les entreprises d’électricité au sens de l’article 2, point 57), de la directive (UE) 2019/944;

les opérateurs désignés du marché de l’électricité (NEMO) au sens de l’article 2, point 8), du règlement (UE) 2019/943;

les places de marché organisées ou les «marchés organisés», tels que définis à l’article 2, point 4), du règlement d’exécution (UE) no 1348/2014 de la Commission ( 1 ), qui organisent des transactions sur des produits pertinents pour les flux transfrontaliers d’électricité;

les prestataires critiques de services TIC définis à l’article 3, point 9), du présent règlement;

le REGRT pour l’électricité établi conformément à l’article 28 du règlement (UE) 2019/943;

l’entité des GRD de l’Union établie conformément à l’article 52 du règlement (UE) 2019/943;

les responsables d’équilibre au sens de l’article 2, point 14), du règlement (UE) 2019/943;

les exploitants de points de recharge au sens de l’annexe I de la directive (UE) 2022/2555;

les centres de coordination régionaux établis en application de l’article 35 du règlement (UE) 2019/943;

les fournisseurs de services de sécurité gérés au sens de l’article 6, point 40), de la directive (UE) 2022/2555;

toute autre entité ou tout tiers auquel des responsabilités ont été déléguées ou attribuées en application du présent règlement.

l’Agence de coopération des régulateurs de l’énergie («ACER»), instituée par le règlement (UE) no 2019/942 du Parlement européen et du Conseil ( 2 );

les autorités nationales compétentes qui sont chargées d’exécuter les tâches que leur assigne le présent règlement et qui sont désignées par les États membres en application de l’article 4, ou «autorités compétentes»;

►C1  les autorités de régulation nationales («ARN») désignées ◄ par chaque État membre conformément à l’article 57, paragraphe 1, de la directive (UE) 2019/944;

les autorités compétentes pour la préparation aux risques («ANC-PR») établies conformément à l’article 3 du règlement (UE) 2019/941;

les centres de réponse aux incidents de sécurité informatique (CSIRT) désignés ou créés conformément à l’article 10 de la directive (UE) 2022/2555;

les autorités compétentes en matière de cybersécurité («ANC-CS») désignées ou établies par application de l’article 8 de la directive (UE) 2022/2555;

l’Agence de l’Union européenne pour la cybersécurité instituée par le règlement (UE) 2019/881;

toute autre entité ou tout tiers auquel des responsabilités ont été déléguées ou attribuées en application de l’article 4, paragraphe 3.

les méthodes d’évaluation des risques de cybersécurité conformément à l’article 18, paragraphe 1;

le rapport d’évaluation complète des risques de cybersécurité en lien avec les flux transfrontaliers d’électricité conformément à l’article 23;

les contrôles minimaux et avancés de cybersécurité conformément à l’article 29, la cartographie des contrôles de cybersécurité de l’électricité par rapport aux normes, conformément à l’article 34, y compris les contrôles minimaux et avancés de cybersécurité dans la chaîne d’approvisionnement conformément à l’article 33;

une recommandation relative à la passation de marchés dans le domaine de la cybersécurité conformément à l’article 35;

la méthode/échelle de classification des cyberattaques conformément à l’article 37, paragraphe 8.

un ensemble de GRT représentant au moins 55 % des États membres; et

un ensemble de GRT représentant des États membres comprenant au moins 65 % de la population de l’Union.

un ensemble de GRT représentant au moins 72 % des États membres concernés; et

un ensemble de GRT représentant des États membres comprenant au moins 65 % de la population de la région concernée.

d’examiner l’état d’avancement de la mise en œuvre des mesures de gestion des risques de cybersécurité applicables en ce qui concerne les entités à fort impact et à impact critique;

de déterminer si des règles supplémentaires relatives aux exigences communes, à la planification, à la surveillance, à l’établissement de rapports et à la gestion des crises peuvent être nécessaires pour prévenir les risques pour le secteur de l’électricité; et

de recenser les domaines à améliorer en vue de la révision du présent règlement, ou de déterminer les domaines non couverts et les nouvelles priorités qui pourraient apparaître en raison des évolutions technologiques.

atténuent les risques ayant un impact sur les flux transfrontaliers d’électricité;

donnent les résultats souhaités et génèrent des gains d’efficacité pour le développement des systèmes électriques;

sont efficaces et intégrés dans l’ensemble des marchés d’acquisition d’actifs et de services.

les dépenses moyennes liées à la cybersécurité pour atténuer les risques ayant un impact sur les flux transfrontaliers d’électricité, en particulier en ce qui concerne les entités à fort impact et à impact critique;

en coopération avec le REGRT pour l’électricité et l’entité des GRD de l’Union, les prix moyens des services, systèmes et produits de cybersécurité qui contribuent dans une large mesure à l’amélioration et à la maintenance des mesures de gestion des risques de cybersécurité dans les différentes régions d’exploitation du réseau;

l’existence et le niveau de comparabilité des coûts et des fonctions des services, systèmes et solutions de cybersécurité adaptés à la mise en œuvre du présent règlement, en identifiant les mesures envisageables en faveur de l’efficacité des dépenses, en particulier lorsque des investissements technologiques dans le domaine de la cybersécurité peuvent s’avérer nécessaires.

élaboration des méthodes d’évaluation des risques de cybersécurité conformément à l’article 18, paragraphe 1;

établissement du rapport d’évaluation complète des risques de cybersécurité en lien avec les flux transfrontaliers d’électricité, conformément à l’article 23;

définition du cadre commun en matière de cybersécurité dans le secteur de l’électricité conformément au chapitre III;

formulation d’une recommandation relative à la passation de marchés dans le domaine de la cybersécurité conformément à l’article 35;

définition de la méthode/échelle de classification des cyberattaques conformément à l’article 37, paragraphe 8;

fixation de l’indice provisoire d’impact sur la cybersécurité de l’électricité (ECII) conformément à l’article 48, paragraphe 1, point a);

établissement de la liste provisoire consolidée des entités à fort impact et à impact critique conformément à l’article 48, paragraphe 3;

établissement de la liste provisoire des processus à fort impact et à impact critique à l’échelle de l’Union conformément à l’article 48, paragraphe 4;

établissement de la liste provisoire des normes et contrôles européens et internationaux conformément à l’article 48, paragraphe 6;

réalisation de l’évaluation des risques de cybersécurité à l’échelle de l’Union conformément à l’article 19;

réalisation des évaluations régionales des risques de cybersécurité conformément à l’article 21;

définition des plans régionaux d’atténuation des risques de cybersécurité conformément à l’article 22;

élaboration d’orientations sur les schémas européens de certification de cybersécurité pour les produits TIC, services TIC et processus TIC conformément l’article 36;

élaboration de lignes directrices pour la mise en œuvre du présent règlement en concertation avec l’ACER et l’ENISA.

une liste des cybermenaces à prendre en considération, comprenant au moins les menaces suivantes sur la chaîne d’approvisionnement:

▼M1

▼B

les critères permettant d’évaluer l’impact des risques de cybersécurité, qu’ils soient élevés ou critiques, en utilisant des seuils définis en matière de conséquences et de probabilité;

►C1  une approche visant à analyser les risques de cybersécurité découlant de systèmes hérités ◄ , les effets en cascade des cyberattaques et le caractère «en temps réel» des systèmes assurant le fonctionnement du réseau électrique.

une approche visant à analyser les risques de cybersécurité découlant de la dépendance à l’égard d’un fournisseur unique de produits TIC, de services TIC ou de processus TIC.

mesurer les conséquences des cyberattaques sur la base des critères suivants:

mesurer la probabilité d’un incident sous forme de la fréquence annuelle des cyberattaques.

les processus à fort impact à l’échelle de l’Union et les processus à impact critique à l’échelle de l’Union;

une matrice d’impact des risques que les entités et les autorités compétentes utilisent pour évaluer les risques de cybersécurité recensés dans l’évaluation des risques de cybersécurité au niveau des États membres effectuée conformément à l’article 20 et dans l’évaluation des risques de cybersécurité au niveau de l’entité conformément à l’article 26, paragraphe 2, point b).

une évaluation des conséquences possibles d’une cyberattaque à l’aide des paramètres définis dans la méthode d’évaluation des risques de cybersécurité élaborée conformément à l’article 18, paragraphes 2, 3 et 4, et approuvée conformément à l’article 8;

les seuils ECII et les seuils de fort impact et d’impact critique que les autorités compétentes utiliseront conformément à l’article 24, paragraphes 1 et 2, pour recenser les entités à fort impact et à impact critique participant aux processus à fort impact à l’échelle de l’Union ou aux processus à impact critique à l’échelle de l’Union.

l’état d’avancement de la mise en œuvre des contrôles minimaux et avancés de cybersécurité conformément à l’article 29;

une liste de toutes les cyberattaques signalées au cours des trois dernières années conformément à l’article 38, paragraphe 3;

un résumé des informations sur les cybermenaces communiquées au cours des trois années précédentes conformément à l’article 38, paragraphe 6;

pour chaque processus à fort impact ou à impact critique à l’échelle de l’Union, une estimation des risques de compromission de la confidentialité, de l’intégrité et de la disponibilité des informations et des actifs pertinents;

s’il y a lieu, une liste des entités supplémentaires identifiées comme ayant un fort impact ou un impact critique conformément à l’article 24, paragraphes 1, 2, 3 et 5.

les contrôles minimaux et avancés de cybersécurité que les entités à fort impact et les entités à impact critique appliquent dans la région d’exploitation du réseau;

les risques résiduels en matière de cybersécurité dans les régions d’exploitation du réseau après application des contrôles visés au point a).

la liste des processus à fort impact et à impact critique à l’échelle de l’Union recensés dans le rapport d’évaluation des risques de cybersécurité à l’échelle de l’Union conformément à l’article 19, paragraphe 2, point a), y compris l’estimation de la probabilité et de l’impact des risques de cybersécurité évalués lors des rapports régionaux d’évaluation des risques de cybersécurité conformément à l’article 21, paragraphe 2, et à l’article 19, paragraphe 3, point a);

les cybermenaces actuelles, en mettant particulièrement l’accent sur les menaces et les risques émergents pour le système électrique;

les cyberattaques de la période précédente au niveau de l’Union, en fournissant une vue d’ensemble critique de la manière dont ces cyberattaques ont pu avoir un impact sur les flux transfrontaliers d’électricité;

l’état d’avancement général de la mise en œuvre des mesures de cybersécurité;

l’état d’avancement de la mise en œuvre des flux d’informations conformément aux articles 37 et 38;

la liste des informations ou les critères spécifiques de classification des informations conformément à l’article 46;

les risques recensés et soulignés qui peuvent découler d’une gestion non sécurisée de la chaîne d’approvisionnement;

les résultats et l’expérience accumulée issus des exercices de cybersécurité régionaux et transrégionaux organisés conformément à l’article 44;

une analyse de l’évolution des risques transfrontaliers globaux de cybersécurité dans le secteur de l’électricité depuis les dernières évaluations régionales des risques de cybersécurité;

toute autre information susceptible d’être utile pour identifier d’éventuelles améliorations du présent règlement ou la nécessité d’une révision du présent règlement ou de l’un de ses outils;

des informations agrégées et anonymisées sur les dérogations accordées en application de l’article 30, paragraphe 3.

l’entité fait partie d’un groupe d’entités pour lesquelles il existe un risque important qu’elles soient touchées simultanément par une cyberattaque;

l’ECII agrégé pour le groupe d’entités est supérieur au seuil de fort impact ou d’impact critique.

toute partie qui procède à l’examen par les pairs, à l’audit ou à l’inspection est indépendante de l’entité à impact critique en cours de vérification et ne se trouve pas en situation de conflit d’intérêts;

le personnel chargé de l’examen par les pairs, de l’audit ou de l’inspection doit avoir une connaissance démontrable:

la partie qui effectue l’examen par les pairs, l’audit ou l’inspection dispose d’un délai suffisant pour mener à bien ces activités;

la partie qui procède à l’examen par les pairs, à l’audit ou à l’inspection prend les mesures appropriées pour protéger les informations qu’elle recueille au cours de la vérification, dans le respect de leur niveau de confidentialité;

les examens par les pairs, les audits ou les inspections sont effectués au moins une fois par an et couvrent au moins tous les trois ans tout le champ d’application de la vérification.

établissement du contexte;

gestion des risques de cybersécurité au niveau de l’entité;

traitement des risques de cybersécurité;

acceptation des risques de cybersécurité.

définit le champ d’application de l’évaluation des risques de cybersécurité, y compris les processus à fort impact ou à impact critique recensés par le REGRT pour l’électricité et l’entité des GRD de l’Union, ainsi que d’autres processus susceptibles de cibler des cyberattaques à fort impact ou à impact critique sur les flux transfrontaliers d’électricité;

définit les critères d’évaluation des risques et d’acceptation des risques conformément à la matrice d’impact des risques que les entités et les autorités compétentes utilisent pour évaluer les risques de cybersécurité dans les méthodes d’évaluation des risques de cybersécurité au niveau de l’Union, au niveau régional et au niveau des États membres élaborées par le REGRT pour l’électricité et l’entité des GRD de l’Union conformément à l’article 19, paragraphe 2.

identifie les risques de cybersécurité en tenant compte:

analyse la probabilité et les conséquences des risques de cybersécurité recensés au point a) et détermine le niveau de risque de cybersécurité sur la base de la matrice d’impact des risques utilisée pour évaluer les risques de cybersécurité dans les méthodes d’évaluation des risques de cybersécurité au niveau de l’Union, au niveau régional et au niveau des États membres, élaborées par le REGRT pour l’électricité et l’entité des GRD de l’Union conformément à l’article 19, paragraphe 2;

classe les actifs en fonction des conséquences possibles lorsque la cybersécurité est compromise et détermine le périmètre à fort impact ou à impact critique selon les étapes suivantes:

évalue les risques de cybersécurité en les hiérarchisant au moyen de critères d’évaluation des risques et des critères d’acceptation des risques visés au paragraphe 3, point b).

les contrôles minimaux de cybersécurité, élaborés conformément à l’article 29;

les contrôles avancés en matière de cybersécurité, développés conformément à l’article 29;

la matrice de cartographie, élaborée conformément à l’article 34, qui permet de cartographier les contrôles visés aux points a) et b) par rapport à une sélection de normes européennes et internationales et de cadres législatifs ou réglementaires nationaux;

le système de gestion de la cybersécurité mis en place conformément à l’article 32.

dans des circonstances exceptionnelles, lorsque l’entité peut démontrer que les coûts liés à la mise en œuvre des contrôles de cybersécurité appropriés dépassent considérablement les avantages. L’ACER et le REGRT pour l’électricité, en coopération avec l’entité des GRD, peuvent élaborer conjointement des orientations pour estimer les coûts des contrôles de cybersécurité afin d’aider les entités;

lorsque l’entité fournit un plan de traitement des risques au niveau de l’entité qui atténue les risques de cybersécurité au moyen d’autres contrôles jusqu’à un niveau acceptable conformément aux critères d’acceptation des risques visés à l’article 26, paragraphe 3, point b).

de déterminer le champ d’application du système de gestion de la cybersécurité en tenant compte des interfaces et des dépendances avec d’autres entités;

de veiller à ce que tous ses cadres dirigeants soient informés des obligations légales pertinentes et contribuent activement à la mise en œuvre du système de gestion de la cybersécurité par des décisions en temps utile et des réactions rapides;

de veiller à ce que les ressources requises pour le système de gestion de la cybersécurité soient disponibles;

d’établir une politique de cybersécurité qui doit être documentée et communiquée au sein de l’entité et aux parties concernées par les risques pour la sécurité;

d’assigner et de communiquer les responsabilités associées aux rôles liés à la cybersécurité;

d’assurer la gestion des risques de cybersécurité au niveau de l’entité comme définie à l’article 26;

