1.   O presente regulamento aplica-se aos aspetos ligados à cibersegurança dos fluxos transfronteiriços de eletricidade nas atividades das seguintes entidades, se forem identificadas como entidades de impacto elevado ou de impacto crítico em conformidade com o artigo 24.o:

2.   No âmbito dos seus atuais mandatos, as autoridades a seguir indicadas são responsáveis pelo exercício das funções que lhes são atribuídas pelo presente regulamento:

3.   O presente regulamento é igualmente aplicável a todas as entidades que não estejam estabelecidas na União, mas que prestem serviços a entidades na União, desde que tenham sido identificadas como entidades de impacto elevado ou crítico pelas autoridades competentes, em conformidade com o artigo 24.o, n.o 2.

4.   O presente regulamento não prejudica a responsabilidade que incumbe aos Estados-Membros de salvaguardarem a segurança nacional nem os seus poderes para salvaguardar outras funções essenciais do Estado, nomeadamente garantir a integridade territorial do Estado e manter a ordem pública.

5.   O presente regulamento não prejudica a responsabilidade que incumbe aos Estados-Membros de salvaguardarem a segurança nacional no que respeita às atividades de produção de eletricidade a partir de centrais nucleares, nomeadamente às atividades no âmbito da cadeia de valor nuclear, em conformidade com os Tratados.

6.   As entidades, as autoridades competentes, os pontos de contacto únicos a nível das entidades e as CSIRT procedem ao tratamento dos dados pessoais na medida do necessário para efeitos do presente regulamento e em conformidade com o Regulamento (UE) 2016/679, devendo o tratamento basear-se, em especial, no artigo 6.o deste regulamento.

1.   Logo que possível e, em qualquer caso, até 13 de dezembro de 2024, cada Estado-Membro deve designar uma autoridade governamental ou reguladora nacional responsável pelo exercício das funções que lhe são atribuídas pelo presente regulamento («autoridade competente»). Até ser designada a autoridade competente para exercer as funções previstas no presente regulamento, compete à entidade reguladora designada por cada Estado-Membro nos termos do artigo 57.o, n.o 1, da Diretiva (UE) 2019/944 exercer as funções de autoridade competente em conformidade com o presente regulamento.

2.   Os Estados-Membros devem notificar sem demora a Comissão, a ACER, a ENISA, o grupo de cooperação SRI criado nos termos do artigo 14.o da Diretiva (UE) 2022/2555 e o Grupo de Coordenação da Eletricidade instituído nos termos do artigo 1.o da Decisão da Comissão de 15 de novembro de 2012 (17) e comunicar-lhes o nome e os dados de contacto da respetiva autoridade competente designada nos termos do n.o 1 do presente artigo, bem como quaisquer alterações subsequentes dos mesmos.

3.   Os Estados-Membros podem autorizar a respetiva autoridade competente a delegar as funções que lhe são atribuídas pelo presente regulamento noutras autoridades nacionais, com exceção das funções enumeradas no artigo 5.o. Cada autoridade competente acompanha a aplicação do presente regulamento pelas autoridades nas quais delegou funções. A autoridade competente comunica à Comissão, à ACER, ao Grupo de Coordenação da Eletricidade, à ENISA e ao grupo de cooperação SRI o nome, os dados de contacto, as funções atribuídas e quaisquer alterações subsequentes das autoridades às quais delegou funções.

1.   Os ORT devem elaborar, em cooperação com a entidade ORDUE, propostas de termos e condições ou metodologias em conformidade com o n.o 2 ou de planos em conformidade com o n.o 3.

2.   Os seguintes termos e condições ou metodologias e quaisquer alterações dos mesmos carecem de aprovação de todas as autoridades competentes:

3.   As propostas de planos regionais de atenuação dos riscos de cibersegurança previstas no artigo 22.o devem ser aprovadas por todas as autoridades competentes da região de exploração da rede em causa.

4.   As propostas de termos e condições ou metodologias enumeradas no n.o 2 ou de planos referidas no n.o 3 devem incluir uma proposta de calendário para a sua execução e uma descrição do impacto previsto nos objetivos do presente regulamento.

5.   A entidade ORDUE pode apresentar um parecer fundamentado aos ORT em causa até três semanas antes do termo do prazo para a apresentação da proposta de termos e condições ou metodologias ou de planos às autoridades competentes. Os ORT responsáveis pela proposta de termos e condições ou metodologias ou de planos devem ter em conta o parecer fundamentado da entidade ORDUE antes da apresentação da proposta para aprovação pelas autoridades competentes. Os ORT devem fundamentar os casos nos quais o parecer da entidade ORDUE não seja tido em conta.

6.   Na elaboração conjunta de termos, condições e metodologias e de planos, os ORT participantes devem cooperar de forma estreita. Os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem informar periodicamente as autoridades competentes e a ACER sobre os progressos realizados na elaboração dos termos e condições ou metodologias ou dos planos.

1.   Caso os ORT aos quais incumba decidir sobre propostas de termos e condições ou metodologias não consigam chegar a acordo, devem decidir por maioria qualificada. A maioria qualificada para essas propostas é calculada do seguinte modo:

2.   A minoria de bloqueio para decisões sobre propostas de termos e condições ou de metodologias referidos no artigo 6.o, n.o 2, é composta por ORT que representem, pelo menos, quatro Estados-Membros; caso contrário, considera-se alcançada a maioria qualificada.

3.   Caso os ORT de uma região de exploração da rede aos quais incumba decidir sobre propostas de planos referidas no artigo 6.o, n.o 2, não consigam chegar a acordo e caso a região de exploração da rede em causa abranja mais de cinco Estados-Membros, os ORT devem decidir por maioria qualificada. A maioria qualificada para a adoção das propostas a que se refere o artigo 6.o, n.o 2, é uma maioria:

4.   A minoria de bloqueio para decisões sobre propostas de planos deve incluir ORT que representem mais de 35 % da população dos Estados-Membros participantes e ainda ORT que representem, pelo menos, mais um Estado-Membro em causa; se tal não se verificar, considera-se que foi alcançada uma maioria qualificada.

5.   Nas decisões de ORT sobre propostas de termos e condições ou metodologias em conformidade com o artigo 6.o, n.o 2, cada Estado-Membro tem direito a um voto. Caso existam dois ou mais ORT no território de determinado Estado-Membro, este deve repartir os direitos de voto pelos ORT.

6.   Se os ORT, em cooperação com a entidade ORDUE, não apresentarem às autoridades competentes relevantes uma proposta inicial ou alterada de termos e condições ou metodologias, ou de planos, nos prazos estabelecidos no presente regulamento, devem apresentar às autoridades competentes relevantes e à ACER os projetos pertinentes dos termos, condições e metodologias ou dos planos. Devem explicar o que impediu um acordo. As autoridades competentes devem tomar em conjunto as medidas adequadas para a adoção dos termos e condições ou metodologias exigidos ou dos planos exigidos. Tal pode ser feito, por exemplo, solicitando alterações aos projetos nos termos do presente número, revendo e completando esses projetos ou, caso não tenham sido apresentados projetos, definindo e aprovando os termos e condições ou metodologias exigidos ou os planos exigidos.

1.   Os ORT devem apresentar às autoridades competentes relevantes as propostas de termos e condições ou metodologias ou de planos para aprovação nos respetivos prazos estabelecidos nos artigos 18.o, 23.o, 29.o, 33.o, 34.o, 35.o e 37.o. As autoridades competentes podem prorrogar em conjunto esses prazos em circunstâncias excecionais, nomeadamente nos casos em que um prazo não possa ser cumprido devido a circunstâncias externas à esfera dos ORT ou da entidade ORDUE.

2.   As propostas de termos e condições ou metodologias ou de planos a que se refere o n.o 1 devem ser comunicadas à ACER, para informação, ao mesmo tempo que forem apresentadas às autoridades competentes.

3.   Mediante pedido conjunto das ERN, a ACER emite um parecer sobre a proposta de termos e condições ou metodologias ou de planos no prazo de seis meses após a receção da mesma e comunica esse parecer às ERN e às autoridades competentes. As ERN, as autoridades competentes responsáveis pela cibersegurança e quaisquer outras autoridades designadas como autoridades competentes devem coordenar-se entre si antes de as ERN solicitarem um parecer à ACER. A ACER pode incluir recomendações nesse parecer. A ACER deve consultar a ENISA antes de emitir um parecer sobre as propostas enumeradas no artigo 6.o, n.o 2.

4.   As autoridades competentes devem consultar-se, cooperar estreitamente e coordenar-se entre si, a fim de chegarem a acordo sobre os termos e condições ou metodologias ou planos propostos. Antes de aprovarem os termos e condições ou metodologias ou os planos, devem rever e completar as propostas, se for caso disso, após consulta da REORT para a Eletricidade e da entidade ORDUE, a fim de assegurarem que as propostas estão em conformidade com o presente regulamento e contribuem para um nível comum de cibersegurança elevado em toda a União.

5.   As autoridades competentes devem decidir sobre os termos e condições ou metodologias ou os planos no prazo de seis meses após a autoridade competente relevante ou, se for caso disso, a última autoridade competente relevante em causa receber os termos, condições e metodologias ou os planos.

6.   Caso a ACER emita um parecer, as autoridades competentes relevantes devem tê-lo em consideração e tomar as suas decisões no prazo de seis meses após a receção do mesmo.

7.   Caso as autoridades competentes exijam em conjunto uma alteração dos termos e condições ou metodologias propostos ou dos planos para os aprovarem, os ORT devem elaborar, em cooperação com a entidade ORDUE, uma proposta de alteração dos termos, condições e metodologias ou dos planos correspondente. Os ORT devem apresentar a proposta alterada para aprovação no prazo de dois meses após o pedido das autoridades competentes. As autoridades competentes devem decidir sobre a alteração dos termos e condições ou metodologias ou dos planos no prazo máximo de dois meses após a apresentação dos mesmos.

8.   Caso as autoridades competentes não tenham conseguido chegar a acordo no prazo referido nos n.os 5 ou 7, informam desse facto a Comissão. A Comissão pode tomar medidas adequadas para tornar possível a adoção dos termos e condições ou metodologias ou dos planos exigidos.

9.   Os ORT, com o apoio da REORT para a Eletricidade, e a entidade ORDUE devem publicar os termos e condições ou metodologias ou os planos nos respetivos sítios Web, após aprovação pelas autoridades competentes relevantes, salvo se essas informações forem consideradas confidenciais em conformidade com o artigo 47.o.

