1. Les entités énumérées à l’article 2, paragraphe 1, peuvent demander à l’autorité compétente concernée d’accorder une dérogation à leur obligation d’appliquer les contrôles de cybersécurité minimaux et avancés visés à l’article 29, paragraphe 6. L’autorité compétente peut accorder une telle dérogation pour l’un des motifs suivants:
a) dans des circonstances exceptionnelles, lorsque l’entité peut démontrer que les coûts liés à la mise en œuvre des contrôles de cybersécurité appropriés dépassent considérablement les avantages. L’ACER et le REGRT pour l’électricité, en coopération avec l’entité des GRD, peuvent élaborer conjointement des orientations pour estimer les coûts des contrôles de cybersécurité afin d’aider les entités;
b) lorsque l’entité fournit un plan de traitement des risques au niveau de l’entité qui atténue les risques de cybersécurité au moyen d’autres contrôles jusqu’à un niveau acceptable conformément aux critères d’acceptation des risques visés à l’article 26, paragraphe 3, point b).
2. Dans un délai de trois mois à compter de la réception de la demande visée au paragraphe 1, chaque autorité compétente décide s’il y a lieu d’accorder une dérogation aux contrôles de cybersécurité minimaux et avancés. Les dérogations aux contrôles de cybersécurité minimaux ou avancés sont accordées pour une durée maximale de trois ans, avec possibilité de renouvellement.
3. Les informations agrégées et anonymisées relatives aux dérogations accordées sont incluses en annexe du rapport d’évaluation complète des risques de cybersécurité en lien avec les flux transfrontaliers d’électricité prévu à l’article 23. Le REGRT pour l’électricité et l’entité des GRD de l’Union mettent à jour conjointement la liste, si nécessaire.