Regolamento (UE) 2018/1726

eu-LISA: Agenzia dell’Unione europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia

Il regolamento istituisce e disciplina eu-LISA come organismo dell’Unione dotato di personalità giuridica, destinato a garantire la gestione operativa dei principali sistemi informativi UE in materia di sicurezza, frontiere, visti e asilo. L’atto nasce dalla necessità di consolidare l’esperienza maturata dall’Agenzia istituita nel 2011, ampliare il mandato ai nuovi sistemi EES, DubliNet ed ETIAS e trasferire in modo più organico all’Agenzia compiti tecnici e di infrastruttura precedentemente frammentati.

Oggetto, finalità e perimetro dei sistemi gestiti

L’Agenzia è responsabile della gestione operativa di SIS II, VIS ed Eurodac, nonché della preparazione, sviluppo o gestione operativa di EES, DubliNet ed ETIAS. Può essere incaricata di altri sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia soltanto se ciò sia previsto da successivi atti giuridici dell’Unione adottati sulla base degli articoli da 67 a 89 TFUE.

L’articolo 2 chiarisce che l’Agenzia opera senza pregiudicare le competenze della Commissione e degli Stati membri e deve assicurare:

• sviluppo efficiente dei sistemi mediante adeguata gestione progettuale;
• esercizio efficace, sicuro e continuo;
• gestione finanziaria responsabile;
• qualità del servizio per gli utenti;
• continuità operativa;
• elevato livello di protezione dei dati;
• adeguato livello di sicurezza dei dati e dei supporti materiali.

Compiti operativi sui singoli sistemi

Gli articoli 3-9 ripartiscono i compiti per sistema. Per SIS II, VIS, Eurodac, EES, ETIAS e DubliNet, l’Agenzia esegue i compiti conferiti dai rispettivi atti di base e cura la formazione tecnica degli operatori. Per SIS II e VIS è prevista anche la formazione di esperti nell’ambito della valutazione Schengen; per EES ed ETIAS la formazione riguarda gli aspetti tecnici del sistema nel quadro della valutazione Schengen.

Per DubliNet, il regolamento affida all’Agenzia la gestione operativa del canale sicuro di trasmissione elettronica tra autorità degli Stati membri ai fini degli articoli 31, 32 e 34 del regolamento (UE) n. 604/2013.

Infrastruttura di comunicazione, sicurezza e continuità

L’articolo 11 segna uno dei passaggi più rilevanti della riforma: l’Agenzia assume in via generale i compiti relativi all’infrastruttura di comunicazione dei sistemi, salvo i sistemi che utilizzano EuroDomain. In tale ultimo caso la Commissione resta responsabile di esecuzione del bilancio, acquisizione, rinnovo e aspetti contrattuali, mentre i compiti di gestione e sicurezza dell’infrastruttura sono ripartiti tra Commissione e Agenzia tramite accordi di lavoro operativi e memorandum d’intesa.

La norma impone misure di sicurezza avanzate, tra cui:

• cifratura dei dati personali durante trasmissione e trasporto dei supporti;
• protezione dell’infrastruttura da minacce;
• divieto di accesso ai dati operativi per i soggetti esterni eventualmente incaricati della manutenzione;
• mantenimento in capo all’Agenzia della gestione delle chiavi criptate.

L’articolo 10 consente all’Agenzia di implementare soluzioni tecniche per assicurare la disponibilità continua 24/7 dei sistemi, ma, se tali soluzioni richiedono duplicazione di sistemi o componenti, è obbligatoria una valutazione d’impatto e un’analisi costi-benefici indipendenti, oltre alla consultazione della Commissione e alla decisione favorevole del consiglio di amministrazione.

Qualità dei dati, interoperabilità e ricerca

L’articolo 12 obbliga l’Agenzia a collaborare con Commissione e gruppi consultivi per introdurre meccanismi automatizzati di controllo della qualità dei dati e indicatori comuni, oltre a un archivio centrale di relazioni e statistiche contenente solo dati anonimizzati. L’articolo 13 le assegna il compito di sviluppare le azioni necessarie per consentire l’interoperabilità, quando prevista da un atto dell’Unione.