de déterminer et de fournir les ressources nécessaires à la mise en œuvre, à la maintenance et à l’amélioration continue du système de gestion de la cybersécurité, en tenant compte des compétences et des connaissances nécessaires concernant les ressources de cybersécurité;

de déterminer la communication interne et externe pertinente en matière de cybersécurité;

de créer, mettre à jour et contrôler les informations documentées relatives au système de gestion de la cybersécurité;

d’évaluer les performances et l’efficacité du système de gestion de la cybersécurité;

d’effectuer des audits internes à intervalles programmés pour s’assurer que le système de gestion de la cybersécurité est effectivement mis en œuvre et maintenu;

de contrôler la mise en œuvre du système de gestion de la cybersécurité à intervalles programmés; et de contrôler, en apportant les éventuelles corrections nécessaires, la conformité des ressources et des activités avec les politiques, procédures et lignes directrices du système de gestion de la cybersécurité.

incluent des recommandations pour l’acquisition de produits TIC, de services TIC et de processus TIC faisant référence au cahier des charges de cybersécurité, couvrant au moins:

exigent de ces entités qu’elles tiennent compte des recommandations en matière de passation de marchés visées au point a) lorsqu’elles concluent des contrats avec des fournisseurs, des partenaires de collaboration et d’autres parties de la chaîne d’approvisionnement, couvrant les livraisons ordinaires de produits TIC, services TIC et processus TIC, ainsi que les événements et circonstances non sollicités tels que la résiliation et la transition de contrats en cas de négligence du partenaire contractuel;

exigent de ces entités qu’elles tiennent compte des résultats des évaluations coordonnées pertinentes des risques pour la sécurité des chaînes d’approvisionnement critiques effectuées conformément à l’article 22, paragraphe 1, de la directive (UE) 2022/2555;

incluent des critères de sélection de fournisseurs et de passation de marchés avec des fournisseurs qui peuvent satisfaire au cahier des charges de cybersécurité visées au point a) et qui possèdent un niveau de cybersécurité adapté aux risques de cybersécurité du produit TIC, service TIC ou processus TIC que le fournisseur livre;

incluent des critères visant à diversifier les sources d’approvisionnement pour les produits TIC, les services TIC et les processus TIC et réduire le risque d’enfermement propriétaire;

incluent des critères permettant de suivre, de réviser ou d’auditer régulièrement le cahier des charges de cybersécurité en ce qui concerne les processus opérationnels internes des fournisseurs tout au long du cycle de vie de chaque produit TIC, service TIC et processus TIC.

une description et une classification des types de produits TIC, services TIC et processus TIC utilisés par les entités à fort impact ou à impact critique dans le périmètre à fort impact ou à impact critique;

une liste des types de produits TIC, services TIC et processus TIC pour lesquels un ensemble de recommandations non contraignantes en matière de cybersécurité est élaboré sur la base des rapports régionaux pertinents d’évaluation des risques de cybersécurité et des priorités des entités à fort impact ou à impact critique.

respectent les principes de passation des marchés énoncés dans la directive 2014/24/UE; et

soient compatibles avec les schémas européens de certification de cybersécurité les plus récents disponibles et tiennent compte de ces derniers, en rapport avec le produit TIC, le service TIC ou le processus TIC pertinent.

évalue le niveau de confidentialité de ces informations et informe l’entité du résultat de son évaluation dans les meilleurs délais et, au plus tard, dans les 24 heures suivant la réception des informations;

s’efforce de trouver toute autre cyberattaque similaire dans l’Union signalée à d’autres autorités compétentes, afin de corréler les informations reçues dans le cadre de la cyberattaque devant faire l’objet d’une déclaration avec les informations fournies dans le cadre d’autres cyberattaques et d’enrichir les informations existantes, de renforcer et de coordonner les réponses en matière de cybersécurité;

est responsable de la suppression des secrets d’affaires et de l’anonymisation des informations conformément aux règles nationales et de l’Union applicables;

