CELEX ID: 32021R0887

--- ENGLISH ---

Document:
8.6.2021
EN
Official Journal of the European Union
L 202/1
REGULATION (EU) 2021/887 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 20 May 2021
establishing the European Cybersecurity Industrial, Technology and Research Competence Centre and the Network of National Coordination Centres
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 173(3) and the first paragraph of Article 188 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
Acting in accordance with the ordinary legislative procedure 
(
2
)
,
Whereas:
(1)
The majority of the population of the Union is connected to the internet. The daily lives of people and economies are becoming increasingly dependent on digital technologies. Citizens and businesses are becoming increasingly exposed to serious cybersecurity incidents and many businesses in the Union experience at least one cybersecurity incident every year. This highlights the need for resilience, for enhancing technological and industrial capabilities and for the use of high cybersecurity standards and holistic cybersecurity solutions which involve people, products, processes and technology in the Union, as well as the need for Union leadership in the areas of cybersecurity and digital autonomy. Cybersecurity can also be improved by raising the awareness of cybersecurity threats and by developing competencies, capacities and capabilities throughout the Union, while thoroughly taking into account societal and ethical implications and concerns.
(2)
The Union has steadily increased its activities to address growing cybersecurity challenges following the cybersecurity strategy put forward by the Commission and the High Representative of the Union for Foreign Affairs and Security Policy (High Representative) in their Joint communication to the European Parliament, the Council, the European Economic and Social Committee and the Committee of the Regions of 7 February 2013 entitled ‘Cybersecurity Strategy of the European Union: An Open, Safe and Secure Cyberspace’ (the ‘2013 Cybersecurity Strategy’). The 2013 Cybersecurity Strategy aimed to foster a reliable, safe, and open cyber ecosystem. In 2016, the Union adopted the first measures in the area of cybersecurity with Directive (EU) 2016/1148 of the European Parliament and of the Council 
(
3
)
 on security of network and information systems.
(3)
In September 2017, the Commission and the High Representative presented a Joint communication to the European Parliament and the Council entitled ‘Resilience, Deterrence and Defence: Building strong cybersecurity for the EU’ to further reinforce the Union’s resilience, deterrence and response to cyber-attacks.
(4)
The Heads of State and Government at the Tallinn Digital Summit, in September 2017, called for the Union to become a global leader in cyber-security by 2025, in order to ensure trust, confidence and protection of citizens, consumers and enterprises online and to enable a free, safer and law-governed internet and declared their intention to make more use of open source solutions and open standards when (re)building Information and Communication Technology (ICT) systems and solutions, in particular avoiding vendor lock-ins, including those developed or promoted by Union programmes for interoperability and standardisation, such as ISA
2
.
(5)
The European Cybersecurity Industrial, Technology and Research Competence Centre (the ‘Competence Centre’) established in this Regulation should help to increase the security of network and information systems, including the internet and other infrastructures which are critical for the functioning of society, such as transport, health, energy, digital infrastructure, water, the financial markets and the banking systems.
(6)
The substantial disruption of network and information systems can affect individual Member States and the Union as a whole. A high level of security of network and information systems throughout the Union is therefore essential for society and the economy alike. At the moment, the Union depends on non-European cybersecurity providers. However, it is in the Union’s strategic interest to ensure that it retains and develops essential cybersecurity research and technological capacities to secure the network and information systems of citizens and businesses, and in particular to protect critical network and information systems and provide key cybersecurity services.
(7)
A wealth of expertise and experience in cybersecurity research, technology and industrial development exists in the Union, but the efforts of industrial and research communities are fragmented, lacking alignment and a common mission, which hinders competitiveness and the effective protection of networks and systems in that domain. Such efforts and expertise need to be pooled, networked and used in an efficient manner to reinforce and complement existing research, technology and industrial capacities and skills at Union and national level. Although the ICT sector faces important challenges, such as fulfilling its demand for skilled workers, it can benefit from representing the diversity of society at large, achieving a balanced representation of genders, ethnic diversity, and non-discrimination against persons with disabilities, as well as facilitating access to knowledge and training for future cybersecurity experts, including the education of such experts in non-formal contexts, for example in free and open source software projects, civic technology projects, start-ups and microenterprises.
(8)
Small and medium-sized enterprises (SMEs) are crucial stakeholders in the Union’s cybersecurity sector and can provide cutting-edge solutions due to their agility. However, SMEs that are not specialised in cybersecurity are also prone to be more vulnerable to cybersecurity incidents due to high investment and knowledge requirements for the establishment of effective cybersecurity solutions. It is therefore necessary that the Competence Centre and the Network of National Coordination Centres (the ‘Network’) provide support for SMEs by facilitating the access of SMEs to knowledge and tailoring access to the results of research and development, in order to allow SMEs to make themselves sufficiently secure and to allow SMEs that are active in cybersecurity to be competitive and contribute to the Union’s leadership in the area of cybersecurity.
(9)
Expertise exists outside industrial and research contexts. Non-commercial and pre-commercial projects, referred to as ‘civic tech’ projects, make use of open standards, open data, and free and open source software, in the interest of society and the public good.
(10)
The area of cybersecurity is diverse. Relevant stakeholders include stakeholders from public entities, Member States and the Union, as well as from industry, civil society, such as trade unions, consumer associations, the free and open source software community and the academic and research community, and other entities.
(11)
The Council Conclusions adopted in November 2017 called on the Commission to provide rapidly an impact assessment on the possible options to create a network of cybersecurity competence centres and a European cybersecurity research and competence centre, and to propose by mid-2018 the relevant legal instrument for the creation of such a network and such a centre.
(12)
The Union still lacks sufficient technological and industrial capacities and capabilities to autonomously make its economy and critical infrastructures secure and become a global leader in the area of cybersecurity. There is an insufficient level of strategic and sustainable coordination and cooperation between industries, cybersecurity research communities and governments. The Union suffers from insufficient investment and limited access to cybersecurity knowhow, skills and facilities, and few Union cybersecurity research and innovation outcomes are translated into marketable solutions or widely deployed across the economy.
(13)
Establishing the Competence Centre and the Νetwork, with a mandate to pursue measures in support of industrial technologies and in the domain of research and innovation, is the best way to fulfil the objectives of this Regulation while offering the highest economic, societal and environmental impact and safeguarding the Union’s interests.
(14)
The Competence Centre should be the Union’s main instrument to pool investment in cybersecurity research, technology and industrial development and to implement relevant projects and initiatives together with the Network. The Competence Centre should manage cybersecurity-related financial support from Horizon Europe – the Framework Programme for Research and Innovation (Horizon Europe) established by Regulation (EU) 2021/695 of the European Parliament and of the Council 
(
4
)
 and the Digital Europe Programme established by Regulation (EU) 2021/694 of the European Parliament and of the Council 
(
5
)
 and should be open to other programmes where appropriate. This approach should contribute to creating synergies and coordinating financial support related to Union initiatives in the area of cybersecurity research and development, innovation, technology and industrial development and should avoid unnecessary duplication.
(15)
It is important to ensure respect for fundamental rights and ethical conduct in cybersecurity research projects supported by the Competence Centre.
(16)
The Competence Centre should not carry out operational cybersecurity tasks, such as tasks associated with Computer Security Incident Response Teams (CSIRTs), including the monitoring and handling of cybersecurity incidents. However, the Competence Centre should be able to facilitate the development of ICT infrastructures at the service of industries, in particular SMEs, research communities, civil society and the public sector, consistently with the mission and objectives laid down in this Regulation. Where CSIRTs and other stakeholders seek to promote the reporting and disclosing of vulnerabilities, the Competence Centre and members of the Cybersecurity Competence Community (the ‘Community’) should be able to support those stakeholders at their request within the limits of their respective tasks and while avoiding any duplication with the European Union Agency for Cybersecurity (ENISA) as established by Regulation (EU) 2019/881 of the European Parliament and of the Council 
(
6
)
.
(17)
The Competence Centre, the Community and the Network are intended to benefit from the experience and the broad representation of relevant stakeholders built through the contractual public-private partnership on cybersecurity between the Commission and the European Cyber Security Organisation (ECSO) for the duration of Horizon 2020 – the Framework Programme for Research and Innovation (2014-2020) established by Regulation (EU) No 1291/2013 of the European Parliament and of the Council 
(
7
)
, from the lessons learnt from four pilot projects launched in early 2019 under Horizon 2020, namely CONCORDIA, ECHO, SPARTA and CyberSec4Europe, and from the pilot project and the preparatory action on Free and Open Source Software Audits (EU FOSSA), for the management of the Community and the representation of the Community in the Competence Centre.
(18)
In view of the extent of the challenge posed by cybersecurity and in view of the investments made in cybersecurity capacities and capabilities in other parts of the world, the Union and the Member States should be encouraged to step up their financial support to research, development and deployment in this area. In order to realise economies of scale and achieve a comparable level of protection across the Union, the Member States should put their efforts into a Union framework by actively contributing to the work of the Competence Centre and the Network.
(19)
In order to foster the Union’s competitiveness and high cybersecurity standards internationally, the Competence Centre and the Community should seek the exchange of developments in cybersecurity, including in products and processes, in standards and in technical standards, with the international community, where relevant to the Competence Centre’s mission, objectives and tasks. Relevant technical standards could include, for the purpose of this Regulation, the creation of reference implementations, including those published under open standard licences.
(20)
The seat of the Competence Centre is in Bucharest.
(21)
When preparing its annual work programme (annual work programme), the Competence Centre should inform the Commission of its co-funding needs on the basis of the Member States’ planned co-funding contributions to joint actions, so that the Commission is able to take into account the matching Union contribution in the preparation of the draft general budget of the Union for the following year.
(22)
Where the Commission prepares the work programme of Horizon Europe for matters related to cybersecurity, including in the context of its stakeholder consultation process, and especially before the adoption of that work programme, the Commission should take into account the input of the Competence Centre and should share that input with the Programme Committee of Horizon Europe.
(23)
In order to enable the Competence Centre to perform its role in the area of cybersecurity, to facilitate the involvement of the Network and to provide a strong governance role for the Member States, the Competence Centre should be established as a Union body with legal personality to which Commission Delegated Regulation (EU) 2019/715 
(
8
)
 is to apply. The Competence Centre should perform a dual role, undertaking specific tasks in the area of cybersecurity industry, technology and research as laid down in this Regulation and managing cybersecurity-related funding from several programmes at the same time, in particular from Horizon Europe and the Digital Europe Programme, and possibly also from other Union programmes. Such management would have to be in accordance with the rules applicable to those programmes. Nevertheless, considering that the funding for the functioning of the Competence Centre would originate primarily from Horizon Europe and the Digital Europe Programme, it is necessary that the Competence Centre be considered as a partnership for the purpose of budget implementation, including during the programming phase.
(24)
As a result of Union contribution, access to the results of the Competence Centre’s activities and projects is to be as open as possible and as closed as necessary, and re-use of such results is to be possible where appropriate.
(25)
The Competence Centre should facilitate and coordinate the work of the Network. The Network should be made up of one national coordination centre from each Member State. National coordination centres which have been recognised by the Commission as having the necessary capacity to manage funds to fulfil the mission and objectives laid down in this Regulation should receive direct Union financial support, including grants awarded without a call for proposals, in order to carry out their activities in relation to this Regulation.
(26)
National coordination centres should be public sector entities, or entities with a majority of public participation, performing public administrative functions under national law, including by means of delegation, and they should be selected by Member States. It should be possible for the functions of a national coordination centre in a given Member State to be carried out by an entity that carries out other functions arising under Union law, such as those of a national competent authority, a single point of contact within the meaning of Directive (EU) 2016/1148 or any other Union Regulation, or a digital innovation hub within the meaning of Regulation (EU) 2021/694. Other public sector entities or entities performing public administrative functions in a Member State should be able to assist the national coordination centre in that Member State in carrying out its functions.
(27)
National coordination centres should have the necessary administrative capacity, should possess or have access to cybersecurity industrial, technological and research expertise and should be in a position to effectively engage and coordinate with the industry, the public sector and the research community.
(28)
Education in the Member States should reflect the importance of having adequate cybersecurity awareness and skills. To that end, taking into account the role of ENISA and without prejudice to the competences of Member States in education, the national coordination centres, alongside relevant public authorities and stakeholders, should contribute to promoting and disseminating cybersecurity educational programmes.
(29)
National coordination centres should be able to receive grants from the Competence Centre in order to provide financial support to third parties in the form of grants. The direct cost incurred by the national coordination centres for the provision and administration of financial support to third parties should be eligible for funding under the relevant programmes.
