Art. 22
Modifiche del regolamento (UE) 2021/694
In vigore dal 19 dic 2024
Modifiche del regolamento (UE) 2021/694
Il regolamento (UE) 2021/694 è così modificato:
1)
l' è così modificato:
a)
il paragrafo 1 è così modificato:
i)
è inserita la seguente lettera:
«a bis)
sostenere lo sviluppo del sistema europeo di allerta per la cibersicurezza istituito dall' del regolamento (UE) 2025/38 del Parlamento europeo e del Consiglio (*1) (“sistema europeo di allerta per la cibersicurezza”), compresi l'elaborazione, la realizzazione e il funzionamento di poli informatici nazionali e poli informatici transfrontalieri che contribuiscano alla conoscenza situazionale nell'Unione e al potenziamento delle capacità di analisi delle minacce informatiche dell'Unione;
(*1) Regolamento (UE) 2025/38 del Parlamento europeo e del Consiglio, del 19 dicembre 2024, che stabilisce misure intese a rafforzare la solidarietà e le capacità dell'Unione di rilevamento delle minacce e degli incidenti informatici e di preparazione e risposta agli stessi, e che modifica il regolamento (UE) 2021/694 (regolamento sulla cibersolidarietà) (OJ L, 2025/38, 15.1.2025, ELI: http://data.europa.eu/eli/reg/2025/38/oj).»;"
ii)
è aggiunta la lettera seguente:
«g)
istituire e gestire il meccanismo per le emergenze di cibersicurezza istituito dall' del regolamento (UE) 2025/38, che comprende la riserva dell'UE per la cibersicurezza istituita dall' di tale regolamento (“riserva dell'UE per la cibersicurezza”), inteso a sostenere gli Stati membri nella preparazione agli incidenti di cibersicurezza significativi e agli incidenti di cibersicurezza su vasta scala e nella risposta agli stessi, a integrazione delle risorse e delle capacità nazionali e di altre forme di sostegno disponibili a livello di Unione, e inteso a sostenere gli altri utenti nella risposta agli incidenti di cibersicurezza significativi e agli incidenti di cibersicurezza su vasta scala.»
;
b)
il paragrafo 2 è sostituito dal seguente:
«2. Le azioni nell'ambito dell'obiettivo specifico 3 sono attuate principalmente mediante il Centro europeo di competenza per la cibersicurezza nell'ambito industriale, tecnologico e della ricerca e la rete dei centri nazionali di coordinamento in conformità del regolamento (UE) 2021/887 del Parlamento europeo e del Consiglio (*2). Tuttavia, la riserva dell'UE per la cibersicurezza è attuata dalla Commissione e, in conformità dell', paragrafo 6, del regolamento (UE) 2025/38, dall'ENISA.;
(*2) Regolamento (UE) 2021/887 del Parlamento europeo e del Consiglio, del 20 maggio 2021, che istituisce il Centro europeo di competenza industriale, tecnologica e di ricerca sulla cibersicurezza e la rete dei centri nazionali di coordinamento (GU L 202 dell'8.6.2021, pag. 1).»."
2)
l' è così modificato:
a)
al paragrafo 2, le lettere b), c) e d) sono sostituite dalle seguenti:
«b)
1 760 806 000 EUR per l'obiettivo specifico 2 — Intelligenza artificiale;
c)
1 372 020 000 EUR per l'obiettivo specifico 3 — Cibersicurezza e fiducia;
d)
482 640 000 EUR per l'obiettivo specifico 4 — Competenze digitali avanzate;»
;
b)
è aggiunto il seguente paragrafo:
«8. In deroga all', paragrafo 1, del regolamento finanziario, gli stanziamenti d'impegno e di pagamento non utilizzati per le azioni nel quadro dell'attuazione della riserva dell'UE per la cibersicurezza e le azioni a sostegno dell'assistenza reciproca a norma del regolamento (UE) 2025/38 che perseguono gli obiettivi di cui all', paragrafo 1, lettera g), del presente regolamento sono riportati di diritto e possono essere impegnati e pagati fino al 31 dicembre dell'esercizio successivo. Il Parlamento europeo e il Consiglio sono informati degli stanziamenti riportati a norma dell', paragrafo 6, del regolamento finanziario.»