10.   As autoridades competentes podem solicitar em conjunto aos ORT e à entidade ORDUE propostas de alteração dos termos e condições ou metodologias aprovados ou dos planos aprovados e determinar um prazo para a apresentação dessas propostas. Os ORT, em cooperação com a entidade ORDUE, também podem propor alterações às autoridades competentes por iniciativa própria. As propostas de alteração dos termos e condições ou metodologias ou dos planos devem ser elaboradas e aprovadas nos termos do presente artigo.

11.   Pelo menos de três em três anos após a primeira adoção dos respetivos termos e condições ou metodologias ou planos, os ORT, em cooperação com a entidade ORDUE, devem analisar a eficácia dos termos e condições ou metodologias adotados ou dos planos adotados e comunicar as conclusões da análise às autoridades competentes e à ACER, sem demora injustificada.

1.   Os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem consultar as partes interessadas, incluindo a ACER, a ENISA e a autoridade competente de cada Estado-Membro, sobre os projetos de propostas de termos e condições ou metodologias enumerados no artigo 6.o, n.o 2, e de planos referidos no artigo 6.o, n.o 3. A consulta deve decorrer durante um período não inferior a um mês.

2.   As propostas de termos e condições ou metodologias enumeradas no artigo 6.o, n.o 2, apresentadas pelos ORT em cooperação com a entidade ORDUE, devem ser publicadas e submetidas a consulta a nível da União. As propostas de planos enumeradas no artigo 6.o, n.o 3, apresentadas a nível regional pelos ORT pertinentes em cooperação com a entidade ORDUE, devem ser submetidas a consulta, pelo menos, a nível regional.

3.   Os ORT, com o apoio da REORT para a Eletricidade, e a entidade ORDUE responsável pela proposta de termos e condições ou metodologias ou de planos devem ter devidamente em conta os pontos de vista das partes interessadas resultantes das consultas realizadas em conformidade com o n.o 1, antes da sua apresentação para aprovação regulamentar. Em todos os casos, deve ser elaborada e oportunamente publicada, antes ou com a publicação da proposta de termos e condições ou metodologias, uma justificação sólida dos motivos da incorporação ou não incorporação, no documento apresentado, dos pontos de vista resultantes da consulta.

1.   Os custos suportados pelos ORT e pelos ORD sujeitos a regulação das tarifas de rede e decorrentes das obrigações previstas no presente regulamento, incluindo os custos suportados pela REORT para a Eletricidade e pela entidade ORDUE, devem ser avaliados pela ERN competente de cada Estado-Membro.

2.   Os custos avaliados como razoáveis, eficientes e proporcionados devem ser recuperados por meio de tarifas de rede ou de outros mecanismos adequados, conforme determinado pela ERN competente.

3.   A pedido das ERN competentes, os ORT e os ORD referidos no n.o 1 devem, num prazo razoável determinado pela ERN, fornecer as informações necessárias para facilitar a avaliação dos custos incorridos.

1.   A ACER deve acompanhar a aplicação do presente regulamento em conformidade com o artigo 32.o, n.o 1, do Regulamento (UE) 2019/943 e o artigo 4.o, n.o 2, do Regulamento (UE) 2019/942. Ao realizar este acompanhamento, a ACER pode cooperar com a ENISA e solicitar o apoio da REORT para a Eletricidade e da entidade ORDUE. A ACER deve informar periodicamente o Grupo de Coordenação da Eletricidade e o grupo de cooperação SRI sobre a aplicação do presente regulamento.

2.   A ACER deve publicar um relatório pelo menos de três em três anos após a entrada em vigor do presente regulamento, a fim de:

3.   Até 13 de junho de 2025, a ACER, em cooperação com a ENISA e após consulta da REORT para a Eletricidade e da entidade ORDUE, pode emitir orientações sobre as informações pertinentes a comunicar à ACER para efeitos de acompanhamento, bem como sobre o processo e a frequência da recolha, com base nos indicadores de desempenho definidos em conformidade com o n.o 5.

4.   As autoridades competentes podem ter acesso às informações pertinentes na posse da ACER que esta tenha recolhido nos termos do presente artigo.

5.   A ACER, em cooperação com a ENISA e com o apoio da REORT para a Eletricidade e da entidade ORDUE, deve emitir indicadores de desempenho não vinculativos para a avaliação da fiabilidade operacional relacionados com os aspetos de cibersegurança dos fluxos transfronteiriços de eletricidade.

6.   As entidades enumeradas no artigo 2.o, n.o 1, do presente regulamento devem apresentar à ACER as informações necessárias para esta desempenhar as funções elencadas no n.o 2.

1.   Até 13 de junho de 2025, a ACER, em cooperação com a ENISA, elabora um guia não vinculativo de avaliação comparativa da cibersegurança. O guia deve explicar às ERN os princípios da avaliação comparativa dos controlos de cibersegurança aplicados nos termos do n.o 2 do presente artigo, tendo em conta os custos da execução dos controlos e a eficácia da função desempenhada pelos processos, produtos, serviços, sistemas e soluções utilizados para executar esses controlos. Ao elaborar o guia, a ACER deve ter em conta os relatórios de avaliação comparativa existentes. A ACER deve enviar o guia às ERN, para informação.

2.   No prazo de 12 meses após a elaboração do guia de avaliação comparativa nos termos do n.o 1, as ERN devem realizar uma avaliação comparativa para aferir se os investimentos em curso em cibersegurança:

3.   Na avaliação comparativa, as ERN podem ter em conta o guia não vinculativo de avaliação comparativa da cibersegurança elaborado pela ACER e devem avaliar, em especial:

4.   Quaisquer informações relacionadas com a avaliação comparativa devem ser tratadas em conformidade com os requisitos de classificação de dados do presente regulamento, os controlos mínimos de cibersegurança e o relatório de avaliação dos riscos de cibersegurança da eletricidade transfronteiriça. A avaliação comparativa referida nos n.os 2 e 3 não é tornada pública.

5.   Sem prejuízo dos requisitos de confidencialidade previstos no artigo 47.o e da necessidade de proteger a segurança das entidades sujeitas às disposições do presente regulamento, a avaliação comparativa referida nos n.os 2 e 3 do presente artigo deve ser partilhada com todas as ERN, todas as autoridades competentes, a ACER, a ENISA e a Comissão.

1.   No prazo de 18 meses após a entrada em vigor do presente regulamento, os ORT de uma região de exploração da rede vizinha de um país terceiro devem procurar celebrar acordos com ORT do país terceiro vizinho que estejam em conformidade com a legislação aplicável da União e que estabeleçam as bases para a cooperação em matéria de proteção da cibersegurança e para os acordos de cooperação em matéria de cibersegurança com esses ORT.

2.   Os ORT devem informar a autoridade competente dos acordos celebrados nos termos do n.o 1.

1.   As entidades que não tenham um estabelecimento na União, mas que prestem serviços a entidades na União e tenham sido notificadas como sendo entidades de impacto elevado ou de impacto crítico em conformidade com o artigo 24.o, n.o 6, devem, no prazo de três meses após a notificação, designar por escrito um representante na União e informar desse facto a autoridade competente notificadora.

2.   Esse representante é mandatado para ser contactado por qualquer autoridade competente ou por uma CSIRT na União em complemento ou em substituição da entidade de impacto elevado ou de impacto crítico no que respeita às obrigações da entidade nos termos do presente regulamento. A entidade de impacto elevado ou de impacto crítico deve dotar o seu representante legal dos poderes necessários e de recursos suficientes para garantir a sua cooperação eficiente e atempada com as autoridades competentes ou as CSIRT pertinentes.

3.   O representante deve estar estabelecido num dos Estados-Membros nos quais a entidade oferece os seus serviços. Considera-se que a entidade está sob a jurisdição do Estado-Membro no qual o representante está estabelecido. As entidades de impacto elevado ou de impacto crítico comunicam o nome, o endereço postal, o endereço de correio eletrónico e o número de telefone do seu representante legal à autoridade competente do Estado-Membro no qual esse representante legal resida ou se encontre estabelecido.

4.   O representante legal designado pode ser considerado responsável pelo incumprimento das obrigações previstas no presente regulamento, sem prejuízo da responsabilidade da própria entidade de impacto elevado ou de impacto crítico e das ações judiciais que possam ser intentadas contra esta última.

5.   Na ausência de um representante na União designado nos termos do presente artigo, qualquer Estado-Membro no qual a entidade preste serviços pode intentar ações judiciais contra essa entidade por incumprimento das obrigações decorrentes do presente regulamento.

6.   A designação de um representante legal na União nos termos do n.o 1 não constitui um estabelecimento na União.

1.   A REORT para a Eletricidade e a entidade ORDUE devem cooperar na realização de avaliações dos riscos de cibersegurança nos termos do artigo 19.o e do artigo 21.o e, em especial, nas seguintes tarefas:

2.   A cooperação entre a REORT para a Eletricidade e a entidade ORDUE pode assumir a forma de um grupo de trabalho sobre os riscos de cibersegurança.

3.   A REORT para a Eletricidade e a entidade ORDUE devem informar periodicamente a ACER, a ENISA, o grupo de cooperação SRI e o Grupo de Coordenação da Eletricidade sobre os progressos realizados na execução das avaliações dos riscos de cibersegurança a nível regional e à escala da União, nos termos dos artigos 19.o e 21.o.

1.   Até 13 de março de 2025, os ORT, com o apoio da REORT para a Eletricidade, em cooperação com a entidade ORDUE e após consulta do grupo de cooperação SRI, devem apresentar uma proposta de metodologias de avaliação dos riscos de cibersegurança à escala da União, a nível regional e dos Estados-Membros.

2.   As metodologias de avaliação dos riscos de cibersegurança à escala da União, a nível regional e dos Estados-Membros devem incluir:

3.   As metodologias de avaliação dos riscos de cibersegurança à escala da União, a nível regional e dos Estados-Membros devem avaliar os riscos de cibersegurança utilizando a mesma matriz de impacto do risco. A matriz de impacto do risco deve:

4.   As metodologias de avaliação dos riscos de cibersegurança à escala da União devem descrever a forma como serão definidos os valores do índice de impacto na cibersegurança da eletricidade para os limiares de impacto elevado e de impacto crítico. O índice de impacto na cibersegurança da eletricidade deve permitir às entidades estimar, com base nos critérios a que se refere o n.o 2, alínea b), o impacto dos riscos no seu processo operacional durante as avaliações de impacto operacional que realizam nos termos do artigo 26.o, n.o 4, alínea c), subalínea i).

