidad, y en cooperación con la entidad de los GRD de la UE y en consulta con la ENISA, elaborarán una propuesta de matriz para cartografiar los controles establecidos en el artículo 28, apartado 1, letras a) y b), con respecto a una selección de normas europeas e internacionales, así como a las especificaciones técnicas pertinentes («la matriz cartográfica»). La REGRT de Electricidad y la entidad de los GRD de la UE documentarán la equivalencia de los distintos controles con los controles establecidos en el artículo 28, apartado 1, letras a) y b).

2.   Las autoridades competentes podrán facilitar a la REGRT de Electricidad y a la entidad de los GRD de la UE una cartografía de los controles establecidos en el artículo 28, apartado 1, letras a) y b), con una referencia a los marcos legislativos o reglamentarios nacionales correspondientes, incluidas las normas nacionales pertinentes de los Estados miembros con arreglo al artículo 25 de la Directiva (UE) 2022/2555. Si la autoridad competente de un Estado miembro facilita dicha cartografía, la REGRT de Electricidad y la entidad de los GRD de la UE integrarán esta cartografía nacional en la matriz cartográfica.

3.   En un plazo de seis meses a partir de la elaboración de cada informe sobre la evaluación regional de riesgos para la ciberseguridad con arreglo al artículo 21, apartado 2, los GRT, con la asistencia de la REGRT de Electricidad, y en cooperación con la entidad de los GRD de la UE y en consulta con la ENISA, propondrán a la autoridad competente una modificación de la matriz cartográfica. La propuesta se realizará de conformidad con el artículo 8, apartado 10, y tendrá en cuenta los riesgos señalados en la evaluación regional de riesgos.

1.   Los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, elaborarán, en un programa de trabajo que se establecerá y actualizará cada vez que se adopte un informe sobre la evaluación regional de riesgos para la ciberseguridad, conjuntos de recomendaciones no vinculantes sobre contratación en materia de ciberseguridad que las entidades de impacto alto y de impacto crítico puedan utilizar como base para la contratación de productos, servicios y procesos de TIC en los perímetros del impacto alto y de impacto crítico. Este programa de trabajo incluirá lo siguiente:

2.   La REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, facilitará a la ACER, en un plazo de seis meses a partir de la adopción o actualización del informe sobre la evaluación regional de riesgos para la ciberseguridad, un resumen del programa de trabajo mencionado.

3.   Los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, se esforzarán por garantizar que las recomendaciones no vinculantes sobre contratación en materia de ciberseguridad elaboradas sobre la base de la evaluación regional pertinente de los riesgos para la ciberseguridad sean similares o comparables en todas las regiones de operación del sistema. Los conjuntos de recomendaciones sobre contratación en materia de ciberseguridad abarcarán, como mínimo, las especificaciones a que se refiere el artículo 33, apartado 2, letra a). En la medida de lo posible, las especificaciones se seleccionarán a partir de normas europeas e internacionales.

4.   Los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, velarán por que los conjuntos de recomendaciones sobre contratación en materia de ciberseguridad:

1.   Las recomendaciones no vinculantes sobre contratación en materia de ciberseguridad elaboradas con arreglo al artículo 35 podrán incluir orientaciones sectoriales específicas sobre el uso de los esquemas europeos de certificación de la ciberseguridad, siempre que se disponga de un esquema adecuado para un tipo de producto, servicio o proceso de TIC utilizado por las entidades de impacto crítico, sin perjuicio del marco para la creación de esquemas europeos de certificación de la ciberseguridad con arreglo al artículo 46 del Reglamento (UE) 2019/881.

2.   Los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, cooperarán estrechamente con la ENISA al proporcionar las orientaciones sectoriales incluidas en las recomendaciones no vinculantes sobre contratación en materia de ciberseguridad con arreglo al apartado 1.

1.   Si una autoridad competente recibe información relacionada con un ciberataque notificable, dicha autoridad competente:

2.   Si un CSIRT tiene conocimiento de una vulnerabilidad aprovechada activamente no subsanada:

3.   Si una autoridad competente tiene conocimiento de una vulnerabilidad aprovechada activamente no subsanada, dicha autoridad competente:

4.   Si la autoridad competente tiene conocimiento de una vulnerabilidad no subsanada, sin pruebas de que se esté aprovechando activamente en ese momento, se coordinará sin demora indebida con el CSIRT a efectos de la divulgación coordinada de vulnerabilidades, tal como se establece en el artículo 12, apartado 1, de la Directiva (UE) 2022/2555.