(30)
The Competence Centre, the Network and the Community should help advance and disseminate the latest cybersecurity products, services and processes. At the same time, the Competence Centre and the Network should promote the cybersecurity capabilities of the demand-side industry, in particular by supporting developers and operators in sectors such as transport, energy, health, finance, government, telecommunications, manufacturing and space, in order to help such developers and operators solve their cybersecurity challenges, such as by implementing security by \design. The Competence Centre and the Network should also support the standardisation and deployment of cybersecurity products, services and processes while promoting, where possible, the implementation of the European cybersecurity certification framework as established by Regulation (EU) 2019/881.
(31)
Due to the fast-changing nature of cyber threats and cybersecurity, the Union needs to be able to adapt quickly and continuously to new developments in the area. Hence, the Competence Centre, the Network and the Community should be flexible enough to ensure the required ability to respond to such developments. They should facilitate projects that help entities to be able to constantly build capabilities to enhance their own and the Union’s resilience.
(32)
The Competence Centre should support the Community. The Competence Centre should implement cybersecurity relevant parts of Horizon Europe and the Digital Europe Programme in accordance with the multiannual work programme of the Competence Centre (multiannual work programme), the annual work programme and the strategic planning process of Horizon Europe by allocating grants and other forms of funding, primarily following a competitive call for proposals. The Competence Centre should also facilitate the transfer of expertise in the Network and the Community and should support joint investment by the Union, Member States or industry. It should pay particular attention to supporting SMEs in the area of cybersecurity, as well as to actions that help overcome the skills gap.
(33)
Technical assistance for project preparation should be done in a fully objective and transparent way that ensures that all potential beneficiaries receive the same information and is to avoid conflicts of interest.
(34)
The Competence Centre should stimulate and support the long-term strategic cooperation and coordination of the activities of the Community, which would involve a large, open, interdisciplinary and diverse group of European stakeholders involved in cybersecurity technology. The Community should include research entities, industries and the public sector. The Community should provide input to the activities of the Competence Centre, to the multiannual work programme and to the annual work programme, in particular through the Strategic Advisory Group. The Community should also benefit from the community-building activities of the Competence Centre and the Network, but otherwise should not be privileged with regard to calls for proposals or calls for tender. The Community should be made up of collective bodies and organisations. At the same time, in order to benefit from all the cybersecurity expertise in the Union, the Competence Centre and its bodies should also be able to call upon the expertise of natural persons as ad-hoc experts.
(35)
The Competence Centre should cooperate and ensure synergies with ENISA and should receive relevant input from ENISA when defining funding priorities.
(36)
In order to respond to the needs of both the demand and supply sides of cybersecurity, the Competence Centre’s task of providing cybersecurity knowledge and technical assistance to industries should refer to both ICT products, processes and services and to all other technological products and processes in which cybersecurity is to be embedded. Where it so requests, the public sector could also benefit from support from the Competence Centre.
(37)
In order to establish a sustainable cybersecurity environment, it is important that security by design is used as a principle in the process of developing, maintaining, operating and updating infrastructures, products and services, in particular by supporting state-of-the-art secure development methods, adequate security testing and security audits, by making available updates remedying known vulnerabilities or threats without delay and, where possible, by enabling third parties to create and provide updates beyond the respective end-of-service of products. Security by design should be ensured throughout the lifetime of ICT products, services or process and by the development processes that constantly evolve to reduce the risk of harm from malicious exploitation.
(38)
Whereas the Competence Centre and the Network should strive to enhance synergies and coordination between the cybersecurity civilian and defence spheres, projects under this Regulation that are financed by Horizon Europe should be implemented in accordance with Regulation (EU) 2021/695, which provides that research and innovation activities carried out under Horizon Europe are to have an exclusive focus on civil applications.
(39)
This Regulation applies primarily to civilian matters, but Member States’ activities under this Regulation may reflect specificities of Member States in cases when cybersecurity policy is pursued by authorities carrying out both civilian and military tasks, should strive for complementarity and should avoid overlap with defence-related funding instruments.
(40)
This Regulation should ensure the liability and transparency of the Competence Centre and those undertakings receiving funding, in line with the relevant programme Regulations.
(41)
The implementation of deployment projects, in particular deployment projects that relate to infrastructures and capabilities deployed at Union level or through joint procurement, could be divided into different phases of implementation, such as separate tenders for the design of hardware and software architecture, their production and their operation and maintenance, whereas businesses could participate only in one of the phases each and, where appropriate, could require that the beneficiaries in one or several of those phases meet certain conditions in terms of European ownership or control.
(42)
In view of its expertise in cybersecurity and its mandate as a reference point for advice and expertise on cybersecurity for Union institutions, bodies, offices and agencies as well as for relevant Union stakeholders, and in view of its collection of input through its tasks, ENISA should play an active part in the activities of the Competence Centre, including the development of the Agenda, avoiding any duplication of their tasks, in particular through its role as permanent observer in the Governing Board of the Competence Centre. Regarding the drafting of the Agenda, the annual work programme and the multiannual work programme, the Executive Director of the Competence Centre and the Governing Board should take into account any relevant strategic advice and input provided by ENISA, in accordance with the rules of procedure of the Governing Board.
(43)
Where they receive a financial contribution from the general budget of the Union, the national coordination centres and the entities which are part of the Community should publicise the fact that their respective activities are undertaken in the context of this Regulation.
(44)
The costs arising from the establishment of the Competence Centre and from the administrative and coordination activities of the Competence Centre should be financed by the Union and by the Member States, in proportion to the voluntary contributions from the Member States to joint actions. In order to avoid double funding, those activities should not benefit simultaneously from a contribution from other Union programmes.
(45)
The Governing Board, which should be composed of representatives from the Member States and the Commission, should define the general direction of the Competence Centre’s operations and should ensure that the Competence Centre carries out its tasks in accordance with this Regulation. The Governing Board should adopt the Agenda.
(46)
The Governing Board should be entrusted with the powers necessary to establish the budget of the Competence Centre. It should verify the execution of the budget, should adopt appropriate financial rules, and should establish transparent working procedures for the Competence Centre’s decision-making, including for the adoption, reflecting the Agenda, of the annual work programme and the multiannual work programme. The Governing Board should also adopt its rules of procedure, should appoint the Executive Director and should decide on any extension or termination of the Executive Director’s term of office.
(47)
The Governing Board should have oversight of the strategic and implementation activities of the Competence Centre and should ensure that those activities are aligned. In its annual report, the Competence Centre should put special emphasis on the strategic goals that it has achieved and, if necessary, propose actions for further improvement of the achievement of those strategic goals.
(48)
In order for the Competence Centre to function properly and effectively, the Commission and the Member States should ensure that the persons to be appointed to the Governing Board have appropriate professional expertise and experience in functional areas. The Commission and the Member States should also make efforts to limit the turnover of their respective representatives on the Governing Board in order to ensure the continuity of its work.
(49)
In view of the Competence Centre’s specific status and its responsibility for the implementation of Union funds, in particular those from Horizon Europe and the Digital Europe Programme, the Commission should have 26 % of the total votes in the Governing Board in respect of decisions involving Union funds, in order to maximise the Union value added of those decisions, while ensuring that those decisions are legal and are aligned with Union priorities.
(50)
The smooth functioning of the Competence Centre requires that its Executive Director be appointed in a transparent manner, on the basis of merit, documented administrative and managerial skills and competence and experience relevant to cybersecurity, and that the duties of the Executive Director be carried out with complete independence.
(51)
The Competence Centre should have a Strategic Advisory Group as an advisory body. The Strategic Advisory Group should provide advice on the basis of a regular dialogue between the Competence Centre and the Community, which should be formed by the representatives of the private sector, consumers’ organisations, academia and other relevant stakeholders. The Strategic Advisory Group should focus on issues relevant to stakeholders and bring them to the attention of the Governing Board and the Executive Director. The tasks of the Strategic Advisory Group should include providing advice regarding the Agenda, the annual work programme and the multiannual work programme. The representation of the different stakeholders in the Strategic Advisory Group should be balanced, with particular attention paid to the representation of SMEs, in order to ensure that stakeholders are appropriately represented in the work of the Competence Centre.
(52)
Contributions of the Member States to the resources of the Competence Centre could be financial or in-kind. For example, such financial contributions could consist of a grant given by a Member State to a beneficiary in that Member State that complements Union financial support given to a project under the annual work programme. On the other hand, in-kind contributions would typically be made where a Member State entity is itself the beneficiary of Union financial support. For example, if the Union subsidises an activity of a national coordination centre at a financing rate of 50 %, the remaining costs of the activity would be accounted for as an in-kind contribution. In another example, if a Member State entity receives Union financial support for creating or upgrading infrastructure that is to be shared among stakeholders in line with the annual work programme, the related non-subsidised costs would be accounted for as in-kind contributions.
(53)
In accordance with the relevant provisions of Delegated Regulation (EU) 2019/715 on conflicts of interest, the Competence Centre should have in place rules regarding the prevention, identification and resolution and management of conflicts of interest in respect of its members, bodies and staff, the Governing Board, as well as the Strategic Advisory Group and the Community. Member States should ensure the prevention, identification, and resolution of conflicts of interest in respect of the national coordination centres in accordance with national law. The Competence Centre should also apply relevant Union law concerning public access to documents as set out in Regulation (EC) No 1049/2001 of the European Parliament and of the Council 
(
9
)
. The processing of personal data by the Competence Centre should be subject to Regulation (EU) 2018/1725 of the European Parliament and of the Council 
(
10
)
. The Competence Centre should comply with the provisions of Union law that apply to Union institutions, and with national law regarding the handling of information, in particular the handling of sensitive non-classified information and EU classified information.
(54)
The financial interests of the Union and of the Member States should be protected by proportionate measures throughout the expenditure cycle, including the prevention, detection and investigation of irregularities, the recovery of lost, wrongly paid or incorrectly used funds and, where appropriate, the application of administrative and financial penalties in accordance with Regulation (EU, Euratom) 2018/1046 of the European Parliament and of the Council 
(
11
)
 (the ‘Financial Regulation’).
(55)
The Competence Centre should operate in an open and transparent way. It should provide all relevant information in a timely manner and should promote its activities, including information and dissemination activities to the wider public. The rules of procedure of the Governing Board of the Competence Centre and of the Strategic Advisory Group should be made publicly available.
(56)
The Commission’s internal auditor should exercise the same powers over the Competence Centre as those exercised in respect of the Commission.
(57)
The Commission, the Court of Auditors and the European Anti-Fraud Office should get access to all necessary information and the premises of the Competence Centre to conduct audits and investigations on the grants, contracts and agreements signed by the Competence Centre.
(58)
Since the objectives of this Regulation, namely strengthening the Union’s competitiveness and capacities, retaining and developing Union’s cybersecurity research technological and industrial capacities, increasing the competitiveness of the Union’s cybersecurity industry and turning cybersecurity into a competitive advantage for other Union industries, cannot be sufficiently achieved by the Member States alone, due to the fact that existing, limited resources are dispersed and due to the scale of the investment necessary, but can rather, by reason of avoiding unnecessary duplication of those efforts, helping to achieve critical mass of investment, ensuring that public financing is used in an optimal way and ensuring that a high level of cybersecurity is promoted in all Member States, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union (TEU). In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
General provisions and principles of the Competence Centre and the Network
Article 1
Subject matter and scope
1.   This Regulation establishes the European Cybersecurity Industrial, Technology and Research Competence Centre (the ‘Competence Centre’) and the Network of National Coordination Centres (the ‘Network’). It lays down rules for the nomination of national coordination centres as well as rules for the establishment of the Cybersecurity Competence Community (the ‘Community’).
2.   The Competence Centre shall have an essential role in the implementation of the cybersecurity part of the Digital Europe Programme, in particular with regard to actions related to Article 6 of Regulation (EU) 2021/694, and shall contribute to the implementation of Horizon Europe, in particular with regard to Section 3.1.3 of Pillar II of Annex I to Council Decision (EU) 2021/764 
(
12
)
.
3.   Member States shall collectively contribute to the work of the Competence Centre and the Network.
4.   This Regulation is without prejudice to the competences of the Member States regarding public security, defence, national security and the activities of the state in areas of criminal law.