5.   A REORT para a Eletricidade, em coordenação com a entidade ORDUE, deve informar o Grupo de Coordenação da Eletricidade sobre as propostas de metodologias de avaliação dos riscos de cibersegurança elaboradas nos termos do n.o 1.

1.   No prazo de nove meses após a aprovação das metodologias de avaliação dos riscos de cibersegurança nos termos do artigo 8.o e, posteriormente, de três em três anos, a REORT para a Eletricidade, em cooperação com a entidade ORDUE e em consulta com o grupo de cooperação SRI, deve, sem prejuízo do disposto no artigo 22.o da Diretiva (UE) 2022/2555, realizar uma avaliação dos riscos de cibersegurança à escala da União e elaborar um projeto de relatório de avaliação dos riscos de cibersegurança à escala da União. Para o efeito, serão utilizadas as metodologias criadas nos termos do artigo 18.o e aprovadas nos termos do artigo 8.o, para identificar, analisar e avaliar as possíveis consequências dos ciberataques que afetam a segurança operacional da rede de eletricidade e perturbam os fluxos transfronteiriços de eletricidade. A avaliação dos riscos de cibersegurança à escala da União não deve ter em conta os danos jurídicos, financeiros ou reputacionais provocados pelos ciberataques.

2.   O relatório de avaliação dos riscos de cibersegurança à escala da União deve incluir os seguintes elementos:

3.   No que respeita aos processos de impacto elevado e de impacto crítico à escala da União, o relatório de avaliação dos riscos de cibersegurança à escala da União deve incluir:

4.   A REORT para a Eletricidade, em cooperação com a entidade ORDUE, deve apresentar à ACER, para parecer, o projeto de relatório de avaliação dos riscos de cibersegurança à escala da União com os resultados da avaliação dos riscos de cibersegurança à escala da União. A ACER deve emitir um parecer sobre o projeto de relatório no prazo de três meses após a sua receção. Ao finalizarem esse relatório, a REORT para a Eletricidade e a entidade ORDUE devem ter na máxima consideração o parecer da ACER.

5.   No prazo de três meses após a receção do parecer da ACER, a REORT para a Eletricidade em cooperação com a entidade ORDUE deve informar a ACER, a Comissão, a ENISA e as autoridades competentes sobre o relatório final de avaliação dos riscos de cibersegurança à escala da União.

1.   Cada autoridade competente deve realizar uma avaliação dos riscos de cibersegurança a nível de um Estado-Membro para todas as entidades de impacto elevado e de impacto crítico no seu Estado-Membro, utilizando as metodologias desenvolvidas nos termos do artigo 18.o e aprovadas nos termos do artigo 8.o. A avaliação dos riscos de cibersegurança a nível de um Estado-Membro identifica e analisa os riscos de ciberataques que afetam a segurança operacional da rede de eletricidade e que perturbam os fluxos transfronteiriços de eletricidade. A avaliação dos riscos de cibersegurança a nível de um Estado-Membro não deve ter em conta os danos jurídicos, financeiros ou reputacionais provocados pelos ciberataques.

2.   No prazo de 21 meses após a notificação das entidades de impacto elevado e de impacto crítico nos termos do artigo 24.o, n.o 6, e de três em três anos após essa data, bem como na sequência da consulta à autoridade competente responsável pela cibersegurança no domínio da eletricidade, cada autoridade competente, apoiada pela CSIRT, deve apresentar um relatório de avaliação dos riscos de cibersegurança a nível do Estado-Membro à REORT para a Eletricidade e à entidade ORDUE, contendo as seguintes informações relativas a cada processo operacional de impacto elevado e de impacto crítico:

3.   O relatório de avaliação dos riscos de cibersegurança a nível do Estado-Membro deve ter em conta o plano de preparação para riscos do Estado-Membro, estabelecido nos termos do artigo 10.o do Regulamento (UE) 2019/941.

4.   As informações contidas no relatório de avaliação dos riscos de cibersegurança a nível do Estado-Membro nos termos do n.o 2, alíneas a) a d), não podem estar ligadas a entidades ou ativos específicos. O relatório de avaliação dos riscos de cibersegurança a nível do Estado-Membro deve incluir também uma avaliação dos riscos das derrogações temporárias emitidas pelas autoridades competentes dos Estados-Membros nos termos do artigo 30.o.

5.   A REORT para a Eletricidade e a entidade ORDUE podem solicitar informações adicionais às autoridades competentes relativamente às funções especificadas no n.o 2, alíneas a) e c).

6.   As autoridades competentes devem assegurar que as informações que fornecem são exatas e corretas.

1.   A REORT para a Eletricidade, em cooperação com a entidade ORDUE e em consulta com o centro de coordenação regional competente, deve realizar uma avaliação regional dos riscos de cibersegurança para cada região de exploração da rede, utilizando as metodologias desenvolvidas nos termos do artigo 19.o e aprovadas nos termos do artigo 8.o, para identificar, analisar e avaliar os riscos de ciberataques que afetam a segurança operacional da rede de eletricidade e perturbam os fluxos transfronteiriços de eletricidade. As avaliações regionais dos riscos de cibersegurança não devem ter em conta os danos jurídicos, financeiros ou reputacionais provocados pelos ciberataques.

2.   No prazo de 30 meses após a notificação das entidades de impacto elevado e de impacto crítico nos termos do artigo 24.o, n.o 6, e posteriormente de três em três anos, a REORT para a Eletricidade, em cooperação com a entidade ORDUE e em consulta com o grupo de cooperação SRI, deve elaborar um relatório da avaliação regional dos riscos de cibersegurança para cada região de exploração da rede.

3.   O relatório da avaliação regional dos riscos de cibersegurança deve ter em conta as informações pertinentes contidas nos relatórios de avaliação dos riscos de cibersegurança à escala da União e nos relatórios de avaliação dos riscos de cibersegurança a nível dos Estados-Membros.

4.   A avaliação regional dos riscos de cibersegurança deve ter em conta os cenários de crise de eletricidade regionais relacionados com a cibersegurança identificados nos termos do artigo 6.o do Regulamento (UE) 2019/941.

1.   No prazo de 36 meses após a notificação das entidades de impacto elevado e de impacto crítico nos termos do artigo 24.o, n.o 6, e o mais tardar até 13 de junho de 2031 e posteriormente de três em três anos, os ORT, com o apoio da REORT para a Eletricidade, em cooperação com a entidade ORDUE e em consulta com os centros de coordenação regionais e o grupo de cooperação SRI, devem elaborar um plano regional de atenuação dos riscos de cibersegurança para cada região de exploração da rede.

2.   O plano regional de atenuação dos riscos de cibersegurança deve incluir:

3.   A REORT para a Eletricidade deve apresentar os planos regionais de atenuação dos riscos aos operadores da rede de transporte pertinentes, às autoridades competentes e ao Grupo de Coordenação da Eletricidade. O Grupo de Coordenação da Eletricidade pode recomendar alterações.

4.   Os ORT, com o apoio da REORT para a Eletricidade, em cooperação com a entidade ORDUE e em consulta com o grupo de cooperação SRI, deve atualizar de três em três anos os planos regionais de atenuação dos riscos, salvo se as circunstâncias justificarem atualizações mais frequentes.

1.   No prazo de 40 meses após a notificação das entidades de impacto elevado e de impacto crítico nos termos do artigo 24.o, n.o 6, e posteriormente de três em três anos, os ORT, com o apoio da REORT para a Eletricidade, em cooperação com a entidade ORDUE e em consulta com o grupo de cooperação SRI, devem apresentar ao Grupo de Coordenação da Eletricidade um relatório sobre os resultados da avaliação dos riscos de cibersegurança no que respeita aos fluxos transfronteiriços de eletricidade («relatório global de avaliação dos riscos de cibersegurança da eletricidade transfronteiriça»).

2.   O relatório global de avaliação dos riscos de cibersegurança da eletricidade transfronteiriça deve basear-se no relatório de avaliação dos riscos de cibersegurança à escala da União, nos relatórios de avaliação dos riscos de cibersegurança a nível dos Estados-Membros e nos relatórios das avaliações regionais dos riscos de cibersegurança, bem como incluir as seguintes informações:

3.   As entidades enumeradas no artigo 2.o, n.o 1, podem contribuir para a elaboração do relatório global de avaliação dos riscos de cibersegurança da eletricidade transfronteiriça, respeitando a confidencialidade das informações em conformidade com o artigo 47.o. Os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem consultar essas entidades desde uma fase inicial.

4.   O relatório global de avaliação dos riscos de cibersegurança da eletricidade transfronteiriça está sujeito às regras em matéria de proteção do intercâmbio de informações nos termos do artigo 46.o. Sem prejuízo do artigo 10.o, n.o 4, e do artigo 47.o, n.o 4, a REORT para a Eletricidade e a entidade ORDUE devem divulgar uma versão pública desse relatório que não pode conter informações suscetíveis de causar danos às entidades enumeradas no artigo 2.o, n.o 1. A versão pública desse relatório só deve ser divulgada com o acordo do grupo de cooperação SRI e do Grupo de Coordenação da Eletricidade. A REORT para a Eletricidade, em coordenação com a entidade ORDUE, é responsável pela compilação e publicação da versão pública do relatório.

1.   Cada autoridade competente deve identificar, utilizando o índice de impacto na cibersegurança da eletricidade e os limiares de impacto elevado e de impacto crítico incluídos no relatório de avaliação dos riscos de cibersegurança à escala da União nos termos do artigo 19.o, n.o 3, alínea b), as entidades de impacto elevado e de impacto crítico no seu Estado-Membro que intervêm nos processos de impacto elevado e de impacto crítico à escala da União. As autoridades competentes podem solicitar informações a uma entidade do seu Estado-Membro para determinar os valores do índice de impacto na cibersegurança da eletricidade para essa entidade. Se o índice de impacto na cibersegurança da eletricidade determinado de uma entidade estiver acima do limiar de impacto elevado ou de impacto crítico, a entidade identificada deve ser incluída na lista constante do relatório de avaliação dos riscos de cibersegurança a nível do Estado-Membro referido no artigo 20.o, n.o 2.

