keyboard_tab Cyber Resilience Act 2023/2841 IT

1.   Dopo aver ottenuto l'approvazione da una maggioranza di due terzi dei membri dell'IICB, la Commissione nomina il direttore del CERT-UE. L'IICB è consultato in tutte le fasi della procedura di nomina, in particolare per quanto riguarda la redazione degli avvisi di posto vacante, l'esame delle candidature e la designazione delle commissioni giudicatrici in relazione a tale incarico. La procedura di selezione, compreso l'elenco ristretto definitivo di candidati tra i quali deve essere nominato il direttore del CERT-UE, garantisce un'equa rappresentanza di ciascun genere, tenendo conto delle domande presentate.

2.   Il direttore del CERT-UE è responsabile del buon funzionamento del CERT-UE e agisce nei limiti delle sue attribuzioni e sotto la direzione dell'IICB. Il direttore del CERT-UE riferisce regolarmente al presidente dell'IICB e presenta relazioni ad hoc all'IICB, se questo lo richiede.

3.   Il direttore del CERT-UE assiste l'ordinatore delegato competente nell'elaborazione della relazione annuale di attività contenente informazioni finanziarie e di gestione, compresi i risultati dei controlli, redatta a norma dell'articolo 74, paragrafo 9, del regolamento (UE, Euratom) 2018/1046 del Parlamento europeo e del consiglio (9), e riferisce periodicamente all'ordinatore delegato in merito all'attuazione di misure per le quali sono stati subdelegati poteri al direttore del CERT-UE.

4.   Il direttore del CERT-UE elabora annualmente una pianificazione finanziaria delle entrate e delle spese amministrative per le sue attività, una proposta di programma di lavoro annuale, una proposta di catalogo dei servizi per il CERT-UE, proposte di revisione del catalogo dei servizi, proposte di modalità riguardanti gli accordi sul livello dei servizi e proposte di indicatori essenziali di prestazione per il CERT-UE, che devono essere approvate dall'IICB conformemente all'articolo 11. In sede di revisione dell'elenco dei servizi contenuti nel catalogo dei servizi offerti dal CERT-UE, il direttore del CERT-UE tiene conto delle risorse assegnate al CERT-UE.

5.   Il direttore del CERT-UE presenta a cadenza almeno annuale all'IICB e al presidente dell'IICB relazioni riguardanti le attività e le prestazioni del CERT-UE durante il periodo di riferimento, inclusi l'esecuzione del bilancio, gli accordi sul livello dei servizi e gli accordi scritti conclusi, la cooperazione con omologhi e partner e le missioni effettuate dal personale, comprese le relazioni di cui all'articolo 11. Tali relazioni comprendono un programma di lavoro per il periodo successivo, la pianificazione finanziaria delle entrate e delle spese, anche relative al personale, gli aggiornamenti previsti del catalogo dei servizi offerti dal CERT-UE e una valutazione dell'impatto previsto di tali aggiornamenti relativamente alle risorse finanziarie e umane.

1.   I soggetti_dell'Unione e il CERT-UE rispettano l'obbligo del segreto professionale ai sensi dell'articolo 339 TFUE o di equivalenti quadri normativi applicabili.

2.   Alle richieste di accesso del pubblico ai documenti detenuti dal CERT-UE si applica il regolamento (CE) n. 1049/2001 del Parlamento europeo e del consiglio (10), compreso l'obbligo, previsto da tale regolamento, di consultare altri soggetti_dell'Unione o, se del caso, altri Stati membri, qualora la domanda riguardi loro documenti.

3.   Il trattamento delle informazioni da parte dei soggetti_dell'Unione e del CERT-UE si conforma alle norme applicabili sulla sicurezza delle informazioni.

1.   Su base volontaria, i soggetti_dell'Unione possono notificare e fornire informazioni al CERT-UE sugli incidenti, le minacce informatiche, i quasi incidenti e le vulnerabilità che li interessano. Il CERT-UE garantisce la disponibilità di mezzi di comunicazione efficaci, con un livello elevato di tracciabilità, riservatezza e affidabilità, per agevolare la condivisione delle informazioni con i soggetti_dell'Unione. Nel trattare le notifiche, il CERT-UE può dare la priorità al trattamento delle notifiche obbligatorie rispetto alle notifiche volontarie. Fatto salvo l'articolo 12, la notifica volontaria non deve avere l'effetto di imporre al soggetto dell'Unione che la effettua alcun obbligo aggiuntivo cui non sarebbe stato sottoposto se non avesse trasmesso la notifica.

2.   Per svolgere la missione e i compiti conferitigli a norma dell'articolo 13, il CERT-UE può chiedere ai soggetti_dell'Unione di fornirgli informazioni tratte dai loro rispettivi inventari dei sistemi TIC, comprese le informazioni relative alle minacce informatiche, ai quasi incidenti, alle vulnerabilità, agli indicatori di compromissione, agli allarmi di cibersicurezza e alle raccomandazioni riguardanti la configurazione degli strumenti di cibersicurezza al fine di rilevare gli incidenti. Il soggetto dell'Unione cui è rivolta tale domanda trasmette senza indebito ritardo le informazioni richieste e ogni loro successivo aggiornamento.

3.   Il CERT-UE può scambiare con i soggetti_dell'Unione informazioni specifiche su un incidente che rivelino l'identità del soggetto dell'Unione interessato dall’ incidente, a condizione che quest’ultimo vi acconsenta. Ove rifiuti il consenso, il soggetto dell'Unione fornisce al CERT-UE i motivi a sostegno di tale decisione.

4.   I soggetti_dell'Unione condividono con il Parlamento europeo e il consiglio, su richiesta, informazioni relative al completamento dei piani di cibersicurezza.

5.   L'IICB o il CERT-UE, a seconda dei casi, condividono con il Parlamento europeo e il consiglio, su richiesta, indirizzi, raccomandazioni e inviti ad agire.

6.   Gli obblighi di condivisione stabiliti nel presente articolo non comprendono:

1.   Entro l'8 gennaio 2025 e successivamente con frequenza annuale, l'IICB, coadiuvato dal CERT-UE, riferisce alla Commissione in merito all'attuazione del presente regolamento. L'IICB può rivolgere raccomandazioni alla Commissione per il riesame del presente regolamento.

2.   Entro l'8 gennaio 2027 e successivamente ogni due anni, la Commissione valuta e riferisce al Parlamento europeo e al consiglio in merito all'attuazione del presente regolamento e all'esperienza acquisita a livello strategico e operativo.

La relazione di cui al primo comma del presente paragrafo include il riesame di cui all'articolo 16, paragrafo 1, sulla possibilità di istituire il CERT-UE come ufficio dell'Unione.

3.   Entro l'8 gennaio 2029, la Commissione valuta il funzionamento del presente regolamento e presenta una relazione al Parlamento europeo, al consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni. La Commissione valuta inoltre l'opportunità di includere nell'ambito di applicazione del presente regolamento le reti e i sistemi informativi che trattano ICUE, tenendo conto di altri atti legislativi dell'Unione applicabili a tali sistemi. La relazione, se necessario, è corredata di una proposta legislativa.