Article 2
Definitions
For the purpose of this Regulation, the following definitions apply:
(1)
‘cybersecurity’ means the activities necessary to protect network and information systems, the users of such systems, and other persons affected by cyber threats;
(2)
‘network and information system’ means a network and information system as defined in point (1) of Article 4 of Directive (EU) 2016/1148;
(3)
‘cybersecurity products, services and processes’ means commercial and non-commercial ICT products, services or processes with the specific purpose of protecting network and information systems or ensuring the confidentiality, integrity and accessibility of data that are processed or stored in network and information systems, as well as the cybersecurity of the users of such systems and other persons affected by cyber threats;
(4)
‘cyber threat’ means any potential circumstance, event or action that could damage, disrupt or otherwise adversely impact network and information systems, the users of such systems and other persons;
(5)
‘joint action’ means an action that is included in the annual work programme and that receives financial support from Horizon Europe, the Digital Europe Programme or other Union programmes as well as financial or in-kind support by one or more Member States, and which is implemented via projects involving beneficiaries that are established in and receive financial or in-kind support from those Member States;
(6)
‘in-kind contribution’ means eligible costs incurred by national coordination centres and other public entities when they participate in projects funded through this Regulation, where those costs are not financed by a Union contribution or by financial contributions from Member States;
(7)
‘European Digital Innovation Hub’ means a European Digital Innovation Hub as defined in point (e) of Article 2 of Regulation (EU) 2021/694;
(8)
‘Agenda’ means a comprehensive and sustainable cybersecurity industrial, technology and research strategy which sets out strategic recommendations for the development and growth of the European cybersecurity industrial, technological and research sector and strategic priorities for the Competence Centre’s activities and is not binding with respect to decisions to be taken on the annual work programmes;
(9)
‘technical assistance’ means assistance by the Competence Centre to the national coordination centres or the Community in the performance of theirs tasks by providing knowledge or facilitating access to expertise in the area of cybersecurity research, technology and industry, facilitating networking, raising awareness and promoting cooperation, or means assistance by the Competence Centre together with the national coordination centres to stakeholders with respect to the preparation of projects in relation to the mission of the Competence Centre and the Network and the objectives of the Competence Centre.
Article 3
Mission of the Competence Centre and the Network
1.   The mission of the Competence Centre and the Network is to help the Union to:
(a)
strengthen its leadership and strategic autonomy in the area of cybersecurity by retaining and developing the Union’s research, academic, societal, technological and industrial cybersecurity capacities and capabilities necessary to enhance trust and security, including the confidentiality, integrity and accessibility of data, in the Digital Single Market;
(b)
support Union technological capacities, capabilities and skills in relation to the resilience and reliability of the infrastructure of network and information systems, including critical infrastructure and commonly used hardware and software in the Union; and
(c)
increase the global competitiveness of the Union’s cybersecurity industry, ensure high cybersecurity standards throughout the Union and turn cybersecurity into a competitive advantage for other Union industries.
2.   The Competence Centre and the Network shall undertake their tasks in collaboration with ENISA and the Community, as appropriate.
3.   The Competence Centre shall, in accordance with the legislative acts establishing the relevant programmes, in particular Horizon Europe and the Digital Europe Programme, use relevant Union financial resources in such a way as to contribute to the mission set out in paragraph 1.
Article 4
Objectives of the Competence Centre
1.   The Competence Centre shall have the overall objective of promoting research, innovation and deployment in the area of cybersecurity in order to fulfil the mission as set out in Article 3.
2.   The Competence Centre shall have the following specific objectives:
(a)
enhancing cybersecurity capacities, capabilities, knowledge and infrastructure for the benefit of industry, in particular SMEs, research communities, the public sector and civil society, as appropriate;
(b)
promoting cybersecurity resilience, the uptake of cybersecurity best practices, the principle of security by design, and the certification of the security of digital products and services, in a manner that complements the efforts of other public entities;
(c)
contributing to a strong European cybersecurity ecosystem which brings together all relevant stakeholders.
3.   The Competence Centre shall implement the specific objectives referred to in paragraph 2 by:
(a)
establishing strategic recommendations for research, innovation and deployment in cybersecurity in accordance with Union law and setting out strategic priorities for the Competence Centre’s activities;
(b)
implementing actions under relevant Union funding programmes in accordance with the relevant work programmes and the Union legislative acts establishing those funding programmes;
(c)
fostering cooperation and coordination among the national coordination centres and with and within the Community; and
(d)
where relevant and appropriate, acquiring and operating ICT infrastructure and services where necessary to fulfil the tasks set out in Article 5 and in accordance with the respective work programmes set out in point (b) of Article 5(3).
Article 5
Tasks of the Competence Centre
1.   In order to fulfil its mission and objectives, the Competence Centre shall have the following tasks:
(a)
strategic tasks; and
(b)
implementation tasks.
2.   The strategic tasks referred to in point (a) of paragraph 1 shall consist of:
(a)
developing and monitoring the implementation of the Agenda;
(b)
through the Agenda and the multiannual work programme, while avoiding any duplication of activities with ENISA and taking into account the need to create synergies between cybersecurity and other parts of Horizon Europe and the Digital Europe Programme:
(i)
establishing priorities for the work of the Competence Centre in relation to:
(1)
the enhancement of cybersecurity research and innovation, covering the entire innovation cycle, and the deployment of that research and innovation;
(2)
the development of cybersecurity industrial, technological and research capacities, capabilities, and infrastructure;
(3)
the reinforcement of cybersecurity and technology skills and competence in industry, technology and research and at all relevant educational levels, supporting gender balance;
(4)
the deployment of cybersecurity products, services and processes;
(5)
support for the uptake by the market of cybersecurity products, services and processes contributing to the mission set out in Article 3;
(6)
support for the adoption and integration of state-of-the-art cybersecurity products, services and processes by public authorities at their request, by demand-side industries and by other users;
(ii)
supporting the cybersecurity industry, in particular SMEs, with a view to strengthening Union excellence, capacity and competitiveness with regard to cybersecurity, including with a view to connecting to potential markets and deployment opportunities, and to attracting investment; and
(iii)
providing support and technical assistance to cybersecurity start-ups, SMEs, microenterprises, associations, individual experts and civic technology projects;
(c)
ensuring synergies between and cooperation with relevant Union institutions, bodies, offices and agencies, in particular ENISA, while avoiding any duplication of activities with those Union institutions, bodies, offices and agencies;
(d)
coordinating national coordination centres through the Network and ensuring a regular exchange of expertise;
(e)
providing expert cybersecurity industrial, technology and research advice to Member States at their request, including with regard to the procurement and deployment of technologies;
(f)
facilitating collaboration and the sharing of expertise among all relevant stakeholders, in particular members of the Community;
(g)
attending Union, national and international conferences, fairs and forums related to the mission, objectives and tasks of the Competence Centre with the aim of sharing views and exchanging relevant best practices with other participants;
(h)
facilitating the use of results from research and innovation projects in actions related to the development of cybersecurity products, services and processes, while seeking to avoid the fragmentation and duplication of efforts and replicating good cybersecurity practices and cybersecurity products, services and processes, in particular those developed by SMEs and those using open source software.
3.   The implementation tasks referred to in point (b) of paragraph 1 shall consist of:
(a)
coordinating and administrating the work of the Network and the Community in order to fulfil the mission set out in Article 3, in particular by supporting cybersecurity start-ups, SMEs, microenterprises, associations and civic technology projects in the Union and facilitating their access to expertise, funding, investment and markets;
(b)
establishing and implementing the annual work programme, in accordance with the Agenda and the multiannual work programme, for the cybersecurity parts of:
(i)
the Digital Europe Programme, in particular actions related to Article 6 of Regulation (EU) 2021/694;
(ii)
joint actions receiving support under the provisions that relate to cybersecurity in Horizon Europe, in particular with regard to Section 3.1.3 of Pillar II of Annex I to Decision (EU) 2021/764, in accordance with the multiannual work programme and the strategic planning process of Horizon Europe; and
(iii)
other programmes where provided for in the relevant legislative acts of the Union;
(c)
supporting, where appropriate, the achievement of Specific Objective 4 – ‘Advanced Digital Skills’ as set out in Article 7 of Regulation (EU) 2021/694, in cooperation with European Digital Innovation Hubs;
(d)
providing expert advice on cybersecurity industry, technology and research to the Commission when the Commission prepares draft work programmes pursuant to Article 13 of Decision (EU) 2021/764;
(e)
carrying out or enabling the deployment of ICT infrastructure and facilitating the acquisition of such infrastructure, for the benefit of society, industry and the public sector, at the request of Member States, research communities and operators of essential services, by means of, inter alia, contributions from Member States and Union funding for joint actions, in accordance with the Agenda, the annual work programme and the multiannual work programme;
(f)
raising awareness of the mission of the Competence Centre and the Network and of the objectives and tasks of the Competence Centre;
(g)
without prejudice to the civilian nature of projects to be financed from Horizon Europe, and in accordance with Regulations (EU) 2021/695 and (EU) 2021/694, enhancing synergies and coordination between the cybersecurity civilian and defence spheres, by facilitating the exchange of:
(i)
knowledge and information with regard to dual-use technologies and applications;
(ii)
results, requirements and best practices; and
(iii)
information with regard to the priorities of relevant Union programmes.
4.   The Competence Centre shall carry out the tasks set out in paragraph 1 in close cooperation with the Network.
5.   In accordance with Article 6 of Regulation (EU) 2021/695 and subject to a contribution agreement as defined in point (18) of Article 2 of the Financial Regulation, the Competence Centre may be entrusted with the implementation of the cybersecurity parts under Horizon Europe that are not co-funded by the Member States, in particular with regard to Section 3.1.3 of Pillar II of Annex I to Decision (EU) 2021/764.
Article 6
Nomination of national coordination centres
1.   By 29 December 2021, each Member State shall nominate one entity which fulfils the criteria laid down in paragraph 5 to act as its national coordination centre for the purposes of this Regulation. Each Member State shall notify that entity to the Governing Board without delay. Such entity may be an entity already established in that Member State.
The deadline set out in the first subparagraph of this paragraph shall be extended for the period during which the Commission is to issue the opinion referred to in paragraph 2.
2.   At any time, a Member State may ask the Commission for an opinion concerning whether the entity that the Member State has nominated or intends to nominate to act as its national coordination centre has the necessary capacity to manage funds to fulfil the mission and objectives laid down in this Regulation. The Commission shall issue its opinion to that Member State within three months of the Member State’s request.
3.   On the basis of the notification by a Member State of an entity as referred to in paragraph 1, the Governing Board shall list that entity as a national coordination centre no later than three months after the notification. The Competence Centre shall publish the list of nominated national coordination centres.
4.   A Member State may at any time nominate a new entity to act as its national coordination centre for the purposes of this Regulation. Paragraphs 1, 2 and 3 shall apply to the nomination of any new entity.
5.   The national coordination centre shall be a public sector entity or an entity, a majority of which is owned by the Member State, which performs public administrative functions under national law, including by means of delegation, and having the capacity to support the Competence Centre and the Network in fulfilling their mission as set out in Article 3 of this Regulation. It shall either possess or have access to research and technological expertise in cybersecurity. It shall have the capacity to engage effectively and coordinate with industry, the public sector, the academic and research community and citizens, as well as with authorities designated pursuant to Directive (EU) 2016/1148.
6.   At any time, a national coordination centre may request to be recognised as having the necessary capacity to manage funds to fulfil the mission and objectives laid down in this Regulation, in accordance with Regulations (EU) 2021/695 and (EU) 2021/694. Within three months of such a request, the Commission shall assess whether that national coordination centre has such capacity and shall issue a decision.
Where the Commission has provided a positive opinion to a Member State in accordance with the procedure laid down in paragraph 2, that opinion shall be deemed to be a decision recognising the relevant entity as having the necessary capacity for the purposes of this paragraph.
No later than 29 August 2021, after consulting the Governing Board, the Commission shall issue guidelines on the assessment referred to in the first subparagraph, including a specification of the conditions for recognition and how opinions and assessments are conducted.
Before issuing the opinion referred to in paragraph 2 and the decision referred to in the first subparagraph of this paragraph, the Commission shall take into account any information and documentation provided by the requesting national coordination centre.
Any decision not to recognise a national coordination centre as having the necessary capacity to manage funds to fulfil the mission and objectives laid down in this Regulation shall be duly reasoned, setting out the requirements the requesting national coordination centre has not yet fulfilled that justify the decision to withhold recognition. Any national coordination centre whose request for recognition has been rejected may resubmit its request with additional information at any time.
Member States shall inform the Commission in the event of changes to the national coordination centre, such as the composition of the national coordination centre, the legal form of the national coordination centre or other relevant aspects, that affect its capacity to manage funds to fulfil the mission and objectives laid down in this Regulation. On receiving such information the Commission may review a decision to grant or withhold recognition of the national coordination centre as having the necessary capacity to manage funds accordingly.
7.   The Network shall be composed of all the national coordination centres that have been notified to the Governing Board by the Member States.
