Regolamento (UE) 2025/38 del Parlamento europeo e del Consiglio del 19 dicembre 2024 che stabilisce misure intese a rafforzare la solidarietà e le capacità dell'Unione di rilevamento delle minacce e degli incidenti informatici e di preparazione e risposta agli stessi, e che modifica il regolamento (UE) 2021/694 (regolamento sulla cibersolidarietà)

visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 173, paragrafo 3, e l'articolo 322, paragrafo 1, lettera a),

vista la proposta della Commissione europea,

previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,

visto il parere della Corte dei conti¹,

visto il parere del Comitato economico e sociale europeo²,

visto il parere del Comitato delle regioni³,

deliberando secondo la procedura legislativa ordinaria⁴,

L'utilizzo delle tecnologie dell'informazione e della comunicazione e la dipendenza dalle stesse sono diventati fondamentali in tutti i settori di attività economica e della società, date l'interconnessione e l'interdipendenza crescenti delle pubbliche amministrazioni, delle imprese e dei cittadini degli Stati membri a livello transettoriale e transfrontaliero, il che ha introdotto al tempo stesso possibili vulnerabilità.

L'entità, la frequenza el'impatto degli incidenti di cibersicurezza, compresi gli attacchi alle catene di approvvigionamento a fini di ciberspionaggio, di ransomware o di perturbazione, sono in crescita a livello dell'Unione e su scala mondiale. Tali incidenti rappresentano una grave minaccia per il funzionamento delle reti e dei sistemi informativi, In considerazione del rapido evolversi del panorama delle minacce, il rischio di possibili incidenti di cibersicurezza su vasta scala capaci di provocare perturbazioni o danni significativi a infrastrutture critiche, richiede una maggiore preparazione del quadro di cibersicurezza dell'Unione. Tale minaccia va oltre la guerra di aggressione della Russia nei confronti dell'Ucraina ed è destinata a persistere, data la molteplicità di soggetti coinvolti nelle attuali tensioni geopolitiche. Tali incidenti possono ostacolare l'erogazione di servizi pubblici, dal momento che gli attacchi informatici sono spesso diretti a infrastrutture e servizi pubblici locali, regionali o nazionali, e le autorità locali sono particolarmente vulnerabili, anche a causa delle loro risorse limitate. Possono altresì ostacolare lo svolgimento di attività economiche, anche in settori altamente critici o in altri settori critici, generare consistenti perdite finanziarie, minare la fiducia degli utenti nonché causare gravi danni alle economie e ai sistemi democratici dell'Unione, e potrebbero persino avere conseguenze sulla salute o essere potenzialmente letali. Inoltre, gli incidenti di cibersicurezza sono imprevedibili, in quanto spesso si verificano ed evolvono rapidamente, non sono circoscritti a una determinata zona geografica e si verificano simultaneamente o si diffondono istantaneamente in numerosi paesi. È importante che vi sia una stretta cooperazione tra il settore pubblico, il settore privato, il mondo accademico, la società civile e i media.

Occorre rafforzare la posizione competitiva del settore industriale e di quello dei servizi dell'Unione nell'ambito dell'economia digitale e sostenerne la trasformazione digitale, consolidando il livello di cibersicurezza nel mercato unico digitale come raccomandato in tre diverse proposte della Conferenza sul futuro dell'Europa. È necessario accrescere la resilienza dei cittadini, delle imprese, comprese le microimprese, le piccole e medie imprese e le start-up, e dei soggetti che gestiscono infrastrutture critiche contro le crescenti minacce informatiche, che possono avere conseguenze devastanti a livello sociale ed economico. Occorre quindi investire in infrastrutture e servizi e creare capacità per sviluppare competenze in materia di cibersicurezza che permettano di velocizzare il rilevamento delle minacce e degli incidenti informatici e di assicurare una risposta più rapida. Inoltre, gli Stati membri necessitano di assistenza per garantire una migliore preparazione e capacità di risposta più adeguate agli incidenti di cibersicurezza significativi e agli incidenti di cibersicurezza su vasta scala, nonché di assistenza nella ripresa iniziale dagli stessi. Basandosi sulle strutture esistenti e in stretta cooperazione con le stesse, l'Unione dovrebbe inoltre accrescere le sue capacità in tali settori, in particolare per quanto riguarda la raccolta e l'analisi di dati sulle minacce e sugli incidenti informatici.

L'Unione ha già adottato una serie di misure per ridurre le vulnerabilità e accrescere la resilienza delle infrastrutture e dei soggetti critici contro i rischi, in particolare il regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio⁵, le direttive 2013/40/UE6 e (UE) 2022/2555⁷ del Parlamento europeo e del Consiglio e la raccomandazione (UE) 2017/1584 della Commissione⁸. Inoltre, la raccomandazione del Consiglio dell'8 dicembre 2022 su un approccio coordinato a livello dell'Unione per rafforzare la resilienza delle infrastrutture critiche invita gli Stati membri ad adottare misure e a cooperare tra loro, con la Commissione e le altre autorità pubbliche competenti, nonché con i soggetti interessati, al fine di migliorare la resilienza delle infrastrutture critiche utilizzate per fornire servizi essenziali nel mercato interno.

I crescenti rischi di cibersicurezza e un panorama di minacce globalmente complesso, con il chiaro rischio di rapida propagazione di incidenti da uno Stato membro all'altro e da un paese terzo all'Unione, richiedono il rafforzamento della solidarietà a livello di Unione per migliorare il rilevamento delle minacce e degli incidenti informatici, nonché la preparazione e la risposta agli stessi, come pure la ripresa dai medesimi, in particolare rafforzando le capacità delle strutture esistenti. Inoltre, le conclusioni del Consiglio del 23 maggio 2022 su una posizione dell'UE in materia di deterrenza informatica hanno invitato la Commissione a presentare una proposta su un nuovo Fondo di risposta alle emergenze di cibersicurezza.

La comunicazione congiunta della Commissione e dell'alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza del 10 novembre 2022 al Parlamento europeo e al Consiglio sulla politica di ciberdifesa dell'UE ha annunciato un'iniziativa dell'UE per la cibersolidarietà con gli obiettivi di rafforzare le capacità comuni dell'UE in materia di rilevamento, conoscenza situazionale e risposta, promuovendo la mobilitazione di un'infrastruttura unionale dei centri operativi di sicurezza (Security Operation Centres — SOC), sostenere la costituzione graduale di una riserva per la cibersicurezza a livello di UE, con servizi prestati da operatori privati di fiducia, e le prove presso soggetti critici al fine di rilevare potenziali vulnerabilità basate sulle valutazioni del rischio effettuate a livello UE.

Occorre rafforzare il rilevamento e la conoscenza situazionale delle minacce e degli incidenti informatici in tutta l'Unione e intensificare la solidarietà migliorando la preparazione e le capacità degli Stati membri e dell'Unione di prevenire gli incidenti di cibersicurezza significativi e gli incidenti di cibersicurezza su vasta scala e di rispondervi. Di conseguenza si dovrebbe istituire una rete paneuropea di poli informatici (il sistema europeo di allerta per la cibersicurezza) per sviluppare capacità coordinate in materia di rilevamento e conoscenza situazionale, rafforzando le capacità dell'Unione in materia di rilevamento delle minacce e di condivisione delle informazioni; si dovrebbe istituire un meccanismo per le emergenze di cibersicurezza, al fine di sostenere gli Stati membri, su loro richiesta, nella preparazione e nella risposta agli incidenti di cibersicurezza significativi e agli incidenti di cibersicurezza su vasta scala, nell'attenuarne l'effetto e nell'avviare la ripresa dagli stessi, e di sostenere altri utenti nella risposta agli incidenti di cibersicurezza significativi e agli incidenti di cibersicurezza equivalenti a incidenti su vasta scala e si dovrebbe istituire un meccanismo europeo di riesame degli incidenti di cibersicurezza per riesaminare e valutare specifici incidenti di cibersicurezza significativi o incidenti di cibersicurezza su vasta scala. Le azioni intraprese a norma del presente regolamento dovrebbero essere realizzate nel debito rispetto delle competenze degli Stati membri e dovrebbero integrare e non duplicare le attività svolte dalla rete di CSIRT, dalla rete europea delle organizzazioni di collegamento per le crisi informatiche (EU-CyCLONe) o dal gruppo di cooperazione (gruppo di cooperazione NIS), tutti istituiti a norma della direttiva (UE) 2022/2555. Tali azioni non pregiudicano gli articoli 107 e 108 del trattato sul funzionamento dell'Unione europea (TFUE).

