1. Les GRT, avec l’aide du REGRT pour l’électricité et en coopération avec l’entité des GRD de l’Union, élaborent, dans un programme de travail à établir et à mettre à jour chaque fois qu’un rapport régional d’évaluation des risques de cybersécurité est adopté, des séries de recommandations non contraignantes relatives aux marchés de cybersécurité que les entités à fort impact ou à impact critique peuvent utiliser comme base pour l’acquisition de produits TIC, de services TIC et de processus TIC dans les périmètres à fort impact ou à impact critique. Le programme de travail comporte les éléments suivants:
a) une description et une classification des types de produits TIC, services TIC et processus TIC utilisés par les entités à fort impact ou à impact critique dans le périmètre à fort impact ou à impact critique;
b) une liste des types de produits TIC, services TIC et processus TIC pour lesquels un ensemble de recommandations non contraignantes en matière de cybersécurité est élaboré sur la base des rapports régionaux pertinents d’évaluation des risques de cybersécurité et des priorités des entités à fort impact ou à impact critique.
2. Le REGRT pour l’électricité, en coopération avec l’entité des GRD de l’Union, fournit à l’ACER, dans un délai de 6 mois à compter de l’adoption ou de la mise à jour du rapport régional d’évaluation des risques de cybersécurité, un résumé de ce programme de travail.
3. Les GRT, avec l’aide du REGRT pour l’électricité et en coopération avec l’entité des GRD de l’Union, s’efforcent de veiller à ce que les recommandations non contraignantes en matière de passation de marchés de cybersécurité élaborées sur la base de l’évaluation régionale pertinente des risques de cybersécurité soient similaires ou comparables entre les régions d’exploitation du réseau. Les séries de recommandations relatives aux marchés de cybersécurité couvrent au moins le cahier des charges visé à l’article 33, paragraphe 2, point a). Dans la mesure du possible, le cahier des charges est établi à partir de normes européennes ou internationales.
4. Les GRT, avec l’aide du REGRT pour l’électricité et en coopération avec l’entité des GRD de l’Union, veillent à ce que les séries de recommandations relatives aux marchés de cybersécurité:
a) respectent les principes de passation des marchés énoncés dans la directive 2014/24/UE; et
b) soient compatibles avec les schémas européens de certification de cybersécurité les plus récents disponibles et tiennent compte de ces derniers, en rapport avec le produit TIC, le service TIC ou le processus TIC pertinent.