L’articolo 14 attribuisce un ruolo di monitoraggio della ricerca in materia di gestione operativa dei sistemi e consente, su delega della Commissione, di contribuire all’attuazione delle parti del programma quadro di ricerca e innovazione dell’Unione concernenti i sistemi IT su larga scala. L’Agenzia deve riferire almeno una volta l’anno al Parlamento europeo, al Consiglio, alla Commissione e, per i profili di protezione dati, al Garante europeo della protezione dei dati.

Progetti pilota, prototipi, collaudi e supporto tecnico

L’articolo 15 disciplina l’impiego dell’Agenzia per progetti pilota, prototipi e attività di collaudo. Su richiesta esplicita e circostanziata della Commissione, con preavviso minimo di tre mesi a Parlamento e Consiglio e previa decisione positiva del consiglio di amministrazione, l’Agenzia può essere incaricata di realizzare progetti pilota ai sensi del regolamento finanziario dell’Unione. Gli stanziamenti relativi possono essere iscritti in bilancio per non più di due esercizi consecutivi.

Su richiesta della Commissione o del Consiglio e previo passaggio in consiglio di amministrazione, l’Agenzia può anche ricevere compiti di esecuzione del bilancio per prototipi finanziati nell’ambito dello strumento di sostegno per frontiere esterne e visti. Inoltre può programmare e condurre attività di collaudo su aspetti coperti dal regolamento e dai singoli atti settoriali.

L’articolo 16 consente agli Stati membri di chiedere consulenza per il collegamento tra sistemi nazionali e centrali. In caso di esigenze eccezionali di sicurezza o migrazione, è possibile presentare una richiesta di sostegno ad hoc tramite la Commissione. Il regolamento prevede anche che un gruppo di almeno cinque Stati membri possa affidare all’Agenzia lo sviluppo, la gestione o l’hosting di una componente IT comune, compresi strumenti tecnici per l’API/PNR, mediante accordo di delega, previa approvazione della Commissione e decisione favorevole del consiglio di amministrazione.

Sede, siti tecnici e organizzazione territoriale

L’Agenzia ha sede a Tallinn, mentre le attività di sviluppo e gestione operativa sono svolte nel sito tecnico di Strasburgo. A Sankt Johann im Pongau è installato un sito di riserva in grado di garantire il funzionamento dei sistemi in caso di guasto. I due siti possono essere utilizzati simultaneamente, purché il sito di riserva mantenga la sua funzione di backup.

Se la capacità dei siti esistenti diventa insufficiente, il consiglio di amministrazione può proporre un secondo sito tecnico distinto a Strasburgo o a Sankt Johann im Pongau, ma solo sulla base di una valutazione d’impatto e di un’analisi costi-benefici indipendenti e previa consultazione della Commissione.

Governance: consiglio di amministrazione, direttore esecutivo, vicedirettore e gruppi consultivi

La governance ruota intorno a tre organi: consiglio di amministrazione, direttore esecutivo e gruppi consultivi. Il consiglio di amministrazione è composto da un rappresentante per ciascuno Stato membro e da due rappresentanti della Commissione. Adotta il bilancio, la programmazione annuale e pluriennale, il regolamento interno, la strategia antifrode, le misure sui conflitti di interesse, le regole di sicurezza, gli accordi operativi e di sede, e nomina direttore esecutivo e vicedirettore esecutivo.

Tra i poteri più rilevanti del consiglio vi sono anche:

• adozione del documento unico di programmazione e della relazione annuale di attività;
• approvazione della regolamentazione finanziaria;
• nomina del contabile;
• adozione delle norme di sicurezza per informazioni classificate;
• adozione delle relazioni sul funzionamento dei sistemi;
• pubblicazione di statistiche e elenchi delle autorità competenti.

Il direttore esecutivo assicura la gestione dell’Agenzia, ne è il rappresentante legale e cura l’esecuzione dei compiti assegnati. Il suo mandato dura cinque anni ed è prorogabile una sola volta per non più di cinque anni. Il vicedirettore esecutivo è nominato dal consiglio di amministrazione su proposta del direttore esecutivo, con mandato di cinque anni rinnovabile una sola volta.

