Document ID: 32018Q0113(01)
Language: ITA

<table><col/><col/><col/><col/><tbody><tr><td><p>13.1.2018&#160;&#160;&#160;</p></td><td><p>IT</p></td><td><p>Gazzetta ufficiale dell'Unione europea</p></td><td><p>C 12/1</p></td></tr></tbody></table>
ACCORDO
tra il Parlamento europeo, il Consiglio europeo, il Consiglio dell’Unione europea, la Commissione europea, la Corte di giustizia dell’Unione europea, la Banca centrale europea, la Corte dei conti europea, il Servizio europeo per l’azione esterna, il Comitato economico e sociale europeo, il Comitato europeo delle regioni e la Banca europea per gli investimenti sull’organizzazione e il funzionamento della squadra di pronto intervento informatico delle istituzioni, degli organi e delle agenzie dell’Unione (CERT-UE)
(2018/C 12/01)
IL PARLAMENTO EUROPEO,
IL CONSIGLIO EUROPEO, IL CONSIGLIO DELL’UNIONE EUROPEA,
LA COMMISSIONE EUROPEA,
LA CORTE DI GIUSTIZIA DELL’UNIONE EUROPEA,
LA BANCA CENTRALE EUROPEA,
LA CORTE DEI CONTI EUROPEA,
IL SERVIZIO EUROPEO PER L’AZIONE ESTERNA,
IL COMITATO ECONOMICO E SOCIALE EUROPEO,
IL COMITATO EUROPEO DELLE REGIONI
E LA BANCA EUROPEA PER GLI INVESTIMENTI
considerando quanto segue:
<table><col/><col/><tbody><tr><td><p>(1)</p></td><td><p>Il rafforzamento della capacit&#224; di tutte le istituzioni, gli organi e le agenzie dell&#8217;Unione europea di far fronte alle vulnerabilit&#224; e alle minacce informatiche per prevenire, individuare e rispondere agli attacchi informatici contro le loro infrastrutture delle tecnologie dell&#8217;informazione e della comunicazione (TIC) rimane una grande priorit&#224; in quanto il funzionamento delle reti e dei sistemi TIC &#232; essenziale affinch&#233; possano assolvere la loro missione.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(2)</p></td><td><p>A seguito di un&#8217;iniziativa dei vicepresidenti della Commissione Neelie Kroes e Maro&#353; &#352;ev&#269;ovi&#269;, i segretari generali delle istituzioni e degli organi dell&#8217;Unione hanno deciso, nel maggio 2011, di costituire un gruppo per la preconfigurazione di una squadra di pronto intervento informatico delle istituzioni, degli organi e delle agenzie dell&#8217;Unione (CERT-UE) posta sotto la supervisione di un comitato direttivo interistituzionale.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(3)</p></td><td><p>Nel luglio 2012 i segretari generali hanno confermato le modalit&#224; pratiche e convenuto di mantenere il CERT-UE quale entit&#224; permanente per continuare a contribuire a migliorare il livello generale di sicurezza delle tecnologie dell&#8217;informazione delle istituzioni, degli organi e delle agenzie dell&#8217;Unione come esempio di cooperazione interistituzionale visibile in materia di cibersicurezza.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(4)</p></td><td><p>Dai riesami effettuati nel 2014 e nel 2016 &#232; emerso che il CERT-UE ha continuato a guadagnare in maturit&#224; e ha attualmente raggiunto una fase in cui dovrebbe essere istituzionalizzato con una governance e una struttura finanziaria pi&#249; sostenibili e trasparenti.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(5)</p></td><td><p>La direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio<a>&#160;(<span>1</span>)</a> (&#171;direttiva NIS&#187;) istituisce una rete di gruppi di intervento per la sicurezza informatica in caso di incidente (CSIRT), che si compone di rappresentanti dei CSIRT degli Stati membri e del CERT-UE, al fine di contribuire allo sviluppo della fiducia tra gli Stati membri e di promuovere una cooperazione operativa rapida ed efficace.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(6)</p></td><td><p>La struttura di governance del CERT-UE dovrebbe definire il ruolo e i compiti del CERT-UE, le responsabilit&#224; del suo capo, il ruolo e i compiti del comitato direttivo e le responsabilit&#224; delle istituzioni, degli organi e delle agenzie dell&#8217;Unione in materia di sostegno al CERT-UE.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(7)</p></td><td><p>Il CERT-UE dovrebbe essere dotato di risorse finanziarie e umane sostenibili, garantendo nel contempo un buon rapporto costi-benefici e un nucleo adeguato di personale permanente e mantenendo le spese generali amministrative al livello pi&#249; basso possibile.</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>(8)</p></td><td><p>Il presente accordo &#232; firmato dalle istituzioni e dagli organi dell&#8217;Unione partecipanti previo espletamento delle rispettive procedure interne previste a tal fine; le agenzie dell&#8217;Unione elencate nell&#8217;allegato I che sono responsabili delle proprie infrastrutture TIC hanno formalmente confermato per iscritto al presidente del comitato direttivo del CERT-UE che lo applicheranno,</p></td></tr></tbody></table>
HANNO CONCLUSO IL PRESENTE ACCORDO:
Articolo 1
Finalità e missione
1. Il presente accordo intende stabilire le norme per l’organizzazione e il funzionamento della squadra interistituzionale di pronto intervento informatico delle istituzioni, degli organi e delle agenzie dell’Unione («CERT-UE»).