5.   Si un CSIRT recibe información relacionada con ciberamenazas procedente de una o varias entidades de impacto alto o de impacto crítico con arreglo al artículo 38, apartado 6, difundirá dicha información o cualquier otra información importante para prevenir el riesgo relacionado con las ciberamenazas, detectarlo, responder a él o mitigarlo, a las entidades de impacto alto o de impacto crítico de su Estado miembro y, cuando proceda, a todos los CSIRT afectados y a su punto de contacto único nacional sin demora indebida y a más tardar cuatro horas después de recibir la información.

6.   Si una autoridad competente tiene conocimiento de información relacionada con ciberamenazas procedente de una o varias entidades de impacto alto o de impacto crítico, transmitirá dicha información al CSIRT a efectos del apartado 5.

7.   Las autoridades competentes podrán delegar total o parcialmente las responsabilidades contempladas en los apartados 3 y 4 en relación con una o varias entidades de impacto alto o de impacto crítico que operen en más de un Estado miembro en otra autoridad competente de uno de esos Estados miembros, previo acuerdo entre las autoridades competentes afectadas.

8.   Los GRT, con la asistencia de la REGRT de Electricidad y en cooperación con la entidad de los GRD de la UE, desarrollarán una metodología de la escala de clasificación de los ciberataques a más tardar el 13 de junio de 2025. Los GRT, con la asistencia de la REGRT de Electricidad y de la entidad de los GRD de la UE, podrán solicitar a las autoridades competentes que consulten a la ENISA y a sus autoridades competentes encargadas de la ciberseguridad para que presten asistencia en el desarrollo de dicha escala de clasificación. La metodología ofrecerá la clasificación de la gravedad de un ciberataque con arreglo a cinco niveles; los dos niveles más altos serán «alto» y «crítico». La clasificación se basará en la evaluación de los siguientes parámetros:

9.   A más tardar el 13 de junio de 2026, la REGRT de Electricidad, en colaboración con la entidad de los GRD de la UE, llevará a cabo un estudio de viabilidad para valorar la posibilidad de crear una herramienta común que permita a todas las entidades compartir información con las autoridades nacionales pertinentes, así como los costes financieros necesarios para desarrollar dicha herramienta.

10.   El estudio de viabilidad abordará la posibilidad de que dicha herramienta común:

11.   La REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE:

12.   La REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, podrá analizar y facilitar iniciativas propuestas por entidades de impacto crítico y de impacto alto a fin de evaluar y probar dichas herramientas para la puesta en común de información.

1.   Cada entidad de impacto alto y de impacto crítico:

2.   La ENISA podrá publicar orientaciones no vinculantes sobre el establecimiento de dichas capacidades o la subcontratación del servicio a proveedores de servicios de seguridad gestionados, como parte de la tarea definida en el artículo 6, apartado 2, del Reglamento (UE) 2019/881.

3.   Cada entidad de impacto crítico y de impacto alto pondrá en común la información pertinente relacionada con un ciberataque notificable con sus CSIRT y su autoridad competente sin demora indebida y a más tardar cuatro horas después de tener conocimiento de que el incidente es notificable.

4.   La información relacionada con un ciberataque se considerará notificable cuando este sea evaluado por la entidad afectada y el resultado sea una gravedad entre los niveles «alto» y «crítico» según la metodología de la escala de clasificación de los ciberataques con arreglo al artículo 37, apartado 8. El punto de contacto único a nivel de entidad designado con arreglo al apartado 1, letra c), comunicará la clasificación de incidentes.

5.   Cuando las entidades de impacto crítico y de impacto alto notifiquen a un CSIRT información pertinente relacionada con vulnerabilidades aprovechadas activamente no subsanadas, este podrá transmitir dicha información a su autoridad competente. En vista del nivel de sensibilidad de la información notificada, el CSIRT podrá retener la información o retrasar su transmisión por motivos justificados relacionados con la ciberseguridad.

6.   Cada entidad de impacto crítico y de impacto alto facilitará sin demora indebida a sus CSIRT cualquier información relacionada con una ciberamenaza notificable que pueda tener un efecto transfronterizo. La información relativa a una ciberamenaza se considerará notificable cuando se cumpla al menos una de las condiciones siguientes:

7.   Al poner en común información con arreglo al presente artículo, cada entidad de impacto crítico y de impacto alto especificará lo siguiente:

8.   Cuando una entidad de impacto crítico o de impacto alto notifique un incidente significativo con arreglo al artículo 23 de la Directiva (UE) 2022/2555 y la notificación del incidente con arreglo a dicho artículo contenga la información pertinente exigida en el apartado 3 del presente artículo, la notificación de la entidad con arreglo al artículo 23, apartado 1, de dicha Directiva constituirá una notificación de información con arreglo al apartado 3 del presente artículo.

