Art. 16
Attuazione del sostegno della riserva dell'UE per la cibersicurezza
In vigore dal 19 dic 2024
Attuazione del sostegno della riserva dell'UE per la cibersicurezza
1. Nel caso di richieste degli utenti di cui all', paragrafo 3, lettere a) e b), le richieste di sostegno della riserva dell'UE per la cibersicurezza sono valutate dall'amministrazione aggiudicatrice. Una risposta è trasmessa agli utenti di cui all', paragrafo 3, lettere a) e b), senza ritardo e in ogni caso entro 48 ore dalla presentazione della richiesta per garantire l'efficacia del sostegno. L'amministrazione aggiudicatrice informa il Consiglio e la Commissione dei risultati della procedura.
2. Per quanto riguarda le informazioni condivise nel corso della richiesta e della fornitura dei servizi della riserva dell'UE per la cibersicurezza, tutte le parti coinvolte nell'applicazione del presente regolamento:
a)
limitano l'uso e la condivisione di tali informazioni a quanto necessario per adempiere ai propri obblighi o funzioni ai sensi del presente regolamento;
b)
utilizzano e condividono le informazioni riservate o classificate a norma del diritto dell'Unione e nazionale solo in conformità di tale diritto; e
c)
assicurano uno scambio di informazioni efficace, efficiente e sicuro, se del caso utilizzando e rispettando i pertinenti protocolli di condivisione delle informazioni, compreso il protocollo TLP.
3. Nel valutare le singole richieste ai sensi dell', paragrafo 1 e dell', paragrafo 10, l'amministrazione aggiudicatrice o la Commissione, a seconda dei casi, valuta innanzitutto se i criteri di cui all', paragrafi 1 e 2, sono soddisfatti. In caso positivo, l'amministrazione aggiudicatrice o la Commissione valuta l'adeguatezza della durata e della natura del sostegno tenendo conto dell'obiettivo di cui all', paragrafo 3, lettera b), e, se del caso, dei criteri seguenti:
a)
la portata e la gravità dell'incidente;
b)
il tipo di soggetto interessato, dando maggiore priorità agli incidenti che colpiscono soggetti essenziali di cui all', paragrafo 1, della direttiva (UE) 2022/2555;
c)
l'impatto potenziale dell'incidente sugli Stati membri, sulle istituzioni, sugli organi o sugli organismi dell'Unione o sui paesi terzi associati al programma Europa digitale interessati;
d)
la natura potenzialmente transfrontaliera dell'incidente e il rischio di propagazione ad altri Stati membri, istituzioni, organi od organismi dell'Unione o paesi terzi associati al programma Europa digitale;
e)
le misure adottate dall'utente per sostenere la risposta e gli sforzi di ripresa iniziali, di cui all', paragrafo 2.
4. Per definire l'ordine di priorità delle richieste, in caso di richieste concomitanti da parte degli utenti di cui all', paragrafo 3, si tiene conto, se del caso, dei criteri di cui al paragrafo 3 del presente articolo, fatto salvo il principio di leale cooperazione tra gli Stati membri e le istituzioni, gli organi e gli organismi dell'Unione. Qualora due o più richieste siano considerate equivalenti in base a tali criteri, è data maggiore priorità alle richieste degli utenti degli Stati membri. Qualora il funzionamento e l'amministrazione della riserva dell'UE per la cibersicurezza siano stati affidati, in tutto o in parte, all'ENISA a norma dell', paragrafo 5, l'ENISA e la Commissione cooperano strettamente per dare priorità alle richieste in conformità del presente paragrafo.
5. I servizi della riserva dell'UE per la cibersicurezza sono forniti in conformità di accordi specifici stipulati tra il fornitore di fiducia di servizi di sicurezza gestiti e l'utente a cui viene fornito il sostegno nell'ambito della riserva dell'UE per la cibersicurezza. Tali servizi possono essere forniti conformemente ad accordi specifici tra il fornitore di fiducia di servizi di sicurezza gestiti, l'utente e l'entità interessata. Tutti gli accordi di cui al presente paragrafo includono, tra l'altro, condizioni di responsabilità.
6. Gli accordi di cui al paragrafo 5 sono basati su modelli preparati dall'ENISA, previa consultazione degli Stati membri e, ove opportuno, di altri utenti della riserva dell'UE per la cibersicurezza.
7. La Commissione, l'ENISA e gli utenti della riserva dell'UE per la cibersicurezza non si assumono alcuna responsabilità contrattuale per i danni causati a terzi dai servizi forniti nel quadro dell'attuazione della riserva dell'UE per la cibersicurezza.
8. Gli utenti possono utilizzare i servizi della riserva dell'UE per la cibersicurezza forniti in risposta a una richiesta a norma dell', paragrafo 1, solo per sostenere la risposta agli incidenti di cibersicurezza significativi, agli incidenti di cibersicurezza su vasta scala o agli incidenti di cibersicurezza equivalenti a incidenti su vasta scala e per avviare la ripresa. Essi possono avvalersi di tali servizi solo per quanto riguarda:
a)
soggetti che operano in settori ad alta criticità o soggetti che operano in altri settori critici, nel caso degli utenti di cui all', paragrafo 3, lettera a), e soggetti equivalenti nel caso degli utenti di cui all', paragrafo 3, lettera c); e
b)
le istituzioni, gli organi e gli organismi dell'Unione, nel caso dell'utente di cui all', paragrafo 3, lettera b).
9. Entro due mesi dalla fine di un sostegno, gli utenti che hanno ricevuto sostegno forniscono una relazione sintetica sul servizio fornito, sui risultati ottenuti e sugli insegnamenti tratti:
a)
alla Commissione, all'ENISA, alla rete di CSIRT e a EU-CyCLONe nel caso degli utenti di cui all', paragrafo 3, lettera a);
b)
alla Commissione, all'ENISA e all'IICB nel caso degli utenti di cui di cui all', paragrafo 3, lettera b);
c)
alla Commissione nel caso degli utenti di cui all', paragrafo 3, lettera c).
La Commissione trasmette al Consiglio e all'alto rappresentante tutte le relazioni di sintesi ricevute dagli utenti di cui all', paragrafo 3, a norma del primo comma, lettera c), del presente paragrafo.
10. Qualora il funzionamento e l'amministrazione della riserva dell'UE per la cibersicurezza siano stati affidati, in tutto o in parte, all'ENISA a norma dell', paragrafo 5, del presente regolamento, l'ENISA riferisce alla Commissione e la consulta al riguardo su base periodica. In tale contesto, l'ENISA invia immediatamente alla Commissione le richieste ricevute dagli utenti di cui all', paragrafo 3, lettera c), del presente regolamento e, se necessario ai fini della definizione delle priorità a norma del presente articolo, le richieste ricevute dagli utenti di cui all', paragrafo 3, lettera a) o b), del presente regolamento. Gli obblighi di cui al presente paragrafo lasciano impregiudicato l' del regolamento (UE) 2019/881.
11. Nel caso degli utenti di cui all', paragrafo 3, lettere a) e b), l'amministrazione aggiudicatrice riferisce periodicamente e almeno due volte l'anno al gruppo di cooperazione NIS in merito alle modalità di impiego e ai risultati del sostegno.
12. Nel caso degli utenti di cui all', paragrafo 3, lettera c), la Commissione riferisce al Consiglio e informa l'alto rappresentante periodicamente e almeno due volte l'anno in merito alle modalità di impiego e ai risultati del sostegno.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg:2025:38:oj#art-16