2.   Cada autoridade competente deve identificar, utilizando o índice de impacto na cibersegurança da eletricidade e os limiares de impacto elevado e de impacto crítico incluídos no relatório de avaliação dos riscos de cibersegurança à escala da União nos termos do artigo 19.o, n.o 3, alínea b), as entidades de impacto elevado e de impacto crítico não estabelecidas na União, desde que estejam ativas na União. A autoridade competente pode solicitar informações a uma entidade não estabelecida na União para determinar os valores do índice para essa entidade.

3.   Cada autoridade competente pode identificar outras entidades no seu Estado-Membro como entidades de impacto elevado ou de impacto crítico se forem cumpridos os seguintes critérios:

4.   Se uma autoridade competente identificar outras entidades em conformidade com o n.o 3, todos os processos nessas entidades para os quais o índice de impacto na cibersegurança da eletricidade agregado para todo o grupo esteja acima do limiar de impacto elevado devem ser considerados processos de impacto elevado e todos os processos nessas entidades para os quais o índice de impacto na cibersegurança da eletricidade agregado para todo o grupo esteja acima dos limiares de impacto crítico devem ser considerados processos de impacto crítico.

5.   Se uma autoridade competente identificar as entidades referidas no n.o 3, alínea a), em mais do que um Estado-Membro, deve informar as outras autoridades competentes, a REORT para a Eletricidade e a entidade ORDUE. A REORT para a Eletricidade, em cooperação com a entidade ORDUE, com base nas informações recebidas de todas as autoridades competentes, deve fornecer às autoridades competentes uma análise da agregação de entidades em mais do que um Estado-Membro que possa criar uma perturbação distribuída dos fluxos transfronteiriços de eletricidade e resultar num ciberataque. Caso um grupo de entidades em vários Estados-Membros seja identificado como uma agregação cujo índice de impacto na cibersegurança da eletricidade esteja acima do limiar de impacto elevado ou de impacto crítico, todas as autoridades competentes em causa devem identificar as entidades desse grupo como entidades de impacto elevado ou de impacto crítico para o respetivo Estado-Membro, com base no índice de impacto na cibersegurança da eletricidade agregado para o grupo de entidades, devendo as entidades identificadas ser incluídas na lista constante do relatório de avaliação dos riscos de cibersegurança à escala da União.

6.   No prazo de nove meses após ter sido informada pela REORT para a Eletricidade e pela entidade ORDUE sobre relatório de avaliação dos riscos de cibersegurança à escala da União nos termos do artigo 19.o, n.o 5, e, em qualquer caso, o mais tardar até 13 de junho de 2028, cada autoridade competente deve informar as entidades constantes da lista de que foram identificadas como uma entidade de impacto elevado ou de impacto crítico no seu Estado-Membro.

7.   Se um prestador de serviços for comunicado a uma autoridade competente como sendo prestador de serviços de TIC crítico nos termos do artigo 27.o, alínea c), essa autoridade competente deve notificá-lo às autoridades competentes dos Estados-Membros em cujo território está localizada a sede ou o representante. Esta última autoridade competente deve notificar o prestador de serviços de que foi identificado como prestador de serviços crítico.

1.   As autoridades competentes podem criar um sistema nacional de verificação para verificar se as entidades de impacto crítico identificadas nos termos do artigo 24.o, n.o 1, aplicaram o quadro legislativo nacional incluído na matriz de mapeamento referida no artigo 34.o. O sistema nacional de verificação pode basear-se numa inspeção realizada pela autoridade competente, em auditorias de segurança independentes ou em avaliações mútuas pelos pares realizadas por entidades de impacto crítico no mesmo Estado-Membro, supervisionadas pela autoridade competente.

2.   Se uma autoridade competente decidir criar um sistema nacional de verificação, deve assegurar que a verificação é efetuada em conformidade com os seguintes requisitos:

3.   Se uma autoridade competente decidir criar um regime nacional de verificação, deve comunicar anualmente à ACER a frequência com que realiza inspeções ao abrigo desse regime.

1.   Cada entidade de impacto elevado e de impacto crítico identificada pelas autoridades competentes nos termos do artigo 24.o, n.o 1, deve realizar a gestão dos riscos de cibersegurança para todos os seus ativos nos seus perímetros de impacto elevado e de impacto crítico. Cada entidade de impacto elevado e de impacto crítico deve realizar, de três em três anos, uma gestão de riscos que inclua as fases referidas no n.o 2.

2.   Cada entidade de impacto elevado e de impacto crítico deve basear a sua gestão dos riscos de cibersegurança numa abordagem que vise proteger a sua rede e sistemas de informação e que inclua as seguintes fases:

3.   Durante a fase de estabelecimento do contexto, cada entidade de impacto elevado e de impacto crítico deve:

4.   Durante a fase de avaliação dos riscos de cibersegurança, cada entidade de impacto elevado e de impacto crítico deve:

5.   Durante a fase de tratamento dos riscos de cibersegurança, cada entidade de impacto elevado e de impacto crítico deve criar um plano de atenuação dos riscos a nível da entidade, selecionando opções de tratamento de riscos adequadas para gerir os riscos e identificar os riscos residuais.

6.   Durante a fase de aceitação dos riscos de cibersegurança, cada entidade de impacto elevado e de impacto crítico deve decidir se aceita o risco residual com base nos critérios de aceitação dos riscos estabelecidos no n.o 3, alínea b).

7.   Cada entidade de impacto elevado e de impacto crítico deve registar os ativos identificados no n.o 1 num inventário de ativos. Esse inventário de ativos não faz parte do relatório de avaliação dos riscos.

8.   Durante as inspeções, a autoridade competente pode examinar os ativos incluídos no inventário.

1.   O quadro comum de cibersegurança da eletricidade é composto pelos seguintes controlos e sistema de gestão da cibersegurança:

2.   Todas as entidades de impacto elevado devem aplicar no seu perímetro de impacto elevado os controlos de cibersegurança mínimos previstos no n.o 1, alínea a).

3.   Todas as entidades de impacto crítico devem aplicar no seu perímetro de impacto elevado os controlos de cibersegurança avançados previstos no n.o 1, alínea b).

4.   No prazo de sete meses após a apresentação do primeiro projeto de relatório de avaliação dos riscos de cibersegurança à escala da União nos termos do artigo 19.o, n.o 4, o quadro comum de cibersegurança da eletricidade a que se refere o n.o 1 deve ser complementado pelos controlos de cibersegurança mínimos e avançados da cadeia de abastecimento desenvolvidos nos termos do artigo 33.o.

1.   No prazo de sete meses após a apresentação do primeiro projeto de relatório de avaliação dos riscos de cibersegurança à escala da União nos termos do artigo 19.o, n.o 4, os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem elaborar uma proposta de controlos de cibersegurança mínimos e avançados.

2.   No prazo de seis meses após a elaboração de cada relatório da avaliação regional dos riscos de cibersegurança nos termos do artigo 21.o, n.o 2, os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem propor à autoridade competente uma alteração dos controlos de cibersegurança mínimos e avançados. A proposta será elaborada em conformidade com o artigo 8.o, n.o 10, e terá em conta os riscos identificados na avaliação regional dos riscos.

3.   Os controlos de cibersegurança mínimos e avançados devem ser verificáveis mediante a participação num sistema nacional de verificação em conformidade com o procedimento estabelecido no artigo 31.o ou mediante a realização de auditorias de segurança independentes por terceiros de acordo com os requisitos enumerados no artigo 25.o, n.o 2.

4.   Os controlos de cibersegurança mínimos e avançados iniciais desenvolvidos nos termos do n.o 1 devem basear-se nos riscos identificados no relatório de avaliação dos riscos de cibersegurança à escala da União referido no artigo 19.o, n.o 5. Os controlos de cibersegurança mínimos e avançados alterados, elaborados nos termos do n.o 2, devem basear-se no relatório da avaliação regional dos riscos de cibersegurança referido no artigo 21.o, n.o 2.

5.   Os controlos de cibersegurança mínimos devem incluir controlos destinados a proteger as informações trocadas nos termos do artigo 46.o.

6.   No prazo de 12 meses após a aprovação dos controlos de cibersegurança mínimos e avançados nos termos do artigo 8.o, n.o 5, ou após cada atualização nos termos do artigo 8.o, n.o 10, as entidades enumeradas no artigo 2.o, n.o 1, e identificadas como entidades de impacto crítico e de impacto elevado nos termos do artigo 24.o devem, durante a elaboração do plano de atenuação dos riscos a nível da entidade nos termos do artigo 26.o, n.o 5, aplicar os controlos de cibersegurança mínimos no perímetro de impacto elevado e os controlos de cibersegurança avançados no perímetro de impacto crítico.

1.   As entidades enumeradas no artigo 2.o, n.o 1, podem solicitar à respetiva autoridade competente que conceda uma derrogação da sua obrigação de aplicar os controlos de cibersegurança mínimos e avançados referidos no artigo 29.o, n.o 6. A autoridade competente pode conceder essa derrogação por um dos seguintes motivos:

2.   Cada autoridade competente decide, no prazo de três meses a contar da receção do pedido a que se refere o n.o 1, se é concedida uma derrogação aos controlos de cibersegurança mínimos e avançados. As derrogações aos controlos de cibersegurança mínimos ou avançados são concedidas por um período máximo de três anos, com possibilidade de renovação.

3.   As informações agregadas e anonimizadas relativas às derrogações concedidas devem ser incluídas num anexo do relatório global de avaliação dos riscos de cibersegurança da eletricidade transfronteiriça referido no artigo 23.o. A REORT para a Eletricidade e a entidade ORDUE devem atualizar conjuntamente a lista, caso seja necessário.

1.   O mais tardar 24 meses após a adoção dos controlos referidos no artigo 28.o, n.o 1, alíneas a), b) e c), e a criação do sistema de gestão da cibersegurança a que se refere a alínea d) do mesmo artigo, cada entidade de impacto crítico identificada nos termos do artigo 24.o, n.o 1, deve ser capaz de demonstrar, a pedido da autoridade competente, a sua conformidade com o sistema de gestão da cibersegurança e os controlos de cibersegurança mínimos ou avançados.

2.   Cada entidade de impacto crítico deve cumprir a obrigação referida no n.o 1 submetendo-se a auditorias de segurança independentes realizadas por terceiros, em conformidade com os requisitos enumerados no artigo 25.o, n.o 2, ou participando num sistema nacional de verificação em conformidade com o artigo 25.o, n.o 1.

