1. Jusqu’à l’approbation des modalités et conditions ou des méthodes visées à l’article 6, paragraphe 2, ou des plans visés à l’article 6, paragraphe 3, le REGRT pour l’électricité, en coopération avec l’entité des GRD de l’Union, élabore des orientations non contraignantes sur les questions suivantes:
a) un indice d’impact provisoire sur la cybersécurité de l’électricité (ECII) conformément au paragraphe 2 du présent article;
b) une liste provisoire des processus à fort impact et à impact critique à l’échelle de l’Union conformément au paragraphe 4 du présent article;
c) une liste provisoire des normes et contrôles européens et internationaux requis par la législation nationale en rapport avec les aspects liés à la cybersécurité des flux transfrontaliers d’électricité conformément au paragraphe 6 du présent article.
2. Au plus tard le 13 octobre 2024, le REGRT pour l’électricité, en coopération avec l’entité des GRD de l’Union, élabore une recommandation concernant un ECII provisoire. Le REGRT pour l’électricité, en coopération avec l’entité des GRD de l’Union, notifie l’ECII provisoire recommandé aux autorités compétentes.
3. Quatre mois à compter de la réception de l’ECII provisoire recommandé, ou au plus tard le 13 février 2025, les autorités compétentes identifient les entités susceptibles d’être classées à fort impact ou à impact critique dans leur État membre sur la base de l’ECII recommandé et établissent une liste provisoire d’entités à fort impact et à impact critique. Les entités à fort impact ou à impact critique figurant sur la liste provisoire peuvent, sur la base d’un principe de précaution, volontairement remplir les obligations qui leur incombent en application du présent règlement. Au plus tard le 13 mars 2025, les autorités compétentes notifient aux entités figurant sur la liste provisoire qu’elles ont été identifiées comme entités à fort impact ou à impact critique.
4. Au plus tard le 13 décembre 2024, le REGRT pour l’électricité, en coopération avec l’entité des GRD de l’Union, établit une liste provisoire des processus à fort impact et à impact critique à l’échelle de l’Union. Les entités ayant reçu notification conformément au paragraphe 3 qui décident volontairement de remplir les obligations qui leur incombent en application du présent règlement sur la base d’un principe de précaution utilisent la liste provisoire des processus à fort impact et à impact critique pour déterminer les périmètres provisoires à fort impact ou à impact critique et pour déterminer quels actifs doivent être inclus dans la première évaluation des risques de cybersécurité au niveau de l’entité.
5. Au plus tard le 13 septembre 2024, chaque autorité compétente conformément à l’article 4, paragraphe 1, fournit au REGRT pour l’électricité et à l’entité des GRD de l’Union une liste de sa législation nationale pertinente pour les aspects liés à la cybersécurité des flux transfrontaliers d’électricité.
6. Au plus tard le 13 juin 2025, le REGRT pour l’électricité, en coopération avec l’entité des GRD de l’Union, établit une liste provisoire des normes et contrôles européens et internationaux requis par la législation nationale qui présentent un intérêt pour les aspects liés à la cybersécurité des flux transfrontaliers d’électricité, en tenant compte des informations fournies par les autorités compétentes.
7. La liste provisoire des normes et contrôles européens et internationaux comprend:
a) les normes européennes et internationales et la législation nationale qui fournissent des orientations sur les méthodes de gestion des risques de cybersécurité au niveau de l’entité;
b) des contrôles de cybersécurité équivalents aux contrôles qui devraient faire partie des contrôles minimaux et avancés en matière de cybersécurité.
8. Le REGRT pour l’électricité et l’entité des GRD de l’Union tiennent compte des avis exprimés par l’ENISA et l’ACER lors de la finalisation de la liste provisoire des normes. Le REGRT pour l’électricité et l’entité des GRD de l’Union publient la liste transitoire des normes et contrôles européens et internationaux sur leurs sites web.
9. Le REGRT pour l’électricité et l’entité des GRD de l’Union consultent l’ENISA et l’ACER sur les propositions d’orientations non contraignantes élaborées conformément au paragraphe 1.
10. Jusqu’à ce que les contrôles minimaux et avancés en matière de cybersécurité soient définis conformément à l’article 29 et adoptés conformément l’article 8, toutes les entités énumérées à l’article 2, paragraphe 1, s’efforcent d’appliquer progressivement les orientations non contraignantes élaborées conformément au paragraphe 1.