Regolamento (UE) 2021/887

Regolamento (UE) 2021/887 sul Centro europeo di competenza per la cibersicurezza

Il regolamento istituisce una governance europea specifica per la cibersicurezza industriale, tecnologica e di ricerca, con l’obiettivo di rafforzare autonomia strategica, capacità industriali e diffusione dell’innovazione nell’Unione. La scelta normativa risponde alla frammentazione degli sforzi nazionali e alla necessità di concentrare investimenti, coordinare i programmi europei e ridurre la dipendenza da fornitori non europei.

Ambito di applicazione e struttura generale

Il testo disciplina tre pilastri: il Centro europeo di competenza, la rete dei centri nazionali di coordinamento e la comunità delle competenze in materia di cibersicurezza. Il Centro funge da snodo per l’attuazione della componente cibersicurezza di Orizzonte Europa e del Programma Europa digitale, mentre la rete e la comunità assicurano il collegamento con Stati membri, industria, ricerca, società civile e altri portatori di interessi.

Restano espressamente salve le competenze nazionali in materia di pubblica sicurezza, difesa, sicurezza nazionale e attività statale in ambito penale. Il regolamento si muove quindi principalmente nel perimetro civile, pur prevedendo sinergie con la dimensione della difesa e con gli altri strumenti dell’Unione.

Missione del Centro e obiettivi sostanziali

La missione del Centro e della rete è triplice:

• rafforzare la leadership e l’autonomia strategica dell’Unione in materia di cibersicurezza;
• sostenere resilienza, affidabilità e sicurezza delle infrastrutture, comprese quelle critiche;
• accrescere la competitività globale dell’industria europea della cibersicurezza e trasformare la cibersicurezza in un vantaggio competitivo per altri settori.

Gli obiettivi operativi consistono nel promuovere ricerca, innovazione e diffusione, rafforzare capacità, mezzi, competenze e infrastrutture, e contribuire a un ecosistema europeo integrato che coinvolga tutti i soggetti rilevanti.

Compiti strategici ed esecutivi del Centro

Il Centro non svolge compiti operativi di risposta agli incidenti o di monitoraggio tipici dei CSIRT, ma svolge funzioni di indirizzo, coordinamento e supporto. Sul piano strategico, sviluppa e monitora l’agenda, definisce priorità pluriennali, assicura sinergie con ENISA e con gli altri organi UE, coordina la rete e fornisce consulenza agli Stati membri.

Sul piano esecutivo, il Centro:

• stabilisce e attua il programma di lavoro annuale;
• gestisce le parti cibersicurezza di Orizzonte Europa e del Programma Europa digitale;
• sostiene start-up, PMI, microimprese, associazioni, esperti e progetti di tecnologia civica;
• facilita l’acquisizione e la diffusione di infrastrutture e servizi TIC;
• promuove la collaborazione tra domanda e offerta di soluzioni di cibersicurezza;
• favorisce il trasferimento dei risultati della ricerca in applicazioni e prodotti commerciali.

Centri nazionali di coordinamento e rete

Entro il 29 dicembre 2021 ciascuno Stato membro deve designare un centro nazionale di coordinamento, soggetto pubblico o a partecipazione pubblica maggioritaria con competenze o accesso alle competenze di cibersicurezza e capacità di dialogo con industria, pubblico, ricerca e cittadini. La Commissione può esprimere un parere sulla capacità di gestione dei fondi; il consiglio di direzione iscrive l’ente nell’elenco dei centri nazionali di coordinamento.

I centri nazionali agiscono come punti di contatto nazionali, contribuiscono ai compiti strategici del Centro, assistono i portatori di interessi nella preparazione delle domande di finanziamento, promuovono la partecipazione ai progetti transfrontalieri, diffondono risultati e possono concedere sostegno finanziario a terzi quando il Centro assegna loro una sovvenzione. La rete è composta da tutti i centri notificati dagli Stati membri.

Comunità delle competenze

La comunità riunisce organizzazioni industriali, accademiche, di ricerca, della società civile, organismi di normazione e, se del caso, enti pubblici o soggetti tecnici operanti nella cibersicurezza. Possono aderire soltanto enti stabiliti negli Stati membri e la registrazione richiede la verifica di competenze in almeno uno dei campi indicati dal regolamento.

L’adesione può essere revocata se vengono meno i requisiti o per motivi di sicurezza. Il regolamento mira a una rappresentanza equilibrata, con particolare attenzione alle PMI, e attribuisce alla comunità un ruolo consultivo stabile su agenda e programmi di lavoro, anche tramite il gruppo consultivo strategico.