Article 7
Tasks of the national coordination centres
1.   The national coordination centres shall have the following tasks:
(a)
acting as points of contact at national level for the Community to support the Competence Centre in fulfilling its mission and objectives, in particular in coordinating the Community through the coordination of Community members in their Member States;
(b)
providing expertise and actively contributing to the strategic tasks set out in Article 5(2), taking into account relevant national and regional challenges for cybersecurity in different sectors;
(c)
promoting, encouraging and facilitating the participation of civil society, industry, in particular start-ups and SMEs, the academic and research communities and other stakeholders at national level in cross-border projects and in cybersecurity actions funded by relevant Union programmes;
(d)
providing technical assistance to stakeholders by supporting them in the application phase for projects managed by the Competence Centre in relation to its mission and objectives, and in full compliance with the rules of sound financial management, especially with regard to conflicts of interest;
(e)
seeking to establish synergies with relevant activities at national, regional and local level, such as national policies on research, development and innovation in the area of cybersecurity, in particular those policies stated in the national cybersecurity strategies;
(f)
implementing specific actions for which grants have been awarded by the Competence Centre, including through the provision of financial support to third parties in accordance with Article 204 of the Financial Regulation under conditions specified in the grant agreements concerned;
(g)
without prejudice to the competences of Member States for education and taking into account the relevant tasks of ENISA, engaging with national authorities regarding possible contributions to promoting and disseminating cybersecurity educational programmes;
(h)
promoting and disseminating the relevant outcomes of the work of the Network, the Community and the Competence Centre at national, regional or local level;
(i)
assessing requests by entities established in the same Member State as the national coordination centre to become part of the Community;
(j)
advocating and promoting the involvement of relevant entities in the activities arising from the Competence Centre, the Network and the Community, and monitoring, as appropriate, the level of engagement with and the amount of public financial support awarded for cybersecurity research, developments and deployments.
2.   For the purposes of point (f) of paragraph 1 of this Article, the financial support to third parties may be provided in any of the forms of Union contribution specified in Article 125 of the Financial Regulation, including in the form of lump sums.
3.   On the basis of a decision as referred to in Article 6(6) of this Regulation, national coordination centres may receive a grant from the Union in accordance with point (d) of the first paragraph of Article 195 of the Financial Regulation in relation to carrying out the tasks laid down in this Article.
4.   National coordination centres shall, where relevant, cooperate through the Network.
Article 8
The Cybersecurity Competence Community
1.   The Community shall contribute to the mission of the Competence Centre and the Network set out in Article 3 and shall enhance, share and disseminate cybersecurity expertise across the Union.
2.   The Community shall consist of industry, including SMEs, academic and research organisations, other relevant civil society associations as well as, as appropriate, relevant European Standardisation Organisations, public entities and other entities dealing with cybersecurity operational and technical matters and, where relevant, stakeholders in sectors that have an interest in cybersecurity and that face cybersecurity challenges. The Community shall bring together the main stakeholders with regard to cybersecurity technological, industrial, academic and research capacities in the Union. It shall involve national coordination centres, European Digital Innovation Hubs, where relevant, as well as Union institutions, bodies, offices and agencies with relevant expertise, such as ENISA.
3.   Only entities which are established within the Member States shall be registered as members of the Community. They shall demonstrate that they are able to contribute to the mission and shall have cybersecurity expertise with regard to at least one of the following domains:
(a)
academia, research or innovation;
(b)
industrial or product development;
(c)
training and education;
(d)
information security or incident response operations;
(e)
ethics;
(f)
formal and technical standardisation and specifications.
4.   The Competence Centre shall register entities, at their request, as members of the Community after an assessment made by the national coordination centre of the Member State in which those entities are established to confirm that those entities meet the criteria set out in paragraph 3 of this Article. That assessment shall also take into account any relevant national assessment on security grounds made by the national competent authorities. Such registrations shall not be limited in time but may be revoked by the Competence Centre at any time if the relevant national coordination centre considers that the entity concerned no longer fulfils the criteria set out in paragraph 3 of this Article or falls under Article 136 of the Financial Regulation, or on justified security grounds. Where membership in the Community is revoked on security grounds, the decision to revoke shall be proportional and reasoned. The national coordination centres shall aim to achieve a balanced representation of stakeholders in the Community and actively stimulate participation, in particular of SMEs.
5.   National coordination centres shall be encouraged to cooperate through the Network in order to harmonise the way in which they apply the criteria set out in paragraph 3 and the procedures for assessing and registering entities referred to in paragraph 4.
6.   The Competence Centre shall register relevant Union institutions, bodies, offices and agencies as members of the Community after carrying out an assessment to confirm that that Union institution, body, office or agency meets the criteria set out in paragraph 3 of this Article. Such registrations shall not be limited in time but may be revoked by the Competence Centre at any time if it considers that the Union institution, body, office or agency no longer fulfils the criteria set out in paragraph 3 of this Article or falls under Article 136 of the Financial Regulation.
7.   Representatives of the Union institutions, bodies, offices and agencies may participate in the work of the Community.
8.   An entity registered as a member of the Community shall designate its representatives to ensure an efficient dialogue. Those representatives shall have expertise with regard to cybersecurity research, technology or industry. The requirements may be further specified by the Governing Board, without unduly limiting the entities in the designation of their representatives.
9.   The Community, through its working groups and in particular through the Strategic Advisory Group, shall provide the Executive Director and the Governing Board with strategic advice on the Agenda, the annual work programme and the multiannual work programme, in accordance with the rules of procedure of the Governing Board.
Article 9
Tasks of the members of the Community
The members of the Community shall:
(a)
support the Competence Centre in fulfilling its mission and objectives and, for that purpose, shall work closely with the Competence Centre and the national coordination centres;
(b)
where relevant, participate in formal or informal activities and in the working groups referred to in point (n) of Article 13(3) to carry out specific activities as provided by the annual work programme; and
(c)
where relevant, support the Competence Centre and the national coordination centres in promoting specific projects.
Article 10
Cooperation of the Competence Centre with other Union institutions, bodies, offices and agencies and international organisations
1.   To ensure consistency and complementarity while avoiding any duplication of effort, the Competence Centre shall cooperate with relevant Union institutions, bodies, offices and agencies, including ENISA, the European External Action Service, the Directorate-General Joint Research Centre of the Commission, the European Research Executive Agency, the European Research Council Executive Agency and the European Health and Digital Executive Agency established by Commission Implementing Decision (EU) 2021/173 
(
13
)
, relevant European Digital Innovation Hubs, the European Cybercrime Centre at the European Union Agency for Law Enforcement Cooperation established by Regulation (EU) 2016/794 of the European Parliament and of the Council 
(
14
)
, the European Defence Agency in relation to the tasks set out in Article 5 of this Regulation and other relevant Union entities. The Competence Centre may also cooperate with international organisations, where relevant.
2.   Cooperation as referred to in paragraph 1 of this Article may take place within the framework of working arrangements. Those arrangements shall be submitted for the approval of the Governing Board. Any sharing of classified information shall take place within the framework of administrative arrangements concluded in accordance with Article 36(3).
CHAPTER II
Organisation of the Competence Centre
Article 11
Membership and structure
1.   The members of the Competence Centre shall be the Union, represented by the Commission, and the Member States.
2.   The structure of the Competence Centre shall ensure the achievement of the objectives set out in Article 4 and the tasks set out in Article 5, and shall comprise:
(a)
a Governing Board;
(b)
an Executive Director;
(c)
a Strategic Advisory Group.
Section I
Governing Board
Article 12
Composition of the Governing Board
1.   The Governing Board shall be composed of one representative of each Member State and two representatives of the Commission who act on behalf of the Union.
2.   Each member of the Governing Board shall have an alternate. That alternate shall represent the member in the member’s absence.
3.   Members of the Governing Board appointed by Member States and their alternates shall be public sector staff in their respective Member State and shall be appointed on the basis of their knowledge in the area of cybersecurity research, technology and industry, their ability to ensure the coordination of actions and positions with their respective national coordination centre, or their relevant managerial, administrative and budgetary skills. The Commission shall appoint its members of the Governing Board and their alternates on the basis of their knowledge in the area of cybersecurity, technology, or their relevant managerial, administrative and budgetary skills and of their ability to ensure coordination, synergies and, as far as possible, joint initiatives between different sectoral or horizontal Union policies involving cybersecurity. The Commission and the Member States shall make efforts to limit the turnover of their representatives in the Governing Board, in order to ensure the continuity of the Governing Board’s work. The Commission and the Member States shall aim to achieve a balanced representation between men and women on the Governing Board.
4.   The term of office of members of the Governing Board and of their alternates shall be four years. That term shall be renewable.
5.   The members of the Governing Board shall ensure that the Competence Centre’s mission, objectives, identity and autonomy are safeguarded and that its actions are consistent with that mission and those objectives, in an independent and transparent way.
6.   The Governing Board may invite observers to take part in its meetings as appropriate, including representatives of relevant Union institutions, bodies, offices and agencies, and the members of the Community.
7.   A representative from ENISA shall be a permanent observer in the Governing Board. The Governing Board may invite a representative from the Strategic Advisory Group to attend its meetings.
8.   The Executive Director shall take part in the meetings of the Governing Board but shall have no right to vote.
Article 13
Tasks of the Governing Board
1.   The Governing Board shall have the overall responsibility for the strategic orientation and the operations of the Competence Centre, shall supervise the implementation of its activities and shall be responsible for any task that is not specifically allocated to the Executive Director.
2.   The Governing Board shall adopt its rules of procedure. Those rules of procedure shall include specific procedures for identifying and avoiding conflicts of interest and shall ensure the confidentiality of any sensitive information.
3.   The Governing Board shall take necessary strategic decisions, in particular with regard to:
(a)
the development and adoption of the Agenda and the monitoring of its implementation;
(b)
reflecting the Union’s policy priorities and the Agenda, the adoption of the multiannual work programme containing common, industrial, technology and research priorities which are based on the needs identified by Member States in cooperation with the Community and which require the focus of Union financial support, including key technologies and domains for developing the Union’s own capabilities in cybersecurity;
(c)
the adoption of the annual work programme for implementing the relevant Union funds, in particular the cybersecurity parts of Horizon Europe insofar as they are co-financed voluntarily by Member States and of the Digital Europe Programme, in accordance with the Competence Centre’s multiannual work programme and the strategic planning process of Horizon Europe;
(d)
the adoption of the Competence Centre’s annual accounts, balance sheet and annual activity report, on the basis of a proposal from the Executive Director;
(e)
the adoption of the specific financial rules of the Competence Centre in accordance with Article 70 of the Financial Regulation;
(f)
as part of the annual work programme, the allocation of funds from the Union budget to topics for joint actions between the Union and Member States;
(g)
as part of the annual work programme, and in accordance with the decisions referred to in point (f) of this subparagraph and in compliance with Regulations (EU) 2021/695 and (EU) 2021/694, the description of the joint actions referred to in point (f) of this subparagraph and the laying down of conditions for the implementation of such joint actions;
(h)
the adoption of a procedure for appointing the Executive Director and the appointment, dismissal, extension of the term of office of, provision of guidance to and the monitoring of the performance of the Executive Director;
(i)
the adoption of guidelines for assessing and registering entities as members of the Community;
(j)
the adoption of the working arrangements referred to in Article 10(2);
(k)
the appointment of the Accounting Officer;
(l)
the adoption of the annual budget of the Competence Centre, including the corresponding establishment plan indicating the number of temporary posts by function group and by grade, with the number of contract staff and seconded national experts being expressed in full-time equivalents;
(m)
the adoption of transparency rules for the Competence Centre and rules for the prevention and management of conflicts of interest, including in respect of the members of the Governing Board, in accordance with Article 42 of Delegated Regulation (EU) 2019/715;
(n)
the establishment of working groups within the Community, where relevant taking into account advice provided by the Strategic Advisory Group;
(o)
the appointment of members of the Strategic Advisory Group;
(p)
the adoption of rules on the reimbursement of expenses for members for the Strategic Advisory Group;
(q)
the setting up of a monitoring mechanism to ensure that the implementation of the respective funds managed by the Competence Centre is done in accordance with the Agenda, the mission, the multiannual work programme and the rules of the programmes that are the source of the relevant funding;
(r)
the ensuring of a regular dialogue and the establishment of an effective cooperation mechanism with the Community;
(s)
the establishment of the Competence Centre’s communications policy on the basis of a recommendation by the Executive Director;
(t)
where appropriate, the establishment of rules implementing the Staff Regulations of Officials and the Conditions of Employment of Other Servants of the European Union, laid down in Council Regulation (EEC, Euratom, ECSC) No 259/68 
(
15
)
 (‘Staff Regulations’ and ‘Conditions of Employment’), in accordance with Article 30(3) of this Regulation;
(u)
where appropriate, the laying down of rules on the secondment of national experts to the Competence Centre and on the use of trainees in accordance with Article 31(2);
(v)
the adoption of security rules for the Competence Centre;
(w)
the adoption of an anti-fraud and anti-corruption strategy that is proportionate to the fraud and corruption risks, as well as the adoption of comprehensive measures, in accordance with applicable Union legislation, to protect persons who report infringements of Union law, having regard to a cost-benefit analysis of the measures to be implemented;
(x)
if necessary, the adoption of the methodology to calculate voluntary financial and in-kind contributions from contributing Member States in accordance with Regulations (EU) 2021/695 and (EU) 2021/694 or with any other applicable legislation;
(y)
in the context of the annual work programme and the multiannual work programme, the ensuring of coherence and synergies with those parts of the Digital Europe Programme and Horizon Europe which are not managed by the Competence Centre, as well as with other Union programmes;
(z)
the adoption of the annual report on the implementation of the Competence Centre’s strategic goals and priorities, if necessary with a recommendation for the better realisation of those goals and priorities.