2. La missione del CERT-UE consiste nel contribuire alla sicurezza delle infrastrutture TIC di tutte le istituzioni, gli organi e le agenzie dell’Unione («gli utenti») aiutandoli a prevenire, individuare, mitigare e rispondere agli attacchi informatici e fungendo per essi da piattaforma per lo scambio di informazioni in materia di cibersicurezza e il coordinamento della risposta in caso di incidenti.
Articolo 2
Compiti del CERT-UE
1. Il CERT-UE raccoglie, gestisce, analizza e condivide informazioni con gli utenti sulle minacce, le vulnerabilità e gli incidenti riguardanti le infrastrutture TIC non classificate. Coordina le risposte agli incidenti a livello interistituzionale e degli utenti, anche assicurando o coordinando la prestazione di assistenza operativa specializzata.
2. Il CERT-UE offre a tutti gli utenti servizi CERT standard. Il catalogo con la descrizione dettagliata dei servizi offerti dal CERT-UE e gli eventuali aggiornamenti del medesimo sono approvati dal comitato direttivo. In sede di revisione dell’elenco dei servizi, il capo del CERT-UE tiene conto delle risorse assegnategli.
3. Il CERT-UE può monitorare il traffico di rete di un utente con il consenso del medesimo.
4. Il CERT-UE può fornire assistenza ad un utente in relazione a incidenti riguardanti reti e sistemi informatici non classificati su esplicita richiesta dell’utente interessato.
5. Il CERT-UE non intraprende attività né interviene scientemente su questioni che rientrano nella competenza dei servizi di sicurezza e di intelligence nazionali o di dipartimenti specializzati degli utenti. Eventuali contatti con il CERT-UE avviati o cercati dai servizi di sicurezza e di intelligence nazionali sono comunicati senza indugio alla direzione Sicurezza della Commissione e al presidente del comitato direttivo del CERT-UE.
6. Il CERT-UE informa gli utenti delle sue procedure e dei suoi processi di gestione degli incidenti.
7. Il CERT-UE può, su esplicita richiesta dei dipartimenti politici degli utenti, fornire consulenza o contributi tecnici su importanti questioni strategiche.
Articolo 3
Cooperazione tra gli utenti e il CERT-UE
1. Il CERT-UE e gli utenti operano conformemente al principio «need-to-share» (principio di condivisione delle informazioni), fatto salvo il paragrafo 3. Il CERT-UE garantisce la disponibilità di mezzi di comunicazione efficaci per agevolare la condivisione delle informazioni con gli utenti.
2. Gli utenti forniscono al CERT-UE informazioni sulle minacce e le vulnerabilità in materia di cibersicurezza che li riguardano. Se il CERT-UE è a conoscenza di una minaccia o vulnerabilità che riguarda o può riguardare un utente, esso avvisa il prima possibile l’utente interessato fornendo tutte le informazioni pertinenti, incluso il livello di criticità, affinché possano essere attuate misure protettive o correttive. Il CERT-UE può fornire assistenza nel predisporre tali misure protettive o correttive. Gli altri utenti sono informati nell’eventualità che la minaccia o vulnerabilità possa riguardarli.
3. Gli utenti informano senza indebito ritardo il CERT-UE qualora subiscano un incidente informatico significativo e forniscono tutti i pertinenti dettagli tecnici, a meno che questo non rischi di compromettere gli interessi di sicurezza di un utente o di terzi. Ogni incidente è ritenuto significativo, a meno che non sia ricorrente o poco complesso e suscettibile di essere già inquadrato correttamente in termini di metodo e tecnologie. Le informazioni non tecniche possono essere condivise con il CERT-UE a discrezione dell’utente interessato. Le informazioni sugli incidenti comunicate al CERT-UE non sono condivise al di fuori del CERT-UE, neanche in forma anonima, a meno che l’utente interessato non abbia dato il proprio consenso. Per prepararsi a situazioni in cui le informazioni devono essere condivise rapidamente per proteggere le reti e i sistemi degli utenti, il CERT-UE lavora in anticipo con gli utenti sul modo di procedere.
4. Il CERT-UE, agendo in dialogo con gli utenti, tiene un catalogo delle competenze tecniche a loro disposizione da cui si potrebbe potenzialmente attingere, nei limiti dei mezzi e delle capacità disponibili, in caso di incidente informatico grave che riguardi uno o più di essi. Se del caso, il CERT-UE può organizzare e coordinare la condivisione di informazioni e il supporto tecnico direttamente tra gli utenti per affrontare un incidente informatico.
