Regolamento (UE) 2025/2447

Regolamento di esecuzione (UE) 2025/2447 della Commissione

Il regolamento attua il quadro del regolamento (UE) 2018/1727, come modificato per consentire canali digitali sicuri tra Eurojust e le autorità nazionali competenti. La finalità è rendere operativo un sistema informatico decentrato interoperabile, sicuro e coerente con le infrastrutture europee di e-Justice e con il sistema e-CODEX/JUDEX.

Ambito e finalità del sistema

Il sistema informatico decentrato è concepito per consentire lo scambio diretto e sicuro di messaggi e documenti tra le autorità nazionali competenti degli Stati membri ed Eurojust. Il regolamento specifica che la comunicazione digitale sicura deve avvenire tramite punti di accesso e-CODEX autorizzati e che il sistema si inserisce nel più ampio ecosistema JUDEX.

Il testo evidenzia anche la necessità di garantire coerenza con altri atti UE sulla digitalizzazione della cooperazione giudiziaria, in particolare i regolamenti (UE) 2023/2844, 2023/1543 e 2024/3011, nonché con future misure di digitalizzazione pertinenti al mandato di Eurojust.

Specifiche tecniche del sistema informatico decentrato

L’allegato I definisce il quadro tecnico generale. Il sistema deve basarsi su servizi web e soluzioni riutilizzabili, utilizzare protocolli Internet sicuri e supportare lo scambio tramite e-CODEX. Per la messaggistica e il trasporto dati sono richiamati, tra gli altri, AS4/ebMS, HTTPS/RESTful API e SOAP con WS-Security.

Sono inoltre previste regole per gli schemi XML, con uso di vocabolari e standard pertinenti per la convalida dei dati, inclusi il vocabolario di base UE della giustizia elettronica, tipi di dati non qualificati e codici linguistici UE. Il sistema deve essere progettato in modo modulare, estensibile e adattabile.

Sicurezza, protezione dei dati e cibersicurezza

Le misure tecniche richieste mirano a garantire riservatezza, integrità, non disconoscibilità dell’origine e del ricevimento, autenticazione e autorizzazione sicure, oltre alla registrazione degli eventi di sicurezza. Per TLS deve essere usata l’ultima versione stabile o, in mancanza, una versione senza vulnerabilità note; sono vietate suite di cifratura obsolete o insicure.

La Commissione deve sviluppare e mantenere il software di riferimento in conformità al regolamento (UE) 2018/1725; gli Stati membri che usano back-end nazionali devono assicurare la conformità al GDPR e alla direttiva (UE) 2016/680, a seconda dei casi. Eurojust deve garantire la conformità del proprio back-end ai regolamenti (UE) 2018/1725 e 2018/1727. Il sistema deve anche incorporare meccanismi robusti di rilevamento delle minacce e risposta agli incidenti.

Disponibilità del servizio e gestione della manutenzione

Eurojust e gli Stati membri devono assicurare disponibilità 24/7 dei componenti del sistema sotto la propria responsabilità, con un obiettivo di disponibilità tecnica annua almeno del 98 %, al netto della manutenzione programmata. Per la banca dati delle autorità competenti/organi giurisdizionali gestita dalla Commissione l’obiettivo è superiore al 99 % annuo.

Sono previsti preavvisi di manutenzione differenziati: 5 giorni lavorativi per indisponibilità fino a 4 ore, 10 giorni lavorativi per indisponibilità tra 4 e 12 ore, 30 giorni lavorativi per indisponibilità superiore a 12 ore. In caso di guasto imprevisto, gli Stati membri ed Eurojust devono informare immediatamente Commissione e altri Stati membri, indicando se possibile il tempo di ripristino. In caso di guasto della banca dati centrale, la Commissione deve informare senza indugio Eurojust e gli Stati membri.

Banca dati delle autorità competenti/organi giurisdizionali

Il regolamento istituisce una CDB centralizzata sotto responsabilità della Commissione. Tale banca dati contiene, in formato strutturato, informazioni sulle autorità nazionali competenti, sui corrispondenti e membri nazionali, sui criteri di competenza e sulle informazioni necessarie al corretto instradamento dei messaggi. Gli Stati membri devono garantire che i dati siano completi, esatti e aggiornati.

La CDB è accessibile tramite un protocollo comune di comunicazione e deve consentire aggiornamento e recupero programmatico delle informazioni da parte degli attori autorizzati.

Standard procedurali digitali e modelli di scambio

L’allegato II disciplina i modelli di processo operativo per i principali flussi comunicativi del sistema. Tra questi figurano lo scambio di informazioni relative al registro giudiziario europeo antiterrorismo (CTR), lo scambio relativo ai reati gravi, gli scambi generali tra membro nazionale e autorità competenti, nonché i flussi per richiedere e fornire agevolazione o sostegno a Eurojust.

Per ciascun ambito il regolamento descrive i passaggi minimi del processo: trasmissione, ricezione, richiesta di consenso, risposta, comunicazione di collegamenti tra casi, aggiornamento o cancellazione dei dati e, ove applicabile, inoltro fuori dal sistema JUDEX tra membri nazionali di Stati diversi.

Dati strutturati, schemi XML e autorizzazione preliminare

Il regolamento richiede che i dati siano trasmessi in forma strutturata mediante XSD adattabili ed estensibili. Per il CTR antiterrorismo, lo schema include dati identificativi di persone fisiche e giuridiche, informazioni sul reato, sul procedimento nazionale e un campo per informazioni aggiuntive, oltre al codice dell’autorizzazione preliminare.

Analoghi requisiti si applicano ai dati relativi all’istituzione di squadre investigative comuni, ai casi complessi gravi, ai conflitti di giurisdizione, alle consegne controllate e alle difficoltà ripetute con gli strumenti di cooperazione giudiziaria. Il codice di autorizzazione preliminare è centrale: esso disciplina la possibilità di ulteriore trattamento, accesso e trasferimento delle informazioni quando viene individuato un collegamento tra casi.

Impronte digitali e fotografie

L’allegato III stabilisce regole specifiche per l’invio di impronte digitali e fotografie ai fini dell’identificazione affidabile di persone coinvolte in procedimenti penali per terrorismo. Le impronte devono essere contenute in file NIST, in numero massimo di dieci, con specifiche di risoluzione, etichettatura e compressione; le fotografie devono essere anch’esse in formato NIST, riguardare un solo volto, rispettare requisiti minimi e massimi di risoluzione e qualità e usare algoritmi di compressione standardizzati.

Entrata in vigore e partecipazione degli Stati membri

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile. Il considerando finale precisa che l’Irlanda non partecipa all’adozione del regolamento e che la Danimarca non è vincolata né soggetta alla sua applicazione.