Per conseguire questi obiettivi occorre modificare il regolamento (UE) 2021/694 del Parlamento europeo e del Consiglio⁹ in alcuni settori. In particolare il presente regolamento dovrebbe modificare il regolamento (UE) 2021/694 aggiungendo nuovi obiettivi operativi relativi al sistema europeo di allerta per la cibersicurezza e al meccanismo per le emergenze di cibersicurezza nell'ambito dell'obiettivo specifico 3 del programma Europa digitale, che mira a garantire la resilienza, l'integrità e l'affidabilità del mercato unico digitale, a rafforzare le capacità di monitoraggio delle minacce e degli attacchi informatici e di risposta agli stessi, nonché a rafforzare la cooperazione e il coordinamento transfrontalieri in materia di cibersicurezza. Il sistema europeo di allerta per la cibersicurezza potrebbe svolgere un ruolo importante aiutando gli Stati membri ad anticipare le minacce informatiche e a proteggersi dalle stesse, e la riserva dell'UE per la cibersicurezza potrebbe svolgere un ruolo importante aiutando gli Stati membri, le istituzioni, gli organi e gli organismi dell'Unione e i paesi terzi associati al programma Europa digitale a rispondere agli incidenti di cibersicurezza significativi, agli incidenti di cibersicurezza su vasta scala e agli incidenti di cibersicurezza equivalenti a incidenti su vasta scala, e ad attenuarne l'effetto. Tale effetto potrebbe includere danni materiali o immateriali considerevoli e gravi rischi di pubblica sicurezza. Alla luce dei ruoli specifici che il sistema europeo di allerta per la cibersicurezza e la riserva dell'UE per la cibersicurezza potrebbero svolgere, il presente regolamento dovrebbe modificare il regolamento (UE) 2021/694 per quanto riguarda la partecipazione dei soggetti giuridici stabiliti nell'Unione ma controllati da paesi terzi, nel caso in cui vi sia un rischio reale che gli strumenti, le infrastrutture e i servizi necessari e sufficienti, o le tecnologie, le competenze e le capacità necessarie e sufficienti, non siano disponibili nell'Unione e i vantaggi derivanti dall'inclusione di tali soggetti siano superiori ai rischi per la sicurezza. È opportuno stabilire le condizioni specifiche in base alle quali può essere concesso il sostegno finanziario per le azioni volte ad attuare il sistema europeo di allerta per la cibersicurezza e la riserva dell'UE per la cibersicurezza e definire i meccanismi di governance e di coordinamento necessari per raggiungere gli obiettivi previsti. Altre modifiche del regolamento (UE) 2021/694 dovrebbero includere descrizioni delle azioni proposte nell'ambito dei nuovi obiettivi operativi, nonché indicatori misurabili per monitorarne l'attuazione di questi ultimi.

Per rafforzare la risposta dell'Unione alle minacce e agli incidenti informatici, è essenziale la cooperazione con le istituzioni internazionali e con i partner internazionali di fiducia che condividono gli stessi principi. In tale contesto, per partner internazionali di fiducia che condividono gli stessi principi si dovrebbero intendere i paesi che condividono i principi che hanno informato la creazione dell'Unione, vale a dire la democrazia, lo Stato di diritto, l'universalità e indivisibilità dei diritti umani e delle libertà fondamentali, il rispetto della dignità umana, i principi di uguaglianza e solidarietà e il rispetto dei principi della Carta delle Nazioni Unite e del diritto internazionale, e che non pregiudicano gli interessi essenziali dell'Unione o dei suoi Stati membri in materia di sicurezza. Tale cooperazione potrebbe essere vantaggiosa anche per quanto riguarda le azioni intraprese a norma del presente regolamento, in particolare il sistema europeo di allerta per la cibersicurezza e la riserva dell'UE per la cibersicurezza. Il regolamento (UE) 2021/694 dovrebbe prevedere, a condizione che siano soddisfatte determinate condizioni di disponibilità e sicurezza, che le gare d'appalto per tali infrastrutture, strumenti e servizi potrebbero essere aperte a soggetti giuridici controllati da paesi terzi, a condizione che siano rispettati i requisiti di sicurezza. Nel valutare il rischio per la sicurezza derivante da tale apertura dell'appalto, è importante tenere conto dei principi e dei valori che l'Unione condivide con partner internazionali che condividono gli stessi principi, laddove tali principi siano connessi agli interessi essenziali dell'Unione in materia di sicurezza. Inoltre, quando tali requisiti di sicurezza sono considerati a norma del regolamento (UE) 2021/694, si potrebbe tenere conto di diversi elementi, quali la struttura societaria e il processo decisionale di un soggetto, la sicurezza dei dati e delle informazioni classificate o sensibili e la garanzia che i risultati dell'azione non siano soggetti a controlli o restrizioni da parte di paesi terzi non ammissibili.

Il finanziamento delle azioni ai sensi del presente regolamento dovrebbe essere previsto dal regolamento (UE) 2021/694, che dovrebbe rimanere l'atto di base pertinente per le azioni di cui nell'obiettivo specifico 3 del programma Europa digitale. Le condizioni specifiche di partecipazione riguardanti ciascuna azione devono essere indicate nei programmi di lavoro, conformemente al regolamento (UE) 2021/694.

Al presente regolamento si applicano le regole finanziarie orizzontali adottate dal Parlamento europeo e dal Consiglio in base all'articolo 322 TFUE. Tali regole sono stabilite nel regolamento (UE, Euratom) 2024/2509 del Parlamento europeo e del Consiglio¹⁰, definiscono in particolare le modalità relative alla formazione e all'esecuzione del bilancio dell'Unione e organizzano il controllo della responsabilità degli agenti finanziari. Le regole adottate in base all'articolo 322 TFUE comprendono anche un regime generale di condizionalità per la protezione del bilancio dell'Unione istituito dal regolamento (UE, Euratom) 2020/2092 del Parlamento europeo e del Consiglio¹¹.

Benché le misure di prevenzione e preparazione siano essenziali per rafforzare la resilienza dell'Unione nel far fronte a incidenti significativi di cibersicurezza, incidenti di cibersicurezza su vasta scala e incidenti di cibersicurezza equivalenti a incidenti su vasta scala, l'insorgenza, i tempi e la portata degli incidenti sono per loro natura imprevedibili. Le risorse finanziarie necessarie per garantire una risposta adeguata possono variare notevolmente da un anno all'altro e dovrebbero poter essere messe immediatamente a disposizione. Per conciliare il principio di bilancio della prevedibilità con la necessità di reagire rapidamente alle nuove esigenze è pertanto necessario adattare l'esecuzione finanziaria dei programmi di lavoro. Di conseguenza, è opportuno autorizzare il riporto degli stanziamenti inutilizzati, limitatamente all'anno successivo ed esclusivamente per la riserva dell'UE per la cibersicurezza e le azioni a sostegno dell'assistenza reciproca, in aggiunta al riporto degli stanziamenti autorizzati ai sensi dell'articolo 12, paragrafo 4, del regolamento (UE, Euratom) 2024/2509.

Al fine di rendere più efficaci la prevenzione e la valutazione delle minacce e degli incidenti informatici, la relativa risposta e la ripresa dagli stessi, occorre sviluppare una conoscenza più completa delle minacce alle risorse e alle infrastrutture critiche sul territorio dell'Unione, compresa la loro distribuzione geografica, l'interconnessione e gli effetti potenziali in caso di attacchi informatici contro tali infrastrutture. Un approccio proattivo all'individuazione, all'attenuazione e alla prevenzione delle minacce informatiche include maggiori capacità di rilevamento avanzate. Il sistema europeo di allerta per la cibersicurezza dovrebbe consistere in diversi poli informatici transfrontalieri interoperanti, ciascuno composto da tre o più poli informatici nazionali. Tale infrastruttura dovrebbe essere al servizio degli interessi e delle esigenze di cibersicurezza nazionali e dell'Unione, sfruttando tecnologie all'avanguardia per la raccolta avanzata di dati e informazioni pertinenti, se del caso anonimizzati, e strumenti di analisi, migliorando le capacità di rilevamento e di gestione coordinate delle minacce informatiche e permettendo una conoscenza situazionale in tempo reale. Dovrebbe inoltre servire a migliorare la posizione in materia di deterrenza informatica, aumentando il rilevamento, l'aggregazione e l'analisi di dati e informazioni al fine di prevenire le minacce e gli incidenti informatici e quindi integrando e sostenendo i soggetti e le reti dell'Unione responsabili della gestione delle crisi informatiche nell'UE, in particolare EU-CyCLONe.