9.   Cada entidad de impacto crítico y de impacto alto informará a su autoridad competente o CSIRT señalando claramente la información específica que solo se pondrá en común con la autoridad competente o el CSIRT en los casos en que la puesta en común de información pueda ser fuente de un ciberataque. Cada entidad de impacto crítico y de impacto alto tendrá derecho a facilitar una versión no confidencial de la información al CSIRT competente.

1.   Las entidades de impacto crítico y de impacto alto desarrollarán las capacidades necesarias para gestionar los ciberataques detectados con el apoyo necesario de la autoridad competente pertinente, la REGRT de Electricidad y la entidad de los GRD de la UE. Las entidades de impacto crítico y de impacto alto podrán contar con el apoyo del CSIRT designado en sus respectivos Estados miembros como parte de la tarea asignada a los CSIRT por el artículo 11, apartado 5, letra a), de la Directiva (UE) 2022/2555. Las entidades de impacto crítico y de impacto alto aplicarán procesos eficaces para detectar los ciberataques que vayan a afectar o puedan afectar a los flujos transfronterizos de electricidad, clasificarlos y responder a ellos, con el fin de minimizar su impacto.

2.   Si un ciberataque afecta a los flujos transfronterizos de electricidad, los puntos de contacto únicos a nivel de entidad de las entidades de impacto crítico y de impacto alto afectadas cooperarán para compartir información entre ellas, con la coordinación de la autoridad competente del Estado miembro en el que se haya notificado por primera vez el ciberataque.

3.   Las entidades de impacto crítico y de impacto alto:

4.   Los Estados miembros también podrán delegar las tareas a que se refiere el apartado 1 en los centros de coordinación regionales, de conformidad con el artículo 37, apartado 2, del Reglamento (UE) 2019/943.

1.   Cuando la autoridad competente determine que una crisis de electricidad está relacionada con un ciberataque que afecta a más de un Estado miembro, las autoridades competentes de los Estados miembros afectados, las autoridades competentes encargadas de la ciberseguridad, las autoridades competentes en materia de preparación frente a los riesgos y las autoridades de gestión de crisis de ciberseguridad en el ámbito de los SRI de los Estados miembros afectados crearán conjuntamente un grupo ad hoc de coordinación de crisis transfronterizas.

2.   El grupo ad hoc de coordinación de crisis transfronterizas:

3.   Cuando el ciberataque se considere un incidente de ciberseguridad a gran escala, o cuando se prevea que vaya a considerarse como tal, el grupo ad hoc de coordinación de crisis transfronterizas informará inmediatamente a las autoridades nacionales de gestión de crisis de ciberseguridad de conformidad con el artículo 9, apartado 1, de la Directiva (UE) 2022/2555 en los Estados miembros afectados por el incidente, así como a la Comisión y a la EU-CyCLONe. En tal situación, el grupo ad hoc de coordinación de crisis transfronterizas apoyará a la EU-CyCLONe en lo que respecta a las especificidades sectoriales.

4.   Las entidades de impacto crítico y de impacto alto desarrollarán y tendrán a su disposición capacidades, directrices internas, planes de preparación y personal para participar en la detección y mitigación de crisis transfronterizas. La entidad de impacto crítico o de impacto alto afectada por una crisis simultánea de electricidad investigará las causas raíz de dicha crisis en cooperación con su autoridad competente para determinar en qué medida la crisis está relacionada con un ciberataque.

5.   Los Estados miembros también podrán delegar las tareas contempladas en el apartado 4 en los centros de coordinación regionales, de conformidad con el artículo 37, apartado 2, del Reglamento (UE) 2019/943.

1.   En un plazo de 24 meses a partir de la notificación a la ACER del informe sobre la evaluación de riesgos a escala de la Unión, la ACER, en estrecha cooperación con la ENISA, la REGRT de Electricidad, la entidad de los GRD de la UE, las autoridades competentes encargadas de la ciberseguridad, las autoridades competentes, las autoridades competentes en materia de preparación frente a los riesgos, las autoridades reguladoras nacionales y las autoridades nacionales de gestión de crisis de ciberseguridad en el ámbito de los SRI, elaborará un plan de gestión de crisis de ciberseguridad y de respuesta a estas a escala de la Unión para el sector de la electricidad.