5. Nell’ambito delle sue attribuzioni, il CERT-UE coopera strettamente con l’Agenzia dell’Unione europea per la sicurezza delle reti e dell’informazione (ENISA) e con il Centro europeo per la lotta alla criminalità informatica di Europol.
6. Il CERT-UE condivide informazioni su incidenti specifici con le autorità di contrasto solo previo consenso dei servizi competenti dell’utente o degli utenti interessati.
7. Il CERT-UE tiene un registro di tutte le informazioni condivise con gli utenti e scambiate con altri soggetti. Gli utenti possono chiedere al CERT-UE di fornire dettagli delle informazioni che li riguardano condivise con altri soggetti.
8. In caso di necessità, il CERT-UE può stipulare, con ogni utente, accordi sul livello dei servizi o di cooperazione con riferimento alla fornitura di servizi CERT. Il CERT-UE può altresì stipulare accordi sul livello dei servizi o di cooperazione con riferimento alla fornitura di servizi CERT, dietro pagamento, per le operazioni civili dell’UE di gestione delle crisi ai sensi del titolo V, capo 2, del trattato sull’Unione europea. In ogni caso, tali accordi sul livello dei servizi o di cooperazione sono soggetti all’approvazione del comitato direttivo.
Articolo 4
Cooperazione del CERT-UE con i CERT degli Stati membri
1. Il CERT-UE coopera e scambia informazioni con i CERT o i CSIRT nazionali o governativi degli Stati membri su minacce, vulnerabilità e incidenti in materia di cibersicurezza, su possibili contromisure, nonché su tutte le questioni rilevanti per migliorare la protezione delle infrastrutture TIC degli utenti, anche tramite la rete di CSIRT di cui all’articolo 12 della direttiva NIS.
2. Il CERT-UE coopera con i CERT degli Stati membri per raccogliere informazioni su minacce generali e specifiche che gravano sugli utenti, come pure su strumenti o metodi, incluse tecniche, tattiche e procedure, migliori pratiche e vulnerabilità generali, con l’obiettivo di trasmetterle agli utenti. Il CERT-UE può scambiare informazioni su strumenti e metodi, incluse tecniche, tattiche e procedure, migliori pratiche e minacce e vulnerabilità generali con detti CERT.
3. Il CERT-UE può scambiare informazioni specifiche su un incidente con i suddetti CERT con il consenso dell’utente interessato.
Articolo 5
Cooperazione con i CERT di terzi e altri partner
1. Il CERT-UE può cooperare con CERT di specifici settori industriali e con CERT non UE riguardo a strumenti e metodi, quali tecniche, tattiche e procedure, migliori pratiche, nonché minacce e vulnerabilità generali. Per procedere a qualsiasi cooperazione con tali CERT, anche in ambiti in cui CERT non UE cooperano con i CERT degli Stati membri, il CERT-UE chiede l’approvazione preventiva del comitato direttivo.
2. Il CERT-UE può cooperare con altri partner, quali entità commerciali o singoli esperti, al fine di raccogliere informazioni su minacce generali e specifiche, vulnerabilità, nonché possibili contromisure. Per procedere a una più ampia cooperazione con tali partner, il CERT-UE chiede l’approvazione preventiva del comitato direttivo.
3. A condizione che esista un accordo o contratto di non divulgazione con il partner interessato, il CERT-UE può fornire a tali partner informazioni in merito a uno specifico incidente che ha colpito un utente, se questo vi acconsente, laddove il partner in questione possa contribuire alla sua analisi. Tali accordi o contratti di non divulgazione sono sottoposti a verifica giuridica in conformità delle pertinenti procedure interne della Commissione. La conclusione di accordi o contratti di non divulgazione non è subordinata alla preventiva approvazione del comitato direttivo, ma il suo presidente ne è informato.
4. In via eccezionale, il CERT-UE può stipulare accordi sul livello dei servizi con entità diverse dagli utenti, previa approvazione del comitato direttivo.
Articolo 6
Compiti del capo del CERT-UE
1. Il capo del CERT-UE è responsabile del buon funzionamento del CERT-UE, nei limiti delle sue attribuzioni e sotto la direzione del comitato direttivo. È responsabile dell’attuazione della direzione strategica, degli orientamenti, degli obiettivi e delle priorità definiti dal comitato direttivo, nonché della sana gestione del CERT-UE, incluse le sue risorse finanziarie e umane. Riferisce periodicamente al presidente del comitato direttivo.
2. Il capo del CERT-UE è vincolato dalle norme applicabili alla Commissione e agisce in qualità di ordinatore sottodelegato quando provvede all’esecuzione del bilancio generale dell’Unione europea, conformemente alle pertinenti norme interne della Commissione sulla delega di poteri e i limiti applicabili in tali casi. Agisce sotto l’autorità della Commissione esclusivamente per l’applicazione delle regole e procedure amministrative e finanziarie.