La partecipazione al sistema europeo di allerta per la cibersicurezza è volontaria per gli Stati membri. Ogni Stato membro dovrebbe designare un unico soggetto a livello nazionale, incaricato di coordinare le attività di rilevamento delle minacce informatiche in tale Stato membro. Questi poli informatici nazionali dovrebbero fungere da punto di riferimento e porta di accesso a livello nazionale per la partecipazione al sistema europeo di allerta per la cibersicurezza e garantire che le informazioni sulle minacce informatiche provenienti da soggetti pubblici e privati siano condivise e raccolte a livello nazionale in modo efficace e semplificato. I poli informatici nazionali potrebbero rafforzare la cooperazione e la condivisione di informazioni tra soggetti pubblici e privati e sostenere inoltre lo scambio di dati e informazioni pertinenti con le comunità settoriali e intersettoriali pertinenti, compresi i centri di analisi e condivisione delle informazioni («ISAC») settoriali pertinenti. Una cooperazione stretta e coordinata tra soggetti pubblici e privati è fondamentale per rafforzare la resilienza informatica dell'Unione. Tale cooperazione è particolarmente utile nel contesto della condivisione di analisi sulle minacce informatiche al fine di migliorare la protezione informatica attiva. Nell'ambito di tale cooperazione e condivisione di informazioni, i poli informatici nazionali potrebbero richiedere e ricevere informazioni specifiche. Il presente regolamento non obbliga né autorizza tali poli informatici nazionali a dare attuazione a tali richieste. Se del caso e conformemente al diritto dell'Unione e nazionale, le informazioni richieste o ricevute potrebbero includere dati raccolti mediante telemetria, sensori e registrazioni di soggetti quali i fornitori di servizi di sicurezza gestiti, che operano in settori ad alta criticità o in altri settori critici all'interno di tale Stato membro, al fine di migliorare il rilevamento rapido di potenziali minacce e incidenti informatici in una fase precoce, migliorando in tal modo la conoscenza situazionale. Se il polo informatico nazionale non è l'autorità competente designata o istituita dallo Stato membro interessato a norma dell'articolo 8, paragrafo 1 della direttiva (UE) 2022/2555, è fondamentale che si coordini con tale autorità competente per quanto riguarda le richieste di tali dati e il loro ricevimento.

Nell'ambito del sistema europeo di allerta per la cibersicurezza è opportuno istituire diversi poli informatici transfrontalieri. I poli informatici transfrontalieri dovrebbero riunire i poli informatici nazionali di almeno tre Stati membri per garantire che siano sfruttati appieno i vantaggi derivanti dal rilevamento delle minacce transfrontaliere e dalla gestione e condivisione delle informazioni. L'obiettivo generale dei poli informatici transfrontalieri dovrebbe essere quello di rafforzare le capacità di analisi, prevenzione e rilevamento delle minacce informatiche e di favorire l'elaborazione di analisi di alta qualità sulle minacce informatiche, in particolare mediante la condivisione di informazioni pertinenti, se del caso anonimizzati, in un contesto sicuro e di fiducia, provenienti da varie fonti, pubbliche o private, nonché tramite la condivisione e l'uso congiunto di strumenti all'avanguardia e lo sviluppo congiunto di capacità di rilevamento, analisi e prevenzione in un contesto sicuro e di fiducia. I poli informatici transfrontalieri dovrebbero garantire nuove capacità aggiuntive, basandosi sui SOC, sui CSIRT esistenti nonché su altri soggetti pertinenti, compresa la rete di CSIRT, e integrandoli.

Uno Stato membro selezionato dal Centro europeo di competenza per la cibersicurezza nell'ambito industriale, tecnologico e della ricerca istituito dal regolamento (UE) 2021/887 del Parlamento europeo e del Consiglio¹² (ECCC) a seguito di un invito a manifestare interesse al fine di istituire un polo informatico nazionale o di rafforzarne le capacità dovrebbe acquistare gli strumenti, le infrastrutture o i servizi pertinenti congiuntamente all'ECCC. Tale Stato membro dovrebbe poter beneficiare di una sovvenzione per l'utilizzo degli strumenti, delle infrastrutture o dei servizi. Un consorzio ospitante composto da almeno tre Stati membri, selezionato dall'ECCC a seguito di un invito a manifestare interesse al fine di istituire un polo informatico transfrontaliero o di rafforzarne le capacità, dovrebbe acquistare gli strumenti, le infrastrutture o i servizi pertinenti congiuntamente con l'ECCC. Il consorzio ospitante dovrebbe poter beneficiare di una sovvenzione per l'utilizzo degli strumenti, delle infrastrutture o dei servizi. La procedura di appalto per l'acquisto degli strumenti, delle infrastrutture o dei servizi pertinenti dovrebbe essere realizzata congiuntamente dall'ECCC e dalle amministrazioni aggiudicatrici competenti degli Stati membri selezionati a seguito di tali inviti a manifestare interesse. Tale appalto dovrebbe essere conforme all'articolo 168, paragrafo 2, del regolamento (UE, Euratom) 2024/2509 e con il regolamento finanziario dell'ECCC. I soggetti privati non dovrebbero pertanto essere ammessi a partecipare agli inviti a manifestare interesse per l'acquisto di strumenti, infrastrutture e servizi congiuntamente con l'ECCC né a ricevere sovvenzioni per l'utilizzo di tali strumenti, infrastrutture o servizi. Tuttavia, gli Stati membri dovrebbero poter coinvolgere soggetti privati nell'istituzione, nel rafforzamento e nel funzionamento dei loro poli informatici nazionali e dei poli informatici transfrontalieri in altre forme che ritengono opportune, nel rispetto del diritto dell'Unione e nazionale. I soggetti privati potrebbero anche beneficiare di un finanziamento dell'Unione a norma del regolamento (UE) 2021/887 al fine di fornire sostegno ai poli informatici nazionali.

Al fine di migliorare il rilevamento delle minacce informatiche e la conoscenza situazionale nell'Unione, uno Stato membro selezionato a seguito di un invito a manifestare interesse al fine di istituire un polo informatico nazionale o di rafforzarne le capacità dovrebbe impegnarsi a candidarsi per partecipare a un polo informatico transfrontaliero. Se uno Stato membro non partecipa a un polo informatico transfrontaliero entro due anni dalla data di acquisizione degli strumenti, delle infrastrutture o dei servizi o, se precedente, dalla data in cui riceve la sovvenzione, esso non dovrebbe essere ammesso a partecipare ad altre azioni di sostegno dell'Unione nel quadro del sistema europeo di allerta sulla cibersicurezza, volte a rafforzare le capacità del suo polo informatico nazionale. In tali casi, i soggetti degli Stati membri potrebbero ancora partecipare a inviti a presentare proposte su altri temi nell'ambito del programma Europa digitale o di altri programmi di finanziamento dell'Unione, compresi inviti a presentare proposte per il rilevamento delle minacce informatiche e la condivisione di informazioni, a condizione che tali soggetti soddisfino i criteri di ammissibilità stabiliti nei programmi.

I CSIRT inoltre scambiano informazioni nell'ambito della rete di CSIRT conformemente a quanto disposto dalla direttiva (UE) 2022/2555. Il sistema europeo di allerta per la cibersicurezza dovrebbe costituire una nuova capacità complementare alla rete di CSIRT contribuendo allo sviluppo di una conoscenza situazionale dell'Unione che consenta il rafforzamento delle capacità della rete di CSIRT. I poli informatici transfrontalieri dovrebbero coordinarsi e cooperare strettamente con la rete di CSIRT. Essi dovrebbero agire mettendo in comune dati e condividendo informazioni pertinenti, se del caso anonimizzati, sulle minacce informatiche provenienti da soggetti pubblici e privati, accrescendo il valore di tali dati e informazioni mediante l'analisi di esperti, infrastrutture acquisite congiuntamente e strumenti all'avanguardia, e contribuendo alla sovranità tecnologica dell'Unione, alla sua autonomia strategica aperta, alla sua competitività e resilienza, nonché allo sviluppo delle capacità dell'Unione.

I poli informatici transfrontalieri dovrebbero fungere da punto centrale in grado di consentire un'ampia condivisione di dati pertinenti e di analisi delle minacce informatiche e permettere la diffusione di informazioni sulle minacce tra più portatori di interessi di diversa natura, quali le squadre di pronto intervento informatico (Computer Emergency Response Teams — CERT), i CSIRT, gli ISAC e gli operatori di infrastrutture critiche. I membri di un consorzio ospitante dovrebbero specificare nell'accordo di consorzio le informazioni pertinenti da condividere tra i partecipanti al polo informatico transfrontaliero interessato. Le informazioni scambiate tra i partecipanti a un polo informatico transfrontaliero potrebbero includere, ad esempio, dati provenienti da reti e sensori, feed di analisi delle minacce, indicatori di compromissione e informazioni contestualizzate su incidenti, minacce informatiche, quasi incidenti, vulnerabilità, tecniche e procedure, tattiche avversarie, informazioni specifiche sugli autori delle minacce, allarmi di cibersicurezza e raccomandazioni relative alla configurazione degli strumenti di cibersicurezza per rilevare gli attacchi informatici. I poli informatici transfrontalieri dovrebbero inoltre stipulare accordi di cooperazione tra loro. Tali accordi di cooperazione dovrebbero specificare, in particolare, i principi di condivisione delle informazioni e l'interoperabilità. Le loro clausole relative all'interoperabilità, in particolare i formati e i protocolli per la condivisione delle informazioni, dovrebbero ispirarsi agli orientamenti di interoperabilità emanati dall'Agenzia dell'Unione europea per la cibersicurezza istituita dal regolamento (UE) 2019/881 (ENISA) e prenderli pertanto come punto di partenza. Tali orientamenti dovrebbero essere pubblicati rapidamente per garantire che possano essere presi in considerazione dai poli informatici transfrontalieri in una fase precoce. Essi dovrebbero tenere conto delle norme internazionali, e delle migliori pratiche e del funzionamento dei diversi poli informatici transfrontalieri.

