1. Dans un délai de 7 mois à compter de la soumission du premier projet de rapport d’évaluation des risques de cybersécurité à l’échelle de l’Union conformément à l’article 19, paragraphe 4, les GRT, avec l’aide du REGRT pour l’électricité, en coopération avec l’entité des GRD de l’Union et en concertation avec l’ENISA, élaborent une proposition de matrice pour cartographier les contrôles visés à l’article 28, paragraphe 1, points a) et b), par rapport à une sélection de normes européennes et internationales ainsi qu’aux spécifications techniques pertinentes (ci-après la «matrice cartographique»). Le REGRT pour l’électricité et l’entité des GRD de l’Union documentent l’équivalence des différents contrôles avec les contrôles visés à l’article 28, paragraphe 1, points a) et b).
2. Les autorités compétentes peuvent fournir au REGRT pour l’électricité et à l’entité des GRD de l’Union une cartographie des contrôles visés à l’article 28, paragraphe 1, points a) et b), avec une référence aux cadres législatifs ou réglementaires nationaux correspondants, y compris les normes nationales pertinentes des États membres conformément à l’article 25 de la directive (UE) 2022/2555. Si l’autorité compétente d’un État membre fournit une telle cartographie, le REGRT pour l’électricité et l’entité des GRD de l’Union intègrent cette cartographie nationale dans la matrice cartographique.
3. Dans un délai de 6 mois à compter de l’établissement de chaque rapport régional d’évaluation des risques de cybersécurité conformément à l’article 21, paragraphe 2, les GRT, avec l’aide du REGRT pour l’électricité et en coopération avec l’entité des GRD de l’Union et en concertation avec l’ENISA, proposent à l’autorité compétente une modification de la matrice cartographique. La proposition est faite conformément à l’article 8, paragraphe 10, et tient compte des risques recensés dans l’évaluation régionale des risques.