2.   En un plazo de 12 meses a partir de la elaboración por parte de la ACER del plan de gestión de la crisis de ciberseguridad y de respuesta a estas a escala de la Unión para el sector de la electricidad con arreglo al apartado 1, cada autoridad competente elaborará un plan nacional de gestión de crisis de ciberseguridad y de respuesta a estas para los flujos transfronterizos de electricidad teniendo en cuenta el plan de gestión de crisis de ciberseguridad a escala de la Unión y el plan nacional de preparación frente a los riesgos establecido de conformidad con el artículo 10 del Reglamento (UE) 2019/941. Este plan será coherente con el plan de respuesta a incidentes y crisis de ciberseguridad a gran escala con arreglo al artículo 9, apartado 4, de la Directiva (UE) 2022/2555. La autoridad competente se coordinará con las entidades de impacto crítico y de impacto alto y con la autoridad competente en materia de preparación frente a los riesgos de su Estado miembro.

3.   El plan nacional de respuesta a incidentes y crisis de ciberseguridad a gran escala exigido con arreglo al artículo 9, apartado 4, de la Directiva (UE) 2022/2555 se considerará un plan nacional de gestión de crisis de ciberseguridad con arreglo al presente artículo si incluye disposiciones de gestión de las crisis y de respuesta a estas para los flujos transfronterizos de electricidad.

4.   Los Estados miembros también podrán delegar las tareas contempladas en los apartados 1 y 2 en los centros de coordinación regionales, de conformidad con el artículo 37, apartado 2, del Reglamento (UE) 2019/943.

5.   Las entidades de impacto crítico y de impacto alto garantizarán que sus procesos de gestión de crisis relacionadas con la ciberseguridad:

6.   En un plazo de 12 meses a partir de la notificación de las entidades de impacto alto y de impacto crítico con arreglo al artículo 24, apartado 6, y posteriormente cada tres años, las entidades de impacto crítico y de impacto alto elaborarán un plan de gestión de crisis a nivel de entidad para una crisis relacionada con la ciberseguridad, que se incluirá en sus planes generales de gestión de crisis. El plan incluirá, como mínimo, lo siguiente:

7.   Las medidas para la gestión de crisis con arreglo al artículo 21, apartado 2, letra c), de la Directiva (UE) 2022/2555 se considerarán un plan de gestión de crisis a nivel de entidad para el sector de la electricidad con arreglo al presente artículo si incluyen todos los requisitos mencionados en el apartado 6.

8.   Los planes de gestión de crisis se probarán durante los ejercicios de ciberseguridad contemplados en los artículos 43, 44 y 45.

9.   Las entidades de impacto crítico y de impacto alto incluirán sus planes de gestión de crisis a nivel de entidad en sus planes de continuidad de las actividades para los procesos de impacto crítico y de impacto alto. Los planes de gestión de crisis a nivel de entidad incluirán:

10.   Las entidades de impacto crítico y de impacto alto actualizarán sus planes de gestión de crisis a nivel de entidad al menos cada tres años y siempre que sea necesario.

11.   La ACER actualizará el plan de gestión de crisis de ciberseguridad y de respuesta a estas a escala de la Unión para el sector de la electricidad elaborado con arreglo al apartado 1 al menos cada tres años y siempre que sea necesario.

12.   Cada autoridad competente actualizará el plan nacional de gestión de crisis de ciberseguridad y de respuesta a estas para los flujos transfronterizos de electricidad elaborado con arreglo al apartado 2 al menos cada tres años y siempre que sea necesario.

13.   Las entidades de impacto crítico y de impacto alto probarán sus planes de continuidad de las actividades al menos una vez cada tres años o después de que haya cambios importantes en un proceso de impacto crítico. Se documentará el resultado de las pruebas del plan de continuidad de las actividades. Las entidades de impacto crítico y de impacto alto podrán incluir la prueba de su plan de continuidad de las actividades en los ejercicios de ciberseguridad.

14.   Las entidades de impacto crítico y de impacto alto actualizarán su plan de continuidad de las actividades siempre que sea necesario y al menos una vez cada tres años, teniendo en cuenta el resultado de la prueba.

15.   Si una prueba detecta deficiencias en el plan de continuidad de las actividades, la entidad de impacto crítico y de impacto alto corregirá dichas deficiencias en un plazo de ciento ochenta días naturales a partir de la prueba y realizará una nueva prueba para demostrar que las medidas correctoras son eficaces.