communique les informations aux points de contact uniques nationaux, aux CSIRT et à toutes les autorités compétentes désignées conformément à l’article 4 dans d’autres États membres, dans les meilleurs délais et, au plus tard, 24 heures après la réception d’une cyberattaque devant faire l’objet d’une déclaration, et il fournit régulièrement des informations actualisées à ces autorités ou organismes;

diffuse les informations relatives à la cyberattaque, après anonymisation et suppression des secrets d’affaires conformément au paragraphe 1, point c), auprès des entités à impact critique ou à fort impact, dans les meilleurs délais et, au plus tard, 24 heures après avoir reçu les informations visées au paragraphe 1, point a), et il fournit régulièrement des informations actualisées permettant aux entités d’organiser efficacement leur défense;

peut demander à l’entité déclarante à fort impact ou à impact critique de diffuser davantage les informations relatives à la cyberattaque devant faire l’objet d’une déclaration de manière sécurisée auprès d’autres entités susceptibles d’être touchées, afin que le secteur de l’électricité ait connaissance de la situation et afin de prévenir la réalisation d’un risque pouvant conduire à un incident transfrontalier de cybersécurité dans le secteur de l’électricité;

communique à l’ENISA un rapport de synthèse, après anonymisation et suppression des secrets d’affaires, contenant les informations relatives à la cyberattaque.

en informe sans tarder l’ENISA par l’intermédiaire d’un canal d’échange d’informations sécurisé approprié, sauf disposition contraire prévue par d’autres actes de l’Union;

aide l’entité concernée afin qu’elle bénéficie, de la part du fabricant ou du fournisseur, d’une gestion efficace, coordonnée et rapide de la vulnérabilité activement exploitée, ou de mesures d’atténuation efficaces et efficientes;

communique les informations disponibles au vendeur et demande au fabricant ou au fournisseur, dans la mesure du possible, d’identifier une liste des CSIRT dans les États membres concernés par la vulnérabilité activement exploitée et qui en sont informés;

communique les informations disponibles aux CSIRT identifiés au point précédent, sur la base du principe du besoin d’en connaître;

partage, lorsqu’elles existent, des stratégies et mesures d’atténuation applicables à la vulnérabilité non corrigée activement exploitée.

partage, lorsqu’elles existent, des stratégies et mesures d’atténuation de la vulnérabilité non corrigée activement exploitée, en coordination avec les CSIRT de son État membre;

communique les informations à un CSIRT de l’État membre dans lequel la vulnérabilité non corrigée activement exploitée a été signalée.

l’impact potentiel compte tenu des actifs et des périmètres exposés, déterminé conformément à l’article 26, paragraphe 4, point c); et

la gravité de la cyberattaque.

de soutenir les entités à impact critique ou à fort impact en leur communiquant des informations en matière de sécurité pertinentes pour les opérations de flux transfrontaliers d’électricité, telles que le signalement en temps quasi réel des cyberattaques, les alertes précoces liées à des questions de cybersécurité et les vulnérabilités non divulguées d’équipements utilisés dans le système électrique;

d’être entretenu dans un environnement approprié et hautement fiable;

de permettre la collecte de données auprès d’entités à impact critique ou à fort impact et de faciliter le retrait des informations confidentielles et l’anonymisation des données ainsi que leur diffusion rapide auprès des entités à impact critique et à fort impact.

consulte l’ENISA et le groupe de coopération SRI, les points de contact uniques nationaux et les représentants des principales parties prenantes lors de l’évaluation de la faisabilité;

présente les résultats de l’étude de faisabilité à l’ACER et au groupe de coopération SRI.