;
3)
l' è così modificato:
a)
sono inseriti i paragrafi seguenti:
«5 bis. Il paragrafo 5 non si applica, per quanto riguarda i soggetti giuridici stabiliti nell'Unione ma controllati da paesi terzi, a qualsiasi azione di attuazione del sistema europeo di allerta per la cibersicurezza se entrambe le condizioni seguenti sono soddisfatte in relazione all'azione interessata:
a)
esiste un rischio reale, alla luce dei risultati della mappatura effettuata a norma dell', paragrafo 4, del regolamento (UE) 2025/38, che gli strumenti, le infrastrutture o i servizi necessari e sufficienti affinché tale azione contribuisca in modo adeguato all'obiettivo del sistema europeo di allerta per la cibersicurezza non siano disponibili presso i soggetti giuridici stabiliti o considerati stabiliti negli Stati membri e controllati da Stati membri o da cittadini di Stati membri;
b)
il rischio per la sicurezza derivante dall'approvvigionamento presso tali soggetti giuridici nell'ambito del sistema europeo di allerta per la cibersicurezza è proporzionato ai benefici e non compromette gli interessi essenziali di sicurezza dell'Unione e dei suoi Stati membri.
5 ter. Il paragrafo 5 non si applica, per quanto riguarda i soggetti giuridici stabiliti nell'Unione ma controllati da paesi terzi, alle eventuali azioni di attuazione della riserva dell'UE per la cibersicurezza se entrambe le condizioni seguenti sono soddisfatte con riguardo all'azione interessata:
a)
esiste un rischio reale, alla luce dei risultati della mappatura di cui effettuata a norma dell', paragrafo 7, del regolamento (UE) 2025/38, che la tecnologia, le competenze o la capacità necessarie e sufficienti affinché la riserva dell'UE per la cibersicurezza svolga adeguatamente le sue funzioni non siano disponibili presso i soggetti giuridici stabiliti o considerati stabiliti negli Stati membri e controllati da Stati membri o da cittadini di Stati membri;
b)
il rischio per la sicurezza derivante dall'inclusione di tali soggetti giuridici nell'ambito della riserva dell'UE per la cibersicurezza è proporzionato ai benefici e non compromette gli interessi essenziali di sicurezza dell'Unione e dei suoi Stati membri.»
;
b)
il paragrafo 6 è sostituito dal seguente:
«6. Se debitamente giustificato per ragioni di sicurezza, il programma di lavoro può prevedere altresì che i soggetti giuridici stabiliti in paesi associati e i soggetti giuridici stabiliti nell'Unione ma controllati da paesi terzi siano ammessi a partecipare a tutte o ad alcune delle azioni nell'ambito degli obiettivi specifici 1 e 2 unicamente se soddisfano i requisiti che tali soggetti giuridici devono soddisfare per garantire la tutela degli interessi essenziali di sicurezza dell'Unione e degli Stati membri e per assicurare la protezione delle informazioni di documenti classificati. Tali requisiti sono definiti nel programma di lavoro.
Il primo comma si applica anche, per quanto riguarda i soggetti giuridici stabiliti nell'Unione ma controllati da paesi terzi, alle azioni nell'ambito dell'obiettivo specifico 3:
a)
volte ad attuare il sistema europeo di allerta per la cibersicurezza nei casi in cui si applica il paragrafo 5 bis; e
b)
volte ad attuare la riserva dell'UE per la cibersicurezza nei casi in cui si applica il paragrafo 5 ter.»
;
4)
all', il paragrafo 2 è sostituito dal seguente:
«2. Il Programma può concedere finanziamenti in tutte le forme previste dal regolamento finanziario, anche, in particolare, sotto forma di appalti, quale forma principale, o di sovvenzioni e premi.
Qualora, per il conseguimento di uno degli obiettivi di un'azione, siano necessarie gare di appalto per acquisire beni e servizi innovativi, le sovvenzioni possono essere concesse unicamente a beneficiari che sono amministrazioni aggiudicatrici o enti aggiudicatori ai sensi delle direttive 2014/24/UE (*3) e 2014/25/UE (*4) del Parlamento europeo e del Consiglio.
Qualora la fornitura di beni o servizi innovativi non ancora disponibili su larga scala commerciale sia necessaria per il conseguimento degli obiettivi di un'azione, l'amministrazione aggiudicatrice o l'ente aggiudicatore può autorizzare l'aggiudicazione di contratti multipli nell'ambito della stessa procedura di appalto.
Per motivi di pubblica sicurezza debitamente giustificati, l'amministrazione aggiudicatrice o l'ente aggiudicatore può imporre come condizione che il luogo di esecuzione del contratto sia situato nel territorio dell'Unione.
Nell'attuazione delle procedure di appalto per la riserva dell'UE per la cibersicurezza, la Commissione e l'ENISA possono fungere da centrale di committenza per condurre una procedura di appalto per conto o a nome di paesi terzi associati al Programma in conformità dell' del presente regolamento. La Commissione e l'ENISA possono anche agire in veste di grossisti, comprando, immagazzinando e rivendendo o donando forniture e servizi, comprese le locazioni, per tali paesi terzi. In deroga all'articolo 169, paragrafo 3, del regolamento (UE, Euratom) 2024/2509 del Parlamento Europeo e del Consiglio (*5), la richiesta di un singolo paese terzo è sufficiente per conferire alla Commissione o all'ENISA il mandato di agire.