I poli informatici transfrontalieri e la rete di CSIRT dovrebbero cooperare strettamente per garantire sinergie e la complementarità delle attività. A tal fine, dovrebbero concordare modalità procedurali in materia di cooperazione e condivisione delle informazioni pertinenti. Ciò potrebbe includere la condivisione di informazioni pertinenti sulle minacce informatiche e sugli incidenti di cibersicurezza significativi e la garanzia che le esperienze derivanti dall'uso di strumenti all'avanguardia, in particolare l'intelligenza artificiale e le tecnologie di analisi dei dati, nell'ambito dei poli informatici transfrontalieri, siano condivise con la rete di CSIRT.

La condivisione della conoscenza situazionale tra le autorità competenti è un prerequisito indispensabile per la preparazione e il coordinamento a livello dell'Unione in caso di incidenti di cibersicurezza significativi e incidenti di cibersicurezza su vasta scala. La direttiva (UE) 2022/2555 ha istituito EU-CyCLONe al fine di sostenere la gestione coordinata a livello operativo degli incidenti e delle crisi di cibersicurezza su vasta scala e di garantire il regolare scambio di informazioni pertinenti tra gli Stati membri e le istituzioni, gli organi e gli organismi dell'Unione. La direttiva (UE) 2022/2555 ha anche istituito la rete di CSIRT per promuovere una cooperazione operativa rapida ed efficace tra tutti gli Stati membri. Per garantire la conoscenza situazionale e rafforzare la solidarietà, nelle situazioni in cui ottengono informazioni relative a un incidente di cibersicurezza potenziale o in corso su vasta scala, i poli informatici transfrontalieri dovrebbero fornire informazioni pertinenti alla rete di CSIRT e informare, per mezzo di un allarme rapido, EU-CyCLONe. In particolare, a seconda della situazione, le informazioni da condividere potrebbero includere informazioni tecniche, informazioni sulla natura e sulle motivazioni dell'autore di un attacco informatico o di un potenziale autore nonché informazioni non tecniche di livello superiore su un incidente di cibersicurezza potenziale o in corso su vasta scala. In tale contesto è opportuno prestare la dovuta attenzione al principio della necessità di conoscere e alla natura potenzialmente sensibile delle informazioni condivise. La direttiva (UE) 2022/2555 ribadisce altresì le responsabilità della Commissione nell'ambito del meccanismo unionale di protezione civile (Union Civil Protection Mechanism — UCPM) istituito dalla decisione n. 1313/2013/UE del Parlamento europeo e del Consiglio¹³, nonché la sua responsabilità per quanto riguarda la fornitura di relazioni analitiche per i dispositivi integrati dell'UE per la risposta politica alle crisi («dispositivi IPCR») ai sensi della decisione di esecuzione (UE) 2018/1993 del Consiglio¹⁴. Quando i poli informatici transfrontalieri condividono con EU-CyCLONe e la rete di CSIRT informazioni pertinenti e allarmi rapidi relativi a un incidente di cibersicurezza potenziale o in corso su vasta scala, è indispensabile che tali informazioni siano condivise attraverso tali reti con le autorità degli Stati membri e con la Commissione. A tale riguardo, la direttiva (UE) 2022/2555 prevede che l'obiettivo di EU-CyCLONe è di sostenere la gestione coordinata a livello operativo degli incidenti e delle crisi di cibersicurezza su vasta scala e di garantire il regolare scambio di informazioni pertinenti tra gli Stati membri e le istituzioni, gli organi e gli organismi dell'Unione. I compiti di EU-CyCLONe includono lo sviluppo di una conoscenza situazionale condivisa per quanto riguarda tali incidenti e crisi. È di fondamentale importanza che EU-CyCLONe garantisca, in linea con tale obiettivo e con i suoi compiti, che tali informazioni siano immediatamente condivise con i rappresentanti degli Stati membri interessati e alla Commissione. A tal fine, è essenziale che il regolamento interno di EU-CyCLONe includa disposizioni appropriate.

I soggetti che partecipano al sistema europeo di allerta per la cibersicurezza dovrebbero garantire un elevato livello di interoperabilità tra di loro, che riguardi anche, a seconda dei casi, il formato dei dati, la tassonomia e gli strumenti di gestione e di analisi dei dati. Essi dovrebbero inoltre assicurare canali di comunicazione sicuri, un livello minimo di sicurezza del livello applicazioni, un quadro operativo della conoscenza situazionale e indicatori. L'adozione di una tassonomia comune e la definizione di un modello per le relazioni sulla situazione al fine di descrivere le cause delle minacce informatiche rilevate e dei rischi dovrebbero tenere conto dei lavori già realizzati in materia di notifica degli incidenti nel contesto dell'attuazione della direttiva (UE) 2022/2555.

Per consentire lo scambio di dati e informazioni pertinenti sulle minacce informatiche provenienti da varie fonti, su vasta scala, in un contesto sicuro e di fiducia, i soggetti che partecipano al sistema europeo di allerta per la cibersicurezza dovrebbero essere dotati di strumenti, apparecchiature e infrastrutture all'avanguardia, altamente sicuri, nonché di personale qualificato. Ciò dovrebbe consentire di migliorare le capacità collettive di rilevamento e di avvertire tempestivamente le autorità e i soggetti competenti, in particolare utilizzando le più recenti tecnologie di intelligenza artificiale e di analisi dei dati.

Mediante la raccolta, l'analisi, la condivisione e lo scambio di dati e informazioni pertinenti, il sistema europeo di allerta per la cibersicurezza dovrebbe rafforzare la sovranità tecnologica dell'Unione, la sua autonomia strategica nel campo della cibersicurezza, nonché la sua competitività e resilienza. La condivisione di dati selezionati di alta qualità potrebbe inoltre contribuire allo sviluppo di tecnologie avanzate di intelligenza artificiale e di analisi dei dati. La sorveglianza umana e quindi una forza lavoro qualificata rimangono essenziali per la condivisione efficace di dati di alta qualità.

Sebbene il sistema europeo di allerta per la cibersicurezza sia un progetto civile, la comunità della ciberdifesa potrebbe trarre beneficio dalle maggiori capacità di rilevamento e di conoscenza situazionale sviluppate nel settore civile per la protezione delle infrastrutture critiche.

La condivisione delle informazioni tra i partecipanti al sistema europeo di allerta per la cibersicurezza dovrebbe essere conforme alle prescrizioni giuridiche esistenti e in particolare al diritto nazionale e dell'Unione in materia di protezione dei dati, nonché alle norme dell'Unione sulla concorrenza che disciplinano lo scambio di informazioni. Il destinatario delle informazioni dovrebbe attuare, nella misura in cui il trattamento dei dati personali sia necessario, misure tecniche e organizzative a salvaguardia dei diritti e delle libertà degli interessati, distruggere i dati non appena non sono più necessari per la finalità dichiarata e comunicarne la distruzione al soggetto che li ha resi disponibili.

Preservare la riservatezza e la sicurezza delle informazioni è di fondamentale importanza per tutti e tre i pilastri del presente regolamento, che si tratti di incoraggiare la condivisione o lo scambio di informazioni nel contesto del sistema europeo di allerta per la cibersicurezza, di preservare gli interessi dei soggetti che chiedono sostegno a titolo del meccanismo per le emergenze di cibersicurezza o di garantire che le relazioni nell'ambito del meccanismo europeo di riesame degli incidenti di cibersicurezza possano trarre insegnamenti utili senza incidere negativamente sui soggetti interessati dagli incidenti. La partecipazione degli Stati membri e dei soggetti a tali meccanismi dipende dai rapporti di fiducia tra le loro componenti. Qualora le informazioni siano riservate ai sensi delle norme dell'Unione o nazionali, la loro condivisione o il loro scambio a norma del presente regolamento dovrebbero essere limitati alle informazioni pertinenti e commisurate a tali scopi. Tale condivisione o scambio dovrebbe inoltre tutelare la riservatezza di tali informazioni e proteggere la sicurezza e gli interessi commerciali dei soggetti interessati. La condivisione o lo scambio di informazioni ai sensi del presente regolamento potrebbe avvenire per mezzo di accordi di non divulgazione o di orientamenti sulla diffusione delle informazioni, come il protocollo del semaforo (Traffic Light Protocol — TLP). Il TLP deve essere inteso come strumento per fornire informazioni su eventuali limitazioni per quanto riguarda l'ulteriore diffusione delle informazioni. Esso è utilizzato in quasi tutti i CSIRT e in alcuni ISAC. Oltre a tali requisiti generali, per quanto riguarda il sistema europeo di allerta per la cibersicurezza, gli accordi di consorzio ospitante dovrebbero stabilire norme specifiche relative alle condizioni per la condivisione di informazioni all'interno del polo informatico transfrontaliero interessato. Tali accordi potrebbero, in particolare, imporre che le informazioni siano scambiate unicamente in conformità del diritto dell'Unione e nazionale.