Insofar the annual work programme contains joint actions, it shall contain information about Member States’ voluntary contributions to joint actions. Where appropriate, proposals, in particular the proposal for the annual work programme, shall assess the need to apply security rules as set out in Article 33 of this Regulation, including the security self-assessment procedure in accordance with Article 20 of Regulation (EU) 2021/695.
4.   Regarding the decisions set out in points (a), (b) and (c) of paragraph 3, the Executive Director and the Governing Board shall take into account any relevant strategic advice and input provided by ENISA, in accordance with the rules of procedure of the Governing Board.
5.   The Governing Board shall be responsible for ensuring that the recommendations contained in the implementation report and the evaluation referred to in Article 38(2) and (4) are adequately followed up.
Article 14
Chairperson and meetings of the Governing Board
1.   The Governing Board shall elect a Chairperson and a Deputy Chairperson from among its members, each for a period of three years. The mandate of the Chairperson and the Deputy Chairperson may be extended once by a decision by the Governing Board. If, however, the membership of the Governing Board of the Chairperson or Deputy Chairperson ends at any time during their terms of office, their terms of office shall automatically expire at that time. The Deputy Chairperson shall replace the Chairperson 
ex officio
 if the latter is unable to attend to his or her duties. The Chairperson shall take part in the voting.
2.   The Governing Board shall hold ordinary meetings at least three times a year. It may hold extraordinary meetings at the request of the Commission, at the request of one third of all its members, at the request of the Chairperson, or at the request of the Executive Director in the fulfilment of his or her tasks.
3.   The Executive Director shall take part in the deliberations of the Governing Board, unless decided otherwise by the Governing Board, but shall have no right to vote.
4.   The Governing Board may invite other persons to attend its meetings as observers, on a case-by-case basis.
5.   The Chairperson may invite representatives of the Community to take part in the meetings of the Governing Board, but they shall have no right to vote.
6.   The members of the Governing Board and their alternates may be assisted at the meetings by advisers or experts, subject to the rules of procedure of the Governing Board.
7.   The Competence Centre shall provide the secretariat for the Governing Board.
Article 15
Voting rules of the Governing Board
1.   The Governing Board shall use a consensual approach in its discussions. A vote shall be held if the members of the Governing Board fail to achieve consensus.
2.   If the Governing Board fails to achieve consensus on a matter, it shall take its decisions by a majority of at least 75 % of the votes of all its members, the representatives of the Commission constituting a single member for that purpose. An absent member of the Governing Board may delegate his or her vote to his or her alternate or, in the absence of his or her alternate, to another member. No member of the Governing Board shall represent more than one other member.
3.   Decisions of the Governing Board on the joint actions and their management as referred to in points (f) and (g) of Article 13(3) shall be taken as follows:
(a)
decisions to allocate funds from the Union budget to joint actions as referred to in point (f) of Article 13(3) and decisions to include such joint actions in the annual work programme shall be taken in accordance with paragraph 2 of this Article;
(b)
decisions relating to the description of joint actions and laying down conditions for their implementation referred in point (g) of Article 13(3) shall be taken by participating Members States and the Commission, subject to the right to vote of the members being proportional to their respective contributions to that joint action, calculated in accordance with the methodology adopted pursuant to point (x) of Article 13(3).
4.   For decisions which are taken under points (b), (c), (d), (e), (f), (k), (l), (p), (q), (t), (u), (w), (x) and (y) of Article 13(3), the Commission shall have 26 % of the total votes within the Governing Board.
5.   For decisions other than those referred to in point (b) of paragraph 3 and in paragraph 4, each Member State and the Union shall have one vote. The vote of the Union shall be cast jointly by the two representatives of the Commission.
6.   The Chairperson shall take part in the voting.
Section II
Executive Director
Article 16
Appointment, dismissal, and extension of the term of office, of the Executive Director
1.   The Executive Director shall be a person with expertise and a strong reputation in the areas where the Competence Centre operates.
2.   The Executive Director shall be engaged as a temporary agent of the Competence Centre under point (a) of Article 2 of the Conditions of Employment.
3.   The Executive Director shall be appointed by the Governing Board from a list of candidates proposed by the Commission, following an open, transparent and non-discriminatory selection procedure.
4.   For the purpose of concluding the contract of the Executive Director, the Competence Centre shall be represented by the Chairperson of the Governing Board.
5.   The term of office of the Executive Director shall be four years. Before the end of that period, the Commission shall carry out an assessment which takes into account the evaluation of the performance of the Executive Director and the Competence Centre’s future tasks and challenges.
6.   The Governing Board, acting on a proposal from the Commission which takes into account the assessment referred to in paragraph 5, may extend the term of office of the Executive Director once for no more than four years.
7.   An Executive Director whose term of office has been extended shall not participate in another selection procedure for the same post.
8.   The Executive Director shall be removed from office only by a decision of the Governing Board, acting on a proposal from the Commission or from at least 50 % of the Member States.
Article 17
Tasks of the Executive Director
1.   The Executive Director shall be responsible for operations and for the day-to-day management of the Competence Centre and shall be its legal representative. The Executive Director shall be accountable to the Governing Board and perform his or her duties with complete independence within the powers assigned to him or her. The Executive Director shall be supported by the staff of the Competence Centre.
2.   The Executive Director shall carry out at least the following tasks in an independent manner:
(a)
implement the decisions adopted by the Governing Board;
(b)
support the Governing Board in its work, provide the secretariat for its meetings and supply all information necessary for the performance of its duties;
(c)
after consulting the Governing Board and the Commission and taking into account the input of the national coordination centres and the Community, prepare and submit for adoption to the Governing Board the Agenda, as well as, in accordance with the Agenda, the draft annual work programme and the draft multiannual work programme of the Competence Centre, including the scope of the calls for proposals, calls for expressions of interest and calls for tenders needed to implement the annual work programme and the corresponding expenditure estimates as proposed by the Member States and the Commission;
(d)
prepare and submit the draft annual budget to the Governing Board for adoption, including the corresponding establishment plan referred to in point (l) of Article 13(3), indicating the number of temporary posts in each grade and function group and the number of contract staff and seconded national experts, expressed in full-time equivalents;
(e)
implement the annual work programme and the multiannual work programme and report to the Governing Board with regard thereto;
(f)
prepare the draft annual activity report on the Competence Centre, including the information on corresponding expenditure and the implementation of the Agenda and the multiannual work programme; if necessary, that report shall be accompanied by proposals for the further improvement of the realisation or the reformulation of the strategic goals and priorities;
(g)
ensure the implementation of effective monitoring and evaluation procedures in relation to the performance of the Competence Centre;
(h)
prepare an action plan that follows up on the conclusions of the implementation report and the evaluation referred to in Article 38(2) and (4) and, every two years, submit reports on progress to the European Parliament and to the Commission;
(i)
prepare and conclude agreements with the national coordination centres;
(j)
be responsible for administrative, financial and staff matters, including the implementation of the Competence Centre’s budget, taking due account of advice received from the relevant internal audit function, in accordance with the decisions referred to in points (e), (l), (t), (u), (v) and (w) of Article 13(3);
(k)
approve and manage the launch of calls for proposals, in accordance with the annual work programme, and administer the resulting grant agreements and decisions;
(l)
approve the list of actions selected for funding on the basis of a ranking list established by a panel of independent experts;
(m)
approve and manage the launch of calls for tenders, in accordance with the annual work programme, and administer the resulting contracts;
(n)
approve the tenders selected for funding;
(o)
submit the draft annual accounts and balance sheet to the relevant internal audit function, and subsequently to the Governing Board;
(p)
ensure that risk assessments and risk management are performed;
(q)
sign individual grant agreements, decisions and contracts;
(r)
sign procurement contracts;
(s)
prepare an action plan that follows up on the conclusions of internal or external audit reports, as well as investigations by the European Anti-Fraud Office (OLAF) established with Commission Decision 1999/352/EC, ECSC, Euratom 
(
16
)
 and report on progress twice a year to the Commission and regularly to the Governing Board;
(t)
prepare draft financial rules applicable to the Competence Centre;
(u)
establish and ensure the functioning of an effective and efficient internal control system and report any significant change to it to the Governing Board;
(v)
ensure effective communication with the Union’s institutions and report, when invited, to the European Parliament and to the Council;
(w)
take any other measures needed to assess the Competence Centre’s fulfilment of its mission and objectives;
(x)
perform any other tasks entrusted or delegated to him or her by the Governing Board.
Section III
Strategic Advisory Group
Article 18
Composition of the Strategic Advisory Group
1.   The Strategic Advisory Group shall consist of no more than 20 members. The members shall be appointed by the Governing Board, acting on a proposal from the Executive Director, from among the representatives of the members of the Community other than representatives of Union institutions, bodies, offices and agencies. Only representatives of members which are not controlled by a third country or by an entity established in a third-country shall be eligible. The appointment shall be made in accordance with an open, transparent, and non-discriminatory procedure. The Governing Board shall aim for the composition of the Strategic Advisory Group to achieve a balanced representation of the Community between scientific, industrial and civil society entities, demand and supply-side industries, large enterprises and SMEs, as well as balanced representation in terms of geographical provenance and gender. It shall also aim to achieve an intra sectorial balance, having regard to the cohesion of the Union and all of the Member States in the area of cybersecurity research, industry and technology. The Strategic Advisory Group shall be composed so as to enable a comprehensive, ongoing and permanent dialogue between the Community and the Competence Centre.
2.   Members of the Strategic Advisory Group shall have expertise with regard to cybersecurity research, industrial development, offering, implementing, or deploying professional services or products. The requirements for such expertise shall be further specified by the Governing Board.
3.   Procedures concerning the appointment of the members of the Strategic Advisory Group and the operation of the Strategic Advisory Group shall be specified in the rules of procedure of the Governing Board and shall be made public.
4.   The terms of office of members of the Strategic Advisory Group shall be two years. Those terms shall be renewable once.
5.   Representatives of the Commission and of other Union institutions, bodies, offices and agencies, in particular ENISA, may be invited by the Strategic Advisory Group to participate in and support its work. The Strategic Advisory Group may invite additional representatives from the Community in the capacity of observer, adviser, or expert, as appropriate on a case-by-case basis, to take into account the dynamic of developments in the area of cybersecurity. Members of the Governing Board may participate as observers in the meetings of the Strategic Advisory Group.
Article 19
Functioning of the Strategic Advisory Group
1.   The Strategic Advisory Group shall meet at least three times a year.
2.   The Strategic Advisory Group shall provide advice to the Governing Board on the establishment of working groups within the Community, in accordance with point (n) of Article 13(3) on specific issues relevant to the work of the Competence Centre, whenever those issues directly relate to the tasks and areas of competence set out in Article 20. Where necessary, such working groups shall be subject to the overall coordination of one or more members of the Strategic Advisory Group.
3.   The Strategic Advisory Group shall elect its Chair by a simple majority of its members.
4.   The secretariat of the Strategic Advisory Group shall be provided by the Executive Director and the staff of the Competence Centre, using existing resources, with due regard to the overall workload of the Competence Centre. The resources assigned to the support of the Strategic Advisory Group shall be indicated in the draft annual budget.
5.   The Strategic Advisory Group shall adopt its rules of procedure by a simple majority of its members.
Article 20
Tasks of the Strategic Advisory Group
The Strategic Advisory Group shall regularly advise the Competence Centre in respect of the performance of the Competence Centre’s activities and shall ensure communication with the Community and other relevant stakeholders. The Strategic Advisory Group shall also:
(a)
taking into account contributions from the Community and the working groups referred to in point (n) of Article 13(3) where relevant, provide and update on an ongoing basis strategic advice and input to the Executive Director and the Governing Board with regard to the Agenda, the annual work programme and the multiannual work programme within the deadlines set by the Governing Board;
(b)
advise the Governing Board on the establishment of working groups within the Community in accordance with point (n) of Article 13(3) on specific issues relevant to the work of the Competence Centre;
(c)
subject to approval by the Governing Board, decide on and organise public consultations open to all public and private stakeholders who have an interest in the area of cybersecurity, in order to collect input for the strategic advice referred to in point (a).
CHAPTER III
Financial provisions
Article 21
Union and Member States’ financial contributions
1.   The Competence Centre shall be funded by the Union, while joint actions shall be funded by the Union and by voluntary contributions by the Member States.