3. Il capo del CERT-UE presenta al comitato direttivo relazioni trimestrali sulle prestazioni del CERT-UE, sull’esecuzione del bilancio, sui contratti o sugli altri accordi conclusi e sulle missioni effettuate dal personale. Presenta inoltre al comitato direttivo una relazione annuale ai sensi dell’articolo 8, paragrafo 1, lettera e).
4. Il capo del CERT-UE assiste l’ordinatore delegato competente nell’elaborazione della relazione annuale di attività contenente informazioni finanziarie e di gestione, compresi i risultati dei controlli, redatta a norma dell’articolo 66, paragrafo 9, del regolamento finanziario, e riferisce periodicamente al medesimo in merito all’attuazione di misure per le quali sono stati subdelegati poteri al capo del CERT-UE.
5. Il capo del CERT-UE elabora annualmente una pianificazione finanziaria delle entrate e delle spese amministrative per le sue attività che deve essere approvata dal comitato direttivo conformemente all’articolo 8, paragrafo 1, lettera c).
Articolo 7
Comitato direttivo
1. Il comitato direttivo fornisce direzione strategica e orientamenti al CERT-UE e controlla l’attuazione delle sue priorità e dei suoi obiettivi generali. I suoi membri sono rappresentanti a livello di alta dirigenza designati da ciascuno dei firmatari del presente accordo, nonché dall’ENISA, che rappresenta gli interessi delle agenzie figuranti nell’allegato I che gestiscono le proprie infrastrutture TIC. I membri possono farsi assistere da un supplente. Altri rappresentanti degli utenti possono essere invitati dal presidente ad assistere alle riunioni del comitato direttivo.
2. Il comitato direttivo designa un presidente tra i suoi membri per un periodo di due anni. Il supplente del presidente diventa membro a pieno titolo del consiglio per la stessa durata.
3. Il comitato direttivo si riunisce su iniziativa del presidente o su richiesta di uno dei membri. Esso adotta il proprio regolamento interno.
4. Ciascuno dei firmatari del presente accordo e l’ENISA dispongono di un voto, espresso dal o dai membri corrispondenti. Salvo disposizioni contrarie, le decisioni del comitato direttivo sono adottate a maggioranza semplice. Il presidente non partecipa al voto, tranne in caso di parità di voti, nel qual caso può esprimere il voto decisivo.
5. Qualora siano necessarie decisioni urgenti per ragioni operative, il comitato direttivo può deliberare, in via eccezionale, con l’accordo del presidente e dei membri che rappresentano la Commissione europea, il Consiglio, il Parlamento europeo e l’utente o gli utenti interessati.
6. Il comitato direttivo può deliberare mediante una procedura scritta semplificata avviata dal presidente in base alla quale la decisione è considerata approvata entro il termine fissato dal presidente, salvo obiezioni da parte di uno dei membri.
7. Il capo del CERT-UE partecipa alle riunioni del comitato direttivo, salvo diversa decisione di quest’ultimo.
8. Il segretariato del comitato direttivo è assicurato dall’istituzione il cui rappresentante a livello di alta dirigenza ricopre la carica di presidente.
9. Il segretariato informa le agenzie dell’UE di cui all’allegato I delle decisioni adottate dal comitato direttivo. Ogni agenzia dell’UE ha facoltà di sottoporre al presidente del comitato direttivo questioni che ritiene debbano essere portate all’attenzione del comitato direttivo.
Articolo 8
Funzioni del comitato direttivo
1. Nel fornire direzione strategica e orientamenti al CERT-UE, il comitato direttivo, in particolare:
<table><col/><col/><tbody><tr><td><p>a)</p></td><td><p>approva, sulla base di una proposta del capo del CERT-UE, il programma di lavoro annuale del CERT-UE e ne controlla l&#8217;attuazione;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>b)</p></td><td><p>approva, sulla base di una proposta del capo del CERT-UE, il catalogo dei servizi offerti dal CERT-UE;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>c)</p></td><td><p>approva, sulla base di una proposta presentata dal capo del CERT-UE, la pianificazione finanziaria delle entrate e delle spese, anche in materia di personale, per le attivit&#224; del CERT-UE;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>d)</p></td><td><p>approva ogni anno, sulla base di una proposta del capo del CERT-UE, l&#8217;importo degli stanziamenti finanziari annuali da prevedere per servizi prestati agli utenti e a terzi in virt&#249; di accordi sul livello dei servizi conclusi con il CERT-UE;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>e)</p></td><td><p>esamina e approva la relazione annuale elaborata dal capo del CERT-UE riguardante le attivit&#224; del CERT-UE, nonch&#233; la gestione dei fondi da parte di quest&#8217;ultimo;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>f)</p></td><td><p>approva e controlla gli indicatori essenziali di prestazione per il CERT-UE definiti su proposta del capo del CERT-UE;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>g)</p></td><td><p>approva i documenti del CERT-UE che definiscono politiche generali e orientamenti volti a raccomandare agli utenti le buone pratiche da seguire in materia di sicurezza delle TIC;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>h)</p></td><td><p>approva gli accordi di cooperazione, gli accordi sul livello dei servizi o i contratti tra il CERT-UE e altre entit&#224; ai sensi dell&#8217;articolo 3, paragrafo 8, e dell&#8217;articolo 5, paragrafo 4;</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>i)</p></td><td><p>istituisce, ove necessario, gruppi di consulenza tecnica destinati ad assistere il comitato direttivo nel suo operato, approva il loro mandato e ne designa il presidente; e</p></td></tr></tbody></table>
<table><col/><col/><tbody><tr><td><p>j)</p></td><td><p>modifica l&#8217;elenco delle agenzie dell&#8217;Unione che applicano il presente accordo figurante nell&#8217;allegato I.</p></td></tr></tbody></table>
2. Il presidente può rappresentare o agire per conto del comitato direttivo secondo le modalità concordate dal comitato direttivo.
Articolo 9
Personale e questioni finanziarie
1. Pur essendo istituito come prestatore di servizi interistituzionale autonomo per l’insieme delle istituzioni, degli organi e delle agenzie dell’Unione, il CERT-UE è integrato nella struttura amministrativa di una direzione generale della Commissione al fine di beneficiare delle strutture di sostegno amministrativo e alla gestione finanziaria nonché di assistenza contabile della Commissione. La Commissione informa il comitato direttivo in merito alla collocazione amministrativa del CERT-UE e ad eventuali cambiamenti al riguardo.
2. La Commissione, dopo aver ottenuto l’approvazione unanime del comitato direttivo, nomina il capo del CERT-UE. Il comitato direttivo è consultato in tutte le fasi della procedura di nomina del capo del CERT-UE, in particolare nell’ambito della redazione degli avvisi di posto vacante, dell’esame delle candidature e della designazione delle commissioni giudicatrici in relazione a tale incarico.
3. I funzionari di tutte le istituzioni e gli organi dell’Unione sono informati in merito a qualsiasi avviso di posto vacante nell’ambito del CERT-UE.
4. Fatte salve le prerogative dell’autorità di bilancio dell’Unione, le istituzioni e gli organi dell’Unione che partecipano al presente accordo, ad eccezione della Corte dei conti europea, della Banca centrale europea e della Banca europea per gli investimenti, si impegnano a trasferire o assegnare al CERT-UE il numero di posti di cui all’allegato II entro l’esercizio finanziario 2019 o secondo quanto altrimenti previsto nell’allegato II. Il CERT-UE assicura la totalità dei suoi servizi alle istituzioni e agli organi dell’Unione che assegnano o trasferiscono i numeri di posti stabiliti. Il numero di posti di cui all’allegato II è rivisto almeno ogni cinque anni.
5. Il CERT-UE può concordare con le istituzioni e gli organi dell’Unione partecipanti l’assegnazione temporanea di personale supplementare al CERT-UE.
6. La Corte dei conti europea, la Banca centrale europea e la Banca europea per gli investimenti concludono accordi sul livello dei servizi riguardanti i servizi offerti dal CERT-UE, conformemente al suo catalogo di servizi e alla compensazione finanziaria annuale che ciascuno deve fornire in conformità dell’allegato II all’inizio di ogni esercizio finanziario a titolo di corrispettivo per i servizi prestati dal CERT-UE nel corso dell’esercizio precedente.
7. La compensazione finanziaria che ciascuna agenzia dell’Unione deve fornire per coprire i costi dei servizi prestati dal CERT-UE è concordata con le agenzie dell’Unione interessate ed è inclusa nel quadro amministrativo generale che disciplina la prestazione dei servizi della Commissione alle agenzie dell’Unione.
8. Il capo del CERT-UE comunica ogni anno l’importo della compensazione finanziaria annuale dovuta dagli utenti con accordi sul livello dei servizi con il CERT-UE ai sensi del paragrafo 6 e dalle agenzie dell’Unione ai sensi del paragrafo 7. Il comitato direttivo rivede ogni anno l’importo di tale compensazione finanziaria annuale.
9. La gestione finanziaria e di bilancio delle attività del CERT-UE, comprese le entrate con destinazione specifica provenienti da altre istituzioni o organi dell’Unione, è assicurata dalla Commissione in conformità del regolamento (UE, Euratom) n. 966/2012 del Parlamento europeo e del Consiglio ( 2 ) che stabilisce le regole finanziarie applicabili al bilancio generale dell’Unione e delle disposizioni e normative pertinenti. Gli stanziamenti o le entrate di bilancio assegnati al CERT-UE in forza di accordi sul livello dei servizi saranno specificamente indicati nella sua pianificazione finanziaria.