Per quanto riguarda la mobilitazione della riserva dell'UE per la cibersicurezza, sono necessarie norme specifiche in materia di riservatezza. Il sostegno sarà richiesto, valutato e fornito in un contesto di crisi e in relazione a soggetti che operano in settori sensibili. Affinché la riserva dell'UE per la cibersicurezza funzioni efficacemente, è essenziale che gli utenti e i soggetti possano condividere e fornire un accesso immediato a tutte le informazioni necessarie in modo che ciascun soggetto possa svolgere il proprio ruolo nella valutazione delle richieste e nella mobilitazione del sostegno. Di conseguenza, il presente regolamento dovrebbe prevedere che tutte queste informazioni siano utilizzate o condivise solo se ciò è necessario per il funzionamento della riserva dell'UE per la cibersicurezza, e che le informazioni riservate o classificate ai sensi del diritto dell'Unione e nazionale siano utilizzate e condivise solo conformemente a tale diritto. Inoltre, gli utenti dovrebbero sempre essere in grado, se del caso, di utilizzare protocolli di condivisione delle informazioni come il protocollo TLP per specificare ulteriormente le limitazioni. Benché gli utenti dispongano di un margine di discrezionalità al riguardo, è importante che, nell'applicare tali limitazioni, essi tengano conto delle possibili conseguenze, in particolare per quanto riguarda il ritardo nella valutazione o nella fornitura dei servizi richiesti. Al fine di disporre di una riserva europea per la cibersicurezza efficiente, è importante che l'amministrazione aggiudicatrice chiarisca tali conseguenze all'utente prima che questo presenti una richiesta. Tali garanzie sono limitate alla richiesta e alla fornitura di servizi della riserva europea per la cibersicurezza e non incidono sullo scambio di informazioni in altri contesti, ad esempio negli appalti relativi alla riserva europea per la cibersicurezza.

Alla luce dell'aumento dei rischi e del numero di incidenti che colpiscono gli Stati membri, occorre istituire uno strumento di sostegno alle crisi, ovvero il meccanismo per le emergenza di cibersicurezza, per migliorare la resilienza dell'Unione agli incidenti di cibersicurezza significativi, agli incidenti di cibersicurezza su vasta scala e agli incidenti di cibersicurezza equivalenti a incidenti su vasta scala e integrare le azioni degli Stati membri mediante un sostegno finanziario di emergenza per la preparazione, la risposta agli incidenti e il ripristino immediato dei servizi essenziali. Poiché la piena ripresa da un incidente è un processo globale di ripristino del funzionamento del soggetto interessato dall'incidente allo Stato precedente all'incidente e potrebbe essere un processo lungo che comporta costi significativi, il sostegno della riserva dell'UE per la cibersicurezza dovrebbe essere limitato alla fase iniziale del processo di recupero, che porti al ripristino delle funzionalità di base dei sistemi. Il meccanismo per le emergenze di cibersicurezza dovrebbe consentire una rapida ed efficace mobilitazione dell'assistenza in circostanze definite e nel rispetto di condizioni ben precise, e permettere un monitoraggio e una valutazione accurati delle modalità di utilizzo delle risorse. Sebbene agli Stati membri spetti la responsabilità primaria della prevenzione degli incidenti e delle crisi, nonché della preparazione e della risposta agli stessi, il meccanismo per le emergenze di cibersicurezza promuove la solidarietà tra gli Stati membri conformemente all'articolo 3, paragrafo 3, del trattato sull'Unione europea (TUE).

Il meccanismo per le emergenze di cibersicurezza dovrebbe fornire un sostegno agli Stati membri, integrando le loro misure e le loro risorse nonché altre opzioni di sostegno esistenti in caso di risposta agli incidenti di cibersicurezza significativi e agli incidenti di cibersicurezza su vasta scala e di ripresa iniziale dagli stessi, come i servizi forniti dall'ENISA conformemente al suo mandato, la risposta coordinata e l'assistenza della rete di CSIRT, il sostegno a strategie di attenuazione offerto da EU-CyCLONe, nonché l'assistenza reciproca tra gli Stati membri, anche nel contesto dell'articolo 42, paragrafo 7, TUE, e dei gruppi di risposta rapida agli incidenti informatici della cooperazione strutturata permanente (PESCO) istituiti a norma della decisione (PESC) 2017/2315 del Consiglio¹⁵. Tale meccanismo dovrebbe rispondere alla necessità di garantire la disponibilità di mezzi specializzati per sostenere la preparazione e la risposta agli incidenti di cibersicurezza e la ripresa dagli stessi in tutta l'Unione e nei paesi terzi associati al programma Europa digitale.

Il presente strumento non pregiudica le procedure e i quadri di coordinamento della risposta alle crisi a livello dell'Unione, in particolare la direttiva (UE) 2022/2555, il meccanismo unionale di protezione civile istituito dalla decisione n. 1313/2013/UE del Parlamento europeo e del Consiglio¹⁶, i dispositivi IPCR e la raccomandazione 2017/1584 della Commissione¹⁷. Il sostegno fornito nell'ambito del meccanismo per le emergenze di cibersicurezza può integrare l'assistenza fornita nel contesto della politica estera e di sicurezza comune e della politica di sicurezza e di difesa comune, anche mediante i gruppi di risposta rapida agli incidenti informatici, tenendo conto della natura civile del meccanismo per le emergenze di cibersicurezza. Il sostegno fornito nell'ambito del meccanismo per le emergenze di cibersicurezza può integrare le azioni attuate nel contesto dell'articolo 42, paragrafo 7, TUE, compresa l'assistenza fornita da uno Stato membro a un altro Stato membro, o far parte della risposta congiunta tra l'Unione e gli Stati membri o nelle situazioni definite all'articolo 222 TFUE. L'attuazione del presente regolamento dovrebbe inoltre essere coordinato, laddove opportuno, con l'attuazione delle misure del pacchetto di strumenti della diplomazia informatica.

L'assistenza fornita ai sensi del presente regolamento dovrebbe sostenere e integrare le azioni intraprese dagli Stati membri a livello nazionale. A tal fine occorre garantire stretta collaborazione e consultazione tra la Commissione, l'ENISA, gli Stati membri e, ove opportuno, l'ECCC. Nel richiedere un sostegno nell'ambito del meccanismo per le emergenze di cibersicurezza, gli Stati membri dovrebbero fornire informazioni pertinenti che ne giustifichino la necessità.

Secondo quanto disposto dalla direttiva (UE) 2022/2555, gli Stati membri sono tenuti a designare o istituire una o più autorità di gestione delle crisi informatiche e a garantire che tali autorità dispongano di risorse adeguate per svolgere i loro compiti in modo efficace ed efficiente. La direttiva impone inoltre gli Stati membri di individuare le capacità, le risorse e le procedure da poter mobilitare in caso di crisi, nonché di adottare un piano nazionale di risposta agli incidenti e alle crisi di cibersicurezza su vasta scala, in cui siano definiti gli obiettivi e le modalità di gestione degli stessi. Gli Stati membri sono altresì tenuti a istituire uno o più CSIRT che siano incaricati di gestire gli incidenti, secondo un processo ben definito, e che si occupino almeno dei settori, dei sottosettori e dei tipi di soggetti che rientrano nell'ambito di applicazione di tale direttiva, nonché a garantire che i CSIRT dispongano di risorse adeguate per svolgere efficacemente i rispettivi compiti. Il presente regolamento non pregiudica il ruolo della Commissione di garantire il rispetto da parte degli Stati membri degli obblighi previsti dalla direttiva (UE) 2022/2555. Il meccanismo per le emergenze di cibersicurezza dovrebbe fornire assistenza per azioni volte a rafforzare la preparazione e azioni di risposta agli incidenti intese ad attenuare l'impatto di incidenti di cibersicurezza significativi e di incidenti di cibersicurezza su vasta scala, al fine di sostenere la ripresa iniziale o il ripristino delle funzionalità essenziali dei servizi forniti dai soggetti che operano in settori ad alta criticità o ai soggetti che operano in altri settori critici.