3.   A verificação do cumprimento do sistema de gestão da cibersegurança e dos controlos de cibersegurança mínimos ou avançados por parte de uma entidade de impacto crítico deve abranger todos os ativos situados no perímetro de impacto crítico da entidade de impacto crítico.

4.   A verificação do cumprimento do sistema de gestão da cibersegurança e dos controlos de cibersegurança mínimos ou avançados por parte de uma entidade de impacto crítico deve ser realizada periodicamente, o mais tardar 36 meses após o termo da primeira verificação e, posteriormente, de três em três anos.

5.   Cada entidade de impacto crítico definida em conformidade com o artigo 24.o deve demonstrar a sua conformidade com os controlos referidos no artigo 28.o, n.o 1, alíneas a), b) e c), e com a criação do sistema de gestão da cibersegurança a que se refere a alínea d) do mesmo artigo, comunicando à autoridade competente os resultados da verificação da conformidade.

1.   No prazo de 24 meses após ter sido notificada pela autoridade competente de que foi identificada como entidade de impacto elevado ou de impacto crítico em conformidade com o artigo 24.o, n.o 6, cada entidade de impacto elevado e de impacto crítico deve criar um sistema de gestão da cibersegurança e, posteriormente, revê-lo de três em três anos, a fim de:

2.   O âmbito do sistema de gestão da cibersegurança deve incluir todos os ativos no perímetro de impacto elevado e de impacto crítico da entidade de impacto elevado e de impacto crítico.

3.   As autoridades competentes devem, sem impor nem discriminar a favor da utilização de um determinado tipo de tecnologia, incentivar a utilização de normas e especificações europeias ou internacionais relacionadas com os sistemas de gestão e que sejam pertinentes para a segurança dos sistemas de rede e informação.

1.   No prazo de sete meses após a apresentação do primeiro projeto de relatório de avaliação dos riscos de cibersegurança à escala da União nos termos do artigo 19.o, n.o 4, os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem elaborar uma proposta de controlos de cibersegurança mínimos e avançados da cadeia de abastecimento que atenuem os riscos da cadeia de abastecimento identificados nas avaliações dos riscos de cibersegurança à escala da União, complementando os controlos de cibersegurança mínimos e avançados elaborados nos termos do artigo 29.o. Os controlos de cibersegurança mínimos e avançados da cadeia de abastecimento devem ser elaborados juntamente com os controlos de cibersegurança mínimos e avançados nos termos do artigo 29.o. Os controlos de cibersegurança mínimos e avançados da cadeia de abastecimento devem abranger a totalidade do ciclo de vida de todos os produtos, serviços e processos de TIC nos perímetros de impacto elevado ou de impacto crítico de uma entidade de impacto elevado ou de impacto crítico. O grupo de cooperação SRI deve ser consultado aquando da elaboração da proposta de controlos de cibersegurança mínimos e avançados da cadeia de abastecimento.

2.   Os controlos de cibersegurança mínimos da cadeia de abastecimento devem consistir em controlos de entidades de impacto elevado e de impacto crítico que:

3.   No que respeita às especificações de cibersegurança constantes da recomendação relativa à contratação no domínio da cibersegurança a que se refere o n.o 2, alínea a), as entidades de impacto elevado ou de impacto crítico devem utilizar os princípios da contratação previstos na Diretiva 2014/24/UE do Parlamento Europeu e do Conselho (19), em conformidade com o artigo 35.o, n.o 4, ou definir as suas próprias especificações com base nos resultados da avaliação dos riscos de cibersegurança a nível das entidades.

4.   Os controlos de cibersegurança avançados da cadeia de abastecimento devem incluir controlos para que as entidades de impacto crítico verifiquem, durante a contratação, se os produtos, serviços e processos de TIC que serão utilizados como ativos de impacto crítico satisfazem as especificações de cibersegurança. O produto, serviço ou processo de TIC deve ser verificado no âmbito de um sistema europeu de certificação da cibersegurança a que se refere o artigo 31.o ou através de atividades de verificação selecionadas e organizadas pela entidade. A profundidade e a amplitude das atividades de verificação devem ser suficientes para garantir que o produto, serviço ou processo de TIC pode ser utilizado para atenuar os riscos identificados na avaliação dos riscos a nível das entidades. A entidade de impacto crítico deve documentar as medidas tomadas para reduzir os riscos identificados.

5.   Os controlos de cibersegurança mínimos e avançados da cadeia de abastecimento são aplicáveis à aquisição de produtos, serviços e processos de TIC pertinentes. Os controlos de cibersegurança mínimos e avançados da cadeia de abastecimento serão aplicáveis aos processos de contratação nas entidades identificadas como entidades de impacto crítico e de impacto elevado nos termos do artigo 24.o, seis meses após a adoção ou atualização dos controlos de cibersegurança mínimos e avançados referidos no artigo 29.o.

6.   No prazo de seis meses após a elaboração de cada relatório da avaliação regional dos riscos de cibersegurança nos termos do artigo 21.o, n.o 2, os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem propor à autoridade competente uma alteração dos controlos de cibersegurança mínimos e avançados da cadeia de abastecimento. A proposta será elaborada em conformidade com o artigo 8.o, n.o 10, e terá em conta os riscos identificados na avaliação regional dos riscos.

1.   No prazo de sete meses após a apresentação do primeiro projeto de relatório de avaliação dos riscos de cibersegurança à escala da União nos termos do artigo 19.o, n.o 4, os ORT, com o apoio da REORT para a Eletricidade, em cooperação com a entidade ORDUE e em consulta com a ENISA, devem elaborar uma proposta de matriz para mapear os controlos previstos no artigo 28.o, n.o 1, alíneas a) e b), com base em normas europeias e internacionais selecionadas, bem como nas especificações técnicas pertinentes («matriz de mapeamento»). A REORT para a Eletricidade e a entidade ORDUE devem documentar a equivalência dos diferentes controlos aos controlos previstos no artigo 28.o, n.o 1, alíneas a) e b).

2.   As autoridades competentes podem fornecer à REORT para a Eletricidade e à entidade ORDUE um levantamento dos controlos previstos no artigo 28.o, n.o 1, alíneas a) e b), com uma referência aos quadros legislativos ou regulamentares nacionais conexos, incluindo as normas nacionais pertinentes dos Estados-Membros nos termos do artigo 25.o da Diretiva (UE) 2022/2555. Se a autoridade competente de um Estado-Membro fornecer esse levantamento, a REORT para a Eletricidade e a entidade ORDUE devem integrar esse levantamento nacional na matriz de mapeamento.

3.   No prazo de seis meses após a elaboração de cada relatório da avaliação regional dos riscos de cibersegurança nos termos do artigo 21.o, n.o 2, os ORT, com o apoio da REORT para a Eletricidade, em cooperação com a entidade ORDUE e em consulta com a ENISA, devem propor à autoridade competente uma alteração da matriz de mapeamento. A proposta será elaborada em conformidade com o artigo 8.o, n.o 10, e terá em conta os riscos identificados na avaliação regional dos riscos.

1.   Os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem elaborar, num programa de trabalho a estabelecer e a atualizar sempre que seja adotado um relatório da avaliação regional dos riscos de cibersegurança, conjuntos de recomendações não vinculativas em matéria de contratação no domínio da cibersegurança que as entidades de impacto elevado e de impacto crítico possam utilizar como base para a aquisição de produtos, serviços e processos de TIC nos perímetros de impacto elevado e de impacto crítico. Esse programa de trabalho deve incluir os seguintes elementos:

2.   A REORT para a Eletricidade, em cooperação com a entidade ORDUE, deve, no prazo de seis meses após a adoção ou atualização do relatório da avaliação regional dos riscos de cibersegurança, apresentar à ACER um resumo desse programa de trabalho.

3.   Os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem procurar assegurar que as recomendações não vinculativas em matéria de contratação no domínio da cibersegurança elaboradas com base nas avaliações regionais dos riscos de cibersegurança pertinentes sejam semelhantes ou comparáveis em todas as regiões de exploração da rede. Os conjuntos de recomendações em matéria de contratação no domínio da cibersegurança devem abranger, pelo menos, as especificações referidas no artigo 33.o, n.o 2, alínea a). Sempre que possível, as especificações devem ser selecionadas a partir de normas europeias e internacionais.

4.   Os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem assegurar que os conjuntos de recomendações em matéria de contratação no domínio da cibersegurança:

1.   As recomendações não vinculativas em matéria de contratação no domínio da cibersegurança elaboradas nos termos do artigo 35.o podem incluir orientações setoriais sobre a utilização de sistemas europeus de certificação da cibersegurança, caso exista um sistema adequado para um tipo de produto, serviço ou processo de TIC utilizado por entidades de impacto crítico, sem prejuízo do enquadramento para a criação de sistemas europeus de certificação da cibersegurança nos termos do artigo 46.o do Regulamento (UE) 2019/881.

2.   Os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem cooperar estreitamente com a ENISA na disponibilização das orientações setoriais incluídas nas recomendações não vinculativas em matéria de contratação no domínio da cibersegurança nos termos do n.o 1.

1.   Se uma autoridade competente receber informações relacionadas com um ciberataque sujeito a notificação, essa autoridade competente:

2.   Se uma CSIRT tomar conhecimento de uma vulnerabilidade ativamente explorada não corrigida, deve:

3.   Se uma autoridade competente tomar conhecimento de uma vulnerabilidade ativamente explorada não corrigida, essa autoridade competente deve:

4.   Se a autoridade competente tomar conhecimento de uma vulnerabilidade não corrigida em relação à qual não possui elementos de prova de que está a ser ativamente explorada, deve coordenar-se sem demora injustificada com a CSIRT para efeitos de divulgação coordenada de vulnerabilidades, tal como previsto no artigo 12.o, n.o 1, da Diretiva (UE) 2022/2555.

5.   Se uma CSIRT receber informações relacionadas com ciberameaças de uma ou várias entidades de impacto elevado ou de impacto crítico nos termos do artigo 38.o, n.o 6, deve divulgar essas informações ou quaisquer outras informações importantes para prevenir, detetar, responder ou atenuar o risco conexo a entidades de impacto crítico e de impacto elevado no seu Estado-Membro e, se for caso disso, a todas as CSIRT em causa e ao seu ponto de contacto único nacional, sem demora injustificada e, o mais tardar, quatro horas após a receção das informações.

