1. Dans un délai de 36 mois à compter de la notification des entités à fort impact ou à impact critique conformément à l’article 24, paragraphe 6, et au plus tard le 13 juin 2031, et par la suite tous les trois ans, les GRT, avec l’aide du REGRT pour l’électricité, en coopération avec l’entité des GRD de l’UE et en concertation avec les centres de coordination régionaux et le groupe de coopération SRI, élaborent un rapport d’évaluation des risques de cybersécurité au niveau régional pour chaque région d’exploitation du réseau.
2. Les plans régionaux d’atténuation des risques de cybersécurité comprennent:
a) les contrôles minimaux et avancés de cybersécurité que les entités à fort impact et les entités à impact critique appliquent dans la région d’exploitation du réseau;
b) les risques résiduels en matière de cybersécurité dans les régions d’exploitation du réseau après application des contrôles visés au point a).
3. Le REGRT pour l’électricité soumet les plans régionaux d’atténuation des risques aux gestionnaires de réseau de transport concernés, aux autorités compétentes et au groupe de coordination pour l’électricité. Le groupe de coordination pour l’électricité peut recommander des modifications.
4. Les GRT, avec l’aide du REGRT pour l’électricité en coopération avec l’entité des GRD de l’Union et en concertation avec le groupe de coopération SRI, mettent à jour les plans régionaux d’atténuation des risques tous les trois ans, sauf si les circonstances justifient des mises à jour plus fréquentes.