ANÁLISIS COMPARATIVO SOBRE CIBERSEGURIDAD CONFORME EL ARTÍCULO 13 DEL REGLAMENTO DELEGADO 2024/1366 -NCCS-E-

(2)y 13

(3). Tercero.- Con objeto de llevar a cabo el mandato establecido en el NCCS, se ha procedido a solicitar información a diferentes entidades relativa a la mitigación de riesgos de ciberseguridad, a la obtención de los resultados deseados en ciberseguridad, a la integración de la ciberseguridad en la contratación de la empresa, a los gastos en ciberseguridad en el periodo 2022-2024 y al nivel de madurez y gasto en los los diferentes dominios recogidos en el Cybersecurity Capability Maturity Model (C2M2)1. Dicha información se ha solicitado empleando un modelo de plantilla de información acordado a nivel europeo. Cuarto.- Para obtener la información relativa a los precios medios de los servicios, sistemas y productos de ciberseguridad que contribuyen en gran medida a mejorar y mantener las medidas para la gestión de riesgos para la ciberseguridad en las diferentes regiones de operación del sistema, se ha solicitado a determinadas entidades información de precios medios de un conjunto de conceptos acordados a nivel europeo, tras la colaboración de ENTSO-E, DSO Entity y ENISA. Quinto.- La información obtenida de las entidades ha sido empleada para llevar a cabo el análisis comparativo previsto en el artículo 13 del NCCS. II. FUNDAMENTOS DE DERECHO. Primero.- El artículo 13.2 del NCCS establece que, en un plazo de 12 meses a partir del establecimiento por ACER de una guía de análisis comparativo no vinculante en materia de ciberseguridad, las autoridades reguladoras nacionales llevarán a cabo un análisis comparativo para evaluar si las inversiones actuales en ciberseguridad: a) mitigan los riesgos que repercuten en los flujos transfronterizos de electricidad; 1 https://www.energy.gov/ceser/cybersecurity-capability-maturity-model-c2m2 Comisión Nacional de los Mercados y la Competencia C/ Barquillo, 5 – 28004 Madrid - C/ Bolivia, 56 – 08018 Barcelona www.cnmc.es Página 2 de 5 DCOOR/DE/001/26 b) proporcionan los resultados deseados y generan mejoras de eficiencia para el desarrollo de los sistemas eléctricos; c) son eficientes y están integradas en la contratación general de activos y servicios. Adicionalmente, el artículo 13

(3)establece que, para el análisis comparativo, las autoridades reguladoras nacionales podrán tener en cuenta la guía de análisis comparativo no vinculante en materia de ciberseguridad establecida por la ACER, y evaluarán en particular:

1. a)el gasto medio relacionado con la ciberseguridad para mitigar los riesgos que repercuten en los flujos transfronterizos de electricidad, especialmente con respecto a las entidades de impacto alto y de impacto crítico;
2. b)en cooperación con la REGRT de Electricidad y la entidad de los GRD de la UE, los precios medios de los servicios, sistemas y productos de ciberseguridad que contribuyen en gran medida a mejorar y mantener las medidas para la gestión de riesgos para la ciberseguridad en las diferentes regiones de operación del sistema;
3. c)la existencia y el nivel de comparabilidad de los costes y funciones de los servicios, sistemas y soluciones de ciberseguridad adecuados para la ejecución del presente Reglamento, determinando las posibles medidas necesarias para fomentar la eficiencia del gasto, en particular cuando puedan ser necesarias inversiones tecnológicas en ciberseguridad. Segundo.- El artículo 13

(5)establece que, sin perjuicio de los requisitos de confidencialidad del artículo 47 y de la necesidad de proteger la seguridad de las entidades sujetas a las disposiciones del presente Reglamento, el análisis se compartirá con todas las autoridades reguladoras nacionales, todas las autoridades competentes, ACER, ENISA y la Comisión. En lo demás, el artículo 13

(4)dispone que el análisis comparativo no se hará público Tercero.- La CNMC es la autoridad reguladora designada por España con arreglo al artículo 57, apartado 1, de la Directiva (UE) 2019/944 del Parlamento Europeo y del Consejo, de 5 de junio de 2019, sobre normas comunes para el mercado interior de la electricidad y por la que se modifica la Directiva 2012/27/UE. Vistos los citados antecedentes de hecho y fundamentos de derecho, la Sala de Supervisión Regulatoria de la CNMC Comisión Nacional de los Mercados y la Competencia C/ Barquillo, 5 – 28004 Madrid - C/ Bolivia, 56 – 08018 Barcelona www.cnmc.es Página 3 de 5 DCOOR/DE/001/26 ACUERDA Único.- Aprobar el informe de análisis comparativo anexo al presente acuerdo en materia de ciberseguridad conforme lo previsto por el artículo 13 del Reglamento Delegado (UE) 2024/1366 de la Comisión, de 11 de marzo de 2024, por el que se completa el Reglamento (UE) 2019/943 del Parlamento Europeo y del Consejo mediante el establecimiento de un código de red sobre normas sectoriales específicas para los aspectos relativos a la ciberseguridad de los flujos transfronterizos de electricidad. Comuníquese este Acuerdo a la Dirección de Energía y trasládese a las autoridades reguladoras nacionales, todas las autoridades competentes, ACER, ENISA y la Comisión Europea. Comisión Nacional de los Mercados y la Competencia C/ Barquillo, 5 – 28004 Madrid - C/ Bolivia, 56 – 08018 Barcelona www.cnmc.es Página 4 de 5 DCOOR/DE/001/26 ANEXO [CONFIDENCIAL] Comisión Nacional de los Mercados y la Competencia C/ Barquillo, 5 – 28004 Madrid - C/ Bolivia, 56 – 08018 Barcelona www.cnmc.es Página 5 de 5