16.   Cuando una entidad de impacto crítico o de impacto alto no pueda corregir las deficiencias en un plazo de ciento ochenta días naturales, incluirá las razones en el informe que debe presentarse a su autoridad competente de conformidad con el artículo 27.

1.   Las autoridades competentes cooperarán con la ENISA para desarrollar capacidades de alerta temprana en materia de ciberseguridad como parte de la asistencia a los Estados miembros con arreglo al artículo 6, apartados 2 y 7, del Reglamento (UE) 2019/881.

2.   Las capacidades de alerta temprana en materia de ciberseguridad permitirán a la ENISA, cuando lleve a cabo las tareas descritas en el artículo 7, apartado 7, del Reglamento (UE) 2019/881:

3.   Los CSIRT difundirán sin demora la información recibida de la ENISA a las entidades afectadas, en el marco de sus tareas definidas en el artículo 11, apartado 3, letra b), de la Directiva (UE) 2022/2555.

4.   La ACER supervisará la eficacia de las capacidades de alerta temprana en materia de ciberseguridad. La ENISA asistirá a la ACER facilitando toda la información necesaria, con arreglo al artículo 6, apartado 2, y al artículo 7, apartado 1, del Reglamento (UE) 2019/881. El análisis de esta actividad de seguimiento formará parte de la supervisión con arreglo al artículo 12 del presente Reglamento.

1.   A más tardar el 31 de diciembre del año siguiente a la notificación de las entidades de impacto crítico, y posteriormente cada tres años, cada entidad de impacto crítico llevará a cabo un ejercicio de ciberseguridad que incluya uno o varios escenarios con ciberataques que afecten directa o indirectamente a los flujos transfronterizos de electricidad y estén relacionados con los riesgos detectados durante las evaluaciones de riesgos para la ciberseguridad a nivel de Estado miembro y de entidad de conformidad con los artículos 20 y 27.

2.   No obstante lo dispuesto en el apartado 1, la autoridad competente en materia de preparación frente a los riesgos, previa consulta a la autoridad competente y a la autoridad de gestión de crisis de ciberseguridad pertinente designada o establecida en la Directiva (UE) 2022/2555 con arreglo al artículo 9, podrá optar por organizar un ejercicio de ciberseguridad a nivel de Estado miembro, tal como se describe en el apartado 1, en lugar de a nivel de entidad. A este respecto, la autoridad competente informará a:

3.   La autoridad competente en materia de preparación frente a los riesgos, con el apoyo técnico de sus CSIRT, organizará el ejercicio de ciberseguridad descrito en el apartado 2 a nivel de Estado miembro de forma independiente o en el contexto de un ejercicio de ciberseguridad diferente en ese Estado miembro. Para poder agrupar estos ejercicios, la autoridad competente en materia de preparación frente a los riesgos podrá aplazar un año el ejercicio de ciberseguridad a nivel de Estado miembro a que se refiere el apartado 1.

4.   Los ejercicios de ciberseguridad a nivel de entidad y de Estado miembro serán coherentes con los marcos nacionales de gestión de crisis de ciberseguridad de conformidad con el artículo 9, apartado 4, letra d), de la Directiva (UE) 2022/2555.

5.   A más tardar el 31 de diciembre de 2026, y posteriormente cada tres años, la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, facilitará una plantilla de escenarios para la realización de los ejercicios de ciberseguridad a nivel de entidad y de Estado miembro contemplados en el apartado 1. Esta plantilla tendrá en cuenta los resultados de la evaluación de riesgos para la ciberseguridad realizada más recientemente a nivel de entidad y de Estado miembro e incluirá criterios clave de éxito. La REGRT de Electricidad y la entidad de los GRD de la UE invitarán a la ACER y a la ENISA a participar en la elaboración de dicho modelo.

1.   A más tardar el 31 de diciembre de 2029, y posteriormente cada tres años, en cada región de operación del sistema, la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, organizará un ejercicio de ciberseguridad regional. Las entidades de impacto crítico de la región de operación del sistema participarán en el ejercicio de ciberseguridad regional. La REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, podrá organizar, en lugar de un ejercicio de ciberseguridad regional, un ejercicio de ciberseguridad transregional en más de una región operativa del sistema en el mismo período. El ejercicio debe tener en cuenta otras evaluaciones y escenarios de riesgos para la ciberseguridad existentes, desarrollados a nivel de la Unión.

2.   La ENISA apoyará a la REGRT de Electricidad y a la entidad de los GRD de la UE en la preparación y organización del ejercicio de ciberseguridad regional o transregional.

