REGULAMENTO (UE) 2021/887 DO PARLAMENTO EUROPEU E DO CONSELHO

de 20 de maio de 2021

que cria o Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança e a Rede de Centros Nacionais de Coordenação

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 173.o, n.o 3, e o artigo 188.o, primeiro parágrafo,

Tendo em conta a proposta da Comissão Europeia,

Após a transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Comité Económico e Social Europeu (1),

Deliberando de acordo com o processo legislativo ordinário (2),

Considerando o seguinte:

(1) A maior parte da população da União está ligada à Internet. A vida quotidiana das pessoas e as economias estão cada vez mais dependentes das tecnologias digitais. Os cidadãos e as empresas estão cada vez mais expostos a incidentes de cibersegurança graves e muitas empresas na União são confrontadas com, pelo menos, um incidente de cibersegurança todos os anos. Essa situação realça a necessidade de resiliência, de aumentar as capacidades tecnológica e industrial e de aplicação de normas de cibersegurança elevadas e soluções holísticas de cibersegurança, que envolvam pessoas, produtos, processos e tecnologia na União, bem como a necessidade da liderança da União nos domínios da cibersegurança e da autonomia digital. A cibersegurança pode também ser melhorada através de uma maior sensibilização para as ameaças de cibersegurança e do desenvolvimento de competências, capacidades e aptidões em toda a União, tendo ao mesmo tempo plenamente em conta as preocupações e implicações societais e éticas.

(2) A União tem aumentado continuamente as suas atividades para responder aos desafios crescentes de cibersegurança no seguimento da estratégia para a cibersegurança apresentada pela Comissão e pela alta-representante da União para os Negócios Estrangeiros e a Política de Segurança («alta-representante») na sua Comunicação conjunta ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões de 7 de fevereiro de 2013, intitulada «Estratégia da União Europeia para a cibersegurança: Um ciberespaço aberto, seguro e protegido» («Estratégia para a Cibersegurança de 2013»). A Estratégia para a Cibersegurança de 2013 destinava-se a promover um ecossistema de cibersegurança fiável, seguro e aberto. Em 2016, a União adotou as primeiras medidas no domínio da cibersegurança através da Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (3) relativa à segurança das redes e da informação.

(3) Em setembro de 2017, a Comissão e a alta-representante apresentaram uma Comunicação conjunta ao Parlamento Europeu e ao Conselho intitulada «Resiliência, dissuasão e defesa: reforçar a cibersegurança na UE», com o intuito de reforçar a resiliência e a capacidade de dissuasão e de resposta a ciberataques da União.

(4) Os chefes de Estado ou de Governo presentes na Cimeira Digital de Taline, em setembro de 2017, apelaram a que a Comissão se tornasse um líder mundial em cibersegurança até 2025, para assegurar a confiança e a proteção dos cidadãos, consumidores e empresas em linha e permitir uma Internet livre, mais segura e regida pela lei e afirmaram a sua intenção de recorrerem mais a soluções de código fonte aberto e normas abertas aquando da (re)construção de sistemas e soluções de tecnologias de informação e comunicação (TIC), designadamente para evitar a dependência do vendedor, incluindo as soluções e normas desenvolvidas ou promovidas no âmbito dos programas da União em matéria de interoperabilidade e normalização, tais como a ISA2.

(5) O Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança («Centro de Competências»), criado pelo presente regulamento, deverá contribuir para aumentar a segurança das redes e dos sistemas de informação, designadamente da Internet e de outras infraestruturas críticas para o funcionamento da sociedade, tais como os transportes, a saúde, a energia, as infraestruturas digitais, a água, os mercados financeiros e os sistemas bancários.

(6) A perturbação substancial das redes e dos sistemas de informação pode afetar cada um dos Estados-Membros e o conjunto da União. Um nível elevado de segurança das redes e dos sistemas de informação em toda a União é essencial tanto para a sociedade como para a economia. Presentemente, a União depende de prestadores de serviços de cibersegurança não europeus. Contudo, é do interesse estratégico da União assegurar que conserva e desenvolve capacidades tecnológicas e de investigação essenciais em matéria de cibersegurança para proteger as redes e os sistemas de informação dos cidadãos e das empresas, em especial para proteger as redes e os sistemas de informação críticos e prestar serviços fundamentais de cibersegurança.

(7) A União dispõe de conhecimentos especializados e de experiência consideráveis em matéria de investigação, tecnologia e desenvolvimento industrial no domínio da cibersegurança, mas os esforços das comunidades industriais e de investigação estão fragmentados, carecendo de harmonização e de uma missão comum, o que compromete a competitividade e a proteção eficaz das redes e dos sistemas nesse domínio. Esses esforços e conhecimentos especializados necessitam de ser mutualizados, ligados em rede e utilizados de modo eficiente para reforçar e complementar as capacidades e competências tecnológicas, de investigação e industriais existentes a nível da União e a nível nacional. Embora o setor das TIC enfrente importantes desafios, como, por exemplo, dar resposta à procura de trabalhadores qualificados, pode beneficiar da representação da diversidade da sociedade em geral, alcançando uma representação equilibrada dos géneros, da diversidade étnica e da não discriminação das pessoas com deficiência, bem como facilitando o acesso ao conhecimento e à formação de futuros peritos em matéria de cibersegurança, incluindo a educação desses peritos em contextos não formais, por exemplo, em projetos de software livre e de fonte aberta, projetos de tecnologia colaborativa, empresas em fase de arranque e microempresas.

(8) As pequenas e médias empresas (PME) são partes interessadas cruciais no setor da cibersegurança da União e podem fornecer soluções de ponta devido à sua agilidade. No entanto, as PME que não são especializadas em cibersegurança podem ser mais vulneráveis a incidentes de cibersegurança devido aos elevados requisitos de investimento e conhecimentos necessários para a criação de soluções eficazes de cibersegurança. Por conseguinte, é necessário que o Centro de Competências e a Rede de Centros Nacionais de Coordenação («Rede») prestem apoio às PME, facilitando o acesso destas ao conhecimento e, através de um acesso específico, aos resultados da investigação e desenvolvimento, de modo a permitir-lhes proteger-se adequadamente e assegurarem que as PME ativas no domínio da cibersegurança sejam competitivas e contribuam para a liderança da União no domínio da cibersegurança.

(9) Existem conhecimentos especializados para lá dos contextos industriais e de investigação. Os projetos não comerciais e pré-comerciais, designados projetos «de tecnologia colaborativa», utilizam normas abertas, dados abertos e software livre e de fonte aberta, no interesse da sociedade e do bem público.

(10) O domínio da cibersegurança é diversificado. As partes interessadas pertinentes incluem partes interessadas que provêm das entidades públicas, dos Estados-Membros e da União, bem como da indústria, da sociedade civil, como, por exemplo, sindicatos, associações de consumidores, a comunidade de software livre e de fonte aberta e a comunidade académica e de investigação, e de outras entidades.

(11) As Conclusões do Conselho adotadas em novembro de 2017 instaram a Comissão a apresentar rapidamente uma avaliação de impacto sobre as possíveis opções para criar uma rede de centros de competências em matéria de cibersegurança e um centro europeu de investigação e de competências em matéria de cibersegurança e a propor o instrumento jurídico pertinente até meados de 2018 para a criação dessa rede e desse centro.

(12) A União carece ainda de capacidades e aptidões tecnológicas e industriais suficientes para garantir de forma autónoma a segurança da sua economia e das suas infraestruturas críticas e para se tornar um líder mundial no domínio da cibersegurança. Existe um nível insuficiente de coordenação e cooperação estratégicas e sustentáveis entre as indústrias, as comunidades de investigação no domínio da cibersegurança e os poderes públicos. A União padece de um investimento insuficiente e de um acesso limitado aos conhecimentos, às competências e às instalações de cibersegurança, sendo poucas as realizações da investigação e da inovação da União no domínio da cibersegurança que se traduzem em soluções comercializáveis ou amplamente implantadas na economia.

(13) A criação do Centro de Competências e da Rede, com um mandato para pôr em prática medidas de apoio às tecnologias industriais e no domínio da investigação e inovação, é a melhor opção para realizar os objetivos do presente regulamento ao mesmo tempo que oferece o maior impacto económico, societal e ambiental e salvaguarda os interesses da União.

(14) O Centro de Competências deverá ser o principal instrumento da União para pôr em comum os investimentos em investigação, tecnologia e desenvolvimento industrial no domínio da cibersegurança e para executar os projetos e iniciativas relevantes juntamente com a Rede. O Centro de Competências deverá gerir o apoio financeiro relacionado com a cibersegurança ao abrigo do Horizonte Europa – Programa-Quadro de Investigação e Inovação («Horizonte Europa»), criado pelo Regulamento (UE) 2021/695 do Parlamento Europeu e do Conselho (4), e do Programa Europa Digital, criado pelo Regulamento (UE) 2021/694 do Parlamento Europeu e do Conselho (5), e deverá estar aberto a outros programas, se for caso disso. Esta abordagem deverá contribuir para criar sinergias e coordenar o apoio financeiro relacionado com iniciativas da União em matéria da investigação e desenvolvimento, da inovação, da tecnologia e do desenvolvimento industrial no domínio da cibersegurança e deverá evitar uma duplicação desnecessária.

(15) É importante assegurar o respeito pelos direitos fundamentais e a conduta ética nos projetos de investigação de cibersegurança financiados pelo Centro de Competências.

(16) O Centro de Competências não deverá desempenhar tarefas operacionais de cibersegurança, como as que estão associadas às equipas de resposta a incidentes de segurança informática (CSIRT, do inglês Computer Security Incident Response Teams), nomeadamente o acompanhamento e o tratamento de incidentes de cibersegurança. No entanto, o Centro de Competências deverá poder facilitar o desenvolvimento de infraestruturas de TIC ao serviço da indústria, em especial das PME, das comunidades de investigação, da sociedade civil e do setor público, em coerência com a missão e os objetivos estabelecidos no presente regulamento. Sempre que as CSIRT e outras partes interessadas procurem promover a comunicação e divulgação de vulnerabilidades, o Centro de Competências e os membros da Comunidade de Competências de Cibersegurança («Comunidade») deverão poder apoiar essas partes interessadas, a pedido destas, nos limites das respetivas atribuições, e evitando simultaneamente duplicações com a Agência da União Europeia para a Cibersegurança (ENISA), criada pelo Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho (6).

(17) O Centro de Competências, a Comunidade e a Rede deverão beneficiar da experiência e da ampla e relevante representação das partes interessadas pertinentes conseguidas por intermédio da parceria público-privada contratual no domínio da cibersegurança entre a Comissão e a Organização Europeia para a Cibersegurança (ECSO, do inglês European Cyber Security Organisation) durante a vigência do Horizonte 2020 - Programa-Quadro de Investigação e Inovação (2014-2020), criado pelo Regulamento (UE) n.o 1291/2013 do Parlamento Europeu e do Conselho (7), e dos ensinamentos retirados de quatro projetos-piloto lançados no início de 2019 ao abrigo do Horizonte 2020, a saber, CONCORDIA, ECHO, SPARTA e CyberSec4Europe, e do projeto-piloto e da ação preparatória sobre auditorias de software livre e de fonte aberta (EU FOSSA, do inglês Free and Open Source Software Audits), para a gestão da Comunidade e a representação da Comunidade no Centro de Competências.