2.   The administrative and operational costs of joint actions shall be covered by the Union and by the Member States contributing to the joint actions, in accordance with Regulations (EU) 2021/695 and (EU) 2021/694.
3.   The Union’s contribution to the Competence Centre to cover administrative costs and operational costs shall comprise the following:
(a)
up to EUR 1 649 566 000 from the Digital Europe Programme, including up to EUR 32 000 000 for administrative costs;
(b)
an amount from Horizon Europe, including for administrative costs, for joint actions, such amount being equal to the amount contributed by Member States pursuant to paragraph 7 of this Article but not exceeding the amount determined in the strategic planning process of Horizon Europe to be carried out pursuant to Article 6(6) of Regulation (EU) 2021/695, in the annual work programme or in the multiannual work programme;
(c)
an amount from the other relevant Union programmes, as needed for the implementation of the tasks or the achievement of the objectives of the Competence Centre, subject to decisions taken in accordance with the legal acts of the Union establishing those programmes.
4.   The maximum Union contribution shall be paid from the appropriations in the general budget of the Union allocated to Digital Europe Programme, the specific programme implementing Horizon Europe established by Decision (EU) 2021/764 and other programmes and projects falling within the scope of the Competence Centre or the Network.
5.   The Competence Centre shall implement cybersecurity actions of the Digital Europe Programme and Horizon Europe in accordance with point (c)(iv) of the first subparagraph of Article 62(1) of the Financial Regulation.
6.   Contributions from Union programmes other than those referred to in paragraphs 3 and 4 that are part of the Union co-financing to a programme implemented by one of the Member States shall not be accounted for in the calculation of the Union maximum financial contribution referred to in those paragraphs.
7.   Member States shall voluntarily take part in joint actions by means of voluntary financial and/or in-kind contributions. If a Member State takes part in a joint action, the financial contribution by that Member State shall cover administrative costs in proportion to its contribution to that joint action. The administrative costs of joint actions shall be met by financial contributions. The operational costs of joint actions may be met by financial or in-kind contributions, as provided for by Horizon Europe and the Digital Europe Programme. Contributions from each Member State may take the form of support that the Member State provides in a joint action to beneficiaries established in that Member State. In-kind contributions by Member States consist of the eligible costs incurred by national coordination centres and other public entities when participating in projects funded through this Regulation, less any Union contribution to those costs. In the case of projects funded by Horizon Europe, eligible costs shall be calculated in accordance with Article 36 of Regulation (EU) 2021/695. In the case of projects funded by the Digital Europe Programme, eligible costs shall be calculated in accordance with the Financial Regulation.
The envisaged amount of total Member State voluntary contributions to joint actions under Horizon Europe, including financial contributions for administrative costs, shall be determined in order to be taken into account in the strategic planning process of Horizon Europe to be carried out pursuant to Article 6(6) of Regulation (EU) 2021/695, with input from the Governing Board. For actions under the Digital Europe Programme, notwithstanding Article 15 of Regulation (EU) 2021/694, the Member States may make a contribution to the costs of the Competence Centre that are co-financed from the Digital Europe Programme that is lower than the amounts specified in point (a) of paragraph 3 of this Article.
8.   Member States’ national co-funding of actions supported by Union programmes other than Horizon Europe and the Digital Europe Programme shall be considered to be Member States’ national contributions insofar as those contributions are parts of joint actions and are included in the Competence Centre’s work programme.
9.   For the purpose of assessing the contributions referred to in paragraph 3 of this Article and in point (b) of Article 22(2), costs shall be determined in accordance with the usual cost accounting practices of the Member State concerned, the applicable accounting standards of the Member State concerned, and the applicable international accounting standards and international financial reporting standards. Costs shall be certified by an independent external auditor appointed by the Member State concerned. The valuation method may be verified by the Competence Centre if there is any uncertainty arising from the certification.
10.   If any Member State is in default of its commitments concerning its financial or in-kind contributions to joint actions, the Executive Director shall notify the Member State concerned thereof in writing and shall set a reasonable period within which such default is to be remedied. If the situation is not remedied within that period, the Executive Director shall convene a meeting of the Governing Board to decide whether the defaulting participating Member State’s right to vote is to be revoked or whether any other measures are to be taken until that Member State has met its obligations. The defaulting Member State’s right to vote concerning joint actions shall be suspended until the default of its commitments is remedied.
11.   The Commission may terminate, proportionally reduce or suspend the Union’s financial contribution to joint actions if the contributing Member States do not contribute, contribute only partially or contribute late with regard to the contributions referred to in point (b) of paragraph 3. The termination, reduction or suspension of the Union’s financial contribution by the Commission shall be proportionate in amount and time to the Member State’s failure to contribute, partial contribution or late contribution.
12.   The contributing Member States shall report by 31 January of each year to the Governing Board on the value of the contributions referred to in paragraph 7 for joint action with the Union made in each of the previous financial year.
Article 22
Costs and resources of the Competence Centre
1.   The administrative costs of the Competence Centre shall in principle be covered by means of financial contributions from the Union on an annual basis. Additional financial contributions shall be made by contributing Member States in proportion to their voluntary contributions to joint actions. If part of the contribution for administrative costs is not used, it may be made available to cover the operational costs of the Competence Centre.
2.   The operational costs of the Competence Centre shall be covered by means of:
(a)
the Union’s financial contribution;
(b)
voluntary financial or in-kind contributions from the contributing Member States in the case of joint actions.
3.   The resources of the Competence Centre entered into its budget shall be composed of the following contributions:
(a)
the Union’s financial contributions to operational and administrative costs;
(b)
contributing Member States’ voluntary financial contributions to administrative costs in the case of joint actions;
(c)
contributing Member States’ voluntary financial contributions to operational costs in the case of joint actions;
(d)
any revenue generated by the Competence Centre;
(e)
any other financial contributions, resources or revenues.
4.   Any interest yielded by the contributions paid to the Competence Centre by the contributing Member States shall be considered to be the revenue of the Competence Centre.
5.   All resources of the Competence Centre and its activities shall be used to achieve its objectives.
6.   The Competence Centre shall own all assets that are generated by it or are transferred to it for the fulfilment of its objectives. Without prejudice to the applicable rules of the relevant funding programme, the ownership of assets that are generated or acquired in joint actions shall be decided in accordance with point (b) of Article 15(3).
7.   Except when the Competence Centre is wound up, any excess revenue over expenditure shall continue to be owned by the Competence Centre and shall not be paid to the contributing members of the Competence Centre.
8.   The Competence Centre shall cooperate closely with other Union institutions, bodies, offices and agencies, with due regard to their respective mandates and without duplicating existing cooperation mechanisms, in order to benefit from synergies with them and, where possible and appropriate, in order to reduce administrative costs.
Article 23
Financial commitments
The financial commitments of the Competence Centre shall not exceed the amount of financial resources available or committed to its budget by its members.
Article 24
Financial year
The financial year shall run from 1 January to 31 December.
Article 25
Establishment of the budget
1.   Each year, the Executive Director shall draw up a draft statement of estimates of the Competence Centre’s revenue and expenditure for the following financial year and shall forward it to the Governing Board, together with the draft establishment plan referred to in point (l) of Article 13(3). Revenue and expenditure shall be in balance. The expenditure of the Competence Centre shall include the staff, administrative, infrastructure and operational expenses. Administrative expenses shall be kept to a minimum, including by means of redeployment of staff or posts.
2.   Each year, the Governing Board shall, on the basis of the draft statement of estimates of revenue and expenditure referred to in paragraph 1, produce a statement of estimates of revenue and expenditure for the Competence Centre for the following financial year.
3.   The Governing Board shall, by 31 January of each year, send the statement of estimates referred to in paragraph 2 of this Article, which shall be part of the draft single programming document referred to in Article 32(1) of Delegated Regulation (EU) 2019/715, to the Commission.
4.   On the basis of the statement of estimates referred to in paragraph 2 of this Article, the Commission shall enter in the draft budget of the Union the estimates it deems to be necessary for the establishment plan referred to in point (l) of Article 13(3) of this Regulation and the amount of the contribution to be charged to the general budget, which it shall submit to the European Parliament and the Council in accordance with Articles 313 and 314 of the Treaty on the Functioning of the European Union (TFEU).
5.   The European Parliament and the Council shall authorise the appropriations for the contribution to the Competence Centre.
6.   The European Parliament and the Council shall adopt the establishment plan referred to in point (l) of Article 13(3).
7.   Together with the annual work programme and the multiannual work programme, the Governing Board shall adopt the Competence Centre’s budget. It shall become final following the definitive adoption of the general budget of the Union. Where appropriate, the Governing Board shall adjust the Competence Centre’s budget and the annual work programme in accordance with the general budget of the Union.
Article 26
Presentation of the Competence Centre’s accounts and discharge
The presentation of the Competence Centre’s provisional and final accounts and the discharge shall comply with the rules and timetable of the Financial Regulation and of the financial rules of the Competence Centre.
Article 27
Operational and financial reporting
1.   The Executive Director shall report annually to the Governing Board on the performance of his or her duties in accordance with the financial rules of the Competence Centre.
2.   Within two months of the end of each financial year, the Executive Director shall submit to the Governing Board for approval an annual activity report on the progress made by the Competence Centre in the previous calendar year, in particular in relation to the annual work programme for that year and the fulfilment of its strategic goals and priorities. That report shall include information on the following matters:
(a)
operational actions carried out and the corresponding expenditure;
(b)
the actions submitted, including a breakdown by participant type, including SMEs, and by Member State;
(c)
the actions selected for funding, including a breakdown by participant type, including SMEs, and by Member State and indicating the contribution of the Competence Centre to the individual participants and actions;
(d)
the fulfilment of the mission and objectives laid down in this Regulation and proposals for further necessary work to fulfil that mission and those objectives;
(e)
the consistency of the implementation tasks with the Agenda and the multiannual work programme.
3.   Once approved by the Governing Board, the annual activity report shall be made publicly available.
Article 28
Financial rules
The Competence Centre shall adopt its specific financial rules in accordance with Article 70 of the Financial Regulation.
Article 29
Protection of financial interests of the Union
1.   The Competence Centre shall take appropriate measures to ensure that, when actions financed under this Regulation are implemented, the financial interests of the Union are protected by the application of preventive measures against fraud, corruption and any other illegal activities, by regular and effective checks and, if irregularities are detected, by the recovery of the amounts wrongly paid and, where appropriate, by effective, proportionate and dissuasive administrative penalties.
2.   The Competence Centre shall grant Commission staff and other persons authorised by the Commission, as well as the Court of Auditors, access to the sites and premises of the Competence Centre and to all the information, including information in electronic format that is needed in order to conduct their audits.
3.   OLAF may carry out investigations, including on-the-spot checks and inspections, in accordance with the provisions and procedures laid down in Council Regulation (Euratom, EC) No 2185/96 
(
17
)
 and Regulation (EU, Euratom) No 883/2013 of the European Parliament and of the Council 
(
18
)
 with a view to establishing whether there has been fraud, corruption or any other illegal activity affecting the financial interests of the Union in connection with a grant agreement or a contract funded, directly or indirectly, in accordance with this Regulation.
4.   Without prejudice to paragraphs 1, 2 and 3, contracts and grant agreements resulting from the implementation of this Regulation shall contain provisions expressly empowering the Commission, the Competence Centre, the Court of Auditors and OLAF to conduct such audits and investigations in accordance with their respective competences. Where the implementation of an action is outsourced or sub-delegated, in whole or in part, or where it requires the award of a procurement contract or financial support to a third party, the contract or grant agreement shall include the contractor’s or beneficiary’s obligation to impose on any third party involved explicit acceptance of those powers of the Commission, the Competence Centre, the Court of Auditors and OLAF.
CHAPTER IV
Competence Centre staff
Article 30
Staff
1.   The Staff Regulations and Conditions of Employment and the rules adopted jointly by the institutions of the Union for the purpose of applying the Staff Regulations and Conditions of Employment shall apply to the staff of the Competence Centre.
2.   The Governing Board shall exercise, with respect to the staff of the Competence Centre, the powers conferred by the Staff Regulations on the Appointing Authority and the powers conferred by the Conditions of Employment on the authority empowered to conclude contract (the ‘appointing authority powers’).
3.   The Governing Board shall adopt, in accordance with Article 110 of the Staff Regulations, a decision based on Article 2(1) of the Staff Regulations and on Article 6 of the Conditions of Employment delegating the relevant appointing authority powers to the Executive Director and defining the conditions under which that delegation may be suspended. The Executive Director is authorised to sub-delegate those powers.
4.   Where exceptional circumstances so require, the Governing Board may, through a decision, temporarily suspend the delegation of the appointing authority powers to the Executive Director and any sub-delegation made by the latter. In such a case the Governing Board shall exercise itself the appointing authority powers or delegate them to one of its members or to a member of staff of the Competence Centre other than the Executive Director.