Nell'ambito delle azioni di preparazione, al fine di promuovere un approccio coerente e rafforzare la sicurezza in tutta l'Unione e nel suo mercato interno, è opportuno fornire un sostegno per verificare e valutare in modo coordinato il livello di cibersicurezza dei soggetti che operano nei settori ad alta criticità individuati a norma della direttiva (UE) 2022/2555, anche tramite le esercitazioni e la formazione. A tal fine la Commissione, previa consultazione dell'ENISA, del gruppo di cooperazione NIS e di EU-CyCLONe, dovrebbe individuare periodicamente i settori o i sottosettori pertinenti idonei a ricevere un sostegno finanziario per lo svolgimento di una verifica coordinata di preparazione a livello dell'Unione. I settori o i sottosettori dovrebbero essere selezionati tra i settori ad alta criticità elencati all'allegato I della direttiva (UE) 2022/2555. La verifica coordinata di preparazione dovrebbe basarsi su scenari di rischio e metodologie comuni. La selezione dei settori e l'elaborazione degli scenari di rischio dovrebbero tenere conto delle valutazioni del rischio e degli scenari di rischio pertinenti a livello dell'Unione, compresa la necessità di evitare duplicazioni, come la valutazione del rischio e gli scenari di rischio previsti nelle conclusioni del Consiglio sullo sviluppo della posizione dell'Unione europea in materia di deterrenza informatica, di cui si occupano la Commissione, l'alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza («alto rappresentante») e il gruppo di cooperazione NIS, in coordinamento con i pertinenti organismi e agenzie civili e militari e le pertinenti reti consolidate, compresa EU-CyCLONe. Dovrebbero inoltre essere prese in considerazione la valutazione del rischio delle reti e delle infrastrutture di comunicazione richiesta dall'invito ministeriale congiunto di Nevers e condotta dal gruppo di cooperazione NIS, con il sostegno della Commissione e dell'ENISA, e in collaborazione con l'Organismo dei regolatori europei delle comunicazioni elettroniche istituito dal regolamento (UE) 2018/1971 del Parlamento europeo e del Consiglio¹⁸, le valutazioni coordinate a livello dell'Unione del rischio di sicurezza delle catene di approvvigionamento critiche da condurre ai sensi dell'articolo 22 della direttiva (UE) 2022/2555 e i test di resilienza operativa digitale previsti dal regolamento (UE) 2022/2554 del Parlamento Europeo e del Consiglio¹⁹. La selezione dei settori dovrebbe inoltre tenere conto della raccomandazione del Consiglio su un approccio coordinato a livello di Unione per rafforzare la resilienza delle infrastrutture critiche.

Il meccanismo per le emergenze di cibersicurezza dovrebbe inoltre fornire sostegno ad altre azioni di preparazione e sostenere la preparazione in altri settori non interessati dalla verifica coordinata di preparazione dei soggetti che operano in settori ad alta criticità o di soggetti che operano in altri settori critici. Tali azioni potrebbero includere vari tipi di attività di preparazione nazionali.

Quando gli Stati membri ricevono sovvenzioni a sostegno di azioni di preparazione, i soggetti in settori ad alta criticità possono partecipare a tali azioni su base volontaria. È buona prassi che, a seguito di tali azioni, i soggetti partecipanti elaborino un piano di ripristino per attuare le raccomandazioni risultanti da misure specifiche al fine di trarre il massimo beneficio dall'azione di preparazione. Sebbene sia importante che gli Stati membri richiedano, nell'ambito delle azioni, che i soggetti partecipanti elaborino e attuino tali piani di ripristino, gli Stati membri non sono tenuti né autorizzati a dare esecuzione a tali richieste in virtù del presente regolamento. Tali richieste lasciano impregiudicati gli obblighi dei soggetti e i poteri di vigilanza delle autorità competenti di cui alla direttiva (UE) 2022/2555.

Il meccanismo per le emergenze di cibersicurezza dovrebbe inoltre sostenere azioni di risposta agli incidenti volte ad attenuare l'impatto di incidenti di cibersicurezza significativi, di incidenti di cibersicurezza su vasta scala e di incidenti di cibersicurezza equivalenti a incidenti su vasta scala, al fine di favorire la ripresa iniziale o ripristinare il funzionamento di servizi essenziali. Ove opportuno, dovrebbe integrare l'UCPM per garantire un approccio globale di risposta all'impatto esercitato dagli incidenti sui cittadini.

Il meccanismo per le emergenze di cibersicurezza dovrebbe sostenere l'assistenza tecnica fornita da uno Stato membro a un altro Stato membro in cui si sia verificato un incidente di cibersicurezza significativo o un incidente di cibersicurezza su vasta scala, anche mediante la rete di CSIRT di cui all'articolo 11, paragrafo 3, lettera f), della direttiva (UE) 2022/2555. Gli Stati membri che forniscono tale assistenza dovrebbero essere autorizzati a presentare richieste di copertura dei costi relativi all'invio di squadre di esperti nel quadro dell'assistenza reciproca. I costi ammissibili potrebbero includere le spese di viaggio e di alloggio nonché l'indennità giornaliera degli esperti di cibersicurezza.

Dato il ruolo essenziale svolto dalle imprese private nel rilevamento degli incidenti di cibersicurezza su vasta scala e degli incidenti di cibersicurezza equivalenti a incidenti su vasta scala e nella preparazione e risposta agli stessi, è importante riconoscere il valore della cooperazione volontaria a titolo gratuito con tali imprese, che offrono, in tale contesto, servizi senza remunerazione in caso di crisi e incidenti di cibersicurezza su vasta scala e di crisi e incidenti di cibersicurezza equivalenti a incidenti su vasta scala. L'ENISA, in cooperazione con EU-CyCLONe, potrebbe monitorare l'evoluzione di tali iniziative a titolo gratuito e promuoverne la conformità ai criteri applicabili ai fornitori di fiducia di servizi di sicurezza gestiti a norma del presente regolamento, anche per quanto riguarda l'affidabilità delle imprese private, la loro esperienza e la capacità di gestire informazioni sensibili in modo sicuro.

Nell'ambito del meccanismo per le emergenze di cibersicurezza, è opportuno istituire gradualmente una riserva dell'UE per la cibersicurezza, costituita da servizi erogati da fornitori di fiducia di servizi di sicurezza gestiti per sostenere la risposta e avviare azioni di ripresa in caso di incidenti di cibersicurezza significativi, di incidenti di cibersicurezza su vasta scala e di incidenti di cibersicurezza equivalenti a incidenti su vasta scala che interessano gli Stati membri, le istituzioni, gli organi o organismi dell'Unione o i paesi terzi associati al programma Europa digitale. La riserva dell'UE per la cibersicurezza dovrebbe garantire la disponibilità e la prontezza dei servizi. Essa dovrebbe pertanto includere servizi che sono impegnati in anticipo, tra cui, ad esempio, capacità reperibili e mobilitabili con breve preavviso. I servizi della riserva dell'UE per la cibersicurezza dovrebbero servire a sostenere le autorità nazionali nel fornire assistenza ai soggetti colpiti che operano in settori ad alta criticità o ai soggetti colpiti che operano in altri settori critici, a integrazione delle azioni da esse svolte a livello nazionale. I servizi di tale riserva dovrebbero poter servire a sostenere le istituzioni, gli organi e gli organismi dell'Unione, in condizioni analoghe. La riserva dell'UE per la cibersicurezza potrebbe inoltre contribuire al rafforzamento della posizione competitiva del settore industriale e di quello dei servizi nell'Unione nell'ambito dell'economia digitale, tra l'altro per le microimprese e le piccole e medie imprese nonché le start-up, anche offrendo incentivi agli investimenti nell'ambito della ricerca e dell'innovazione. È importante tenere conto del quadro europeo in materia di competenze nel settore della cibersicurezza dell'ENISA in sede di acquisizione dei servizi per la riserva dell'UE per la cibersicurezza. Nel richiedere il sostegno della riserva dell'UE per la cibersicurezza, gli utenti dovrebbero includere nella loro domanda informazioni adeguate riguardanti il soggetto interessato e il potenziale impatto, informazioni sul servizio richiesto a carico della riserva dell'UE per la cybersicurezza e sul sostegno fornito al soggetto interessato a livello nazionale, che è opportuno prendere in considerazione nella valutazione della richiesta del richiedente. Al fine di garantire la complementarietà con altre forme di sostegno disponibili per il soggetto interessato, la richiesta dovrebbe altresì includere, ove disponibili, informazioni sugli accordi contrattuali in essere per servizi di risposta agli incidenti e di ripresa iniziale, nonché i contratti assicurativi potenzialmente in grado di coprire il tipo di incidente in questione.

Al fine di garantire un uso efficace dei finanziamenti dell'Unione, i servizi preimpegnati nell'ambito della riserva dell'UE per la cibersicurezza dovrebbero essere convertibili, conformemente al pertinente contratto, in servizi di preparazione relativi alla prevenzione degli incidenti e alla risposta agli stessi nel caso in cui tali servizi preimpegnati non siano utilizzati per la risposta agli incidenti durante il periodo per il quale sono preimpegnati. Tali servizi dovrebbero essere complementari alle azioni di preparazione che saranno gestite dall'ECCC e non dovrebbero duplicarle.

Le richieste di sostegno della riserva dell'UE per la cibersicurezza provenienti dalle autorità di gestione delle crisi informatiche e dai CSIRT degli Stati membri o dal CERT-UE per conto delle istituzioni, degli organi e degli organismi dell'Unione dovrebbero essere valutate dall'amministrazione aggiudicatrice. Se l'ENISA è stata incaricata dell'amministrazione e del funzionamento della riserva dell'UE per la cibersicurezza, tale amministrazione aggiudicatrice è l'ENISA stessa. Le richieste di sostegno da parte di paesi terzi associati al programma Europa digitale dovrebbero essere valutate dalla Commissione. Per facilitare la presentazione e la valutazione delle richieste di sostegno, l'ENISA potrebbe istituire una piattaforma sicura.