Governance interna

La governance si articola in consiglio di direzione, direttore esecutivo e gruppo consultivo strategico.

Il consiglio di direzione è composto da un rappresentante per ciascuno Stato membro e da due rappresentanti della Commissione; ha mandato di indirizzo generale, adotta agenda, programmi di lavoro, bilancio, regole finanziarie, norme di trasparenza, regole sui conflitti di interesse, strategia antifrode e criteri di adesione alla comunità. Per le decisioni relative a specifiche materie finanziarie e di programma, la Commissione dispone del 26 % dei voti totali. Le decisioni ordinarie sono assunte, in mancanza di consenso, a maggioranza del 75 %.

Il direttore esecutivo è nominato dal consiglio di direzione su lista proposta dalla Commissione, con procedura aperta, trasparente e non discriminatoria. Ha mandato di quattro anni rinnovabile una sola volta ed è responsabile della gestione quotidiana, dell’esecuzione del bilancio, della preparazione del programma di lavoro e del controllo operativo del Centro.

Il gruppo consultivo strategico, composto da massimo 20 membri della comunità, fornisce consulenza strategica continuativa, organizza consultazioni pubbliche previa approvazione del consiglio di direzione e contribuisce a mantenere il collegamento tra Centro e portatori di interessi.

Finanziamento e azioni congiunte

Il finanziamento del Centro e delle azioni congiunte è articolato tra Unione e Stati membri. Il contributo dell’Unione al Centro comprende fino a 1 649 566 000 EUR dal Programma Europa digitale, di cui fino a 32 000 000 EUR per spese amministrative, oltre a risorse da Orizzonte Europa e, se necessario, da altri programmi UE.

Le azioni congiunte sono finanziate dall’Unione e da contributi volontari degli Stati membri, in forma finanziaria o in natura. Il regolamento dettaglia:

• il modo di calcolare e certificare i contributi nazionali;
• la possibilità di considerare come contributi in natura le spese ammissibili sostenute da centri nazionali e altri enti pubblici;
• la sospensione del diritto di voto dello Stato membro inadempiente;
• la facoltà della Commissione di ridurre o sospendere il proprio contributo in caso di mancato cofinanziamento statale.

Bilancio, controllo e responsabilità finanziaria

Il Centro predispone ogni anno il proprio stato di previsione e il bilancio, che devono essere in pareggio. L’esercizio finanziario coincide con l’anno solare. Il Centro presenta conti e relazione annuale di attività, che deve contenere dati dettagliati su azioni, beneficiari, PMI, Stati membri, spese e coerenza con gli obiettivi strategici.

Sono previste regole specifiche per la tutela degli interessi finanziari dell’Unione, con accesso della Commissione, della Corte dei conti e dell’OLAF a locali e informazioni, controlli sul posto e clausole contrattuali vincolanti per beneficiari e terzi. Il Centro risponde contrattualmente secondo la legge applicabile e, per la responsabilità extracontrattuale, secondo i principi generali comuni agli ordinamenti degli Stati membri; l’Unione e gli Stati membri rispondono solo entro il limite dei rispettivi contributi già versati per spese amministrative.

Trasparenza, accesso ai documenti, dati personali e conflitti di interesse

Il regolamento impone un elevato livello di trasparenza, la pubblicazione delle informazioni rilevanti, delle dichiarazioni di interessi e del regolamento interno. Si applica il regolamento (CE) n. 1049/2001 sull’accesso del pubblico ai documenti e il regolamento (UE) 2018/1725 sulla protezione dei dati personali.

Il consiglio di direzione deve adottare regole per prevenire, individuare e gestire i conflitti di interesse riguardanti membri, organi e personale. Sono previste anche norme di sicurezza per le informazioni classificate e sensibili non classificate, con riferimento alle decisioni della Commissione in materia di sicurezza.

Monitoraggio, valutazione e durata

Le attività del Centro sono soggette a monitoraggio continuo e valutazioni periodiche. La Commissione deve presentare una relazione sull’attuazione al Parlamento europeo e al Consiglio entro il 30 giugno 2024; successivamente effettua una valutazione finale per stabilire se sia opportuno prorogare il mandato del Centro oltre il 31 dicembre 2029.

Il Centro è istituito per il periodo dal 28 giugno 2021 al 31 dicembre 2029. In assenza di proroga legislativa, al termine del periodo è avviata automaticamente la liquidazione, con distribuzione delle eventuali eccedenze tra Unione e Stati membri proporzionalmente ai contributi finanziari.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.