5.   The Governing Board shall adopt implementing rules as regards the Staff Regulations and the Conditions of Employment in accordance with Article 110 of the Staff Regulations.
6.   The staff resources shall be determined in the establishment plan referred to in point (l) of Article 13(3), indicating the number of temporary posts by function group and by grade and the number of contract staff expressed in full-time equivalents, in line with the annual budget of the Competence Centre.
7.   The human resources required by the Competence Centre shall be met in the first instance by redeployment of staff or posts from Union institutions, bodies, offices and agencies, and additional human resources through recruitment. The staff of the Competence Centre may consist of temporary staff and contract staff.
8.   All costs related to staff shall be borne by the Competence Centre.
Article 31
Seconded national experts and other staff
1.   The Competence Centre may make use of seconded national experts or other staff not employed by the Competence Centre.
2.   The Governing Board shall adopt a decision laying down rules on the secondment of national experts to the Competence Centre, in agreement with the Commission.
Article 32
Privileges and immunities
Protocol No 7 on the Privileges and Immunities of the European Union annexed to the TEU and to the TFEU shall apply to the Competence Centre and its staff.
CHAPTER V
Common provisions
Article 33
Security rules
1.   Article 12 Regulation (EU) 2021/694 shall apply to participation in all actions funded by the Competence Centre.
2.   The following specific security rules shall apply to actions funded by Horizon Europe:
(a)
for the purposes of Article 38(1) of Regulation (EU) 2021/695, when provided for in the annual work programme, the grant of non-exclusive licences may be limited to third parties that are established or deemed to be established in a Member State and are controlled by that Member State or by nationals of that Member State;
(b)
for the purposes of point (b) of the first subparagraph of Article 40(4) of Regulation (EU) 2021/695, the transfer or license to a legal entity established in an associated country or established in the Union but controlled from third countries shall be grounds for objecting to transfers of ownership of results or to grants of an exclusive license regarding results;
(c)
for the purposes of point (a) of the first subparagraph of Article 41(7) of Regulation (EU) 2021/695, when provided for in the annual work programme, the granting of access rights, as defined in point (9) of Article 2 of that Regulation, may be limited to a legal entity that is established or deemed to be established in a Member State and is controlled by that Member State or by nationals of that Member State.
Article 34
Transparency
1.   The Competence Centre shall carry out its activities with a high level of transparency.
2.   The Competence Centre shall ensure that the public and any interested parties are given appropriate, objective, reliable and easily accessible information in a timely manner, in particular with regard to the results of its work. It shall also make public the declarations of interest made in accordance with Article 43. Those requirements shall also apply to the national coordination centres, the Community and the Strategic Advisory Group in accordance with relevant law.
3.   The Governing Board, acting on a proposal from the Executive Director, may authorise interested parties to observe the proceedings of some of the Competence Centre’s activities.
4.   The Competence Centre shall lay down in the rules of procedure of the Governing Board of the Competence Centre and of the Strategic Advisory Group the practical arrangements for implementing the transparency rules referred to in paragraphs 1 and 2 of this Article. For actions funded by Horizon Europe, those rules and arrangements shall take account of Regulation (EU) 2021/695.
Article 35
Gender balance
In the implementation of this Regulation, when nominating candidates or proposing representatives, the Commission, Member States and other institutional and private sector stakeholders shall choose representatives from several candidates, where possible, and with the aim of ensuring gender balance.
Article 36
Security rules on the protection of classified information and sensitive non-classified information
1.   After approval by the Commission, the Governing Board shall adopt the security rules of the Competence Centre. Those security rules shall apply the security principles and rules laid down in Commission Decisions (EU, Euratom) 2015/443 
(
19
)
 and (EU, Euratom) 2015/444 
(
20
)
.
2.   Members of the Governing Board, the Executive Director, external experts participating in ad hoc working groups, and members of the staff of the Competence Centre shall comply with the confidentiality requirements under Article 339 TFEU, even after their duties have ceased.
3.   The Competence Centre may take the necessary measures to facilitate the exchange of information relevant to its tasks with the Commission and the Member States and, where appropriate, the relevant Union institutions, bodies, offices and agencies. Any administrative arrangements concluded to that end with regard to the sharing of EU classified information (EUCI) or, in the absence of such arrangements, any exceptional ad hoc release of EUCI, shall have received the Commission’s prior approval.
Article 37
Access to documents
1.   Regulation (EC) No 1049/2001 shall apply to documents held by the Competence Centre.
2.   The Governing Board shall adopt arrangements for implementing Regulation (EC) No 1049/2001 by 29 December 2021.
3.   Decisions taken by the Competence Centre pursuant to Article 8 of Regulation (EC) No 1049/2001 may be the subject of a complaint to the Ombudsman under Article 228 TFEU or of an action before the Court of Justice of the European Union under Article 263 TFEU.
Article 38
Monitoring, evaluation and review
1.   The Competence Centre shall ensure that its activities, including those managed through the national coordination centres and the Network, shall be subject to continuous and systematic monitoring and periodic evaluation. The Competence Centre shall ensure that the data for monitoring the implementation and results of the Union funding programmes referred to in point (b) of Article 4(3) are collected efficiently, effectively, and in a timely manner, and shall impose proportionate reporting requirements on recipients of Union funds and Member States. The conclusions of that evaluation shall be made public.
2.   Once there is sufficient information available about the implementation of this Regulation, and in any event no later than 30 months after the date provided for in Article 46(4), the Commission shall prepare an implementation report on the activities of the Competence Centre, taking into account the preliminary input of the Governing Board, the national coordination centres and the Community. The Commission shall submit that implementation report to the European Parliament and to the Council by 30 June 2024. The Competence Centre and Member States shall provide the Commission with the information necessary for the preparation of that report.
3.   The implementation report referred to in paragraph 2 shall include assessments of:
(a)
the working capacity of the Competence Centre with regard to its mission, objectives, mandate and tasks and the cooperation and coordination with other stakeholders, in particular the national coordination centres, the Community and ENISA;
(b)
the results achieved by the Competence Centre, having regard to its mission, objectives, mandate and tasks, and in particular the efficiency of the Competence Centre in coordinating Union funds and pooling expertise;
(c)
the consistency of implementation tasks with the Agenda and the multiannual work programme;
(d)
the coordination and cooperation of the Competence Centre with the Programme Committees of Horizon Europe and the Digital Europe Programme, in particular with a view to increasing consistency and synergies with the Agenda, the annual work programme, the multiannual work programme, Horizon Europe and the Digital Europe Programme;
(e)
joint actions.
4.   After submission of the implementation report referred to in paragraph 2 of this Article, the Commission shall carry out an evaluation of the Competence Centre, taking into account the preliminary input from the Governing Board, the national coordination centres and the Community. That evaluation shall refer to or update, as necessary, the assessments referred to in paragraph 3 of this Article and shall be carried out before expiry of the period specified in Article 47(1), in order to determine in a timely manner whether it is appropriate to extend the duration of the mandate of the Competence Centre beyond that period. That evaluation shall assess legal and administrative aspects regarding the mandate of the Competence Centre and the potential to create synergies and avoid fragmentation with other Union institutions, bodies, offices and agencies.
If the Commission considers that the continuation of the Competence Centre is justified with regard to its mission, objectives, mandate and tasks, it may make a legislative proposal to extend the duration of the mandate of the Competence Centre set out in Article 47.
5.   On the basis of the conclusions of the implementation report referred to in paragraph 2, the Commission may take appropriate actions.
6.   The monitoring, evaluation, phasing out and renewal of the contribution from Horizon Europe shall be carried out in accordance with Articles 10, 50 and 52 of Regulation (EU) 2021/695 and agreed implementation arrangements.
7.   The monitoring, reporting and evaluation of the contribution from the Digital Europe Programme shall be carried out in accordance with Articles 24 and 25 of Regulation (EU) 2021/694.
8.   In the event of a winding-up of the Competence Centre, the Commission shall conduct a final evaluation of the Competence Centre within six months of the winding-up of the Competence Centre, and in any event no later than two years after the triggering of the winding-up procedure referred to in Article 47. The results of that final evaluation shall be submitted to the European Parliament and to the Council.
Article 39
Legal personality of the Competence Centre
1.   The Competence Centre shall have legal personality.
2.   In each Member State, the Competence Centre shall enjoy the most extensive legal capacity accorded to legal persons under the law of that Member State. It may, in particular, acquire or dispose of movable and immovable property and may be party to legal proceedings.
Article 40
Liability of the Competence Centre
1.   The contractual liability of the Competence Centre shall be governed by the law applicable to the agreement, decision or contract in question.
2.   In the case of non-contractual liability, the Competence Centre shall make good any damage caused by its staff in the performance of their duties, in accordance with the general principles common to the laws of the Member States.
3.   Any payment by the Competence Centre in respect of the liability referred to in paragraphs 1 and 2 and the costs and expenses incurred in connection therewith shall be considered to be expenditure of the Competence Centre and shall be covered by its resources.
4.   The Competence Centre shall be solely responsible for meeting its obligations.
Article 41
Jurisdiction of the Court of Justice of the European Union and applicable law
1.   The Court of Justice of the European Union shall have jurisdiction:
(a)
to give judgement pursuant to any arbitration clause contained in decisions adopted by, or agreements or contracts concluded by, the Competence Centre;
(b)
in disputes related to compensation for damage caused by the staff of the Competence Centre in the performance of their duties;
(c)
in any dispute between the Competence Centre and its staff within the limits of and under the conditions laid down in the Staff Regulations.
2.   Regarding any matter not covered by this Regulation or by other legal acts of the Union, the law of the Member State where the seat of the Competence Centre is located shall apply.
Article 42
Liability of the Union and the Member States and insurance
1.   The financial liability of the Union and the Member States for the debts of the Competence Centre shall be limited to their contribution already made for the administrative costs.
2.   The Competence Centre shall take out and maintain appropriate insurance.
Article 43
Conflicts of interest
The Governing Board shall adopt rules for the prevention, identification and resolution of conflicts of interest in respect of its members, bodies and staff, including the Executive Director. Those rules shall contain the provisions intended to avoid a conflict of interest in respect of the representatives of the members serving in the Governing Board as well as the Strategic Advisory Group, in accordance with the Financial Regulation, including provisions on any declarations of interest. The national coordination centres shall be subject to national law with regard to conflicts of interest.
Article 44
Protection of Personal Data
1.   The processing of personal data by the Competence Centre shall be subject to Regulation (EU) 2018/1725.
2.   The Governing Board shall adopt implementing measures as referred to in Article 45(3) of Regulation (EU) 2018/1725. The Governing Board may adopt additional measures necessary for the application of that Regulation by the Competence Centre.
Article 45
Support from the host Member State
An administrative agreement may be concluded between the Competence Centre and the host Member State in which its seat is located concerning privileges and immunities and other support to be provided by that Member State to the Competence Centre.
CHAPTER VI
Final provisions
Article 46
Initial actions
1.   The Commission shall be responsible for the establishment and initial operation of the Competence Centre until it has the operational capacity to implement its own budget. The Commission shall carry out, in accordance with Union law, all necessary actions with the involvement of the competent bodies of the Competence Centre.
2.   For the purpose of paragraph 1 of this Article, the Commission may designate an interim Executive Director until the Executive Director takes up his or her duties following his or her appointment by the Governing Board in accordance with Article 16. The interim Executive Director shall exercise the duties of the Executive Director and may be assisted by a limited number of members of staff of the Commission. The Commission may assign a limited number of its members of staff to the Competence Centre on an interim basis.
3.   The interim Executive Director may authorise all payments covered by the appropriations provided in the annual budget of the Competence Centre once it has been adopted by the Governing Board and may conclude agreements and contracts, including staff contracts, and adopt decisions, following the adoption of the establishment plan referred to in point (l) of Article 13(3).
4.   The interim Executive Director shall determine, in common accord with the Executive Director and subject to the approval of the Governing Board, the date from which the Competence Centre will have the capacity to implement its own budget. From that date onwards, the Commission shall abstain from making commitments and executing payments for the activities of the Competence Centre.
Article 47
Duration
1.   The Competence Centre shall be established for the period from 28 June 2021 to 31 December 2029.
2.   Unless the mandate of the Competence Centre is extended in accordance with Article 38(4), the winding-up procedure shall be triggered automatically at the end of the period referred to in paragraph 1 of this Article.
3.   For the purpose of conducting the proceedings to wind up the Competence Centre, the Governing Board shall appoint one or more liquidators, who shall comply with the decisions of the Governing Board.
4.   When the Competence Centre is being wound up, its assets shall be used to cover its liabilities and the expenditure relating to its winding-up. Any surplus shall be distributed among the Union and the contributing Member States in proportion to their financial contribution to the Competence Centre. Any such surplus distributed to the Union shall be returned to the Union budget.