Qualora siano ricevute più richieste concomitanti, dovrebbero essere attribuite delle priorità in base a criteri stabiliti nel presente regolamento. Alla luce degli obiettivi generali del presente regolamento, tali criteri dovrebbero includere la portata e la gravità dell'incidente, il tipo di soggetto interessato, il potenziale impatto dell'incidente sugli Stati membri e sugli utenti interessati, la potenziale natura transfrontaliera dell'incidente e il rischio di ricaduta e le misure già adottate dall'utente per assistere la risposta e la ripresa iniziale. Alla luce di tali obiettivi e dato che le richieste degli utenti degli Stati membri sono intese esclusivamente a sostenere, in tutta l'Unione, soggetti che operano in settori ad alta criticità o soggetti che operano in altri settori critici, è opportuno attribuire maggiore priorità alle richieste degli utenti degli Stati membri qualora due o più richieste siano considerate di pari valore in base a tali criteri. Ciò lascia impregiudicati gli obblighi che gli Stati membri possono avere, in virtù delle pertinenti convenzioni di accoglienza, di adottare misure per proteggere e assistere le istituzioni, gli organi e gli organismi dell'Unione.

La Commissione dovrebbe avere la responsabilità generale dell'attuazione della riserva dell'UE per la cibersicurezza. Data l'ampia esperienza acquisita dall'ENISA con l'azione di sostegno alla cibersicurezza, l'ENISA è l'agenzia più adatta per attuare la riserva dell'UE per la cibersicurezza. Pertanto, la Commissione dovrebbe affidare all'ENISA in parte o, se la Commissione lo ritiene opportuno, interamente il funzionamento e l'amministrazione della riserva dell'UE per la cibersicurezza. L'incarico dovrebbe essere affidato conformemente alle norme applicabili a norma del regolamento (UE, Euratom) 2024/2509 e, in particolare, dovrebbe essere subordinato al rispetto delle condizioni pertinenti per la firma di un accordo di contributo. Tutti gli aspetti relativi al funzionamento e all'amministrazione della riserva dell'UE per la cibersicurezza non affidati all'ENISA dovrebbero essere soggetti alla gestione diretta da parte della Commissione, anche prima della firma dell'accordo di contributo.

Gli Stati membri dovrebbero svolgere un ruolo chiave nella costituzione, nella mobilitazione e nella fase successiva alla mobilitazione della riserva dell'UE per la cibersicurezza. Poiché il regolamento (UE) 2021/694 è il pertinente atto di base per le azioni di attuazione della riserva dell'UE per la cibersicurezza, le azioni nell'ambito della riserva dell'UE per la cibersicurezza dovrebbero essere previste nei programmi di lavoro di cui all'articolo 24 del regolamento (UE) 2021/694. A norma del paragrafo 6 di tale articolo, i programmi di lavoro devono essere adottati dalla Commissione mediante atti di esecuzione secondo la procedura d'esame. Inoltre, la Commissione, in coordinamento con il gruppo di cooperazione NIS, dovrebbe determinare le priorità e l'evoluzione della riserva dell'UE per la cibersicurezza.

I contratti conclusi nel quadro della riserva dell'UE per la cibersicurezza non dovrebbero incidere sul rapporto tra imprese e sugli obblighi esistenti tra il soggetto interessato o gli utenti, da un lato, e il fornitore di servizi, dall'altro.

Ai fini della selezione di fornitori di servizi privati per la prestazione di servizi nel contesto della riserva dell'UE per la cibersicurezza, occorre stabilire una serie di criteri e requisiti minimi da includere nel corrispondente bando di gara, in modo da garantire che siano soddisfatte le esigenze delle autorità degli Stati membri, dei soggetti che operano in settori ad alta criticità e dei soggetti che operano in altri settori critici. Al fine di rispondere alle esigenze specifiche degli Stati membri, in sede di acquisizione di servizi per la riserva dell'UE per la cibersicurezza, l'amministrazione aggiudicatrice dovrebbe, se del caso, elaborare criteri di selezione e requisiti aggiuntivi rispetto a quelli stabiliti nel presente regolamento. È importante incoraggiare la partecipazione dei fornitori più piccoli, attivi a livello regionale e locale.

Nel selezionare i fornitori da includere nella riserva dell'UE per la cibersicurezza, l'amministrazione aggiudicatrice dovrebbe mirare a garantire che la riserva dell'UE per la cibersicurezza, se considerata nel suo insieme, contenga fornitori in grado di soddisfare i requisiti linguistici degli utenti. A tal fine, prima di preparare il capitolato d'oneri l'amministrazione aggiudicatrice dovrebbe verificare se i potenziali utenti della riserva dell'UE per la cibersicurezza abbiano requisiti linguistici specifici, in modo che i servizi di sostegno della riserva dell'UE per la cibersicurezza possano essere forniti in una lingua tra le lingue ufficiali delle istituzioni dell'Unione o degli Stati membri che possa essere compresa dall'utente o dal soggetto interessato. Qualora un utente richieda più di una lingua per la fornitura di servizi di supporto della riserva dell'UE per la cibersicurezza e tali servizi siano stati acquistati in tali lingue per tale utente, l'utente dovrebbe poter specificare, nella richiesta di sostegno della riserva dell'UE per la cibersicurezza, in quali di tali lingue dovrebbero essere forniti i servizi in relazione all'incidente specifico che ha dato origine alla richiesta.

Al fine di sostenere l'istituzione della riserva dell'UE per la cibersicurezza, è importante che la Commissione chieda all'ENISA di preparare una proposta di sistema di certificazione in materia di cibersicurezza per i servizi di sicurezza gestiti ai sensi del regolamento (UE) 2019/881 nei settori che rientrano nel meccanismo per le emergenze di cibersicurezza.

Al fine di sostenere gli obiettivi del presente regolamento di promuovere la condivisione della conoscenza situazionale, rafforzare la resilienza dell'Unione e consentire una risposta efficace agli incidenti di cibersicurezza significativi e agli incidenti di cibersicurezza su vasta scala, la Commissione o EU-CyCLONe dovrebbero poter richiedere all'ENISA, con il supporto della rete di CSIRT e con il consenso dello Stato membro interessato, di riesaminare e valutare le minacce informatiche, le vulnerabilità sfruttabili note e le azioni di attenuazione in relazione a uno specifico incidente di cibersicurezza significativo o incidente di cibersicurezza su vasta scala. A seguito del completamento del riesame e della valutazione di un incidente, l'ENISA dovrebbe preparare una relazione di riesame dell'incidente, in collaborazione con lo Stato membro interessato, i pertinenti portatori di interessi, compresi i rappresentanti del settore privato, la Commissione e altre istituzioni, organi e organismi dell'Unione pertinenti. Basandosi sulla collaborazione con i portatori di interessi, compreso il settore privato, la relazione di riesame riguardante incidenti specifici dovrebbe mirare a valutare le cause, l'impatto e le misure di attenuazione di un incidente una volta verificatosi. È opportuno prestare particolare attenzione ai contributi e agli insegnamenti condivisi dai fornitori di servizi di sicurezza gestiti che soddisfano le condizioni di massima integrità professionale, imparzialità e competenza tecnica necessaria imposte dal presente regolamento. La relazione dovrebbe essere presentata a EU-CyCLONe, alla rete di CSIRT e alla Commissione e dovrebbe essere utilizzata per informare le loro attività e quelle dell'ENISA. Se l'incidente riguarda un paese terzo associato al programma Europa digitale, la Commissione dovrebbe fornire la relazione anche all'alto rappresentante.

Tenendo conto della natura imprevedibile degli attacchi informatici e del fatto che spesso non sono circoscritti a un'area geografica specifica e presentano un elevato rischio di propagazione, il rafforzamento della resilienza dei paesi limitrofi e della loro capacità di rispondere efficacemente agli incidenti di cibersicurezza significativi e agli incidenti di cibersicurezza equivalenti a incidenti su vasta scala contribuisce alla protezione dell'Unione nel suo complesso, in particolare del suo mercato interno e della sua industria. Tali attività potrebbero contribuire ulteriormente alla diplomazia informatica dell'Unione. I paesi terzi associati al programma Europa digitale dovrebbero quindi poter richiedere supporto alla riserva dell'UE per la cibersicurezza, in tutti i loro territori o in parte di essi, laddove ciò sia previsto dall'accordo attraverso il quale il paese terzo è associato al programma Europa digitale. Il finanziamento per i paesi terzi associati al programma Europa digitale dovrebbe essere sostenuto dall'Unione nel quadro dei partenariati e degli strumenti di finanziamento pertinenti per tali paesi. Il sostegno dovrebbe riguardare servizi nell'ambito della risposta e della ripresa iniziale in caso di incidenti di cibersicurezza significativi o incidenti di cibersicurezza equivalenti a incidenti su vasta scala.