3.   La REGRT de Electricidad, en coordinación con la entidad de los GRD de la UE, informará a las entidades de impacto crítico que participarán en el ejercicio de ciberseguridad regional o transregional seis meses antes de la realización del ejercicio.

4.   El organizador de un ejercicio periódico de ciberseguridad a nivel de la Unión con arreglo al artículo 7, apartado 5, del Reglamento (UE) 2019/881, o de cualquier ejercicio de ciberseguridad obligatorio relacionado con el sector de la electricidad dentro del mismo perímetro geográfico, podrá invitar a participar a la REGRT de Electricidad y a la entidad de los GRD de la UE. En tales casos no se aplicará la obligación del apartado 1, siempre que todas las entidades de impacto crítico de la región de operación del sistema participen en el mismo ejercicio.

5.   Si la REGRT de Electricidad y la entidad de los GRD de la UE participan en el ejercicio de ciberseguridad contemplado en el apartado 4, podrán aplazar un año el ejercicio de ciberseguridad regional o transregional contemplado en el apartado 1.

6.   A más tardar el 31 de diciembre de 2027, y posteriormente cada tres años, la REGRT de Electricidad, en coordinación con la entidad de los GRD de la UE, pondrá a disposición un modelo de ejercicio para la realización de los ejercicios de ciberseguridad regionales y transregionales. Esta plantilla tendrá en cuenta los resultados de la evaluación de riesgos para la ciberseguridad realizada más recientemente a nivel regional e incluirá criterios clave de éxito. La REGRT de Electricidad consultará a la Comisión y podrá recabar asesoramiento de la ACER, la ENISA y el Centro Común de Investigación sobre la organización y ejecución de los ejercicios de ciberseguridad regionales y transregionales.

1.   A petición de una entidad de impacto crítico, los proveedores de servicios críticos participarán en los ejercicios de ciberseguridad contemplados en el artículo 43, apartados 1 y 2, y el artículo 44, apartado 1, cuando presten servicios para la entidad de impacto crítico en el ámbito correspondiente al alcance del ejercicio de ciberseguridad pertinente.

2.   Los organizadores de los ejercicios de ciberseguridad contemplados en el artículo 43, apartados 1 y 2, y en el artículo 44, apartado 1, con el asesoramiento de la ENISA, si lo solicitan, y con arreglo al artículo 7, apartado 5, del Reglamento (UE) 2019/881, analizarán y finalizarán el ejercicio de ciberseguridad pertinente a través de un informe que resuma las lecciones aprendidas, dirigido a todos los participantes. El informe incluirá:

3.   Si así lo solicita la red de CSIRT o el Grupo de Cooperación SRI o la EU-CyCLONe, los organizadores de los ejercicios de ciberseguridad contemplados en el artículo 43, apartados 1 y 2, y en el artículo 44, apartado 1, compartirán el resultado del ejercicio de ciberseguridad pertinente. Los organizadores pondrán en común con cada entidad que participe en los ejercicios la información a que se refiere el apartado 2, letras a) y b), del presente artículo. Los organizadores compartirán la lista de recomendaciones a que se refiere dicho apartado, letra c), exclusivamente con las entidades destinatarias de las recomendaciones.

4.   Los organizadores de los ejercicios de ciberseguridad contemplados en el artículo 43, apartados 1 y 2, y en el artículo 44, apartado 1, realizarán un seguimiento periódico con las entidades que participen en los ejercicios sobre la aplicación de las recomendaciones con arreglo al apartado 2, letra c), del presente artículo.

1.   Las entidades contempladas en el artículo 2, apartado 1, velarán por que la información facilitada, recibida, intercambiada o transmitida con arreglo al presente Reglamento solo sea accesible cuando sea necesario conocerla y de conformidad con las normas nacionales y de la Unión pertinentes en materia de seguridad de la información.

2.   Las entidades contempladas en el artículo 2, apartado 1, velarán por que la información facilitada, recibida, intercambiada o transmitida con arreglo al presente Reglamento se trate y sea objeto de seguimiento durante su ciclo de vida completo, y por que solo pueda divulgarse al final de su ciclo de vida una vez anonimizada.

