keyboard_tab Cyber Resilience Act 2023/2841 IT

1.   Il CERT-UE può cooperare con omologhi nell'Unione diversi da quelli di cui all'articolo 17 che siano soggetti ai requisiti dell'Unione in materia di cibersicurezza, compresi omologhi di settori specifici, riguardo a strumenti e metodi, quali tecniche, tattiche, procedure e migliori pratiche, nonché minacce informatiche e vulnerabilità. Per procedere a qualsiasi cooperazione con tali omologhi, il CERT-UE chiede l'approvazione preventiva dell'IICB caso per caso. Se il CERT-UE istituisce una cooperazione con tali omologhi, ne informa gli omologhi degli Stati membri pertinenti di cui all'articolo 17, paragrafo 1, nello Stato membro in cui è situato l’omologo. Ove applicabile e opportuno, tale cooperazione e le relative condizioni, anche per quanto riguarda la cibersicurezza, la protezione dei dati e il trattamento delle informazioni, sono stabilite in specifici accordi di riservatezza, quali contratti o accordi amministrativi. Gli accordi di riservatezza non sono subordinati all’approvazione preventiva dell’IICB, ma il suo presidente ne è informato. In caso di necessità urgente e imminente di scambiare informazioni sulla cibersicurezza nell’interesse dei soggetti dell’Unione o di un’altra parte, il CERT-UE può farlo con un soggetto le cui competenze, capacità e conoscenze specifiche sono legittimamente necessarie per rispondere a tale necessità urgente e imminente, anche se il CERT-UE non dispone di un accordo di riservatezza con tale soggetto. In tali casi il CERT-UE informa immediatamente il presidente dell’IICB e riferisce all’IICB mediante relazioni o riunioni periodiche.

2.   Il CERT-UE può cooperare con partner, quali i soggetti commerciali, compresi i soggetti di settori specifici, le organizzazioni internazionali, gli enti nazionali non dell’Unione o i singoli esperti, al fine di raccogliere informazioni su minacce informatiche generali e specifiche, quasi incidenti, vulnerabilità e possibili contromisure. Per procedere a una più ampia cooperazione con tali partner, il CERT-UE chiede l'approvazione preventiva dell'IICB caso per caso.

3.   Con il consenso del soggetto dell'Unione interessato da un incidente e a condizione che esista un accordo o un contratto di non divulgazione con l’omologo o il partner interessato, il CERT-UE può fornire informazioni in merito all' incidente specifico agli omologhi o ai partner di cui ai paragrafi 1 e 2 unicamente al fine di contribuire alla sua analisi.

1.   I soggetti_dell'Unione e il CERT-UE rispettano l'obbligo del segreto professionale ai sensi dell'articolo 339 TFUE o di equivalenti quadri normativi applicabili.

2.   Alle richieste di accesso del pubblico ai documenti detenuti dal CERT-UE si applica il regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio (10), compreso l'obbligo, previsto da tale regolamento, di consultare altri soggetti_dell'Unione o, se del caso, altri Stati membri, qualora la domanda riguardi loro documenti.

3.   Il trattamento delle informazioni da parte dei soggetti_dell'Unione e del CERT-UE si conforma alle norme applicabili sulla sicurezza delle informazioni.

1.   Su base volontaria, i soggetti_dell'Unione possono notificare e fornire informazioni al CERT-UE sugli incidenti, le minacce informatiche, i quasi incidenti e le vulnerabilità che li interessano. Il CERT-UE garantisce la disponibilità di mezzi di comunicazione efficaci, con un livello elevato di tracciabilità, riservatezza e affidabilità, per agevolare la condivisione delle informazioni con i soggetti_dell'Unione. Nel trattare le notifiche, il CERT-UE può dare la priorità al trattamento delle notifiche obbligatorie rispetto alle notifiche volontarie. Fatto salvo l'articolo 12, la notifica volontaria non deve avere l'effetto di imporre al soggetto dell'Unione che la effettua alcun obbligo aggiuntivo cui non sarebbe stato sottoposto se non avesse trasmesso la notifica.

2.   Per svolgere la missione e i compiti conferitigli a norma dell'articolo 13, il CERT-UE può chiedere ai soggetti_dell'Unione di fornirgli informazioni tratte dai loro rispettivi inventari dei sistemi TIC, comprese le informazioni relative alle minacce informatiche, ai quasi incidenti, alle vulnerabilità, agli indicatori di compromissione, agli allarmi di cibersicurezza e alle raccomandazioni riguardanti la configurazione degli strumenti di cibersicurezza al fine di rilevare gli incidenti. Il soggetto dell'Unione cui è rivolta tale domanda trasmette senza indebito ritardo le informazioni richieste e ogni loro successivo aggiornamento.

3.   Il CERT-UE può scambiare con i soggetti_dell'Unione informazioni specifiche su un incidente che rivelino l'identità del soggetto dell'Unione interessato dall’ incidente, a condizione che quest’ultimo vi acconsenta. Ove rifiuti il consenso, il soggetto dell'Unione fornisce al CERT-UE i motivi a sostegno di tale decisione.

4.   I soggetti_dell'Unione condividono con il Parlamento europeo e il Consiglio, su richiesta, informazioni relative al completamento dei piani di cibersicurezza.

5.   L'IICB o il CERT-UE, a seconda dei casi, condividono con il Parlamento europeo e il Consiglio, su richiesta, indirizzi, raccomandazioni e inviti ad agire.

6.   Gli obblighi di condivisione stabiliti nel presente articolo non comprendono: