1. Au plus tard 24 mois après l’adoption des contrôles visés à l’article 28, paragraphe 1, points a), b), c) et la mise en place du système de gestion de la cybersécurité visée au même article, paragraphe 1, point d), chaque entité à impact critique identifiée conformément à l’article 24, paragraphe 1, est en mesure de démontrer, à la demande de l’autorité compétente, qu’elle respecte le système de gestion de la cybersécurité et les contrôles de cybersécurité minimaux ou avancés.
2. Chaque entité à impact critique s’acquitte de l’obligation visée au paragraphe 1 en se soumettant à des audits de sécurité effectués par des tiers indépendants conformément aux exigences énumérées à l’article 25, paragraphe 2, ou en participant à un système national de vérification conformément à l’article 25, paragraphe 1.
3. La vérification qu’une entité à impact critique respecte le système de gestion de la cybersécurité et les contrôles de cybersécurité minimaux ou avancés couvre tous les actifs se trouvant dans le périmètre d’impact critique de l’entité à impact critique.
4. La vérification qu’une entité à impact critique respecte le système de gestion de la cybersécurité et les contrôles de cybersécurité minimaux ou avancés est répétée au plus tard 36 mois après la fin de la première vérification, et par la suite tous les 3 ans.
5. Chaque entité à impact critique définie conformément à l’article 24 démontre qu’elle respecte les contrôles visés à l’article 28, paragraphe 1, points a), b), c) et la mise en place du système de gestion de la cybersécurité visée au même article, paragraphe 1, point d), en rendant compte des résultats de la vérification de la conformité à l’autorité compétente.