établit, pour tous les actifs relevant de son périmètre de cybersécurité déterminé conformément à l’article 26, paragraphe 4, point c), au moins les capacités CSOC permettant:

a le droit d’acquérir tout ou partie de ces capacités visées au point a) par l’intermédiaire des fournisseurs de services de sécurité gérés. Les entités à impact critique ou à fort impact restent responsables des fournisseurs de services de sécurité gérés et supervisent leurs efforts;

désigne un point de contact unique au niveau de l’entité aux fins du partage d’informations.

elles constituent pour d’autres entités à impact critique ou à fort impact des éléments pertinents pour la prévention, la détection, la gestion ou l’atténuation de l’impact du risque;

les techniques, tactiques et procédures identifiées utilisées dans le contexte d’une attaque donnent lieu à des informations telles que des adresses URL ou IP compromises, des hachages ou tout autre attribut utile pour contextualiser et corréler l’attaque;

une cybermenace peut être évaluée plus avant et contextualisée avec des informations supplémentaires communiquées par des fournisseurs de services ou des tiers ne relevant pas du présent règlement.

que les informations sont soumises en application du présent règlement;

si les informations concernent:

▼C1

▼B

dans le cas d’une cyberattaque devant faire l’objet d’une déclaration, le niveau de la cyberattaque conformément à la méthode/échelle de classification des cyberattaques prévue à l’article 37, paragraphe 8, et les informations conduisant à cette classification, y compris au moins la gravité de la cyberattaque.

veillent à ce que leur propre point de contact unique au niveau de l’entité ait accès, sur la base du besoin d’en connaître, aux informations qu’il a reçues du point de contact unique national par l’intermédiaire de son autorité compétente;

sauf si cela a déjà été fait en application de l’article 3, paragraphe 4, de la directive (UE) 2022/2555, notifient à l’autorité compétente de l’État membre dans lequel elles sont établies et au point de contact unique national une liste de leurs points de contact uniques en matière de cybersécurité au niveau de l’entité:

établissent des procédures de gestion des cyberattaques, y compris les rôles et responsabilités, les tâches et les réactions, sur la base de l’évolution observable de la cyberattaque dans les périmètres à impact critique ou à fort impact;

testent les procédures globales de gestion des cyberattaques au moins une fois par an sur au moins un scénario affectant directement ou indirectement les flux transfrontaliers d’électricité. Ce test annuel peut être effectué par des entités à impact critique ou à fort impact au cours des exercices réguliers prévus à l’article 43. Toute activité de réaction aux cyberattaques en direct ayant une conséquence classée au moins à l’échelle 2, conformément à la méthode/échelle de classification des cyberattaques prévue à l’article 37, paragraphe 8 et ayant une cause profonde liée à la cybersécurité, peut servir de test annuel du plan de réaction aux cyberattaques.

coordonne la recherche et la diffusion efficaces de toutes les informations pertinentes en matière de cybersécurité auprès des entités participant au processus de gestion de crise;

organise la communication entre toutes les entités touchées par la crise et les autorités compétentes, afin de réduire les chevauchements et d’accroître l’efficacité des analyses et des réponses techniques pour remédier aux crises électriques simultanées ayant une cause profonde en matière de cybersécurité;

fournit aux entités touchées par l’incident, en coopération avec les CSIRT compétents, l’expertise requise, y compris des conseils opérationnels sur la mise en œuvre d’éventuelles mesures d’atténuation;

notifie et fournit régulièrement à la Commission et au groupe de coordination pour l’électricité des informations actualisées sur l’état de l’incident, conformément aux principes de protection énoncés à l’article 46;

demande conseil aux autorités, agences ou entités concernées qui pourraient contribuer à atténuer la crise électrique.

comprennent des procédures compatibles de traitement des incidents de cybersécurité transfrontaliers, tel que défini à l’article 6, point 8), de la directive (UE) 2022/2555, formellement intégrées dans leurs plans de gestion des crises;

fassent partie des activités générales de gestion des crises.

les règles de déclaration de la crise visées à l’article 14, paragraphes 2 et 3, du règlement (UE) 2019/941;

des rôles et responsabilités clairs en matière de gestion des crises, y compris le rôle d’autres entités à impact critique ou à fort impact;

des coordonnées actualisées ainsi que des règles de communication et de partage d’informations en situation de crise, y compris la connexion aux CSIRT.

des processus en fonction de la disponibilité, de l’intégrité et de la fiabilité des services informatiques;

tous les sites de continuité des activités, y compris les emplacements du matériel et des logiciels;

tous les rôles et responsabilités internes liés aux processus de continuité des activités.