6.   Se uma autoridade competente tomar conhecimento de informações relacionadas com ciberameaças provenientes de uma ou várias entidades de impacto elevado ou de impacto crítico, deve transmitir essas informações à CSIRT para efeitos do n.o 5.

7.   As autoridades competentes podem delegar, no todo ou em parte, as responsabilidades previstas nos n.os 3 e 4, relativamente a uma ou mais entidades de impacto elevado ou de impacto crítico que operem em mais de um Estado-Membro, noutra autoridade competente de um desses Estados-Membros, na sequência de um acordo entre as autoridades competentes em causa.

8.   Os ORT, com o apoio da REORT para a Eletricidade e em cooperação com a entidade ORDUE, devem desenvolver uma metodologia de classificação de ciberataques até 13 de junho de 2025. Os ORT, com o apoio da REORT para a Eletricidade e da entidade ORDUE, podem solicitar às autoridades competentes que consultem a ENISA e as suas autoridades competentes responsáveis pela cibersegurança para obterem apoio na elaboração dessa escala de classificação. A metodologia deve prever a classificação da gravidade de um ciberataque de acordo com cinco níveis, sendo os dois níveis mais altos o «elevado» e o «crítico». A classificação deve basear-se na avaliação dos seguintes parâmetros:

9.   Até 13 de junho de 2026, a REORT para a Eletricidade, em colaboração com a entidade ORDUE, deve realizar um estudo de viabilidade para avaliar a possibilidade e os custos financeiros necessários da criação de uma ferramenta comum que possibilite a todas as entidades partilhar informações com as autoridades nacionais competentes.

10.   O estudo de viabilidade deve abordar a possibilidade de essa ferramenta comum:

11.   A REORT para a Eletricidade, em cooperação com a entidade ORDUE, deve:

12.   A REORT para a Eletricidade, em cooperação com a entidade ORDUE, pode analisar e facilitar iniciativas propostas por entidades de impacto crítico e de impacto elevado para avaliar e testar essas ferramentas de partilha de informações.

1.   Cada entidade de impacto elevado e de impacto crítico deve:

2.   A ENISA pode emitir orientações não vinculativas sobre a criação dessas capacidades ou a subcontratação do serviço a prestadores de serviços de segurança geridos, no âmbito da função definida no artigo 6.o, n.o 2, do Regulamento (UE) 2019/881.

3.   Cada entidade de impacto crítico e de impacto elevado deve partilhar com as suas CSIRT e a sua autoridade competente as informações pertinentes relacionadas com um ciberataque sujeito a notificação, sem demora injustificada e, o mais tardar, quatro horas após ter tomado conhecimento de que o incidente deve ser sujeito a notificação.

4.   As informações relacionadas com um ciberataque devem ser consideradas sujeitas a notificação quando o ciberataque for avaliado pela entidade afetada como tendo um grau de criticalidade que varia entre «elevado» e «crítico», seguindo a metodologia da escala de classificação de ciberataque nos termos do artigo 37.o, n.o 8. O ponto de contacto único a nível das entidades designado nos termos do n.o 1, alínea c), deve comunicar a classificação do incidente.

5.   Sempre que as entidades de impacto crítico e de impacto elevado notifiquem informações pertinentes relacionadas com vulnerabilidades ativamente exploradas não corrigidas a uma CSIRT, esta pode transmitir essas informações à sua autoridade competente. Tendo em conta o grau de sensibilidade das informações notificadas, a CSIRT pode reter as informações ou atrasar a sua transmissão com base em motivos justificados relacionados com a cibersegurança.

6.   Cada entidade de impacto crítico e de impacto elevado deve disponibilizar às suas CSIRT, sem demora injustificada, quaisquer informações relacionadas com uma ciberameaça sujeita a notificação que possam ter um efeito transfronteiriço. As informações relacionadas com uma ciberameaça devem ser consideradas sujeitas a notificação caso se verifique pelo menos uma das seguintes condições:

7.   Cada entidade de impacto crítico e de impacto elevado deve, ao partilhar informações nos termos do presente artigo, especificar o seguinte:

8.   Quando uma entidade de impacto crítico ou de impacto elevado notifica um incidente significativo nos termos do artigo 23.o da Diretiva (UE) 2022/2555 e a notificação de incidentes ao abrigo desse artigo contém informações pertinentes, tal como exigido no n.o 3 do presente artigo, a notificação da entidade nos termos do artigo 23.o, n.o 1, dessa diretiva constitui uma comunicação de informações nos termos do n.o 3 do presente artigo.

9.   Cada entidade de impacto crítico e de impacto elevado deve prestar informações à sua autoridade competente ou à sua CSIRT, identificando claramente as informações específicas que só devem ser partilhadas com a autoridade competente ou a CSIRT nos casos em que a partilha de informações possa estar na origem de um ciberataque. Cada entidade de impacto crítico e de impacto elevado tem o direito de fornecer uma versão não confidencial das informações à CSIRT competente.

1.   As entidades de impacto crítico e de impacto elevado devem desenvolver as capacidades necessárias para lidar com os ciberataques detetados, com o apoio necessário da autoridade competente, da REORT para a Eletricidade e da entidade ORDUE. As entidades de impacto crítico e de impacto elevado podem ser apoiadas pela CSIRT designada no respetivo Estado-Membro no âmbito da função atribuída às CSIRT pelo artigo 11.o, n.o 5, alínea a), da Diretiva (UE) 2022/2555. As entidades de impacto crítico e de impacto elevado devem aplicar processos eficazes para identificar, classificar e responder a ciberataques que afetem ou possam afetar os fluxos transfronteiriços de eletricidade, a fim de minimizar o seu impacto.

2.   Se um ciberataque tiver um efeito nos fluxos transfronteiriços de eletricidade, os pontos de contacto únicos a nível das entidades de impacto crítico e de impacto elevado afetadas devem cooperar para partilhar informações entre si, coordenados pela autoridade competente do Estado-Membro no qual o ciberataque foi notificado pela primeira vez.

3.   As entidades de impacto crítico e de impacto elevado devem:

4.   As funções referidas no n.o 1 podem ser delegadas pelos Estados-Membros nos centros de coordenação regionais, em conformidade com o artigo 37.o, n.o 2, do Regulamento (UE) 2019/943.

1.   Quando a autoridade competente determinar que uma crise de eletricidade está relacionada com um ciberataque com impacto em mais do que um Estado-Membro, as autoridades competentes dos Estados-Membros afetados, as autoridades competentes responsáveis pela cibersegurança, as autoridades competentes em matéria de preparação para riscos e as autoridades de gestão de cibercrises do sistema de rede e informação dos Estados-Membros afetados devem criar conjuntamente um grupo ad hoc de coordenação de crises transfronteiriças.

2.   O grupo ad hoc de coordenação de crises transfronteiriças deve:

3.   Se o ciberataque for considerado ou for suscetível de ser considerado um incidente de cibersegurança em grande escala, o grupo ad hoc de coordenação de crises transfronteiriças deve informar imediatamente as autoridades nacionais de gestão de cibercrises, em conformidade com o artigo 9.o, n.o 1, da Diretiva (UE) 2022/2555, nos Estados-Membros afetados pelo incidente, bem como a Comissão e a UE-CyCLONe. Nesse caso, o grupo ad hoc de coordenação de crises transfronteiriças deve apoiar a UE-CyCLONe no que respeita às especificidades setoriais.

4.   As entidades de impacto crítico e de impacto elevado devem desenvolver e ter à sua disposição capacidades, orientações internas, planos de preparação e pessoal para participar na deteção e atenuação de crises transfronteiriças. A entidade de impacto crítico ou de impacto elevado afetada por uma crise de eletricidade simultânea deve investigar as causas subjacentes dessa crise, em cooperação com a sua autoridade competente, a fim de determinar em que medida a crise está relacionada com um ciberataque.

5.   As funções referidas no n.o 4 podem ser delegadas pelos Estados-Membros nos centros de coordenação regionais, em conformidade com o artigo 37.o, n.o 2, do Regulamento (UE) 2019/943.

1.   No prazo de 24 meses após a notificação à ACER do relatório de avaliação dos riscos à escala da União, a ACER deve, em estreita cooperação com a ENISA, a REORT para a Eletricidade, a entidade ORDUE, as autoridades competentes responsáveis pela cibersegurança, as autoridades competentes, as autoridades competentes em matéria de preparação para riscos, as ERN e as autoridades nacionais de gestão de cibercrises do sistema de rede e informação, elaborar um plano de gestão de crises de cibersegurança e de resposta a estas à escala da União para o setor da eletricidade.

2.   No prazo de 12 meses após a elaboração pela ACER do plano de gestão de crises de cibersegurança e de resposta a estas à escala da União para o setor da eletricidade nos termos do n.o 1, cada autoridade competente deve elaborar um plano nacional de gestão de crises de cibersegurança e de resposta a estas para os fluxos transfronteiriços de eletricidade, tendo em conta o plano de gestão de crises de cibersegurança à escala da União e o plano nacional de preparação para riscos elaborado em conformidade com o artigo 10.o do Regulamento (UE) 2019/941. Este plano deve ser coerente com o plano de resposta a crises e a incidentes de cibersegurança em grande escala previsto no artigo 9.o, n.o 4, da Diretiva (UE) 2022/2555. A autoridade competente deve coordenar-se com as entidades de impacto crítico e de impacto elevado e com a autoridade competente em matéria de preparação para riscos do seu Estado-Membro.

3.   O plano nacional de resposta a crises e a incidentes de cibersegurança em grande escala exigido nos termos do artigo 9.o, n.o 4, da Diretiva (UE) 2022/2555 é considerado um plano nacional de gestão de crises de cibersegurança nos termos do presente artigo se incluir disposições em matéria de gestão e resposta a crises para os fluxos transfronteiriços de eletricidade.

4.   As tarefas enumeradas nos n.os 1 e 2 podem ser delegadas pelos Estados-Membros nos centros de coordenação regionais, em conformidade com o artigo 37.o, n.o 2, do Regulamento (UE) 2019/943.