Articolo 10
Segreto professionale
Il CERT-UE e gli utenti trattano le informazioni ricevute da un altro utente o da terzi come soggette all’obbligo del segreto professionale ai sensi dell’articolo 339 del trattato sul funzionamento dell’Unione europea o di equivalenti quadri normativi applicabili. Non trasmettono tali informazioni a terzi, se non espressamente autorizzati a tal fine dall’utente o dal soggetto interessato.
Articolo 11
Protezione dei dati personali
Il trattamento dei dati personali effettuato in virtù del presente accordo è soggetto alle disposizioni del regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio ( 3 ) .
Articolo 12
Audit, domande e accesso del pubblico ai documenti
1. La funzione di revisore interno è svolta dal servizio di audit interno della Commissione nel rispetto delle disposizioni dell’articolo 10. Il comitato direttivo può suggerire gli audit che il servizio di audit interno della Commissione deve effettuare.
2. Il capo del CERT-UE è tenuto a rispondere alle domande del Mediatore europeo e del garante europeo della protezione dei dati conformemente alle procedure interne della Commissione.
3. Alle domande di accesso del pubblico a documenti in possesso del CERT-UE si applicano le procedure della Commissione ai sensi del regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio ( 4 ) , tenendo conto dell’obbligo previsto da tale regolamento di consultare gli altri utenti qualora la domanda riguardi loro documenti.
Articolo 13
Riesame
Il comitato direttivo riesamina regolarmente l’organizzazione e il funzionamento del CERT-UE tenendo conto dell’evoluzione delle minacce informatiche e della risposta dell’Unione alle stesse, comprese le priorità strategiche enunciate nella strategia dell’UE per la cibersicurezza. Può raccomandare alle istituzioni e agli organi partecipanti di riesaminare o modificare il presente accordo o rivolgere loro eventuali altre raccomandazioni relative al funzionamento efficace del CERT-UE.
Articolo 14
Campo di applicazione e data di messa in applicazione
1. Il presente accordo si applica alle istituzioni e agli organi dell’Unione firmatari del medesimo e alle agenzie dell’Unione che gestiscono le proprie infrastrutture TIC di cui all’allegato I.
2. Il presente accordo si applica a decorrere dalla data della firma. È pubblicato nella Gazzetta ufficiale dell’Unione europea .
Il presente accordo è redatto nelle seguenti lingue: bulgaro, croato, ceco, danese, neerlandese, inglese, estone, finlandese, francese, tedesco, greco, ungherese, italiano, lettone, lituano, maltese, polacco, portoghese, romeno, slovacco, sloveno, spagnolo e svedese, in un unico originale depositato presso il Segretariato generale del Consiglio dell’Unione europea che trasmette una copia autenticata a tutti i firmatari.
Fatto a Francoforte, Lussemburgo e Bruxelles, il 20 dicembre 2017
Per il Parlamento europeo
Il Segretario generale
K. WELLE
Per il Consiglio europeo e il Consiglio
Il Segretario generale
J. TRANHOLM-MIKKELSEN
Per la Commissione europea
Il Segretario generale
A. ITALIANER
Per la Corte di giustizia dell’Unione europea
Il direttore generale della DG Infrastrutture
F. SCHAFF
Per la Banca centrale europea
Il direttore generale per i sistemi informativi
K. DE GEEST
Il direttore dei servizi
M. DIEMER
Per la Corte dei conti europea
Il Segretario generale
E. RUIZ GARCÍA
Per il Servizio europeo per l’azione esterna
Il direttore generale del bilancio e dell’amministrazione
G. DI VITA
Per il Comitato economico e sociale europeo
Il Segretario generale
L. PLANAS PUCHADES
Per il Comitato europeo delle regioni
Il Segretario generale
J. BURIÁNEK
Per la Banca europea per gli investimenti
Direttore generale e controllore finanziario
P. KLAEDTKE
( 1 ) Direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio, del 6 luglio 2016, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione ( GU L 194 del 19.7.2016, pag. 1 ).
( 2 ) Regolamento (UE, Euratom) n. 966/2012 del Parlamento europeo e del Consiglio, del 25 ottobre 2012, che stabilisce le regole finanziarie applicabili al bilancio generale dell'Unione e che abroga il regolamento (CE, Euratom) n. 1605/2002 ( GU L 298 del 26.10.2012, pag. 1 ).
( 3 ) Regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati ( GU L 8 del 12.1.2001, pag. 1 ).
( 4 ) Regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio, del 30 maggio 2001, relativo all'accesso del pubblico ai documenti del Parlamento europeo, del Consiglio e della Commissione ( GU L 145 del 31.5.2001, pag. 43 ).
ALLEGATO I
Elenco delle agenzie dell’Unione di cui all’articolo 14, paragrafo 1
<table><col/><col/><tbody><tr><td><p>ACER</p></td><td><p>Agenzia per la cooperazione fra i regolatori nazionali dell&#8217;energia</p></td></tr><tr><td><p>Ufficio BEREC</p></td><td><p>Organismo dei regolatori europei delle comunicazioni elettroniche</p></td></tr><tr><td><p>UCVV</p></td><td><p>Ufficio comunitario delle variet&#224; vegetali</p></td></tr><tr><td><p>EU-OSHA</p></td><td><p>Agenzia europea per la sicurezza e la salute sul lavoro</p></td></tr><tr><td><p>Frontex</p></td><td><p>Agenzia europea della guardia di frontiera e costiera</p></td></tr><tr><td><p>eu-LISA</p></td><td><p>Agenzia europea per la gestione operativa dei sistemi IT su larga scala nello spazio di libert&#224;, sicurezza e giustizia</p></td></tr><tr><td><p>EASO</p></td><td><p>Ufficio europeo di sostegno per l&#8217;asilo</p></td></tr><tr><td><p>EASA</p></td><td><p>Agenzia europea per la sicurezza aerea</p></td></tr><tr><td><p>ABE</p></td><td><p>Autorit&#224; bancaria europea</p></td></tr><tr><td><p>ECDC</p></td><td><p>Centro europeo per la prevenzione e il controllo delle malattie</p></td></tr><tr><td><p>Cedefop</p></td><td><p>Centro europeo per lo sviluppo della formazione professionale</p></td></tr><tr><td><p>ECHA</p></td><td><p>Agenzia europea per le sostanze chimiche</p></td></tr><tr><td><p>AEA</p></td><td><p>Agenzia europea dell&#8217;ambiente</p></td></tr><tr><td><p>EFCA</p></td><td><p>Agenzia europea di controllo della pesca</p></td></tr><tr><td><p>EFSA</p></td><td><p>Autorit&#224; europea per la sicurezza alimentare</p></td></tr><tr><td><p>Eurofound</p></td><td><p>Fondazione europea per il miglioramento delle condizioni di vita e di lavoro</p></td></tr><tr><td><p>GSA</p></td><td><p>Agenzia del GNSS europeo</p></td></tr><tr><td><p>EIGE</p></td><td><p>Istituto europeo per l&#8217;uguaglianza di genere</p></td></tr><tr><td><p>EIOPA</p></td><td><p>Autorit&#224; europea delle assicurazioni e delle pensioni aziendali e professionali</p></td></tr><tr><td><p>EMSA</p></td><td><p>Agenzia europea per la sicurezza marittima</p></td></tr><tr><td><p>EMA</p></td><td><p>Agenzia europea per i medicinali</p></td></tr><tr><td><p>OEDT</p></td><td><p>Osservatorio europeo delle droghe e delle tossicodipendenze</p></td></tr><tr><td><p>ENISA</p></td><td><p>Agenzia dell&#8217;Unione europea per la sicurezza delle reti e dell&#8217;informazione</p></td></tr><tr><td><p>CEPOL</p></td><td><p>Agenzia dell&#8217;Unione europea per la formazione delle autorit&#224; di contrasto</p></td></tr><tr><td><p>Europol</p></td><td><p>Agenzia dell&#8217;Unione europea per la cooperazione nell&#8217;attivit&#224; di contrasto</p></td></tr><tr><td><p>ERA</p></td><td><p>Agenzia dell&#8217;Unione europea per le ferrovie</p></td></tr><tr><td><p>ESMA</p></td><td><p>Autorit&#224; europea degli strumenti finanziari e dei mercati</p></td></tr><tr><td><p>ETF</p></td><td><p>Fondazione europea per la formazione</p></td></tr><tr><td><p>FRA</p></td><td><p>Agenzia dell&#8217;Unione europea per i diritti fondamentali</p></td></tr><tr><td><p>EUIPO</p></td><td><p>Ufficio dell&#8217;Unione europea per la propriet&#224; intellettuale</p></td></tr><tr><td><p>Eurojust</p></td><td><p>Agenzia dell&#8217;Unione europea per la cooperazione giudiziaria penale</p></td></tr><tr><td><p>CdT</p></td><td><p>Centro di traduzione degli organismi dell&#8217;Unione europea</p></td></tr><tr><td><p>AED</p></td><td><p>Agenzia europea per la difesa</p></td></tr><tr><td><p>EIT</p></td><td><p>Istituto europeo di innovazione e tecnologia</p></td></tr><tr><td><p>IUESS</p></td><td><p>Istituto dell&#8217;Unione europea per gli studi sulla sicurezza</p></td></tr><tr><td><p>Satcen</p></td><td><p>Centro satellitare dell&#8217;Unione europea</p></td></tr><tr><td><p>SRB</p></td><td><p>Comitato di risoluzione unico</p></td></tr></tbody></table>
ALLEGATO II
Posti equivalenti a tempo pieno o contributi al bilancio impegnati dai partecipanti a favore del CERT-UE
POSTI DELLA TABELLA DELL’ORGANICO
<table><col/><col/><col/><tbody><tr><td><p>Istituzione/Organo</p></td><td><p>Percentuale relativa di personale UE</p></td><td><p>Posti equivalenti a tempo pieno corrispondenti da trasferire/assegnare al CERT- UE</p></td></tr><tr><td><p>Parlamento europeo</p></td><td><p>19,5  %</p></td><td><p>3<a>&#160;(<span>1</span>)</a></p></td></tr><tr><td><p>Consiglio europeo/Consiglio</p></td><td><p>9 %</p></td><td><p>2</p></td></tr><tr><td><p>Commissione<a>&#160;(<span>2</span>)</a></p></td><td><p>55 %</p></td><td><p>8</p></td></tr><tr><td><p>Corte di giustizia</p></td><td><p>6 %</p></td><td><p>1<a>&#160;(<span>3</span>)</a></p></td></tr><tr><td><p>Servizio europeo per l&#8217;azione esterna</p></td><td><p>4,5  %</p></td><td><p>1<a>&#160;(<span>4</span>)</a></p></td></tr><tr><td><p>Comitato economico e sociale europeo/Comitato europeo delle regioni</p></td><td><p>3,5  %</p></td><td><p>1<a>&#160;(<span>5</span>)</a></p></td></tr><tr><td><p>Corte dei conti europea</p></td><td><p>2,5  %</p></td><td><p>0<a>&#160;(<span>6</span>)</a></p></td></tr><tr><td><p>&#160;</p></td><td><p>TOTALE:</p></td><td><p>16</p></td></tr></tbody></table>
Impegni finanziari annuali destinati al CERT-UE
<table><col/><col/><tbody><tr><td><p>Banca centrale europea<a>&#160;(<span>7</span>)</a></p></td><td><p>120&#160;000  EUR<a>&#160;(<span>8</span>)</a></p></td></tr><tr><td><p>Banca europea per gli investimenti<a>&#160;(<span>9</span>)</a></p></td><td><p>120&#160;000  EUR<a>&#160;(<span>10</span>)</a></p></td></tr></tbody></table>
<note>
( 1 ) Il Parlamento europeo completerà il trasferimento dei due posti vacanti al più tardi nel quadro del bilancio 2021. Nel frattempo assicura di mantenere l'attuale impegno: mettere a disposizione del CERT-UE la metà dei posti equivalenti a tempo pieno e fornire il contributo finanziario annuale (120 000 EUR) stabilito in un accordo sul livello dei servizi.
( 2 ) Nel caso della Commissione, i posti saranno messi a disposizione del CERT-UE a livello interno. La Commissione fornisce inoltre un contributo in natura al CERT-UE sotto forma di uffici, logistica e infrastrutture informatiche. La percentuale relativa della tabella dell'organico riguardante il personale proveniente dalla Commissione non tiene conto dei posti negli uffici dell'Unione o nelle varie agenzie esecutive dell'Unione cui la Commissione fornisce infrastrutture informatiche.
( 3 ) La Corte di giustizia dell'Unione europea non può impegnarsi a trasferire un posto entro il termine previsto all'articolo 9, paragrafo 4. Fino a quando non sarà in grado di farlo, assicura di mantenere l'attuale impegno di fornire il contributo finanziario annuale stabilito in un accordo sul livello dei servizi.
( 4 ) Il Servizio europeo per l'azione esterna non può impegnarsi a trasferire un posto entro il termine previsto all'articolo 9, paragrafo 4. Fino a quando non sarà in grado di farlo, assicura di mantenere l'attuale impegno di fornire il contributo finanziario annuale stabilito in un accordo sul livello dei servizi.
( 5 ) Il Comitato economico e sociale europeo e il Comitato europeo delle regioni non possono impegnarsi a trasferire un posto entro il termine previsto all'articolo 9, paragrafo 4. Fino a quando non saranno in grado di farlo, assicurano di mantenere l'attuale impegno di mettere a disposizione due esperti a metà tempo.
( 6 ) Date le relative dimensioni della Corte dei conti europea, anziché trasferire un posto essa assumerà un impegno finanziario nei confronti del CERT-UE conformemente all'articolo 9, paragrafo 6.
( 7 ) Poiché la Banca centrale europea e la Banca europea per gli investimenti non sono soggette allo statuto dei funzionari dell'UE e non possono pertanto effettuare trasferimenti di posti, entrambe le entità continueranno a fornire un contributo finanziario annuale al CERT-UE in virtù di un accordo sul livello dei servizi conformemente all'articolo 9, paragrafo 6.
( 8 ) Tali importi possono subire modifiche secondo quanto previsto all'articolo 9, paragrafo 8.
( 9 ) Poiché la Banca centrale europea e la Banca europea per gli investimenti non sono soggette allo statuto dei funzionari dell'UE e non possono pertanto effettuare trasferimenti di posti, entrambe le entità continueranno a fornire un contributo finanziario annuale al CERT-UE in virtù di un accordo sul livello dei servizi conformemente all'articolo 9, paragrafo 6.
( 10 ) Tali importi possono subire modifiche secondo quanto previsto all'articolo 9, paragrafo 8.
</note>