(18) Atendendo à dimensão dos desafios que a cibersegurança coloca e aos investimentos em capacidades e aptidões de cibersegurança feitos noutras partes do mundo, a União e os Estados-Membros deverão ser incentivados a reforçar o apoio financeiro à investigação, ao desenvolvimento e à implantação neste domínio. A fim de alcançar economias de escala e um nível de proteção equiparável em toda a União, os Estados-Membros deverão congregar os seus esforços num quadro da União, contribuindo ativamente para os trabalhos do Centro de Competências e da Rede.

(19) A fim de promover, a nível internacional, a competitividade da União e normas de cibersegurança elevadas, o Centro de Competências e a Comunidade deverão ter o objetivo de proceder ao intercâmbio com a comunidade internacional sobre a evolução em matéria de cibersegurança, nomeadamente de produtos e processos, normas e normas técnicas, sempre que pertinente para a missão, os objetivos e as atribuições do Centro de Competências. Para efeitos do presente regulamento, as normas técnicas pertinentes poderão incluir a criação de aplicações de referência, nomeadamente as lançadas com licenças-tipo abertas digitais.

(20) O Centro de Competências tem sede em Bucareste.

(21) Ao elaborar o seu programa de trabalho anual («programa de trabalho anual»), o Centro de Competências deverá informar a Comissão das suas necessidades de cofinanciamento com base nas contribuições dos Estados-Membros previstas a título de cofinanciamento de ações conjuntas, para que a Comissão possa ter em conta a correspondente contribuição da União aquando da elaboração do projeto de orçamento geral da União para o exercício seguinte.

(22) Caso elabore o programa de trabalho do Horizonte Europa em matérias relacionadas com a cibersegurança, inclusive no contexto do seu procedimento de consulta das partes interessadas, em especial antes da adoção do referido programa de trabalho, a Comissão deverá ter em conta o contributo do Centro de Competências e deverá partilhar esse contributo com o Comité do Programa do Horizonte Europa.

(23) A fim de possibilitar ao Centro de Competências desempenhar o seu papel no domínio da cibersegurança, de facilitar o envolvimento da Rede e de assegurar que os Estados-Membros tenham um papel importante na governação, o Centro de Competências deverá ser criado sob a forma de um organismo da União com personalidade jurídica, ao qual deve ser aplicável o Regulamento Delegado (UE) 2019/715 da Comissão (8). O Centro de Competências deverá desempenhar um duplo papel, executando tarefas específicas em matéria de indústria, tecnologia e investigação no domínio da cibersegurança nos termos do presente regulamento e gerindo o financiamento relacionado com a cibersegurança proveniente em simultâneo de vários programas, nomeadamente do Horizonte Europa e do Programa Europa Digital e, eventualmente, também de outros programas da União. Essa gestão terá de ser feita nos termos das regras aplicáveis a esses programas. No entanto, dado que o financiamento destinado ao funcionamento do Centro de Competências provirá principalmente do Horizonte Europa e do Programa Europa Digital, é necessário que o Centro de Competências seja considerado uma parceria para efeitos da execução orçamental, incluindo durante a fase de programação.

(24) Devido à contribuição da União, o acesso aos resultados das atividades e projetos do Centro de Competências deve ser tão aberto quanto possível e tão restrito quanto necessário, devendo a reutilização desses resultados ser possível se for caso disso.

(25) O Centro de Competências deverá facilitar e coordenar o trabalho da Rede. A Rede deverá ser constituída por um centro nacional de coordenação de cada Estado-Membro. Os centros nacionais de coordenação que tenham sido reconhecidos pela Comissão como tendo a necessária capacidade de gerir os fundos de modo a cumprirem a missão e os objetivos estabelecidos no presente regulamento, deverão receber apoio financeiro direto da União, nomeadamente subvenções concedidas sem convite à apresentação de propostas, a fim de efetuarem as suas atividades relacionadas com o presente regulamento.

(26) Os centros nacionais de coordenação deverão ser entidades do setor público ou entidades com uma participação pública maioritária, que desempenhem funções de administração pública nos termos das disposições do direito nacional, inclusive por delegação, e deverão ser selecionados pelos Estados-Membros. Deverá ser possível que as funções de centro nacional de coordenação num determinado Estado-Membro sejam executadas por uma entidade que desempenhe outras funções ao abrigo do direito da União, como por exemplo as funções de autoridade nacional competente, de ponto de contacto único na aceção da Diretiva (UE) 2016/1148 ou de qualquer outro regulamento da União, ou as funções de polo de inovação digital na aceção do Regulamento (UE) 2021/694. Outras entidades do setor público ou entidades que desempenhem funções de administração pública num Estado-Membro deverão poder prestar assistência ao centro nacional de coordenação do Estado-Membro em causa no exercício das suas funções.

(27) Os centros nacionais de coordenação deverão ter a capacidade administrativa necessária, deverão possuir ou ter acesso a conhecimentos industriais, tecnológicos e de investigação especializados em matéria de cibersegurança e deverão estar em condições de assegurarem um diálogo e coordenação eficazes com a indústria, o setor público e a comunidade de investigação.

(28) A educação nos Estados-Membros deverá refletir a importância de uma sensibilização e das competências adequadas em matéria de cibersegurança. Para esse efeito, tendo em conta o papel da ENISA e sem prejuízo das competências dos Estados-Membros em matéria de educação, os centros nacionais de coordenação, juntamente com as autoridades públicas e as partes interessadas pertinentes, deverão contribuir para a promoção e difusão de programas educativos em matéria de cibersegurança.

(29) Os centros nacionais de coordenação deverão poder receber subvenções do Centro de Competências, a fim de prestarem apoio financeiro a terceiros sob a forma de subvenções. Os custos diretos incorridos pelos centros nacionais de coordenação para a prestação e a gestão do apoio financeiro a terceiros deverão ser elegíveis para financiamento no quadro dos programas pertinentes.

(30) O Centro de Competências, a Rede e a Comunidade deverão contribuir para o avanço e a difusão dos mais recentes produtos, serviços e processos de cibersegurança. Ao mesmo tempo, o Centro de Competências e a Rede deverão promover as aptidões de cibersegurança dos setores do lado da procura, nomeadamente através da prestação de apoio aos programadores e operadores em setores como os transportes, a energia, a saúde, as finanças, a administração pública, as telecomunicações, a indústria transformadora e o espaço, para ajudar os programadores e operadores a resolver os seus problemas de cibersegurança, como, por exemplo, a aplicação da abordagem de segurança desde a conceção. O Centro de Competências e a Rede deverão ainda apoiar a normalização e a implantação de produtos, serviços e processos de cibersegurança, promovendo simultaneamente, sempre que possível, a aplicação do enquadramento europeu para a certificação da cibersegurança tal como estabelecido no Regulamento (UE) 2019/881.

(31) Tendo em conta a rápida evolução das ciberameaças e da cibersegurança, a União tem de ser capaz de se adaptar rápida e continuamente a novos desenvolvimentos no domínio. Por conseguinte, o Centro de Competências, a Rede e a Comunidade deverão ser suficientemente flexíveis para garantir a aptidão necessária para responder a esses desenvolvimentos. Deverão facilitar projetos que ajudem as entidades a estar aptas a desenvolver constantemente aptidões para melhorar a sua resiliência e a resiliência da União.

(32) O Centro de Competências deverá apoiar a Comunidade. O Centro de Competências deverá aplicar as vertentes relevantes em matéria de cibersegurança do Horizonte Europa e do Programa Europa Digital em conformidade com o programa de trabalho plurianual do Centro de Competências («programa de trabalho plurianual»), com o programa de trabalho anual e com o processo de planeamento estratégico do Horizonte Europa, através da atribuição de subvenções e de outras formas de financiamento, principalmente na sequência de um convite concorrencial à apresentação de propostas. O Centro de Competências deverá também facilitar a transferência de conhecimentos especializados na Rede e na Comunidade e deverá apoiar o investimento conjunto da União, dos Estados-Membros ou do setor industrial. O Centro de Competências deverá dar particular atenção à prestação de apoio às PME no domínio da cibersegurança, bem como a ações que contribuam para colmatar o défice de competências.

(33) A assistência técnica para a preparação dos projetos deverá ser prestada de forma totalmente objetiva e transparente, a fim de garantir que todos os potenciais beneficiários recebem as mesmas informações, e deve evitar conflitos de interesses.

(34) O Centro de Competências deverá estimular e apoiar a cooperação e coordenação estratégicas a longo prazo das atividades da Comunidade, o que envolverá um grupo amplo, aberto, interdisciplinar e diversificado das partes interessadas europeias envolvidas no domínio da tecnologia de cibersegurança. A Comunidade deverá incluir entidades de investigação, indústrias e o setor público. A Comunidade deverá contribuir para as atividades do Centro de Competências, para o programa de trabalho plurianual e para o programa de trabalho anual, nomeadamente através do Grupo Consultivo Estratégico. A Comunidade deverá também beneficiar das atividades de reforço de comunidades do Centro de Competências e da Rede, mas, por outro lado, não deverá ser privilegiada no tocante aos convites à apresentação de propostas ou aos concursos públicos. A Comunidade deverá ser constituída por organismos coletivos e organizações. Ao mesmo tempo, a fim de beneficiar de todos os conhecimentos especializados em cibersegurança na União, o Centro de Competências e os seus organismos deverão poder também recorrer aos conhecimentos especializados de pessoas singulares enquanto peritos ad hoc.

(35) O Centro de Competências deverá cooperar e criar sinergias com a ENISA e deverá receber contributos relevantes da ENISA quando definir as prioridades de financiamento.

(36) A fim de responder às necessidades em matéria de cibersegurança do lado da oferta e do lado da procura, a missão do Centro de Competências de prestar conhecimentos e assistência técnica em matéria de cibersegurança às indústrias deverá referir-se aos produtos, processos e serviços de TIC e a todos os demais produtos e processos tecnológicos nos quais a cibersegurança tem de ser incorporada. Se o solicitar, o setor público poderá também beneficiar do apoio do Centro de Competências.

(37) A fim de estabelecer um ambiente sustentável de cibersegurança, é importante que a abordagem de segurança desde a conceção seja utilizada como princípio no processo de desenvolvimento, manutenção, funcionamento e atualização de infraestruturas, produtos e serviços, nomeadamente através do apoio aos mais modernos métodos de desenvolvimento seguros, ensaios de segurança adequados e auditorias de segurança, e através da disponibilização sem demora de atualizações que corrijam vulnerabilidades ou ameaças conhecidas e, sempre que possível, através da possibilidade de terceiros criarem e fornecerem atualizações para além do respetivo fim de vida dos produtos. É necessário garantir a segurança desde a conceção ao longo da vida útil dos produtos, serviços ou processos de TIC, através de processos de desenvolvimento em evolução constante de modo a reduzir os prejuízos causados por uma utilização maliciosa.

(38) Enquanto o Centro de Competências e a Rede deverão procurar aumentar as sinergias e a coordenação entre as esferas civil e militar da cibersegurança, os projetos ao abrigo do presente regulamento financiados pelo Horizonte Europa deverão ser executados nos termos do Regulamento (UE) 2021/695, que prevê que as atividades de investigação e inovação realizadas ao abrigo do Horizonte Europa devem incidir exclusivamente sobre aplicações civis.

(39) O presente regulamento aplica-se principalmente a questões civis, mas as atividades dos Estados-Membros ao abrigo do mesmo podem refletir as especificidades dos Estados-Membros nos casos em que a política de cibersegurança é prosseguida por autoridades que realizam atribuições tanto civis como militares, deverão procurar a complementaridade e deverão evitar sobreposições com instrumentos de financiamento relacionados com a defesa.

(40) O presente regulamento deverá garantir a responsabilidade e a transparência do Centro de Competências e das empresas que beneficiem de financiamento, em consonância com os regulamentos pertinentes do programa.

(41) A execução de projetos de implantação, em particular os projetos de implantação relacionados com infraestruturas e aptidões implantadas a nível da União ou através de aquisições conjuntas, poderá ser dividida em diferentes fases, tais como concursos separados para a conceção de hardware e software, a sua produção e o seu funcionamento e manutenção, embora as empresas apenas possam participar numa das fases e, se for caso disso, poderá ser exigido que os beneficiários em uma ou várias dessas fases sejam obrigados a cumprir determinadas condições em termos de propriedade ou controlo europeus.

(42) Atendendo aos seus conhecimentos especializados em cibersegurança e ao seu mandato como ponto de referência para o aconselhamento e os conhecimentos especializados em matéria de cibersegurança para as instituições, órgãos e organismos da União, e para as partes interessadas pertinentes da União, e atendendo aos contributos que disponibiliza no âmbito das suas atribuições, a ENISA deverá desempenhar um papel ativo nas atividades do Centro de Competências, inclusive na elaboração da Agenda, evitando a duplicação das respetivas atribuições, nomeadamente através do seu papel de observador permanente no Conselho de Administração do Centro de Competências. No que diz respeito à elaboração da Agenda, do programa de trabalho anual e do programa de trabalho plurianual, o diretor-executivo do Centro de Competências e o Conselho de Administração deverão ter em conta o aconselhamento estratégico e contributos pertinentes prestados pela ENISA, nos termos do regulamento interno do Conselho de Administração.

(43) Sempre que recebam uma contribuição financeira do orçamento geral da União, os centros nacionais de coordenação e as entidades que integram a Comunidade deverão publicitar o facto de as respetivas atividades serem realizadas no contexto do presente regulamento.

(44) Os custos resultantes das atividades de estabelecimento do Centro de Competências e das atividades de administração e de coordenação do Centro de Competências deverão ser financiados pela União e pelos Estados-Membros, proporcionalmente às contribuições voluntárias dos Estados-Membros para as ações conjuntas. A fim de evitar a duplicação do financiamento, essas atividades não deverão beneficiar simultaneamente de contribuições de outros programas da União.

(45) O Conselho de Administração, que deverá ser composto por representantes dos Estados-Membros e da Comissão, deverá definir a orientação geral das atividades do Centro de Competências e deverá garantir que este execute as suas atribuições nos termos do presente regulamento. O Conselho de Administração deverá adotar a Agenda.

(46) O Conselho de Administração deverá dispor dos poderes necessários para elaborar o orçamento do Centro de Competências. Deverá verificar a execução do orçamento, adotar a regulamentação financeira adequada e definir procedimentos de trabalho transparentes para a tomada de decisões pelo Centro de Competências, incluindo para a adoção, refletindo a Agenda, do programa de trabalho anual e do programa de trabalho plurianual. O Conselho de Administração também deverá adotar o seu regulamento interno, nomear o diretor-executivo e decidir quanto à prorrogação ou cessação do mandato deste último.

(47) O Conselho de Administração deverá ter uma panorâmica das atividades estratégicas e de execução do Centro de Competências e assegurar o alinhamento entre essas atividades. No seu relatório anual, o Centro de Competências deverá dar ênfase especial aos objetivos estratégicos que tiver alcançado e, se for caso disso, propor ações para melhorar ainda mais a consecução desses objetivos estratégicos.

(48) Para o funcionamento correto e eficaz do Centro de Competências, a Comissão e os Estados-Membros deverão assegurar que as pessoas nomeadas para o Conselho de Administração possuem níveis adequados de experiência e de competências profissionais especializadas em áreas funcionais. A Comissão e os Estados-Membros deverão também procurar limitar a rotação dos seus representantes no Conselho de Administração, a fim de assegurar a continuidade dos trabalhos deste órgão.

(49) Tendo em conta o estatuto específico do Centro de Competências e a sua responsabilidade pela execução dos fundos da União, em especial os provenientes do Horizonte Europa e do Programa Europa Digital, a Comissão deverá dispor de 26 % do total de votos no Conselho de Administração no que disser respeito a decisões relacionadas com fundos da União, a fim de maximizar o valor acrescentado da União dessas decisões, assegurando simultaneamente a legalidade dessas decisões e a sua consonância com as prioridades da União.

(50) O bom funcionamento do Centro de Competências implica que o seu diretor-executivo seja nomeado de forma transparente com base no mérito, em capacidades de gestão e administrativas documentadas e na competência e experiência relevantes no domínio da cibersegurança, e que as funções de diretor-executivo sejam desempenhadas com total independência.

(51) O Centro de Competências deverá ter um Grupo Consultivo Estratégico como órgão consultivo. O Grupo Consultivo Estratégico deverá prestar aconselhamento com base no diálogo regular entre o Centro de Competências e a Comunidade, devendo ser composto por representantes do setor privado, organizações de consumidores, o meio académico e outras partes interessadas pertinentes. O Grupo Consultivo Estratégico deverá concentrar-se em questões relevantes para as partes interessadas e chamar a atenção do Conselho de Administração e do diretor-executivo para as mesmas. As atribuições do Grupo Consultivo Estratégico deverão incluir a prestação de aconselhamento relativamente à Agenda, ao programa de trabalho anual e ao programa de trabalho plurianual. A representação das diferentes partes interessadas no Grupo Consultivo Estratégico deverá ser equilibrada, prestando particular atenção à representação das PME, a fim de assegurar uma representação adequada das partes interessadas nos trabalhos do Centro de Competências.

(52) As contribuições dos Estados-Membros para os recursos do Centro de Competências poderão ser financeiras ou em espécie. Por exemplo, as referidas contribuições financeiras poderão consistir numa subvenção concedida por um Estado-Membro a um beneficiário estabelecido nesse Estado-Membro em complemento do apoio financeiro da União atribuído a um projeto no âmbito do programa de trabalho anual. Por outro lado, de modo geral, as contribuições em espécie ocorrerão nos casos em que uma entidade de um Estado-Membro é ela própria beneficiária de um apoio financeiro da União. Por exemplo, se a União subvencionar uma atividade de um centro nacional de coordenação com uma taxa de financiamento de 50%, os custos remanescentes da atividade serão contabilizados como contribuição em espécie. Num outro exemplo, se uma entidade de um Estado-Membro receber apoio financeiro da União para criar ou modernizar uma infraestrutura que se destine a ser partilhada entre as partes interessadas de acordo com o programa de trabalho anual, os custos não subvencionados conexos serão contabilizados como contribuições em espécie.

(53) Nos termos das disposições do Regulamento Delegado (UE) 2019/715 aplicáveis aos conflitos de interesses, o Centro de Competências deverá dispor de regras em matéria de prevenção, identificação e resolução, e gestão de conflitos de interesses no que se refere aos seus membros, aos órgãos e pessoal, ao Conselho de Administração, bem como ao Grupo Consultivo Estratégico e à Comunidade. Os Estados-Membros deverão assegurar a prevenção, identificação e resolução de conflitos de interesses no que se refere aos centros nacionais de coordenação, nos termos do direito nacional. O Centro de Competências deverá igualmente aplicar as disposições relevantes da União sobre o acesso do público a documentos, constantes do Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho (9). O tratamento de dados pessoais pelo Centro de Competências deverá estar sujeito ao Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (10). O Centro de Competências deverá respeitar as disposições do direito da União aplicáveis às instituições da União e o direito nacional relativo ao tratamento de informações, nomeadamente o tratamento de informações sensíveis não classificadas e de informações classificadas da UE.

(54) Os interesses financeiros da União e dos Estados-Membros deverão ser protegidos por medidas proporcionadas aplicadas ao longo do ciclo de despesa, incluindo a prevenção, a deteção e a investigação de irregularidades, a recuperação de fundos perdidos, pagos indevidamente ou utilizados incorretamente, e, se for caso disso, a aplicação de sanções administrativas e financeiras nos termos do Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho (11) («Regulamento Financeiro»).

(55) O Centro de Competências deverá funcionar de forma aberta e transparente. Deverá facultar em tempo útil todas as informações pertinentes e deverá promover as suas atividades, nomeadamente as atividades de informação e de difusão ao público em geral. O regulamento interno do Conselho de Administração do Centro de Competências e o do Grupo Consultivo Estratégico deverão ser tornados públicos.

(56) O auditor interno da Comissão deverá exercer relativamente ao Centro de Competências os mesmos poderes que exerce em relação à Comissão.

(57) A Comissão, o Tribunal de Contas e o Organismo Europeu de Luta Antifraude deverão ter acesso a todas as informações necessárias e às instalações do Centro de Competências para realizarem auditorias e inquéritos sobre as subvenções, os contratos e os acordos assinados pelo Centro de Competências.

(58) Atendendo a que os objetivos do presente regulamento, a saber, o reforço da competitividade e das capacidades da União, a conservação e o desenvolvimento das capacidades de investigação, tecnológicas e industriais no domínio da cibersegurança da União, o aumento da competitividade da indústria de cibersegurança da União e a transformação da cibersegurança numa vantagem competitiva para outras indústrias da União, não podem ser suficientemente alcançados pelos Estados-Membros individuais, devido à dispersão dos recursos limitados existentes e à dimensão do investimento necessário, mas podem, em razão de se evitar a duplicação desnecessária desses esforços, ajudando a alcançar uma massa crítica de investimento, assegurando que o financiamento público é utilizado de modo eficaz e assegurando que um elevado nível de cibersegurança é promovido em todos os Estados-Membros, ser mais bem alcançados a nível da União, a União pode adotar medidas de acordo com o princípio da subsidiariedade, conforme estabelecido no artigo 5.o do Tratado da União Europeia (TUE). Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para alcançar esses objetivos,

ADOTARAM O PRESENTE REGULAMENTO:

CAPÍTULO I

Disposições e princípios gerais do centro de competências e da rede

Artigo 1.o Objeto e âmbito de aplicação 1. O presente regulamento estabelece o Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança («Centro de Competências») e a Rede de Centros Nacionais de Coordenação («Rede»). O presente regulamento define as regras para a designação de centros nacionais de coordenação assim como as regras para o estabelecimento da Comunidade de Competências em Cibersegurança («Comunidade»). 2. O Centro de Competências desempenha um papel essencial na execução da vertente relativa à cibersegurança do Programa Europa Digital, em especial no que diz respeito às ações relacionadas com o artigo 6.o do Regulamento (UE) 2021/694, e contribui para a execução do Horizonte Europa, em especial no que diz respeito ao anexo I, pilar II, secção 3.1.3, da Decisão (UE) 2021/764 do Conselho (12). 3. Os Estados-Membros contribuem coletivamente para os trabalhos do Centro de Competências e da Rede. 4. O presente regulamento aplica-se sem prejuízo das competências dos Estados-Membros no que toca à segurança pública, defesa, segurança nacional e atividades do Estado no domínio do direito penal.

Artigo 2.o Definições Para efeitos do presente regulamento, entende-se por: 1) «Cibersegurança», as atividades necessárias para proteger as redes e sistemas de informação, os utilizadores desses sistemas e outras pessoas afetadas por ciberameaças; 2) «Rede e sistema de informação», uma rede e um sistema de informação na aceção do artigo 4.o, ponto 1, da Diretiva (UE) 2016/1148; 3) «Produtos, serviços e processos de cibersegurança», os produtos, serviços ou processos de TIC, comerciais e não comerciais, com a finalidade específica de proteger redes e sistemas de informação ou de assegurar a confidencialidade, a integridade e a acessibilidade dos dados que são tratados ou armazenados em redes e sistemas de informação, bem como a cibersegurança dos utilizadores desses sistemas e outras pessoas afetadas por ciberameaças; 4) «Ciberameaça», uma circunstância, um evento ou uma ação potenciais suscetíveis de lesar, perturbar ou ter qualquer outro efeito negativo sobre as redes e os sistemas de informação, os utilizadores desses sistemas e outras pessoas; 5) «Ação conjunta», uma ação incluída no programa de trabalho anual que receba apoio financeiro do Horizonte Europa, do Programa Europa Digital ou de outros programas da União, bem como apoio financeiro ou em espécie de um ou mais Estados-Membros e que seja executada através de projetos que envolvam beneficiários estabelecidos nesses Estados-Membros e que deles recebam apoio financeiro ou em espécie; 6) «Contribuição em espécie», os custos elegíveis incorridos por centros nacionais de coordenação e outras entidades públicas quando participem em projetos financiados ao abrigo do presente regulamento, caso esses custos não sejam financiados por uma contribuição da União ou por contribuições financeiras dos Estados-Membros; 7) «Polo Europeu de Inovação Digital», um Polo Europeu de Inovação Digital na aceção do artigo 2.o, alínea e), do Regulamento (UE) 2021/694; 8) «Agenda», uma estratégia industrial, tecnológica e de investigação em matéria de cibersegurança abrangente e sustentável, que formula recomendações estratégicas para o desenvolvimento e o crescimento do setor industrial, tecnológico e de investigação europeu no domínio da cibersegurança e prioridades estratégicas para as atividades do Centro de Competências, e não é vinculativa no que diz respeito às decisões a tomar sobre os programas de trabalho anuais; 9) «Assistência técnica», a assistência disponibilizada pelo Centro de Competências aos centros nacionais de coordenação ou à Comunidade para o desempenho das respetivas atribuições, facultando conhecimentos ou facilitando o acesso a conhecimentos especializados em matéria de investigação, tecnologia e indústria no domínio da cibersegurança, facilitando a ligação em rede, sensibilizando e promovendo a cooperação, ou a assistência disponibilizada pelo Centro de Competências, em conjunto com os centros nacionais de coordenação, às partes interessadas no que diz respeito à preparação de projetos relacionados com a missão do Centro de Competências e da Rede e os objetivos do Centro de Competências.

Artigo 3.o Missão do Centro de Competências e da Rede 1. A missão do Centro de Competências e da Rede contribui para que a União: a) Reforce a sua liderança e autonomia estratégica no domínio da cibersegurança, conservando e desenvolvendo as capacidades e aptidões de investigação, académicas, societais, tecnológicas e industriais da União no domínio da cibersegurança necessárias para aumentar a confiança e a segurança, nomeadamente a confidencialidade, a integridade e a acessibilidade dos dados, no mercado único digital; b) Apoie as capacidades, aptidões e competências tecnológicas da União em relação à resiliência e fiabilidade das infraestruturas de redes e sistemas de informação, incluindo as infraestruturas críticas e o hardware e software de uso comum na União; e c) Aumente a competitividade global da indústria de cibersegurança da União, assegure normas elevadas de cibersegurança em toda a União, e transforme a cibersegurança numa vantagem competitiva para outras indústrias da União. 2. O Centro de Competências e a Rede exercem as respetivas atribuições em colaboração com a ENISA e a Comunidade, sempre que adequado. 3. O Centro de Competências, nos termos dos atos legislativos que estabelecem os programas pertinentes, nomeadamente o Horizonte Europa e o Programa Europa Digital, utiliza os recursos financeiros pertinentes da União de modo a contribuir para a missão definida no n.o 1.

Artigo 4.o Objetivos do Centro de Competências 1. O Centro de Competências tem por objetivo geral promover a investigação, a inovação e a implantação no domínio da cibersegurança a fim de cumprir a missão estabelecida no artigo 3.o. 2. O Centro de Competência tem os seguintes objetivos específicos: a) Reforçar capacidades, aptidões, conhecimentos e infraestrutura de cibersegurança para benefício da indústria, em especial das PME, das comunidades de investigação, do setor público e da sociedade civil, sempre que adequado; b) Promover a resiliência em matéria de cibersegurança, a adoção das melhores práticas de cibersegurança, o princípio da segurança desde a conceção e a certificação da segurança dos produtos e serviços digitais, de modo a completar os esforços de outras entidades públicas; c) Contribuir para um ecossistema de cibersegurança europeu sólido, que reúna todas as partes interessadas pertinentes. 3. O Centro de Competências dá execução aos objetivos específicos referidos no n.o 2: a) Formulando recomendações estratégicas para a investigação, inovação e implantação em cibersegurança, nos termos do direito da União, e definindo prioridades estratégicas para as atividades do Centro de Competências; b) Executando ações ao abrigo dos programas de financiamento da União pertinentes, em conformidade com os programas de trabalho pertinentes e nos termos dos atos legislativos da União que estabelecem esses programas de financiamento; c) Promovendo a cooperação e a coordenação entre os centros nacionais de coordenação e com a Comunidade e no âmbito da mesma; e d) Se pertinente e adequado, adquirindo e operando infraestruturas e serviços de TIC, sempre que necessário para o desempenho das atribuições estabelecidas no artigo 5.o e em conformidade com os respetivos programas de trabalho estabelecidos no artigo 5.o, n.o 3, alínea b).

Artigo 5.o Atribuições do Centro de Competências 1. Na consecução da sua missão e dos seus objetivos, o Centro de Competências tem as seguintes atribuições: a) Atribuições estratégicas; e b) Atribuições de execução. 2. As atribuições estratégicas referidas no n.o 1, alínea a), consistem em: a) Desenvolver e acompanhar a execução da Agenda; b) Através da Agenda e do programa de trabalho plurianual, e ao mesmo tempo que evita qualquer duplicação de atividades com a ENISA e tem em conta a necessidade de criar sinergias entre a cibersegurança e outras partes do Horizonte Europa e do Programa Europa Digital: i) estabelecer prioridades para os trabalhos do Centro de Competências em matéria de: 1) reforço da investigação e da inovação no domínio da cibersegurança, abrangendo todo o ciclo da inovação, e da implantação dessa investigação e inovação, 2) desenvolvimento de capacidades, aptidões e infraestruturas industriais, tecnológicas e de investigação no domínio da cibersegurança, 3) reforço das competências e aptidões tecnológicas e de cibersegurança na indústria, na tecnologia e na investigação e em todos os níveis de educação pertinentes, apoiando o equilíbrio entre homens e mulheres, 4) implantação de produtos, serviços e processos de cibersegurança, 5) apoio à aceitação pelo mercado de produtos, serviços e processos de cibersegurança que contribuam para a missão definida no artigo 3.o, 6) apoio à adoção e integração dos mais modernos produtos, serviços e processos de cibersegurança pelas autoridades públicas, a pedido destas, dos setores da procura e de outros utilizadores, ii) apoiar a indústria da cibersegurança, em especial as PME, com vista a reforçar a excelência, a capacidade e a competitividade da União em matéria de cibersegurança, nomeadamente com vista a estabelecer ligações a potenciais mercados e oportunidades de implantação, bem como a atrair investimento, e iii) prestar apoio e assistência técnica a empresas em fase de arranque, a PME, a microempresas, a associações, a peritos individuais e a projetos de tecnologia colaborativa no domínio da cibersegurança; c) Assegurar sinergias entre as instituições, órgãos e organismos pertinentes da União, nomeadamente a ENISA, e a cooperação com as mesmas, evitando ao mesmo tempo qualquer duplicação de atividades com essas instituições, órgãos e organismos da União; d) Coordenar os centros nacionais de coordenação através da Rede e assegurar o intercâmbio regular de conhecimentos; e) Prestar aconselhamento especializado aos Estados-Membros, a pedido destes, em questões industriais, tecnológicas e de investigação no domínio da cibersegurança, nomeadamente no que diz respeito à contratação pública e à implantação de tecnologias; f) Facilitar a colaboração e a partilha de conhecimentos especializados entre todas as partes interessadas pertinentes, em especial os membros da Comunidade; g) Assistir a conferências, feiras e fóruns da União, nacionais e internacionais relacionados com a missão, os objetivos e as atribuições do Centro de Competências com o objetivo de partilhar pontos de vista e trocar boas práticas pertinentes com outros participantes; h) Facilitar a utilização dos resultados dos projetos de investigação e inovação em ações relacionadas com o desenvolvimento de produto, serviços e processos de cibersegurança, procurando ao mesmo tempo evitar a fragmentação e a duplicação de esforços e replicando as boas práticas no domínio da cibersegurança e os produtos, serviços e processos de cibersegurança, nomeadamente os desenvolvidos pelas PME e os que utilizam software de código fonte aberto. 3. As atribuições de execução referidas no n.o 1, alínea b), consistem em: a) Coordenar e gerir os trabalhos da Rede e da Comunidade a fim de cumprir a missão estabelecida no artigo 3.o, em especial apoiando empresas em fase de arranque, as PME, as microempresas, as associações e os projetos de tecnologia colaborativa no domínio da cibersegurança na União e facilitando o seu acesso a conhecimentos especializados, a financiamento, a investimento e aos mercados; b) Elaborar e executar o programa de trabalho anual, em conformidade com a Agenda e o programa de trabalho plurianual, no que diz respeito à vertente relativa à cibersegurança: i) do Programa Europa Digital, nomeadamente as ações relacionadas com o artigo 6.o do Regulamento (UE) 2021/694, ii) das ações conjuntas que beneficiem de apoio ao abrigo das disposições relacionadas com a cibersegurança no Horizonte Europa, nomeadamente o anexo I, pilar II, secção 3.1.3, da Decisão (UE) 2021/764, e em conformidade com o programa de trabalho plurianual e o processo de planeamento estratégico do Horizonte Europa, e iii) de outros programas, se tal estiver previsto nos atos legislativos da União aplicáveis; c) Apoiar, sempre que adequado, a realização do objetivo específico n.o 4, «Competências digitais avançadas», estabelecido no artigo 7.o do Regulamento (UE) 2021/694, em cooperação com os Polos Europeus de Inovação Digital; d) Prestar aconselhamento especializado em questões industriais, tecnológicas e de investigação no domínio da cibersegurança à Comissão quando esta elaborar os projetos de programas de trabalho nos termos do artigo 13.o da Decisão (UE) 2021/764; e) Levar a cabo ou possibilitar a implantação de infraestruturas de TIC ou facilitar a aquisição dessas infraestruturas, em benefício da sociedade, da indústria e do setor público, a pedido do Estado-Membro, das comunidades de investigação e dos operadores de serviços essenciais, através, entre outras, de contribuições dos Estados-Membros e do financiamento da União para ações conjuntas, em conformidade com a Agenda, o programa de trabalho anual e o programa de trabalho plurianual; f) Sensibilizar para a missão do Centro de Competências e da Rede e para os objetivos e atribuições do Centro de Competências; g) Sem prejuízo da natureza civil dos projetos a serem financiados pelo Horizonte Europa, e nos termos dos Regulamentos (UE) 2021/695 e (UE) 2021/694, aumentar as sinergias e a coordenação entre os aspetos civis e de defesa em cibersegurança, através da facilitação do intercâmbio de: i) conhecimentos e informações sobre tecnologias e aplicações de dupla utilização, ii) resultados, requisitos e melhores práticas, e iii) informações no que diz respeito às prioridades dos programas da União pertinentes. 4. O Centro de Competências executa as atribuições definidas no n.o 1 em estreita cooperação com a Rede. 5. Nos termos do artigo 6.o do Regulamento (UE) 2021/695, e sob reserva de um acordo de contribuição na aceção do artigo 2.o, ponto 18, do Regulamento Financeiro, pode ser atribuída ao Centro de Competências a execução da vertente relativa à cibersegurança no âmbito do Horizonte Europa que não é cofinanciada pelos Estados-Membros, nomeadamente no que diz respeito ao anexo I, pilar II, secção 3.1.3, da Decisão (UE) 2021/764.

Artigo 6.o Designação de centros nacionais de coordenação 1. Até 29 de dezembro de 2021, cada Estado-Membro designa uma entidade que cumpra os critérios estabelecidos no n.o 5 para atuar como seu centro nacional de coordenação para efeitos do presente regulamento. Cada Estado-Membro notifica sem demora essa entidade ao Conselho de Administração. Essa entidade pode ser uma entidade já estabelecida nesse Estado-Membro. O prazo fixado no primeiro parágrafo do presente número é prorrogado pelo período em que a Comissão deve emitir o parecer referido no n.o 2. 2. Um Estado-Membro pode, em qualquer altura, solicitar à Comissão um parecer sobre se a entidade que designou ou tenciona designar para atuar como seu centro nacional de coordenação tem a capacidade necessária para gerir os fundos de modo a cumprir a missão e os objetivos estabelecidos no presente regulamento. A Comissão emite o seu parecer dirigido a esse Estado-Membro no prazo de três meses a contar do pedido do Estado-Membro. 3. Com base na notificação, por um Estado-Membro, de uma entidade referida no n.o 1, o Conselho de Administração inscreve essa entidade na lista dos centros nacionais de coordenação no prazo de três meses após a designação. O Centro de Competências publica a lista dos centros nacionais de coordenação designados. 4. Um Estado-Membro pode, em qualquer altura, designar uma nova entidade para atuar como seu centro nacional de coordenação para efeitos do presente regulamento. Os n.os 1, 2 e 3 são aplicáveis à designação de qualquer nova entidade. 5. O centro nacional de coordenação é uma entidade do setor público ou uma entidade, cuja maioria do capital seja propriedade do Estado-Membro, que desempenhe funções de administração pública nos termos do direito nacional, inclusive por delegação, e com a capacidade de apoiar o Centro de Competências e a Rede no exercício da sua missão estabelecida no artigo 3.o do presente regulamento. Essa entidade possui ou tem acesso a conhecimentos especializados em matéria de investigação e de tecnologia no domínio da cibersegurança. Essa entidade tem capacidade para assegurar um diálogo e coordenação eficazes com o setor industrial, o setor público, a comunidade académica e de investigação e os cidadãos, incluindo as autoridades designadas nos termos da Diretiva (UE) 2016/1148. 6. Os centros nacionais de coordenação podem solicitar, em qualquer altura, o reconhecimento de que possuem a capacidade de gerir fundos de modo a cumprir a missão e os objetivos estabelecidos no presente regulamento, nos termos dos Regulamentos (UE) 2021/695 e (UE) 2021/694. No prazo de três meses a contar desse pedido, a Comissão avalia se esse centro nacional de coordenação tem a referida capacidade e emite uma decisão. Se a Comissão tiver emitido um parecer favorável a um Estado-Membro pelo procedimento previsto no n.o 2, esse parecer é considerado uma decisão que reconhece a entidade pertinente como tendo a capacidade necessária para efeitos do presente número. Até 29 de agosto de 2021, após consultar o Conselho de Administração, a Comissão emite orientações sobre a avaliação referida no primeiro parágrafo, incluindo uma especificação das condições de reconhecimento e do modo como os pareceres e as avaliações são realizados. Antes de emitir o parecer referido no n.o 2 e a decisão a que se refere o primeiro parágrafo do presente número, a Comissão tem em conta as informações e a documentação facultadas pelo centro nacional de coordenação requerente. Qualquer decisão de não reconhecimento de um centro nacional de coordenação como tendo a capacidade necessária para gerir fundos a fim de cumprir a missão e os objetivos estabelecidos no presente regulamento deve ser devidamente fundamentada, especificando os requisitos que o centro nacional de coordenação requerente ainda não preencheu que justificam a decisão de recusar o reconhecimento. Qualquer centro de coordenação nacional cujo pedido de reconhecimento tenha sido indeferido pode, em qualquer altura, voltar a apresentar o seu pedido com informações adicionais. Os Estados-Membros informam a Comissão em caso de alterações do centro nacional de coordenação, como, por exemplo, a composição do centro nacional de coordenação, a forma jurídica do centro nacional de coordenação ou outros aspetos relevantes, que afetem a sua capacidade de gerir fundos para realizar a missão e os objetivos estabelecidos no presente regulamento. Quando receber essas informações, a Comissão pode rever uma decisão de conceder ou recusar o reconhecimento do centro nacional de coordenação como tendo a capacidade necessária para gerir fundos em conformidade. 7. A Rede é composta por todos os centros nacionais de coordenação que tenham sido notificados ao Conselho de Administração pelos Estados-Membros.

Artigo 7.o Atribuições dos centros nacionais de coordenação 1. Os centros nacionais de coordenação têm as seguintes atribuições: a) Atuar como pontos de contacto a nível nacional para a Comunidade a fim de apoiar o Centro de Competências na consecução da sua missão e dos seus objetivos, em especial coordenando a Comunidade através da coordenação dos membros da Comunidade nos respetivos Estados-Membros; b) Fornecer conhecimentos especializados e contribuir ativamente para as atribuições estratégicas estabelecidas no artigo 5.o, n.o 2, tendo em conta os desafios nacionais e regionais pertinentes em matéria de cibersegurança em diferentes setores; c) Promover, incentivar e facilitar a participação da sociedade civil, da indústria, em especial de empresas em fase de arranque e de PME, das comunidades académica e de investigação e de outras partes interessadas a nível nacional em projetos transfronteiriços e em ações no domínio da cibersegurança financiadas pelos programas pertinentes da União; d) Prestar assistência técnica às partes interessadas, apoiando-as na sua fase de candidatura aos projetos geridos pelo Centro de Competências em relação à sua missão e aos seus objetivos e em plena conformidade com as regras de boa gestão financeira, especialmente no que diz respeito aos conflitos de interesses; e) Procurar estabelecer sinergias com atividades relevantes a nível nacional, regional e local, como, por exemplo, as políticas nacionais em matéria de investigação, desenvolvimento e inovação no domínio da cibersegurança, nomeadamente as políticas indicadas nas estratégias nacionais de cibersegurança; f) Executar ações específicas para as quais o Centro de Competências tenha concedido subvenções, nomeadamente através da prestação de apoio financeiro a terceiros, nos termos do artigo 204.o do Regulamento Financeiro, ao abrigo das condições especificadas nas convenções de subvenção em causa; g) Sem prejuízo das competências dos Estados-Membros em matéria de educação e tendo em conta as atribuições pertinentes da ENISA, colaborar com as autoridades nacionais no que diz respeito a uma possível contribuição para a promoção e difusão de programas educativos em matéria de cibersegurança; h) Promover e difundir os resultados pertinentes do trabalho da Rede, da Comunidade e do Centro de Competências a nível nacional, regional ou local; i) Avaliar os pedidos apresentados por entidades estabelecidas no mesmo Estado-Membro que o centro nacional de coordenação com vista a fazerem parte da Comunidade; j) Preconizar e promover a participação de entidades pertinentes nas atividades desenvolvidas pelo Centro de Competências, pela Rede e pela Comunidade e acompanhar, consoante necessário, o nível de participação e montante do apoio financeiro público concedido à investigação, desenvolvimento e implantação no domínio da cibersegurança. 2. Para efeitos do n.o 1, alínea f), do presente artigo, o apoio financeiro a terceiros pode ser prestado sob qualquer uma das formas de contribuição da União especificadas no artigo 125.o do Regulamento Financeiro, incluindo sob a forma de montantes fixos. 3. Com base numa decisão a que se refere o artigo 6.o, n.o 6, do presente regulamento, os centros nacionais de coordenação podem receber uma subvenção da União nos termos do artigo 195.o, primeiro parágrafo, alínea d), do Regulamento Financeiro, para efeitos da execução das atribuições estabelecidas no presente artigo. 4. Os centros nacionais de coordenação cooperam, quando adequado, através da Rede.

Artigo 8.o Comunidade de Competências de Cibersegurança 1. A Comunidade contribui para a missão do Centro de Competências e da Rede estabelecida no artigo 3.o e para melhorar, partilhar e difundir os conhecimentos especializados em matéria de cibersegurança na União. 2. A Comunidade é composta pela indústria, incluindo as PME, por organizações académicas e de investigação, por outras associações da sociedade civil pertinentes, bem como, se adequado, pelas organizações europeias de normalização pertinentes, entidades públicas e outras entidades que tratam de questões operacionais e técnicas no domínio da cibersegurança e, se for caso disso, por partes interessadas dos setores que têm interesse na cibersegurança e que enfrentam desafios de cibersegurança. A Comunidade procura reunir as principais partes interessadas no que diz respeito às capacidades tecnológicas, industriais, académicas e de investigação em cibersegurança na União. Associa ainda os centros nacionais de coordenação, Polos Europeus de Inovação Digital, se pertinente, e as instituições, órgãos e organismos da União com conhecimentos especializados relevantes, como a ENISA. 3. Só entidades estabelecidas nos Estados-Membros podem ser registadas como membros da Comunidade. As entidades devem demonstrar a sua capacidade para contribuir para a missão e que possuem conhecimentos especializados em matéria de cibersegurança no tocante a, pelo menos, um dos seguintes domínios: a) Meio académico, investigação ou inovação; b) Desenvolvimento industrial ou de produtos; c) Formação e educação; d) Segurança da informação ou operações de resposta a incidentes; e) Ética; f) Normalização e especificações formais e técnicas. 4. O Centro de Competências regista entidades, a pedido destas, como membros da Comunidade depois de uma avaliação, efetuada pelo centro nacional de coordenação do Estado-Membro em que essas entidades estiverem estabelecidas, para confirmar que essas entidades satisfazem os critérios estabelecidos no n.o 3 do presente artigo. Essa avaliação tem igualmente em conta qualquer avaliação pertinente a nível nacional com base em motivos de segurança efetuada pelas autoridades nacionais competentes. Esses registos não têm limite temporal, mas podem ser revogados pelo Centro de Competências em qualquer altura se o centro nacional de coordenação competente considerar que a entidade em causa deixou de satisfazer os critérios estabelecidos no n.o 3 do presente artigo, ou que está abrangida pelo artigo 136.o do Regulamento Financeiro, ou por motivos de segurança justificados. Em caso de revogação da qualidade de membro da Comunidade por motivos de segurança, a decisão de revogação deve ser proporcionada e fundamentada. Os centros de coordenação nacionais procuram obter uma representação equilibrada das partes interessadas na Comunidade e estimular ativamente a participação, em especial das PME. 5. Os centros nacionais de coordenação são incentivados a cooperar através da Rede, a fim de harmonizarem a forma como aplicam os critérios estabelecidos no n.o 3 e os procedimentos de avaliação e registo das entidades a que se refere o n.o 4. 6. O Centro de Competências regista as instituições, órgãos, e organismos pertinentes da União como membros da Comunidade após efetuar uma avaliação a fim de confirmar se a instituição, órgão ou organismo da União em causa cumpre os critérios previstos estabelecidos no n.o 3 do presente artigo. Esses registos não têm limite temporal, mas podem ser revogados pelo Centro de Competências em qualquer altura se este considerar que uma instituição, órgão ou organismo da União em causa deixou de satisfazer os critérios estabelecidos no n.o 3 do presente artigo ou está abrangido pelo artigo 136.o do Regulamento Financeiro. 7. Os representantes das instituições, órgãos e organismos da União podem participar nos trabalhos da Comunidade. 8. As entidades registadas como membros da Comunidade designam os respetivos representantes a fim de assegurar um diálogo eficiente. Os representantes da Comunidade têm conhecimentos especializados em matéria de investigação, tecnologia e indústria no domínio da cibersegurança. Os requisitos podem ser especificados mais pormenorizadamente pelo Conselho de Administração, sem limitar indevidamente as entidades na designação dos respetivos representantes. 9. A Comunidade, por intermédio dos seus grupos de trabalho e em especial do Grupo Consultivo Estratégico, presta aconselhamento estratégico ao diretor-executivo e ao Conselho de Administração relativamente à Agenda, ao programa de trabalho anual e ao programa de trabalho plurianual, nos termos do regulamento interno do Conselho de Administração.

Artigo 9.o Atribuições dos membros da Comunidade Os membros da Comunidade: a) Apoiam o Centro de Competências na consecução da sua missão e dos seus objetivos e, para o efeito, trabalham em estreita colaboração com o Centro de Competências e os centros nacionais de coordenação; b) Participam, se for caso disso, em atividades formais ou informais e nos grupos de trabalho referidos no artigo 13.o, n.o 3, ponto n), para realizar atividades específicas previstas no programa de trabalho anual; e c) Apoiam, se for caso disso, o Centro de Competências e os centros nacionais de coordenação na promoção de projetos específicos;

Artigo 10.o Cooperação do Centro de Competências com outras instituições, órgãos e organismos da União e com organizações internacionais 1. A fim de assegurar a coerência e a complementaridade, evitando simultaneamente a duplicação de esforços, o Centro de Competências coopera com as instituições, órgãos e organismos pertinentes da União, nomeadamente com a ENISA, com o Serviço Europeu para a Ação Externa, com a Direcção-Geral do Centro Comum de Investigação da Comissão, com a Agência de Execução Europeia da Investigação, a Agência de Execução do Conselho Europeu de Investigação e a Agência de Execução Europeia da Saúde e do Digital, criadas pela Decisão de Execução (UE) 2021/173 da Comissão (13), com os Polos Europeus de Inovação Digital pertinentes, com o Centro Europeu da Cibercriminalidade na Agência da União Europeia para a Cooperação Policial, criada pelo Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho (14), com a Agência Europeia de Defesa no que se refere às atribuições especificadas artigo 5.o do presente regulamento, e com outras entidades pertinentes da União. O Centro de Competências pode também cooperar com organizações internacionais, se for caso disso. 2. A cooperação referida no n.o 1 do presente artigo pode ocorrer no quadro de acordos de trabalho. Tais acordos são submetidos à aprovação do Conselho de Administração. A partilha de informações classificadas é efetuada no âmbito de acordos administrativos celebrados nos termos do artigo 36.o, n.o 3.

CAPÍTULO II

Organização do Centro de Competências

Artigo 11.o Membros e estrutura 1. Os membros do Centro de Competências são a União, representada pela Comissão, e os Estados-Membros. 2. A estrutura do Centro de Competências assegura a consecução dos objetivos estabelecidos no artigo 4.o e a execução das atribuições estabelecidas no artigo 5.o, e inclui: a) Um Conselho de Administração; b) Um diretor-executivo; c) Um Grupo Consultivo Estratégico.

Secção I

Conselho de administração

Artigo 12.o Composição do Conselho de Administração 1. O Conselho de Administração é composto por um representante de cada Estado-Membro e por dois representantes da Comissão, que atuam em nome da União. 2. Cada membro do Conselho de Administração tem um suplente. O suplente representa o membro na ausência deste. 3. Os membros do Conselho de Administração nomeados pelos Estados-Membros e os seus suplentes são agentes do setor público nos respetivos Estados-Membros, e devem ser nomeados em função dos seus conhecimentos em matéria de investigação, tecnologia e indústria no domínio da cibersegurança, da sua capacidade para assegurar a coordenação de ações e posições com o respetivo centro nacional de coordenação, ou das suas competências pertinentes em matéria de gestão, de administração e de orçamento. A Comissão nomeia os seus membros do Conselho de Administração e os seus suplentes em função dos seus conhecimentos no domínio da cibersegurança e da tecnologia, ou das suas competências pertinentes em matéria de gestão, de administração e de orçamento e da sua capacidade para assegurar a coordenação, as sinergias e, na medida do possível, iniciativas conjuntas entre as diferentes políticas setoriais ou horizontais da União, que envolvem a cibersegurança. A Comissão e os Estados-Membros envidam esforços para limitar a rotação dos seus representantes no Conselho de Administração, a fim de assegurar a continuidade dos trabalhos do Conselho de Administração. A Comissão e os Estados-Membros procuram assegurar uma representação equilibrada entre homens e mulheres no Conselho de Administração. 4. O mandato dos membros do Conselho de Administração e dos seus suplentes tem a duração de quatro anos. Esse mandato é renovável. 5. Os membros do Conselho de Administração asseguram a salvaguarda da missão, dos objetivos, da identidade e da autonomia do Centro de Competências, e a coerência das suas ações com essa missão e esses objetivos, com plena independência e transparência. 6. O Conselho de Administração pode convidar observadores para participar nas suas reuniões conforme adequado, incluindo representantes das instituições, órgãos e organismos pertinentes da União, e os membros da Comunidade. 7. Um representante da ENISA é observador permanente no Conselho de Administração. O Conselho de Administração pode convidar um representante do Grupo Consultivo Estratégico a assistir às suas reuniões. 8. O diretor-executivo participa nas reuniões do Conselho de Administração, mas não tem direito de voto.

Artigo 13.o Atribuições do Conselho de Administração 1. O Conselho de Administração assume a responsabilidade global pela orientação estratégica e pelo funcionamento do Centro de Competências, supervisiona a realização das suas atividades, e assume a responsabilidade por qualquer atribuição que não seja especificamente cometida ao diretor-executivo. 2. O Conselho de Administração adota o seu regulamento interno. O regulamento interno prevê procedimentos específicos para identificar e prevenir conflitos de interesses e assegura a confidencialidade de quaisquer informações sensíveis. 3. O Conselho de Administração toma as decisões estratégicas necessárias, nomeadamente no que diz respeito: a) Ao desenvolvimento e à adoção da Agenda, e ao acompanhamento da sua execução; b) Refletindo as prioridades políticas da União e a Agenda, à adoção do programa de trabalho plurianual que contém as prioridades comuns no domínio industrial, tecnológico e de investigação que se baseiam nas necessidades identificadas pelos Estados-Membros em cooperação com a Comunidade e que exigem a atenção do apoio financeiro da União, incluindo as tecnologias e os domínios fundamentais para o desenvolvimento das aptidões de cibersegurança da União; c) À adoção do programa de trabalho anual para a execução dos fundos pertinentes da União, nomeadamente a vertente relativa à cibersegurança do Horizonte Europa na medida em que é cofinanciada pelos Estados-Membros, e do programa Europa Digital, em conformidade com o programa de trabalho plurianual do Centro de Competências e o processo de planeamento estratégico do Horizonte Europa; d) À adoção das contas anuais, do balanço anual e do relatório anual de atividades do Centro de Competências, com base numa proposta do diretor-executivo; e) À adoção da regulamentação financeira específica do Centro de Competências nos termos do artigo 70.o do Regulamento Financeiro; f) No âmbito do programa de trabalho anual, à atribuição de fundos do orçamento da União a temas relativos a ações conjuntas entre a União e os Estados-Membros; g) No âmbito do programa de trabalho anual e nos termos das decisões referidas na alínea f) do presente parágrafo e em aplicação dos Regulamentos (UE) 2021/695 e (UE) 2021/694, à descrição das ações conjuntas referidas na alínea f) do presente parágrafo e ao estabelecimento das condições para a execução dessas ações conjuntas; h) À adoção de um procedimento para a nomeação do diretor-executivo e à sua nomeação, exoneração e prorrogação do seu mandato, à prestação de orientações e acompanhamento do desempenho do diretor-executivo; i) À adoção de orientações para avaliar e registar as entidades como membros da Comunidade; j) À adoção dos acordos de trabalho a que se refere o artigo 10.o, n.o 2; k) À nomeação do contabilista; l) À adoção do orçamento anual do Centro de Competências, incluindo o quadro de pessoal correspondente com indicação do número de lugares temporários, por grupo de funções e por grau, com o número de agentes contratuais e de peritos nacionais destacados expresso em equivalentes a tempo inteiro; m) À adoção das regras de transparência para o Centro de Competências e das regras de prevenção e gestão de conflitos de interesses, inclusive no que se refere aos membros do Conselho de Administração, nos termos do artigo 42.o do Regulamento Delegado (UE) 2019/715; n) À criação de grupos de trabalho no âmbito da Comunidade, se for caso disso tomando em consideração o aconselhamento prestado pelo Grupo Consultivo Estratégico; o) À nomeação dos membros do Grupo Consultivo Estratégico; p) À adoção das regras de reembolso das despesas incorridas pelos membros do Grupo Consultivo Estratégico; q) Ao estabelecimento de um mecanismo de acompanhamento para garantir que a execução dos respetivos fundos geridos pelo Centro de Competências é levada a cabo em conformidade com a Agenda, a missão, o programa de trabalho plurianual e as regras dos programas de que provem o financiamento pertinente; r) À realização de um diálogo regular e ao estabelecimento de um mecanismo de cooperação eficaz com a Comunidade; s) Ao estabelecimento da política de comunicação do Centro de Competências, sob recomendação do diretor-executivo; t) Ao estabelecimento, se for caso disso, das regras de execução do Estatuto dos Funcionários e do Regime Aplicável aos Outros Agentes da União Europeia, estabelecido pelo Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho (15) («Estatuto dos Funcionários» e «Regime Aplicável aos Outros Agentes»), nos termos do artigo 30.o, n.o 3, do presente regulamento; u) Ao estabelecimento, se for caso disso, das regras em matéria de destacamento de peritos nacionais para o Centro de Competências e de recurso a estagiários, nos termos do artigo 31.o, n.o 2; v) À adoção das regras de segurança para o Centro de Competências; w) À adoção de uma estratégia antifraude e anticorrupção que seja proporcionada aos riscos de fraude e corrupção, bem como à adoção de medidas abrangentes de proteção, nos termos da legislação aplicável da União, para proteger as pessoas que denunciam violações do direito da União, tendo em conta uma análise custo-benefício das medidas a aplicar; x) Se necessário, à adoção da metodologia para calcular a contribuição voluntária financeira e em espécie dos Estados-Membros contribuintes nos termos dos Regulamentos (UE) 2021/695 e (UE) 2021/694, ou com qualquer outra legislação aplicável; y) No contexto do programa de trabalho anual e do programa de trabalho plurianual, à consecução da coerência e das sinergias com as vertentes do Programa Europa Digital e do Horizonte Europa que não são geridas pelo Centro de Competências, bem como com outros programas da União; z) À adoção do relatório anual sobre a execução dos objetivos e prioridades estratégicos do Centro de Competências com recomendações, se for necessário, para melhorar a consecução desses objetivos e prioridades. Na medida em que o programa de trabalho anual contém ações conjuntas, contém igualmente informações sobre as contribuições voluntárias dos Estados-Membros para essas ações conjuntas. Se for caso disso, as propostas, nomeadamente a proposta do programa de trabalho anual, avaliam a necessidade de aplicar regras de segurança conforme estabelecido no artigo 33.o do presente regulamento, incluindo o procedimento de autoavaliação da segurança nos termos do artigo 20.o do Regulamento (UE) 2021/695. 4. No que se refere às decisões estabelecidas no n.o 3, alíneas a), b) e c), o diretor-executivo e o Conselho de Administração têm em conta o aconselhamento estratégico e contributos pertinentes prestados pela ENISA, nos termos do regulamento interno do Conselho de Administração. 5. O Conselho de Administração é responsável por assegurar que as recomendações contidas no relatório de execução e a avaliação referida no artigo 38.o, n.os , 2 e 4, são objeto de seguimento adequado.

Artigo 14.o Presidente e reuniões do Conselho de Administração 1. O Conselho de Administração elege de entre os seus membros um presidente e um vice-presidente, cada um deles por um período de três anos. Os mandatos do presidente e do vice-presidente podem ser prorrogados uma única vez, por decisão do Conselho de Administração. Todavia, se o presidente ou o vice-presidente deixar de ser membro do Conselho de Administração durante a vigência do respetivo mandato, esse mandato caduca automaticamente nessa altura. O vice-presidente substitui automaticamente o presidente na eventualidade de este não poder cumprir as suas funções. O presidente participa na votação. 2. O Conselho de Administração reúne-se, em reunião ordinária, pelo menos três vezes por ano. Pode realizar reuniões extraordinárias a pedido da Comissão, a pedido de um terço dos seus membros, a pedido do presidente, ou a pedido do diretor-executivo no desempenho das suas atribuições. 3. O diretor-executivo participa nas deliberações do Conselho de Administração, salvo decisão em contrário do Conselho de Administração, mas não tem direito de voto. 4. O Conselho de Administração pode, numa base casuística, convidar outras pessoas a assistirem às suas reuniões na qualidade de observadores. 5. O presidente pode convidar representantes da Comunidade a participar nas reuniões do Conselho de Administração, mas aqueles não têm direito de voto. 6. Os membros do Conselho de Administração e os seus suplentes podem ser assistidos nas reuniões por consultores ou peritos, sob reserva do disposto no regulamento interno do Conselho de Administração. 7. O Centro de Competências assegura o secretariado do Conselho de Administração.

Artigo 15.o Regras de votação do Conselho de Administração 1. O Conselho de Administração deve usar uma abordagem consensual nos seus debates. Se os membros do Conselho de Administração não chegarem a consenso, procede-se a votação. 2. Se o Conselho de Administração não chegar a consenso, toma as suas decisões por uma maioria de, pelo menos, 75% dos votos de todos os seus membros, constituindo os representantes da Comissão um único membro para o efeito. Os membros do Conselho de Administração ausentes podem delegar o seu voto no respetivo suplente ou, na ausência do suplente, noutro membro. Cada membro do Conselho de Administração só pode representar um outro membro. 3. As decisões do Conselho de Administração sobre as ações conjuntas e a sua gestão a que se refere o artigo 13.o, n.o 3, alíneas f) e g), são tomadas como se segue: a) As decisões relativas à atribuição de fundos do orçamento da União a ações conjuntas a que se refere o artigo 13.o, n.o 3, alínea f), e a inclusão dessas ações conjuntas no programa de trabalho anual são tomadas nos termos do n.o 2 do presente artigo; b) As decisões relativas à descrição das ações conjuntas e que estabelecem as condições para a sua execução a que se refere o artigo 13.o, n.o 3, alínea g), são tomadas pelos Estados-Membros participantes e pela Comissão, sendo o direito de voto proporcional às contribuições respetivas para essa ação conjunta, calculadas em conformidade com a metodologia adotada nos termos do artigo 13.o, n.o 3, alínea x). 4. Para as decisões tomadas nos termos do artigo 13.o, n.o 3, alíneas b), c), d), e), f), k), l), p), q), t), u), w), x) e y), a Comissão dispõe de 26% do total de votos no Conselho de Administração. 5. Para as decisões que não sejam as referidas no n.o 3, alínea b), e no n.o 4, cada Estado-Membro e a União dispõem de um voto. O voto da União é expresso conjuntamente pelos dois representantes da Comissão. 6. O presidente participa na votação.

Secção II

Diretor-Executivo

Artigo 16.o Nomeação, exoneração e prorrogação do mandato do diretor-executivo 1. O diretor-executivo é uma pessoa com conhecimentos especializados e elevada reputação nos domínios de atividade do Centro de Competências. 2. O diretor-executivo é contratado como agente temporário do Centro de Competências, nos termos do artigo 2.o, alínea a), do Regime Aplicável aos Outros Agentes. 3. O diretor-executivo é nomeado pelo Conselho de Administração de entre uma lista de candidatos proposta pela Comissão, na sequência de um procedimento de seleção aberto, transparente e não discriminatório. 4. Para efeitos da celebração do contrato com o diretor-executivo, o Centro de Competências é representado pelo presidente do Conselho de Administração. 5. O mandato do diretor-executivo tem a duração de quatro anos. Antes do termo desse período, a Comissão procede a uma avaliação que tenha em conta a avaliação do trabalho realizado pelo diretor-executivo e as futuras atribuições e desafios do Centro de Competências. 6. O Conselho de Administração, deliberando sob proposta da Comissão que tem em conta a avaliação referida no n.o 5, pode prorrogar o mandato do diretor-executivo uma vez, por um período não superior a quatro anos. 7. Um diretor-executivo cujo mandato tenha sido prorrogado não pode participar noutro procedimento de seleção para o mesmo lugar. 8. O diretor-executivo só pode ser exonerado por decisão do Conselho de Administração, deliberando sob proposta da Comissão ou de, pelo menos, 50% dos Estados-Membros.

Artigo 17.o Atribuições do diretor-executivo 1. O diretor-executivo é responsável pelas operações e pela gestão quotidiana do Centro de Competências e é o seu representante legal. O diretor-executivo presta contas ao Conselho de Administração e desempenha as suas funções com total independência, no âmbito dos poderes que lhe são atribuídos. O diretor-executivo é apoiado pelo pessoal do Centro de Competências. 2. O diretor-executivo desempenha, pelo menos, as seguintes funções de forma independente: a) Executa as decisões adotadas pelo Conselho de Administração; b) Apoia o Conselho de Administração nos seus trabalhos, assegura o secretariado das suas reuniões e fornece todas as informações necessárias ao exercício dos seus deveres; c) Após consultar o Conselho de Administração e a Comissão e tendo em conta os contributos dos centros nacionais de coordenação e da Comunidade, elabora e apresenta ao Conselho de Administração, para adoção, a Agenda, bem como, em conformidade com a Agenda, o projeto de programa de trabalho anual e o projeto de programa de trabalho plurianual do Centro de Competências, incluindo o âmbito dos convites à apresentação de propostas, dos convites à manifestação de interesse e dos concursos públicos necessários para executar o programa de trabalho anual e as correspondentes estimativas de despesas propostas pelos Estados-Membros e pela Comissão; d) Elabora e apresenta ao Conselho de Administração, para adoção, o projeto de orçamento anual, incluindo o correspondente quadro de pessoal a que se refere o artigo 13.o, n.o 3, alínea l), indicando o número de lugares temporários em cada grau e grupo de funções e o número de agentes contratuais e de peritos nacionais destacados, expressos em equivalente a tempo inteiro; e) Executa o programa de trabalho anual e o programa de trabalho plurianual e comunica informações sobre essa execução ao Conselho de Administração; f) Elabora o projeto de relatório anual de atividades do Centro de Competências, incluindo as informações sobre as respetivas despesas e a execução da Agenda e do programa de trabalho plurianual; se for caso disso, esse relatório é acompanhado de propostas de melhoria da consecução dos objetivos e prioridades estratégicos, de reformulação dos mesmos, ou de ambos os tipos de proposta; g) Assegura a aplicação de procedimentos de acompanhamento e avaliação eficazes relacionados com o desempenho do Centro de Competências; h) Elabora um plano de ação que dê seguimento às conclusões do relatório de execução e da avaliação referidos no artigo 38.o, n.os 2 e 4, e, de dois em dois anos, apresenta um relatório sobre o progresso ao Parlamento Europeu e à Comissão; i) Elabora e celebra acordos com os centros nacionais de coordenação; j) Assume a responsabilidade pelas matérias administrativas, financeiras e de pessoal, nomeadamente a execução do orçamento do Centro de Competências, tendo em devida conta o aconselhamento recebido do órgão de auditoria interna pertinente, nos termos das decisões referidas no artigo 13.o, n.o 3, alíneas e), l), t), u), v) e w); k) Aprova e gere o lançamento de convites à apresentação de propostas, em conformidade com o programa de trabalho anual e administra as convenções e decisões de subvenção resultantes; l) Aprova a lista de ações selecionadas para financiamento, com base numa classificação estabelecida por um painel de peritos independentes; m) Aprova e gere o lançamento de convites à apresentação de propostas, em conformidade com o programa de trabalho anual e administra os contratos resultantes; n) Aprova as propostas apresentadas selecionadas para financiamento; o) Apresenta os projetos de contas anuais e de balanço anual ao órgão de auditoria interna pertinente e, subsequentemente, ao Conselho de Administração; p) Assegura que se proceda à avaliação e à gestão dos riscos; q) Assina contratos, decisões e convenções de subvenção individuais; r) Assina contratos públicos; s) Elabora um plano de ação que dê seguimento às conclusões dos relatórios das auditorias internas ou externas, assim como aos inquéritos do Organismo Europeu de Luta Antifraude (OLAF), criado pela Decisão 1999/352/CE, CECA, Euratom da Comissão (16), e apresenta relatórios sobre os progressos realizados, duas vezes por ano, à Comissão e, periodicamente, ao Conselho de Administração; t) Elabora o projeto de regulamentação financeira aplicável ao Centro de Competências; u) Estabelece um sistema de controlo interno eficaz e eficiente, assegura o seu funcionamento e comunica ao Conselho de Administração qualquer alteração significativa nele introduzida; v) Assegura uma comunicação eficaz com as instituições da União e, mediante convite, presta informações ao Parlamento Europeu e ao Conselho; w) Toma quaisquer outras medidas necessárias para avaliar os progressos alcançados pelo Centro de Competências na consecução da sua missão e dos seus objetivos; x) Executa quaisquer outras atribuições que lhe sejam confiadas ou delegadas pelo Conselho de Administração.

Secção III

Grupo Consultivo Estratégico

Artigo 18.o Composição do Grupo Consultivo Estratégico 1. O Grupo Consultivo Estratégico é constituído por 20 membros, no máximo. Os membros são nomeados pelo Conselho de Administração, deliberando sob proposta do diretor-executivo, de entre os representantes dos membros da Comunidade, com exceção dos representantes das instituições, órgãos e organismos da União. Só são elegíveis os representantes de membros que não sejam controlados por países terceiros ou por entidades estabelecidas em países terceiros. A nomeação é feita de acordo com um procedimento aberto, transparente e não discriminatório. O Conselho de Administração visa alcançar, na composição do Grupo Consultivo Estratégico, uma representação equilibrada da Comunidade entre entidades científicas, industriais e da sociedade civil, os setores da oferta e da procura, grandes empresas e PME, bem como uma representação equilibrada em termos de proveniência geográfica e de género. O Conselho de Administração visa igualmente alcançar um equilíbrio intrassetorial, tendo em conta a coesão da União e de todos os seus Estados-Membros em matéria de investigação, indústria e tecnologia no domínio da cibersegurança. O Grupo Consultivo Estratégico é composto de forma a permitir um diálogo abrangente, contínuo e permanente entre a Comunidade e o Centro de Competências. 2. Os membros do Grupo Consultivo Estratégico têm conhecimentos especializados no tocante à investigação, ao desenvolvimento industrial, à oferta, à execução e à implantação de serviços ou produtos profissionais no domínio da cibersegurança. Os níveis de conhecimentos especializados exigidos serão especificados mais pormenorizadamente pelo Conselho de Administração. 3. Os procedimentos relativos à nomeação dos membros do Grupo Consultivo Estratégico e ao funcionamento do Grupo Consultivo Estratégico são especificados no regulamento interno do Conselho de Administração e tornados públicos. 4. Os mandatos dos membros do Grupo Consultivo Estratégico têm a duração de dois anos. Os mandatos são renováveis uma vez. 5. O Grupo Consultivo Estratégico pode convidar representantes da Comissão e de outras instituições, órgãos e organismos da União, em especial da ENISA, a participar nos seus trabalhos e a dar-lhes o seu apoio. O Grupo Consultivo Estratégico pode, numa base casuística, conforme adequado, convidar outros representantes da Comunidade na qualidade de observadores, conselheiros ou peritos, para tomar em conta a dinâmica evolutiva no domínio da cibersegurança. Os membros do Conselho de Administração podem participar na qualidade de observadores nas reuniões do Grupo Consultivo Estratégico.

Artigo 19.o Funcionamento do Grupo Consultivo Estratégico 1. O Grupo Consultivo Estratégico reúne-se, pelo menos, três vezes por ano. 2. O Grupo Consultivo Estratégico oferece aconselhamento ao Conselho de Administração sobre a criação de grupos de trabalho no âmbito da Comunidade, nos termos do artigo 13.o, n.o 3, alínea n), sobre questões específicas relevantes para o trabalho do Centro de Competências, sempre que tais questões disserem diretamente respeito às atribuições e aos domínios de competência previstos no artigo 20.o. Caso seja necessário, esses grupos de trabalho ficam sujeitos à coordenação geral de um ou mais membros do Grupo Consultivo Estratégico. 3. O Grupo Consultivo Estratégico elege o seu presidente por maioria simples dos seus membros. 4. O secretariado do Grupo Consultivo Estratégico é assegurado pelo diretor-executivo e pelo pessoal do Centro de Competências, utilizando os recursos existentes, tendo em devida conta o volume de trabalho global do Centro de Competências. Os recursos afetados para apoiar o Grupo Consultivo Estratégico são indicados no projeto de orçamento anual. 5. O Grupo Consultivo Estratégico adota o seu regulamento interno por maioria simples dos seus membros.

Artigo 20.o Atribuições do Grupo Consultivo Estratégico O Grupo Consultivo Estratégico presta periodicamente aconselhamento ao Centro de Competências relativamente ao exercício das atividades deste último, e assegura a comunicação com a Comunidade e outras partes interessadas pertinentes. O Grupo Consultivo Estratégico também: a) Tomando em consideração os contributos da Comunidade e dos grupos de trabalho a que se refere o artigo 13.o, n.o 3, alínea n), sempre que pertinente, presta e atualiza continuamente aconselhamento e contributos estratégicos ao diretor-executivo e ao Conselho de Administração no que diz respeito à Agenda, ao programa de trabalho anual e ao programa de trabalho plurianual nos prazos fixados pelo Conselho de Administração; b) Aconselha o Conselho de Administração sobre a criação de grupos de trabalho no âmbito da Comunidade, nos termos do artigo 13.o, n.o 3, alínea n), relativos a questões específicas relevantes para o trabalho do Centro de Competências; c) Sob reserva de aprovação pelo Conselho de Administração, decide e organiza consultas públicas abertas ao público e a partes interessadas privadas que tenham um interesse no domínio da cibersegurança, a fim de recolher contributos para o aconselhamento estratégico referido no n.o 1, alínea a).

CAPÍTULO III

Disposições financeiras

Artigo 21.o Contribuição financeira da União e dos Estados-Membros 1. O Centro de Competências é financiado pela União, sendo as ações conjuntas financiadas pela União e pelas contribuições voluntárias dos Estados-Membros. 2. As despesas administrativas e operacionais das ações conjuntas são suportadas pela União e pelos Estados-Membros que contribuem para as ações conjuntas, nos termos dos Regulamentos (UE) 2021/695 e (UE) 2021/694. 3. A contribuição financeira da União para o Centro de Competências, destinada a cobrir as despesas administrativas e as despesas operacionais, inclui o seguinte: a) Até 1 649 566 000 euros provenientes do Programa Europa Digital, dos quais um máximo de 32 000 000 de euros para despesas administrativas; b) Um montante proveniente do Horizonte Europa, inclusive para despesas administrativas, para ações conjuntas, sendo esse montante igual ao da contribuição dos Estados-Membros ao abrigo do n.o 7 do presente artigo, mas não podendo exceder o montante determinado no processo de planeamento estratégico do Horizonte Europa a realizar nos termos do artigo 6.o, n.o 6, do Regulamento (UE) 2021/695, no programa de trabalho anual e no programa de trabalho plurianual; c) Um montante proveniente dos outros programas pertinentes da União, conforme necessário para a execução das atribuições ou a consecução dos objetivos do Centro de Competências, sob reserva de decisões tomadas nos termos dos atos jurídicos da União que estabelecem esses programas. 4. A contribuição máxima da União é paga com as dotações do orçamento geral da União afetadas ao Programa Europa Digital, ao programa específico que executa o Horizonte Europa, estabelecido pela Decisão (UE) 2021/764 e a outros programas e projetos abrangidos pelo âmbito do Centro de Competências ou da Rede. 5. O Centro de Competências executa as ações de cibersegurança do Programa Europa Digital e do Horizonte Europa nos termos do artigo 62.o, n.o 1, primeiro parágrafo, alínea c), subalínea iv), do Regulamento Financeiro. 6. As contribuições provenientes de programas da União que não sejam os referidos nos n.os 3 e 4, que fazem parte do cofinanciamento da União para um programa executado por um dos Estados-Membros, não são tidas em conta para o cálculo da contribuição financeira máxima da União a que se referem esses números. 7. Os Estados-Membros participam voluntariamente em ações conjuntas por meio de contribuições voluntárias financeiras e/ou em espécie. Se um Estado-Membro participar numa ação conjunta, a contribuição financeira desse Estado-Membro cobre as despesas administrativas na proporção da sua contribuição para essa ação conjunta. As despesas administrativas das ações conjuntas são suportadas pelas contribuições financeiras. As despesas operacionais das ações conjuntas podem ser suportadas por contribuições financeiras ou em espécie, tal como previsto no Horizonte Europa e no Programa Europa Digital. As contribuições de cada Estado-Membro podem assumir a forma de apoio prestado por esse Estado-Membro, no âmbito de uma ação conjunta, aos beneficiários estabelecidos nesse Estado-Membro. As contribuições em espécie consistem nos custos elegíveis incorridos pelos centros nacionais de coordenação e por outras entidades públicas quando participarem em projetos financiados ao abrigo do presente regulamento, depois de deduzida qualquer eventual contribuição da União para esses custos. No caso de projetos financiados pelo Horizonte Europa, os custos elegíveis são calculados nos termos do artigo 36.o do Regulamento (UE) 2021/695. No caso de projetos financiados pelo Programa Europa Digital, os custos elegíveis são calculados nos termos do Regulamento Financeiro. O montante previsto das contribuições voluntárias totais dos Estados-Membros, para ações conjuntas no âmbito do Horizonte Europa, inclusive as contribuições financeiras para despesas administrativas, é determinado a fim de ser tido em conta no processo de planeamento estratégico do Horizonte Europa a realizar nos termos do artigo 6.o, n.o 6, do Regulamento (UE) 2021/695, com o contributo do Conselho de Administração. Para as ações no âmbito do Programa Europa Digital, não obstante o disposto no artigo 15.o do Regulamento (UE) 2021/694, os Estados-Membros podem contribuir para os custos do Centro de Competências que são cofinanciados pelo Programa Europa Digital num montante inferior aos montantes especificados no n.o 3, alínea a), do presente artigo. 8. O cofinanciamento nacional pelos Estados-Membros de ações apoiadas por programas da União que não sejam o Horizonte Europa e o Programa Europa Digital é considerado uma contribuição nacional dos Estados-Membros, na medida em que estas contribuições façam parte de ações conjuntas e estejam incluídas no programa de trabalho do Centro de Competências. 9. Para efeitos da avaliação das contribuições referidas no n.o 3 do presente artigo e no artigo 22.o, n.o 2, alínea b), os custos são determinados de acordo com as práticas habituais em matéria de contabilidade de custos do Estado-Membro em causa, as normas contabilísticas aplicáveis do Estado-Membro em causa e as normas internacionais de contabilidade e as normas internacionais de relato financeiro aplicáveis. Os custos são certificados por um auditor externo independente nomeado pelo Estado-Membro em causa. Caso haja incertezas que decorram da certificação, o Centro de Competências pode verificar o método de avaliação. 10. Caso um Estado-Membro não cumpra os compromissos respeitantes às suas contribuições financeiras ou em espécie para ações conjuntas, o diretor-executivo notifica por escrito o Estado-Membro em causa e fixa um prazo razoável para a resolução desse incumprimento. Se a situação não for regularizada no prazo fixado, o diretor-executivo convoca uma reunião do Conselho de Administração para decidir se o direito de voto do Estado-Membro participante inadimplente lhe deve ser retirado ou se devem ser tomadas outras medidas até que esse Estado-Membro cumpra as suas obrigações. O direito de voto do Estado-Membro inadimplente relativamente as ações conjuntas é suspenso até à resolução do seu incumprimento. 11. A Comissão pode fazer cessar, reduzir proporcionalmente ou suspender a contribuição financeira da União para as ações conjuntas, se os Estados-Membros contribuintes não contribuírem, contribuírem apenas parcialmente ou contribuírem tardiamente no que respeita às contribuições a que se refere o n.o 3, alínea b). A cessação, redução ou suspensão da contribuição financeira da União por parte da Comissão é proporcional ao montante e à duração da falta de contribuição, da contribuição parcial ou da contribuição tardia do Estado-Membro. 12. Os Estados-Membros contribuintes comunicam ao Conselho de Administração, até 31 de janeiro de cada ano, o valor das contribuições a que se refere o n.o 7 para as ações conjuntas com a União realizadas em cada um dos exercícios anteriores.

Artigo 22.o Custos e recursos do Centro de Competências 1. As despesas administrativas do Centro de Competências são, em princípio, cobertas por meio de contribuições financeiras anuais da União. São pagas contribuições financeiras suplementares pelos Estados-Membros contribuintes, proporcionalmente às suas contribuições voluntárias para as ações conjuntas. Se uma parte da contribuição para as despesas administrativas não for utilizada, pode a mesma ser disponibilizada para cobrir as despesas operacionais do Centro de Competências. 2. As despesas operacionais do Centro de Competências são cobertas pelos seguintes meios: a) Contribuição financeira da União; b) Contribuições voluntárias, financeiras ou em espécie, dos Estados-Membros contribuintes no caso de ações conjuntas. 3. Os recursos do Centro de Competências inscritos no seu orçamento são constituídos pelas seguintes contribuições: a) Contribuições financeiras da União para as despesas operacionais e administrativas; b) Contribuições financeiras voluntárias dos Estados-Membros contribuintes para as despesas administrativas no caso de ações conjuntas; c) Contribuições financeiras voluntárias dos Estados-Membros contribuintes para as despesas operacionais em caso de ações conjuntas; d) Quaisquer receitas geradas pelo Centro de Comp