5.   As entidades de impacto crítico e de impacto elevado devem assegurar que os seus processos de gestão de crises relacionados com a cibersegurança:

6.   No prazo de 12 meses após a notificação das entidades de impacto elevado e de impacto crítico nos termos do artigo 24.o, n.o 6, e posteriormente de três em três anos, as entidades de impacto crítico e de impacto elevado devem elaborar um plano de gestão de crises a nível das entidades para uma crise relacionada com a cibersegurança, que deve ser incluído nos seus planos gerais de gestão de crises. Esse plano deve incluir, pelo menos, os seguintes elementos:

7.   As medidas de gestão de crises nos termos do artigo 21.o, n.o 2, alínea c), da Diretiva (UE) 2022/2555 são consideradas um plano de gestão de crises a nível das entidades do setor da eletricidade ao abrigo do presente artigo se incluírem todos os requisitos enumerados no n.o 6.

8.   Os planos de gestão de crises devem ser testados durante os exercícios de cibersegurança a que se referem os artigos 43.o, 44.o e 45.o.

9.   As entidades de impacto crítico e de impacto elevado devem incluir os seus planos de gestão de crises a nível das entidades nos seus planos de continuidade das atividades para os processos de impacto crítico e de impacto elevado. Os planos de gestão de crises a nível das entidades devem incluir:

10.   As entidades de impacto crítico e de impacto elevado devem atualizar os seus planos de gestão de crises a nível das entidades pelo menos de três em três anos e sempre que necessário.

11.   A ACER deve atualizar o plano de gestão de crises de cibersegurança e de resposta a estas à escala da União para o setor da eletricidade elaborado nos termos do n.o 1 pelo menos de três em três anos e sempre que necessário.

12.   Cada autoridade competente deve atualizar o plano de gestão de crises de cibersegurança e de resposta a estas para os fluxos transfronteiriços de eletricidade elaborado nos termos do n.o 2 pelo menos de três em três anos e sempre que necessário.

13.   As entidades de impacto crítico e de impacto elevado devem testar os seus planos de continuidade das atividades pelo menos uma vez de três em três anos ou após alterações importantes num processo de impacto crítico. O resultado dos testes dos planos de continuidade das atividades deve ser documentado. As entidades de impacto crítico e de impacto elevado podem incluir o teste do seu plano de continuidade das atividades nos exercícios de cibersegurança.

14.   As entidades de impacto crítico e de impacto elevado devem atualizar o seu plano de continuidade das atividades sempre que necessário e, pelo menos, uma vez de três em três anos, tendo em conta o resultado do teste.

15.   Se um teste identificar deficiências no plano de continuidade das atividades, a entidade de impacto crítico e de impacto elevado deve corrigir essas deficiências no prazo de 180 dias consecutivos após o teste e realizar um novo teste para comprovar a eficácia das medidas corretivas.

16.   Se uma entidade de impacto crítico ou de impacto elevado não puder corrigir as deficiências no prazo de 180 dias consecutivos, deve incluir os motivos no relatório a apresentar à respetiva autoridade competente em conformidade com o artigo 27.o.

1.   As autoridades competentes devem cooperar com a ENISA para desenvolver capacidades de alerta precoce em matéria de cibersegurança da eletricidade, como parte do apoio aos Estados-Membros nos termos do artigo 6.o, n.o 2, e do artigo 7.o do Regulamento (UE) 2019/881.

2.   As capacidades de alerta precoce em matéria de cibersegurança da eletricidade devem possibilitar à ENISA, no exercício das funções enumeradas no artigo 7.o, n.o 7, do Regulamento (UE) 2019/881:

3.   As CSIRT devem divulgar sem demora as informações recebidas da ENISA às entidades em causa, no âmbito das suas funções definidas no artigo 11.o, n.o 3, alínea b), da Diretiva (UE) 2022/2555.

4.   A ACER deve acompanhar a eficácia das capacidades de alerta precoce em matéria de cibersegurança da eletricidade. A ENISA deve prestar apoio à ACER, facultando todas as informações necessárias, nos termos do artigo 6.o, n.o 2, e do artigo 7.o, n.o 1, do Regulamento (UE) 2019/881. A análise desta atividade de acompanhamento faz parte do acompanhamento previsto nos termos do artigo 12.o do presente regulamento.

1.   Até 31 de dezembro do ano seguinte à notificação das entidades de impacto crítico e, posteriormente, de três em três anos, cada entidade de impacto crítico deve realizar um exercício de cibersegurança que inclua um ou mais cenários de ciberataques que afetem direta ou indiretamente os fluxos transfronteiriços de eletricidade e que estejam relacionados com os riscos identificados durante as avaliações dos riscos de cibersegurança a nível dos Estados-Membros e a nível das entidades, em conformidade com os artigos 20.o e 27.o.

2.   Em derrogação do n.o 1, a autoridade competente em matéria de preparação para riscos, após consulta da autoridade competente e da autoridade de gestão de cibercrises pertinente designada ou estabelecida na Diretiva (UE) 2022/2555 nos termos do artigo 9.o, pode decidir organizar um exercício de cibersegurança a nível dos Estados-Membros, tal como descrito no n.o 1, em vez de realizar o exercício de cibersegurança a nível das entidades. Para o efeito, a autoridade competente deve informar:

3.   A autoridade competente em matéria de preparação para riscos, com o apoio técnico das suas CSIRT, organiza o exercício de cibersegurança descrito no n.o 2 a nível dos Estados-Membros de forma independente ou no contexto de outro exercício de cibersegurança nesse Estado-Membro. A fim de poder agrupar estes exercícios, a autoridade competente em matéria de preparação para riscos pode adiar por um ano o exercício de cibersegurança a nível dos Estados-Membros a que se refere o n.o 1.

4.   Os exercícios de cibersegurança a nível das entidades e a nível dos Estados-Membros devem ser coerentes com os quadros nacionais de gestão de crises de cibersegurança, em conformidade com o artigo 9.o, n.o 4, alínea d), da Diretiva (UE) 2022/2555.

5.   Até 31 de dezembro de 2026 e posteriormente de três em três anos, a REORT para a Eletricidade, em cooperação com a entidade ORDUE, deve disponibilizar um modelo de cenário de exercício para a realização dos exercícios de cibersegurança a nível das entidades e a nível dos Estados-Membros a que se refere o n.o 1. Esse modelo deve ter em conta os resultados da mais recente avaliação dos riscos de cibersegurança a nível das entidades e a nível dos Estados-Membros e incluir os principais critérios de êxito. A REORT para a Eletricidade e a entidade ORDUE devem envolver a ACER e a ENISA na elaboração desse modelo.

1.   Até 31 de dezembro de 2029 e posteriormente de três em três anos, em cada região de exploração da rede, a REORT para a Eletricidade, em cooperação com a entidade ORDUE, deve organizar um exercício de cibersegurança regional. As entidades de impacto crítico na região de exploração da rede devem participar no exercício de cibersegurança regional. A REORT para a Eletricidade, em cooperação com a entidade ORDUE, pode organizar, em vez de um exercício de cibersegurança regional, um exercício de cibersegurança transregional em mais do que uma região de exploração da rede no mesmo período. O exercício deve ter em conta outras avaliações e cenários dos riscos de cibersegurança existentes, elaborados a nível da União.

2.   A ENISA deve apoiar a REORT para a Eletricidade e a entidade ORDUE na preparação e organização do exercício de cibersegurança a nível regional ou transregional.

3.   A REORT para a Eletricidade, em coordenação com a entidade ORDUE, deve informar as entidades de impacto crítico que participem no exercício de cibersegurança regional ou transregional seis meses antes da sua realização.

4.   O organizador de um exercício periódico de cibersegurança a nível da União nos termos do artigo 7.o, n.o 5, do Regulamento (UE) 2019/881, ou de qualquer exercício obrigatório de cibersegurança relacionado com o setor da eletricidade no mesmo perímetro geográfico, pode convidar a REORT para a Eletricidade e a entidade ORDUE a participar. Nesses casos, a obrigação prevista no n.o 1 não se aplica, desde que todas as entidades de impacto crítico na região de exploração da rede participem no mesmo exercício.

5.   Se a REORT para a Eletricidade e a entidade ORDUE participarem num exercício de cibersegurança a que se refere o n.o 4, podem adiar por um ano o exercício de cibersegurança regional ou transregional referido no n.o 1.

6.   Até 31 de dezembro de 2027 e posteriormente de três em três anos, a REORT para a Eletricidade, em coordenação com a entidade ORDUE, deve disponibilizar um modelo de exercício para a realização dos exercícios de cibersegurança regionais e transregionais. Esse modelo deve ter em conta os resultados da mais recente avaliação dos riscos de cibersegurança a nível regional e incluir os principais critérios de êxito. A REORT para a Eletricidade deve consultar a Comissão e pode aconselhar-se junto da ACER, da ENISA e do Centro Comum de Investigação sobre a organização e a execução dos exercícios de cibersegurança regionais e transregionais.

1.   Os prestadores de serviços críticos devem participar nos exercícios de cibersegurança referidos no artigo 43.o, n.os 1 e 2, e no artigo 44.o, n.o 1, a pedido de uma entidade de impacto crítico, caso prestem serviços à referida entidade no domínio correspondente ao âmbito do exercício de cibersegurança em causa.

2.   Os organizadores dos exercícios de cibersegurança referidos no artigo 43.o, n.os 1 e 2, e no artigo 44.o, n.o 1, com o aconselhamento da ENISA, se tal lhe for solicitado, e nos termos do artigo 7.o, n.o 5, do Regulamento (UE) 2019/881, devem analisar e finalizar o exercício de cibersegurança em causa com um relatório que resuma os ensinamentos, dirigido a todos os participantes. O relatório deve incluir:

3.   Se tal for solicitado pela rede de CSIRT, pelo grupo de cooperação SRI ou pela UE-CyCLONe, os organizadores dos exercícios de cibersegurança referidos no artigo 43.o, n.os 1 e 2, e no artigo 44.o, n.o 1, devem partilhar os resultados do exercício de cibersegurança em causa. Os organizadores devem partilhar com cada entidade participante nos exercícios as informações referidas no n.o 2, alíneas a) e b), do presente artigo. Os organizadores devem partilhar a lista de recomendações referida no n.o 2, alínea c), do presente artigo exclusivamente com as entidades visadas nas recomendações.

4.   Os organizadores dos exercícios de cibersegurança referidos no artigo 43.o, n.os 1 e 2, e no artigo 44.o, n.o 1, devem acompanhar periodicamente as entidades que participam nos exercícios no que se refere à aplicação das recomendações nos termos do n.o 2, alínea c), do presente artigo.

