1. Le cadre commun de cybersécurité de l’électricité se compose des contrôles et du système de gestion de la cybersécurité suivants:
a) les contrôles minimaux de cybersécurité, élaborés conformément à l’article 29;
b) les contrôles avancés en matière de cybersécurité, développés conformément à l’article 29;
c) la matrice de cartographie, élaborée conformément à l’article 34, qui permet de cartographier les contrôles visés aux points a) et b) par rapport à une sélection de normes européennes et internationales et de cadres législatifs ou réglementaires nationaux;
d) le système de gestion de la cybersécurité mis en place conformément à l’article 32.
2. Toutes les entités à fort impact appliquent les contrôles minimaux de cybersécurité conformément au paragraphe 1, point a), dans leur périmètre à fort impact.
3. Toutes les entités à impact critique appliquent les contrôles avancés de cybersécurité conformément au paragraphe 1, point b), dans leur périmètre d’impact critique.
4. Dans un délai de 7 mois à compter de la présentation du premier projet de rapport d’évaluation des risques de cybersécurité à l’échelle de l’Union conformément à l’article 19, paragraphe 4, le cadre commun de cybersécurité de l’électricité prévu au paragraphe 1 est complété par les contrôles de cybersécurité minimaux et avancés dans la chaîne d’approvisionnement définis conformément à l’article 33.