Le condizioni stabilite per la riserva dell'UE per la cibersicurezza e per i fornitori di fiducia di servizi di sicurezza gestiti nel presente regolamento dovrebbero essere applicate quando è fornito sostegno ai paesi terzi associati al programma Europa digitale. I paesi terzi associati al programma Europa digitale dovrebbero poter richiedere sostegno alla riserva dell'UE per la cibersicurezza quando i soggetti interessati e per i quali chiedono il sostegno della riserva dell'UE per la cibersicurezza sono soggetti che operano in settori ad alta criticità o soggetti che operano in altri settori critici e quando gli incidenti individuati comportano perturbazioni operative significative o potrebbero avere effetti di ricaduta nell'Unione. I paesi terzi associati al programma Europa digitale dovrebbero essere ammissibili al sostegno solo se l'accordo attraverso il quale sono associati al programma Europa digitale prevede specificamente tale sostegno. Inoltre, tali paesi terzi dovrebbero rimanere ammissibili solo a condizione che siano soddisfatti tre criteri. In primo luogo, il paese terzo dovrebbe rispettare pienamente i termini pertinenti di tale accordo. In secondo luogo, data la natura complementare della riserva dell'UE per la cibersicurezza, il paese terzo avrebbe dovuto adottare misure adeguate per prepararsi a incidenti di cibersicurezza significativi o a incidenti di cibersicurezza equivalenti a incidenti su vasta scala. In terzo luogo, il sostegno fornito dalla riserva dell'UE per la cibersicurezza dovrebbe essere coerente con la politica dell'Unione nei confronti del paese e con le sue relazioni generali con il paese nonché con altre politiche dell'Unione in materia di sicurezza. Nel contesto della valutazione della conformità a tale terzo criterio, la Commissione dovrebbe consultare l'alto rappresentante per allineare la concessione di tale sostegno alla politica estera e di sicurezza comune.

La fornitura di sostegno ai paesi terzi associati al programma Europa digitale può incidere sulle relazioni con i paesi terzi e sulla politica di sicurezza dell'Unione, anche nel contesto della politica estera e di sicurezza comune e della politica di sicurezza e di difesa comune. È pertanto opportuno che al Consiglio siano attribuite competenze di esecuzione per autorizzare e specificare il periodo durante il quale tale sostegno può essere fornito. Il Consiglio dovrebbe deliberare sulla base di una proposta della Commissione, tenendo debitamente conto della valutazione da parte della Commissione dei tre criteri. Lo stesso dovrebbe valere per i rinnovi e per le proposte di modifica o abrogazione di tali atti. Qualora, in circostanze eccezionali, ritenga che vi sia stato un cambiamento significativo delle circostanze in relazione al terzo criterio, il Consiglio dovrebbe poter agire di propria iniziativa per modificare o abrogare un atto di esecuzione, senza attendere una proposta della Commissione. Tali cambiamenti significativi richiederanno probabilmente un'azione urgente, avranno implicazioni particolarmente importanti per le relazioni con i paesi terzi e non richiederanno una valutazione approfondita in anticipo da parte della Commissione. Inoltre, la Commissione dovrebbe cooperare con l'alto rappresentante in relazione alle richieste di sostegno da parte dei paesi terzi associati al programma Europa digitale e all'attuazione di tale sostegno. La Commissione dovrebbe tenere anche conto di eventuali pareri forniti dall'ENISA in merito alle medesime richieste e al medesimo sostegno. La Commissione dovrebbe informare il Consiglio in merito all'esito della valutazione delle richieste, comprese le pertinenti considerazioni formulate al riguardo, e ai servizi mobilitati.

La comunicazione della Commissione del 18 aprile 2023 sull'Accademia per le competenze in materia di cibersicurezza ha riconosciuto la carenza di professionisti qualificati. Tali competenze sono necessarie per perseguire gli obiettivi del presente regolamento. L'Unione ha urgentemente bisogno di professionisti dotati di capacità e competenze per prevenire, individuare e scoraggiare gli attacchi informatici e difendere l'Unione, comprese le sue infrastrutture più critiche, da tali attacchi e garantirne la resilienza. A tal fine, è importante incoraggiare la cooperazione tra le parti interessate, comprese quelle appartenenti al settore privato, al mondo accademico e al settore pubblico. È altrettanto importante creare sinergie, in tutti i territori dell'Unione, per gli investimenti nell'istruzione e nella formazione, al fine di promuovere la creazione di misure di salvaguardia per evitare la fuga di cervelli o un allargamento del divario di competenze in alcune regioni più che in altre. È urgente colmare il divario di competenze in materia di cibersicurezza, con particolare attenzione alla riduzione del divario di genere nella forza lavoro nel settore della cibersicurezza, al fine di promuovere la presenza e la partecipazione delle donne alla progettazione della governance digitale.

Al fine di stimolare l'innovazione nel mercato unico digitale, è importante rafforzare la ricerca e l'innovazione nel settore della cibersicurezza, allo scopo di contribuire ad aumentare la resilienza degli Stati membri e l'autonomia strategica aperta dell'Unione, entrambi obiettivi del presente regolamento. Le sinergie sono essenziali per rafforzare la cooperazione e il coordinamento tra le diverse parti interessate, tra cui quelle appartenenti al settore privato, alla società civile e al mondo accademico.

Il presente regolamento dovrebbe tener conto dell'impegno enunciato nella dichiarazione comune del 26 gennaio 2022 del Parlamento europeo, del Consiglio e della Commissione dal titolo «Dichiarazione europea sui diritti e i principi digitali per il decennio digitale» per proteggere gli interessi delle democrazie, dei cittadini, delle imprese e delle istituzioni pubbliche dell'Unione dai rischi di cibersicurezza e dalla criminalità informatica, comprese le violazioni dei dati e il furto o la manipolazione dell'identità.

Al fine di integrare alcuni elementi non essenziali del presente regolamento, è opportuno delegare alla Commissione il potere di adottare atti conformemente all'articolo 290 TFUE al fine di specificare le tipologie e il numero dei servizi di risposta richiesti per la riserva dell'UE per la cibersicurezza. È di particolare importanza che durante i lavori preparatori la Commissione svolga adeguate consultazioni, anche a livello di esperti, nel rispetto dei principi stabiliti nell'accordo interistituzionale «Legiferare meglio» del 13 aprile 2016²⁰. In particolare, al fine di garantire la parità di partecipazione alla preparazione degli atti delegati, il Parlamento europeo e il Consiglio ricevono tutti i documenti contemporaneamente agli esperti degli Stati membri, e i loro esperti hanno sistematicamente accesso alle riunioni dei gruppi di esperti della Commissione incaricati della preparazione di tali atti delegati.

Al fine di garantire condizioni uniformi di attuazione del presente regolamento, dovrebbero essere attribuite alla Commissione competenze di esecuzione per specificare ulteriormente le modalità procedurali dettagliate per l'assegnazione dei servizi di sostegno della riserva dell'UE per la cibersicurezza. È altresì opportuno che tali competenze siano esercitate conformemente al regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio²¹.

Fatte salve le norme relative al bilancio annuale dell'Unione a norma dei trattati, la Commissione dovrebbe tenere conto degli obblighi derivanti dal presente regolamento nel valutare il fabbisogno di bilancio e di personale dell'ENISA.

La Commissione dovrebbe effettuare periodicamente una valutazione delle misure di cui al presente regolamento. La prima di tali valutazioni dovrebbe aver luogo nei primi due anni dopo la data di entrata in vigore del presente regolamento e successivamente almeno ogni quattro anni, tenendo conto del calendario della revisione del quadro finanziario pluriennale istituito a norma dell'articolo 312 TFUE. La Commissione dovrebbe presentare al Parlamento europeo e al Consiglio una relazione sui progressi realizzati. Al fine di valutare i diversi elementi richiesti, compresa la portata delle informazioni condivise nell'ambito del sistema europeo di allerta per la cibersicurezza, la Commissione dovrebbe basarsi esclusivamente su informazioni prontamente disponibili o fornite volontariamente. Tenendo in considerazione gli sviluppi geopolitici e al fine di garantire la continuità e l'ulteriore sviluppo delle misure stabilite nel presente regolamento dopo il 2027, è importante che la Commissione valuti la necessità di assegnare un bilancio appropriato al quadro finanziario pluriennale per il periodo 2028-2034.

Poiché gli obiettivi del presente regolamento, vale a dire rafforzare la posizione competitiva dell'industria e dei servizi nell'Unione in tutta l'economia digitale e contribuire alla sovranità tecnologica e all'autonomia strategica aperta dell'Unione nel settore della cibersicurezza, non possono essere conseguiti in misura sufficiente dagli Stati membri ma, a motivo della portata e gli effetti dell'azione, possono essere conseguiti meglio a livello di Unione, quest'ultima può intervenire in base al principio di sussidiarietà sancito dall'articolo 5 del trattato sull'Unione europea. Il presente regolamento si limita a quanto è necessario per conseguire tali obiettivi in ottemperanza al principio di proporzionalità enunciato nello stesso articolo,