1.   As entidades enumeradas no artigo 2.o, n.o 1, devem assegurar que as informações fornecidas, recebidas, trocadas ou transmitidas ao abrigo do presente regulamento só são acessíveis com base no princípio da necessidade de conhecer e em conformidade com as regras nacionais e da União aplicáveis em matéria de segurança das informações.

2.   As entidades enumeradas no artigo 2.o, n.o 1, devem assegurar que as informações fornecidas, recebidas, trocadas ou transmitidas ao abrigo do presente regulamento são tratadas e monitorizadas durante todo o ciclo de vida dessas informações e que só podem ser divulgadas no final do seu ciclo de vida após serem anonimizadas.

3.   As entidades enumeradas no artigo 2.o, n.o 1, devem assegurar a aplicação de todas as medidas de proteção de natureza organizacional e técnica necessárias para salvaguardar e proteger a confidencialidade, a integridade, a disponibilidade e a não rejeição das informações fornecidas, recebidas, trocadas ou transmitidas ao abrigo do presente regulamento, independentemente dos meios utilizados. As medidas de proteção devem:

4.   As entidades enumeradas no artigo 2.o, n.o 1, devem assegurar que qualquer pessoa a quem seja concedido acesso às informações fornecidas, recebidas, trocadas ou transmitidas ao abrigo do presente regulamento seja informada sobre as regras de segurança aplicáveis a nível das entidades e sobre as medidas e procedimentos pertinentes para a proteção das informações. Essas entidades devem assegurar que a pessoa em causa reconhece a responsabilidade de proteger as informações de acordo com as instruções dadas durante a sessão de informação.

5.   As entidades enumeradas no artigo 2.o, n.o 1, devem assegurar que o acesso às informações fornecidas, recebidas, trocadas ou transmitidas ao abrigo do presente regulamento seja limitado às pessoas:

6.   As entidades enumeradas no artigo 2.o, n.o 1, devem obter o acordo escrito da pessoa singular ou coletiva que inicialmente criou ou forneceu as informações, antes de as fornecerem a terceiros não abrangidos pelo âmbito de aplicação do presente regulamento.

7.   Uma entidade enumerada no artigo 2.o, n.o 1, pode considerar que estas informações devem ser partilhadas sem cumprir o disposto nos n.os 1 e 4 do presente artigo, a fim de evitar uma crise de eletricidade simultânea com uma causa subjacente relacionada com a cibersegurança ou qualquer crise transfronteiriça na União noutro setor. Nesse caso, deve:

8.   Em derrogação do n.o 6 do presente artigo, as autoridades competentes podem disponibilizar as informações fornecidas, recebidas, trocadas ou transmitidas ao abrigo do presente regulamento a terceiros não enumerados no artigo 2.o, n.o 1, sem o consentimento prévio por escrito do iniciador das informações, desde que a informem o mais rapidamente possível. Antes de divulgar quaisquer informações fornecidas, recebidas, trocadas ou transmitidas ao abrigo do presente regulamento a um terceiro não enumerado no artigo 2.o, n.o 1, a autoridade competente em causa deve assegurar, de forma razoável, que o terceiro em causa tem conhecimento das regras de segurança em vigor e deve receber garantias razoáveis de que o terceiro em causa consegue proteger as informações recebidas em conformidade com os n.os 1 a 5 do presente artigo. A autoridade competente deve anonimizar essas informações sem perder os elementos necessários para informar o público de um risco iminente e grave para os fluxos transfronteiriços de eletricidade e das eventuais medidas de atenuação e salvaguardar a identidade do iniciador das informações. Neste caso, o terceiro não enumerado no artigo 2.o, n.o 1, deve proteger as informações recebidas em conformidade com as disposições já em vigor a nível das entidades ou, se tal não for possível, com as disposições e instruções fornecidas pela autoridade competente pertinente.

9.   O presente artigo não se aplica às entidades não enumeradas no artigo 2.o, n.o 1, às quais sejam disponibilizadas informações nos termos do n.o 6 do presente artigo. Neste caso, aplica-se o n.o 7 do presente artigo, ou a autoridade competente pode facultar a essa entidade disposições escritas que deve aplicar nos casos em que as informações sejam recebidas nos termos do presente regulamento.

1.   As informações fornecidas, recebidas, trocadas ou transmitidas ao abrigo do presente regulamento ficam sujeitas às condições de sigilo profissional estabelecidas nos n.os 2 a 5 do presente artigo e aos requisitos estabelecidos no artigo 65.o do Regulamento (UE) 2019/943. As informações fornecidas, recebidas, trocadas ou transmitidas entre as entidades enumeradas no artigo 2.o do presente regulamento, para efeitos de execução deste, devem ser protegidas, tendo em consideração o nível de confidencialidade das informações aplicado pelo iniciador.

2.   A obrigação de sigilo profissional é aplicável às entidades enumeradas no artigo 2.o.

3.   As autoridades competentes responsáveis pela cibersegurança, as ERN, as autoridades competentes em matéria de preparação para riscos e as CSIRT trocam todas as informações necessárias para o desempenho das suas funções.

4.   As informações recebidas, trocadas ou transmitidas entre as entidades enumeradas no artigo 2.o, n.o 1, para efeitos de aplicação do artigo 23.o devem ser anonimizadas e agregadas.

5.   As informações recebidas por qualquer entidade ou autoridade sujeita ao presente regulamento no exercício das suas funções não podem ser divulgadas a outra entidade ou autoridade, ressalvados os casos abrangidos pelo direito nacional, pelas demais disposições do presente regulamento ou por outra legislação pertinente da União.

6.   Sem prejuízo da legislação nacional ou da União, uma autoridade, entidade ou pessoa singular que receba informações nos termos do presente regulamento não as pode utilizar para outros fins que não o exercício das suas funções ao abrigo do presente regulamento.

7.   A ACER, após consulta da ENISA, de todas as autoridades competentes, da REORT para a Eletricidade e da entidade ORDUE, deve, até 13 de Junho de 2025, emitir orientações sobre os mecanismos para o intercâmbio de informações entre todas as entidades enumeradas no artigo 2.o, n.o 1, e, em especial, sobre os fluxos de comunicação previstos, bem como sobre os métodos de anonimização e de agregação de informações para efeitos da aplicação do presente artigo.

8.   As informações que forem confidenciais nos termos das regras nacionais e da União só podem ser trocadas com a Comissão e com outras autoridades competentes se tal for necessário para efeitos da aplicação do presente regulamento. As informações trocadas devem limitar-se ao necessário e proporcionado em relação ao objetivo desse intercâmbio. O intercâmbio de informações deve preservar a confidencialidade dessas informações e salvaguardar a segurança e os interesses comerciais das entidades de impacto crítico ou de impacto elevado.

1.   Até à aprovação dos termos e condições ou metodologias referidos no artigo 6.o, n.o 2, ou dos planos referidos no artigo 6.o, n.o 3, a REORT para a Eletricidade, em cooperação com a entidade ORDUE, deve elaborar orientações não vinculativas sobre as seguintes matérias:

2.   Até 13 de outubro de 2024, a REORT para a Eletricidade, em cooperação com a entidade ORDUE, deve elaborar uma recomendação relativa a um índice provisório de impacto na cibersegurança da eletricidade. A REORT para a Eletricidade, em cooperação com a entidade ORDUE, deve notificar às autoridades competentes o índice provisório de impacto na cibersegurança da eletricidade recomendado.

3.   Quatro meses após a receção do índice provisório de impacto na cibersegurança da eletricidade recomendado, ou o mais tardar até 13 de fevereiro de 2025, as autoridades competentes identificam os candidatos a entidades de impacto elevado e de impacto crítico no seu Estado-Membro com base no índice de impacto na cibersegurança da eletricidade recomendado e elaboram uma lista provisória de entidades de impacto elevado e de impacto crítico. As entidades de impacto elevado e de impacto crítico identificadas na lista provisória podem cumprir voluntariamente as suas obrigações, tal como estabelecidas no presente regulamento, com base no princípio da precaução. Até 13 de março de 2025, as autoridades competentes devem notificar as entidades identificadas na lista provisória de que foram identificadas como entidades de impacto elevado ou de impacto crítico.

4.   Até 13 de dezembro de 2024, a REORT para a Eletricidade, em cooperação com a entidade ORDUE, deve elaborar uma lista provisória de processos de impacto elevado e de impacto crítico à escala da União. As entidades notificadas nos termos do n.o 3 que decidam voluntariamente cumprir as suas obrigações estabelecidas no presente regulamento com base num princípio de precaução devem utilizar a lista provisória de processos de impacto elevado e de impacto crítico para determinar os perímetros provisórios de impacto elevado e de impacto crítico, bem como para determinar quais os ativos a incluir na primeira avaliação dos riscos de cibersegurança a nível das entidades.

5.   Até 13 de setembro de 2024, cada autoridade competente nos termos do artigo 4.o, n.o 1, deve fornecer à REORT para a Eletricidade e à entidade ORDUE uma lista da sua legislação nacional pertinente para os aspetos de cibersegurança dos fluxos transfronteiriços de eletricidade.

6.   Até 13 de Junho de 2025, a REORT para a Eletricidade, em cooperação com a entidade ORDUE, deve elaborar uma lista provisória das normas e controlos europeus e internacionais exigidos pela legislação nacional pertinentes para os aspetos de cibersegurança dos fluxos transfronteiriços de eletricidade, tendo em conta as informações fornecidas pelas autoridades competentes.

7.   A lista provisória de normas e controlos europeus e internacionais deve incluir:

8.   A REORT para a Eletricidade e a entidade ORDUE devem ter em conta os pontos de vista da ENISA e da ACER ao finalizarem a lista provisória de normas. A REORT para a Eletricidade e a entidade ORDUE devem publicar a lista transitória das normas e controlos europeus e internacionais nos seus sítios Web.

9.   A REORT para a Eletricidade e a entidade ORDUE devem consultar a ENISA e a ACER sobre as propostas de orientações não vinculativas elaboradas nos termos do n.o 1.

10.   Até os controlos de cibersegurança mínimos e avançados serem elaborados nos termos do artigo 29.o e adotados nos termos do artigo 8.o, todas as entidades enumeradas no artigo 2.o, n.o 1, devem esforçar-se por aplicar progressivamente as orientações não vinculativas elaboradas nos termos do n.o 1.