de recueillir des informations partagées sur une base volontaire auprès:

d’évaluer et de classer les informations recueillies;

d’évaluer les informations auxquelles l’ENISA a accès pour déterminer les conditions de risque de cybersécurité et les indicateurs pertinents pour certains aspects des flux transfrontaliers d’électricité;

de recenser les conditions et les indicateurs fréquemment corrélés avec les cyberattaques dans le secteur de l’électricité;

de définir si des analyses complémentaires et des mesures préventives doivent être prises, au moyen d’une évaluation et d’un recensement des facteurs de risque;

d’informer les autorités compétentes des risques recensés et des mesures préventives spécifiques recommandées aux entités concernées;

d’informer toutes les entités concernées énumérées à l’article 2 des résultats de l’évaluation des informations effectuée conformément aux points b), c) et d) du présent paragraphe;

d’inclure périodiquement les informations pertinentes dans le rapport de situation technique publié conformément à l’article 7, paragraphe 6, du règlement (UE) 2019/881;

de tirer des informations recueillies, dans la mesure du possible, des données utiles indiquant une atteinte à la sécurité ou une cyberattaque potentielle («indicateurs de compromission»).

toutes les entités à impact critique de son État membre, l’ARN, les CSIRT et l’autorité nationale compétente en matière de cybersécurité au plus tard le 30 juin de l’année précédant l’exercice de cybersécurité au niveau de l’entité;

chaque entité qui participe à l’exercice de cybersécurité au niveau des États membres, au plus tard 6 mois avant la date à laquelle l’exercice doit avoir lieu.

les scénarios d’exercice, les rapports de réunion, les principales positions, les réussites et les enseignements tirés à tous les niveaux de la chaîne de valeur de l’électricité;

l’indication, le cas échéant, que les principaux critères de réussite ont été remplis.

une liste de recommandations à l’intention des entités participant à l’exercice de cybersécurité concerné afin que celles-ci corrigent, adaptent ou modifient les processus, procédures, modèles de gouvernance associés en matière de cybersécurité et tout engagement contractuel existant avec des fournisseurs de services critiques.

sont proportionnées;

tiennent compte des risques de cybersécurité liés aux menaces passées et émergentes connues auxquelles ces informations peuvent être soumises dans le cadre du présent règlement;

se fondent, dans la mesure du possible, sur les normes et bonnes pratiques nationales, européennes ou internationales;

sont documentées.

qui sont autorisés à accéder à ces informations sur la base de leurs fonctions et dans les limites de l’exécution des tâches qui leur sont assignées;

pour lesquelles l’entité a été en mesure d’évaluer le respect des principes éthiques et d’intégrité, ainsi que pour lesquelles il n’existe aucune preuve de résultat négatif d’une vérification des antécédents visant à évaluer la fiabilité de la personne conformément aux meilleures pratiques et aux exigences standard en matière de sécurité de l’entité et, si nécessaire, aux dispositions législatives et réglementaires nationales.

consulte l’autorité compétente et est autorisée par celle-ci à partager ces informations;

anonymise ces informations sans perdre les éléments nécessaires pour informer le public d’un risque imminent et grave pour les flux transfrontaliers d’électricité et des éventuelles mesures d’atténuation;

préserve l’identité de l’auteur des informations et des entités qui les ont traitées au titre du présent règlement.

un indice d’impact provisoire sur la cybersécurité de l’électricité (ECII) conformément au paragraphe 2 du présent article;

une liste provisoire des processus à fort impact et à impact critique à l’échelle de l’Union conformément au paragraphe 4 du présent article;

une liste provisoire des normes et contrôles européens et internationaux requis par la législation nationale en rapport avec les aspects liés à la cybersécurité des flux transfrontaliers d’électricité conformément au paragraphe 6 du présent article.

les normes européennes et internationales et la législation nationale qui fournissent des orientations sur les méthodes de gestion des risques de cybersécurité au niveau de l’entité;

des contrôles de cybersécurité équivalents aux contrôles qui devraient faire partie des contrôles minimaux et avancés en matière de cybersécurité.