3.   Las entidades contempladas en el artículo 2, apartado 1, velarán por que se adopten todas las medidas de protección de carácter organizativo y técnico necesarias para salvaguardar y proteger la confidencialidad, integridad, disponibilidad y no rechazo de la información facilitada, recibida, intercambiada o transmitida con arreglo al presente Reglamento, independientemente de los medios utilizados. Las medidas de protección:

4.   Las entidades contempladas en el artículo 2, apartado 1, velarán por que toda persona a la que se conceda acceso a la información facilitada, recibida, intercambiada o transmitida con arreglo al presente Reglamento sea informada de las normas de seguridad aplicables a nivel de entidad y de las medidas y procedimientos pertinentes para la protección de la información. Dichas entidades se asegurarán de que la persona en cuestión reconozca la responsabilidad de proteger la información siguiendo las instrucciones de la sesión informativa.

5.   Las entidades contempladas en el artículo 2, apartado 1, velarán por que el acceso a la información facilitada, recibida, intercambiada o transmitida con arreglo al presente Reglamento se limite a las personas:

6.   Las entidades contempladas en el artículo 2, apartado 1, deberán contar con el acuerdo escrito de la persona física o jurídica que haya creado o facilitado originalmente la información, antes de facilitar dicha información a un tercero que no entre en el ámbito de aplicación del presente Reglamento.

7.   Una entidad contemplada en el artículo 2, apartado 1, podrá considerar que esta información deberá ponerse en común sin cumplir lo dispuesto en los apartados 1 y 4 del presente artículo para evitar una crisis simultánea de electricidad cuyas causas raíz tengan que ver con la ciberseguridad o cualquier crisis transfronteriza dentro de la Unión en otro sector. En tal caso:

8.   No obstante lo dispuesto en el apartado 6 del presente artículo, las autoridades competentes podrán proporcionar la información facilitada, recibida, intercambiada o transmitida con arreglo al presente Reglamento a un tercero no contemplado en el artículo 2, apartado 1, sin el consentimiento previo por escrito del originador de la información, pero informándole lo antes posible. Antes de divulgar cualquier información facilitada, recibida, intercambiada o transmitida con arreglo al presente Reglamento a un tercero no contemplado en el artículo 2, apartado 1, la autoridad competente interesada se asegurará razonablemente de que el tercero interesado tenga conocimiento de las normas de seguridad vigentes, y recibirá garantías razonables de que el tercero en cuestión puede proteger la información recibida de conformidad con los apartados 1 a 5 del presente artículo. La autoridad competente anonimizará dicha información sin perder los elementos necesarios para informar al público de un riesgo inminente y grave para los flujos transfronterizos de electricidad, así como de las posibles medidas de mitigación, y salvaguardará la identidad del originador de la información. En tal caso, el tercero no contemplado en el artículo 2, apartado 1, protegerá la información recibida de conformidad con las disposiciones ya vigentes a nivel de entidad o, cuando ello no sea posible, con las disposiciones e instrucciones proporcionadas por la autoridad competente pertinente.

9.   El presente artículo no se aplicará a las entidades no contempladas en el artículo 2, apartado 1, a las que se facilite información con arreglo al apartado 6 del presente artículo. En este caso, se aplicará el apartado 7 del presente artículo, o la autoridad competente podrá facilitar a dicha entidad disposiciones por escrito para su aplicación en los casos en que se reciba información con arreglo al presente Reglamento.

1.   Toda información facilitada, recibida, intercambiada o transmitida con arreglo al presente Reglamento estará sujeta al secreto profesional establecido en los apartados 2 a 5 del presente artículo y a los requisitos establecidos en el artículo 65 del Reglamento (UE) 2019/943. Toda información facilitada, recibida, intercambiada o transmitida entre las entidades contempladas en el artículo 2 del presente Reglamento, a efectos de la ejecución del presente Reglamento, estará protegida teniendo en cuenta el nivel de confidencialidad de la información que aplique el originador.

2.   La obligación de secreto profesional se aplicará a las entidades contempladas en el artículo 2.

3.   Las autoridades competentes encargadas de la ciberseguridad, las autoridades reguladoras nacionales, las autoridades competentes en materia de preparación frente a los riesgos y los CSIRT intercambiarán toda la información necesaria para llevar a cabo sus tareas.

4.   Toda información recibida, intercambiada o transmitida entre las entidades contempladas en el artículo 2, apartado 1, a efectos de la aplicación del artículo 23, será anonimizada y agregada.

5.   La información recibida por cualquier entidad o autoridad sujeta al presente Reglamento en el ejercicio de sus funciones no podrá divulgarse a ninguna otra entidad u autoridad, sin perjuicio de los casos contemplados por el Derecho nacional, otras disposiciones del presente Reglamento, u otra legislación pertinente de la Unión.