I gruppi consultivi SIS II, VIS, Eurodac ed EES-ETIAS forniscono competenze tecniche al consiglio di amministrazione, soprattutto per la programmazione annuale e la relazione annuale di attività. Vi partecipano Stati membri, Commissione e, in alcuni casi, paesi associati e agenzie UE come Europol, Eurojust e Frontex.

Personale, trasparenza, responsabilità e regime linguistico

Al personale dell’Agenzia, compreso il direttore esecutivo, si applicano lo statuto dei funzionari e il regime degli altri agenti. Il regolamento disciplina il distacco di esperti nazionali, il segreto professionale, la prevenzione dei conflitti di interesse e l’assenza di personale interinale per mansioni finanziarie sensibili.

Sul piano della trasparenza, si applica il regolamento (CE) n. 1049/2001, con obbligo per l’Agenzia di adottare modalità attuative e di garantire un’informazione tempestiva, obiettiva e comprensibile al pubblico. Il regime linguistico segue il regolamento n. 1 del Consiglio; il documento unico di programmazione e la relazione annuale di attività devono essere redatti in tutte le lingue ufficiali delle istituzioni dell’Unione.

La responsabilità contrattuale segue il diritto applicabile al contratto, mentre quella extracontrattuale comporta il risarcimento dei danni secondo i principi comuni agli ordinamenti degli Stati membri. La Corte di giustizia è competente nelle controversie indicate dal regolamento.

Protezione dei dati, sicurezza delle informazioni e sicurezza fisica

L’articolo 35 assoggetta il trattamento dei dati personali da parte dell’Agenzia al regolamento (UE) 2018/1725. L’articolo 36 limita le finalità del trattamento ai compiti operativi e amministrativi dell’Agenzia. Le misure di attuazione devono essere adottate dal consiglio di amministrazione previa consultazione del Garante europeo della protezione dei dati.

L’articolo 37 disciplina la protezione delle informazioni classificate UE e delle informazioni sensibili non classificate, facendo riferimento alle norme della Commissione e imponendo l’approvazione preventiva della Commissione per gli accordi di scambio con paesi terzi. L’articolo 38 attribuisce all’Agenzia la responsabilità della sicurezza dei propri edifici e locali, mentre gli Stati membri ospitanti devono adottare misure adeguate per l’ordine e la protezione nelle immediate vicinanze.

Bilancio, programmazione e controllo finanziario

Il capo V struttura il ciclo di programmazione e bilancio. Ogni anno il direttore esecutivo predispone il progetto di documento unico di programmazione e di stato di previsione, che il consiglio di amministrazione trasmette alla Commissione, al Parlamento europeo e al Consiglio entro il 31 gennaio; il documento è adottato entro il 30 novembre.

Le entrate dell’Agenzia comprendono:

• contributo dell’Unione;
• contributi dei paesi associati Schengen/Dublino/Eurodac;
• finanziamenti dell’Unione tramite accordi di delega;
• contributi degli Stati membri per servizi specifici;
• recupero costi da organi e organismi dell’Unione;
• contributi volontari degli Stati membri.

Il bilancio è in pareggio e copre retribuzioni, spese amministrative, infrastruttura e funzionamento. L’esecuzione è affidata al direttore esecutivo, mentre il controllo coinvolge Corte dei conti, Parlamento europeo, Consiglio, Commissione e, per i profili pertinenti, OLAF ed EPPO. È disciplinata anche la procedura di discarico del bilancio.

Modifiche agli atti SIS II e successione normativa

Gli articoli 51 e 52 modificano il regolamento (CE) n. 1987/2006 e la decisione 2007/533/GAI, attribuendo espressamente all’organo di gestione tutti i compiti connessi all’infrastruttura di comunicazione del SIS II. L’articolo 57 abroga il regolamento (UE) n. 1077/2011 e sostituisce quest’ultimo per gli Stati membri vincolati dal nuovo regolamento.

Le disposizioni transitorie assicurano la continuità delle funzioni del consiglio di amministrazione, dei gruppi consultivi e del direttore esecutivo già in carica, e preservano l’efficacia degli accordi e memorandum d’intesa conclusi dalla precedente Agenzia. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione ed è applicabile dall’11 dicembre 2018, con alcune disposizioni relative all’EPPO rinviate alla data stabilita dalla decisione della Commissione prevista dal regolamento (UE) 2017/1939.