Nell'attuazione delle procedure di appalto per la riserva dell'UE per la cibersicurezza, la Commissione e l'ENISA possono fungere da centrale di committenza per condurre una procedura di appalto per conto o a nome di istituzioni, organi o organismi dell'Unione. La Commissione e l'ENISA possono anche agire in veste di grossisti, comprando, immagazzinando e rivendendo o donando forniture e servizi, comprese le locazioni, per le istituzioni, gli organi o gli organismi dell'Unione. In deroga all'articolo 168, paragrafo 3, del regolamento (UE, Euratom) 2024/2509, una richiesta di una singola istituzione o di un singolo organo o organismo dell'Unione è sufficiente per conferire alla Commissione o all'ENISA il mandato di agire.
Il Programma può inoltre concedere finanziamenti sotto forma di strumenti finanziari nell'ambito di operazioni di finanziamento misto.
(*3) Direttiva 2014/24/UE del Parlamento europeo e del Consiglio, del 26 febbraio 2014, sugli appalti pubblici e che abroga la direttiva 2004/18/CE (GU L 94 del 28.3.2014, pag. 65)."
(*4) Direttiva 2014/25/UE del Parlamento europeo e del Consiglio, del 26 febbraio 2014, sulle procedure d'appalto degli enti erogatori nei settori dell'acqua, dell'energia, dei trasporti e dei servizi postali e che abroga la direttiva 2004/17/CE (GU L 94 del 28.3.2014, pag. 243)."
(*5) Regolamento (UE, Euratom) 2024/2509 del Parlamento europeo e del Consiglio, del 23 settembre 2024, che stabilisce le regole finanziarie applicabili al bilancio generale dell'Unione (GU L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj).»;"
5)
è inserito l'articolo seguente:
«Articolo 16 bis
Conflitto tra norme
Nel caso di azioni volte ad attuare il sistema europeo di allerta per la cibersicurezza, le norme applicabili sono quelle sancite agli del regolamento (UE) 2025/38. In caso di conflitto tra le disposizioni del presente regolamento e gli del regolamento (UE) 2025/38 prevalgono questi ultimi e si applicano a tali azioni specifiche.
Nel caso della riserva dell'UE per la cibersicurezza, norme specifiche per la partecipazione di paesi terzi associati al programma sono stabilite all' del regolamento (UE) 2025/38. In caso di conflitto tra le disposizioni del presente regolamento e l' del regolamento (UE) 2025/38 prevale quest'ultimo e si applica a tali azioni specifiche.»
;
6)
l' è sostituito dal seguente:
«
Sovvenzioni
Le sovvenzioni nell'ambito del Programma sono attribuite e gestite conformemente al titolo VIII del regolamento finanziario e possono coprire fino al 100 % dei costi ammissibili, fatto salvo il principio di cofinanziamento stabilito all'articolo 190 del regolamento finanziario. Tali sovvenzioni devono essere concesse e gestite conformemente a ciascun obiettivo specifico.
Il sostegno erogato sotto forma di sovvenzioni può essere concesso direttamente dall'ECCC, senza invito a presentare proposte, agli Stati membri selezionati a norma dell' del regolamento (UE) 2025/38, e al consorzio ospitante di cui all' del regolamento (UE) 2025/38, in conformità dell'articolo 195, primo comma, lettera d), del regolamento finanziario.
Il sostegno erogato sotto forma di sovvenzioni per il meccanismo per le emergenze di cibersicurezza può essere concesso direttamente dall'ECCC agli Stati membri senza invito a presentare proposte, in conformità dell'articolo 195, primo comma, lettera d), del regolamento finanziario.
Per quanto riguarda le azioni a sostegno dell'assistenza reciproca di cui all' del regolamento (UE) 2025/38, l'ECCC informa la Commissione e l'ENISA sulle richieste di sovvenzioni dirette degli Stati membri senza invito a presentare proposte.
Per quanto riguarda le azioni a sostegno dell'assistenza reciproca di cui all' del regolamento (UE) 2025/38, e in conformità dell'articolo 193, paragrafo 2, secondo comma, lettera a), del regolamento finanziario, in casi debitamente giustificati i costi possono essere considerati ammissibili anche se sono stati sostenuti prima della presentazione della domanda di sovvenzione.»
;
7)
gli allegati I e II sono modificati conformemente all'allegato del presente regolamento.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg:2025:38:oj#art-22