6.   Sin perjuicio de la legislación nacional o de la Unión, una autoridad, entidad o persona física que reciba información con arreglo al presente Reglamento no podrá utilizarla para fines distintos del ejercicio de sus funciones con arreglo al presente Reglamento.

7.   La ACER, previa consulta a la ENISA, a todas las autoridades competentes, a la REGRT de Electricidad y a la entidad de los GRD de la UE, emitirá, a más tardar el 13 de junio de 2025, directrices que aborden mecanismos para que todas las entidades contempladas en el artículo 2, apartado 1, intercambien información, y en particular los flujos de comunicación previstos, así como métodos para anonimizar y agregar la información a efectos de la aplicación del presente artículo.

8.   La información que sea confidencial con arreglo a las normas de la Unión y nacionales se intercambiará con la Comisión y otras autoridades pertinentes únicamente cuando ese intercambio sea necesario para la aplicación del presente Reglamento. La información que se intercambie se limitará a aquella que resulte necesaria y proporcionada para la finalidad del intercambio. El intercambio de información preservará la confidencialidad de esta y protegerá la seguridad y los intereses comerciales de las entidades de impacto crítico o de impacto alto.

1.   Hasta la aprobación de las condiciones o metodologías mencionadas en el artículo 6, apartado 2, o de los planes mencionados en el artículo 6, apartado 3, la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, elaborará orientaciones no vinculantes sobre las siguientes cuestiones:

2.   A más tardar el 13 de octubre de 2024, la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, elaborará una recomendación de un ECII provisional. La REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, notificará a las autoridades competentes el ECII provisional recomendado.

3.   Cuatro meses después de la recepción del ECII provisional recomendado, o a más tardar el 13 de febrero de 2025, las autoridades competentes determinarán los candidatos a entidades de impacto alto e impacto crítico en su Estado miembro sobre la base del ECII recomendado, y elaborarán una lista provisional de entidades de impacto alto y de impacto crítico. Las entidades de impacto alto y de impacto crítico incluidas en la lista provisional pueden cumplir voluntariamente sus obligaciones establecidas en el presente Reglamento sobre la base de un principio de precaución. A más tardar el 13 de marzo de 2025, las autoridades competentes notificarán a las entidades incluidas en la lista provisional que han sido consideradas como entidades de impacto alto o de impacto crítico.

4.   A más tardar el 13 de diciembre de 2024, la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, elaborará una lista provisional de procesos de impacto alto y de impacto crítico a escala de la Unión. Las entidades notificadas con arreglo al apartado 3 que decidan voluntariamente cumplir sus obligaciones establecidas en el presente Reglamento sobre la base de un principio de precaución utilizarán la lista provisional de procesos de impacto alto y de impacto crítico para determinar los perímetros provisionales del impacto alto y del impacto crítico y los activos que deben incluirse en la primera evaluación de riesgos para la ciberseguridad a nivel de entidad.

5.   A más tardar el 13 de septiembre de 2024, cada autoridad competente con arreglo al artículo 4, apartado 1, facilitará a la REGRT de Electricidad y a la entidad de los GRD de la UE una lista de su legislación nacional pertinente para los aspectos relativos a la ciberseguridad de los flujos transfronterizos de electricidad.

6.   A más tardar el 13 de junio de 2025, la REGRT de Electricidad, en cooperación con la entidad de los GRD de la UE, elaborará una lista provisional de las normas y controles europeos e internacionales exigidos por la legislación nacional pertinentes para los aspectos relativos a la ciberseguridad de los flujos transfronterizos de electricidad, teniendo en cuenta la información facilitada por las autoridades competentes.

7.   La lista provisional de normas y controles europeos e internacionales incluirá:

8.   La REGRT de Electricidad y la entidad de los GRD de la UE tendrán en cuenta los puntos de vista aportados por la ENISA y la ACER al finalizar la lista provisional de normas. La REGRT de Electricidad y la entidad de los GRD de la UE publicarán en sus sitios web la lista transitoria de normas y controles europeos e internacionales.

9.   La REGRT de Electricidad y la entidad de los GRD de la UE consultarán a la ENISA y a la ACER sobre las propuestas de orientaciones no vinculantes elaboradas con arreglo al apartado 1.

10.   Hasta que los controles mínimos y avanzados de ciberseguridad se desarrollen con arreglo al artículo 29 y se adopten con arreglo al artículo 8, todas las entidades contempladas en el artículo 2, apartado 1, se esforzarán por aplicar progresivamente las orientaciones no vinculantes elaboradas con arreglo al apartado 1.