Article 48
Entry into force
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Brussels, 20 May 2021.
For the European Parliament
The President
D.M. SASSOLI
For the Council
The President
A.P. ZACARIAS
(
1
)
  
            
OJ C 159, 10.5.2019, p. 63
.
(
2
)
  Position of the European Parliament of 17 April 2019 (not yet published in the Official Journal) and position of the Council at first reading of 20 April 2021 (not yet published in the Official Journal). Position of the European Parliament of 19 May 2021 (not yet published in the Official Journal).
(
3
)
  Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union (
OJ L 194, 19.7.2016, p. 1
).
(
4
)
  Regulation (EU) 2021/695 of the European Parliament and of the Council of 28 April 2021 establishing Horizon Europe – the Framework Programme for Research and Innovation, laying down its rules for participation and dissemination, and repealing Regulations (EU) No 1290/2013 and (EU) No 1291/2013 (
OJ L 170, 12.5.2021, p. 1
).
(
5
)
  Regulation (EU) 2021/694 of the European Parliament and of the Council of 29 April 2021 establishing the Digital Europe Programme and repealing Decision (EU) 2015/2240 (
OJ L 166, 11.5.2021, p. 1
).
(
6
)
  Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) (
OJ L 151, 7.6.2019, p. 15
).
(
7
)
  Regulation (EU) No 1291/2013 of the European Parliament and of the Council of 11 December 2013 establishing Horizon 2020 – the Framework Programme for Research and Innovation (2014-2020) and repealing Decision No 1982/2006/EC (
OJ L 347, 20.12.2013, p. 104
).
(
8
)
  Commission Delegated Regulation (EU) 2019/715 of 18 December 2018 on the framework financial regulation for the bodies set up under the TFEU and Euratom Treaty and referred to in Article 70 of Regulation (EU, Euratom) 2018/1046 of the European Parliament and of the Council (
OJ L 122, 10.5.2019, p. 1
).
(
9
)
  Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 regarding public access to European Parliament, Council and Commission documents (
OJ L 145, 31.5.2001, p. 43
).
(
10
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
11
)
  Regulation (EU, Euratom) 2018/1046 of the European Parliament and of the Council of 18 July 2018 on the financial rules applicable to the general budget of the Union, amending Regulations (EU) No 1296/2013, (EU) No 1301/2013, (EU) No 1303/2013, (EU) No 1304/2013, (EU) No 1309/2013, (EU) No 1316/2013, (EU) No 223/2014, (EU) No 283/2014, and Decision No 541/2014/EU and repealing Regulation (EU, Euratom) No 966/2012 (
OJ L 193, 30.7.2018, p. 1
).
(
12
)
  Council Decision (EU) 2021/764 of 10 May 2021 establishing the Specific Programme implementing Horizon Europe – the Framework Programme for Research and Innovation, and repealing Decision 2013/743/EU (
OJ L 167 I, 12.5.2021, p. 1
).
(
13
)
  Commission Implementing Decision (EU) 2021/173 of 12 February 2021 establishing the European Climate, Infrastructure and Environment Executive Agency, the European Health and Digital Executive Agency, the European Research Executive Agency, the European Innovation Council and SMEs Executive Agency, the European Research Council Executive Agency, and the European Education and Culture Executive Agency and repealing Implementing Decisions 2013/801/EU, 2013/771/EU, 2013/778/EU, 2013/779/EU, 2013/776/EU and 2013/770/EU (
OJ L 50, 15.2.2021, p. 9
).
(
14
)
  Regulation (EU) 2016/794 of the European Parliament and of the Council, of 11 May 2016, on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (
OJ L 135, 24.5.2016, p. 53
).
(
15
)
  
            
OJ L 56, 4.3.1968, p. 1
.
(
16
)
  Commission Decision 1999/352/EC, ECSC, Euratom of 28 April 1999 establishing the European Anti-fraud Office (OLAF) (
OJ L 136, 31.5.1999, p. 20
).
(
17
)
  Council Regulation (Euratom, EC) No 2185/96 of 11 November 1996 concerning on-the-spot checks and inspections carried out by the Commission in order to protect the European Communities’ financial interests against fraud and other irregularities (
OJ L 292, 15.11.1996, p. 2
).
(
18
)
  Regulation (EU, Euratom) No 883/2013 of the European Parliament and of the Council of 11 September 2013 concerning investigations conducted by the European Anti-Fraud Office (OLAF) and repealing Regulation (EC) No 1073/1999 of the European Parliament and of the Council and Council Regulation (Euratom) No 1074/1999 (
OJ L 248, 18.9.2013, p. 1
).
(
19
)
  Commission Decision (EU, Euratom) 2015/443 of 13 March 2015 on Security in the Commission (
OJ L 72, 17.3.2015, p. 41
).
(
20
)
  Commission Decision (EU, Euratom) 2015/444 of 13 March 2015 on the security rules for protecting EU classified information (
OJ L 72, 17.3.2015, p. 53
).

Summary:
European cybersecurity network and competence centre
SUMMARY OF:
Regulation (EU) 2021/887 establishing the European Cybersecurity Industrial, Technology and Research Competence Centre and the Network of National Coordination Centres
WHAT IS THE AIM OF THE REGULATION?
It sets up the 
European Cybersecurity Competence Centre
 (ECCC) and the Network of National Coordination Centres (the ‘network’).
It lays down rules for national coordination centres (NCCs) and for setting up the Cybersecurity Competence Community.
The ECCC has an essential role in the 
digital Europe programme
 (set up under Regulation (EU) 
2021/694
 — see 
summary
) and contributes to 
Horizon Europe
. It creates a framework for increasing and coordinating investments in cybersecurity between the 
European Union
 (EU), EU 
Member States
 and, indirectly, industry.
KEY POINTS
Mission
The mission of the ECCC and the network is to help the EU to:
strengthen EU leadership in cybersecurity
1
 by enhancing trust and security, including the confidentiality, integrity and accessibility of data;
support network and information system resilience and reliability
, including critical infrastructure and commonly used hardware and software; and
increase the global competitiveness and high standards
 of the EU’s cybersecurity industry, turning cybersecurity into a competitive advantage for EU industry.
Objectives
The ECCC’s specific objectives translate into strategic tasks and implementation tasks:
enhancing cybersecurity 
capacities, capabilities, knowledge and infrastructure
;
promoting cybersecurity 
resilience, best practices, security by design
 and the 
security certification
 of digital products and services;
contributing to a 
strong European cybersecurity ecosystem
 and bringing stakeholders together.
These tasks are completed by:
setting strategic orientations
 for research, innovation and deployment, and setting out priorities;
implementing parts of the
 relevant EU funding programmes;
encouraging cooperation and coordination
 at the national and EU levels; and
facilitating joint investment
.
National coordination centres (NCCs)
One NCC is nominated by each Member State and the 
European Commission
 is notified of the decision.
Each NCC must have access to cybersecurity research and technological expertise.
NCCs may, under certain conditions, receive direct EU grants and can provide financial support to third parties.
The key functions of NCCs include:
acting as points of contact
 at the national level;
providing expertise and contributing
 to strategic tasks;
facilitating participation in cross-border projects
 and EU-funded cybersecurity actions;
providing technical assistance to stakeholders
 in projects managed by the ECCC;
seeking synergies with activities at the national, regional and local levels
, such as national policies on research, development and innovation;
implementing specific actions
 for which grants have been awarded by the ECCC;
contributing to educational programmes
.
Cybersecurity Competence Community
Contributes to the ECCC and network missions, sharing and disseminating cybersecurity expertise.
Consists of industry, including 
small and medium-sized enterprises
, academic and research organisations, civil-society associations, standards organisations, relevant public entities and stakeholders facing cybersecurity challenges.
ECCC structure
The ECCC administrative and governance structure includes:
a 
Governing Board
 that provides strategic orientation and oversees activities;
an 
executive director
, the ECCC’s legal representative and the person responsible for day-to-day management; and
a 
Strategic Advisory Group
 that ensures dialogue between the Cybersecurity Competence Community and the ECCC.
Governing Board
A representative from each Member State and two from the Commission, with cybersecurity knowledge and managerial skills.
Observers, including as a permanent observer the 
European Union Agency for Cybersecurity
 set up under Regulation (EU) 
2019/881
.
Chairperson and deputy elected by Governing Board members.
The executive director takes part in meetings but cannot vote.
Strategic Advisory Group
Twenty members appointed by the Governing Board.
Meets at least three times per year.
Advises the Governing Board on establishing working groups.
Organises public consultations to collect input for the ECCC agenda and work programmes.
Funding
The ECCC is EU-funded, while joint actions are funded by the EU and voluntary Member State contributions:
up to €1,649,566,000 from the digital Europe programme, including up to €32,000,000 for administration;
an amount from Horizon Europe for joint actions, matching Member State contributions and in alignment with Horizon Europe planning;
an amount from the other EU programmes, as needed to implement ECCC objectives.
The regulation allows and encourages Member States to contribute with their own resources. If Member States contribute to the resources managed by the ECCC, they also have to contribute to the administrative costs.
FROM WHEN DOES THE REGULATION APPLY?
It has applied since 
28 June 2021
.
BACKGROUND
See also:
The cybersecurity strategy
 (
European Commission
)
Cybersecurity: how the EU tackles cyber threats
 (
Council of the European Union
)
European Cybersecurity Competence Centre and Network
 (
European Commission
)
European Cybercrime Centre (EC3)
 (
Europol
).
KEY TERMS
Cybersecurity:
 the activities necessary to protect network and information systems, the users of such systems, and other persons affected by cyber threats
2
.
Cyber threat:
 any potential circumstance, event or action that could damage, disrupt or otherwise adversely affect network and information systems, the users of such systems and other persons.
MAIN DOCUMENT
Regulation (EU) 
2021/887
 of the European Parliament and of the Council of 
20 May 2021
 establishing the European Cybersecurity Industrial, Technology and Research Competence Centre and the Network of National Coordination Centres (OJ L 202, 
8.6.2021
, 
pp. 1-31
)
RELATED DOCUMENTS
Regulation (EU) 
2021/694
 of the European Parliament and of the Council of 
29 April 2021
 establishing the Digital Europe Programme and repealing Decision (EU) 2015/2240 (OJ L 166, 
11.5.2021
, 
pp. 1-34
)
Communication from the Commission to the European Parliament, the European Council, the Council, the European Economic and Social Committee and the Committee of the Regions on the EU security union strategy (
COM(2020) 605 final
, 
24.7.2020
)
Directive (EU) 
2016/1148
 of the European Parliament and of the Council of 
6 July 2016
 concerning measures for a high common level of security of network and information systems across the Union (OJ L 194, 
19.7.2016
, 
pp. 1-30
)
Regulation (EU) 
2019/881
 of the European Parliament and of the Council of 
17 April 2019
 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) 
No 526/2013
 (Cybersecurity Act) (OJ L 151, 
7.6.2019
, 
pp. 15-69
)
last update 
27.7.2021

--- DANISH ---

Document:
8.6.2021
DA
Den Europæiske Unions Tidende
L 202/1
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2021/887
af 20. maj 2021
om oprettelse af Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed og Netværket af Nationale Koordinationscentre
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 173, stk. 3, og artikel 188, stk. 1,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
efter den almindelige lovgivningsprocedure 
(
2
)
, og
ud fra følgende betragtninger:
(1)
Størstedelen af Unionens befolkning har en internetforbindelse. Menneskers dagligdag og økonomierne bliver mere og mere afhængige af digitale teknologier. Borgere og virksomheder bliver i stadig større omfang udsat for alvorlige cybersikkerhedshændelser, og mange virksomheder i Unionen oplever mindst én cybersikkerhedshændelse hvert år. Dette understreger behovet for robusthed, for styrkelse af teknologiske og industrielle evner og for anvendelsen af høje cybersikkerhedsstandarder og holistiske cybersikkerhedsløsninger, der involverer mennesker, produkter, processer og teknologi i Unionen, samt behovet for EU-lederskab på cybersikkerhedsområdet og området for digital autonomi. Cybersikkerhed kan også forbedres ved at øge kendskabet til cybersikkerhedstrusler og ved at udvikle kompetencer, kapaciteter og evner i hele Unionen under nøje hensyntagen til samfundsmæssige og etiske konsekvenser og betænkeligheder.
(2)
Unionen har i tidens løb regelmæssigt øget sine aktiviteter til at håndtere stadig større cybersikkerhedsudfordringer efter den cybersikkerhedsstrategi, der blev fremsat af Kommissionen og Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik (den højtstående repræsentant) i deres fælles meddelelse af 7. februar 2013 til Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget med titlen »EU-strategi for cybersikkerhed: Et åbent, sikkert og beskyttet cyberspace« (»2013-strategien for cybersikkerhed«). 2013-strategien for cybersikkerhed havde til formål at fremme et pålideligt, sikkert og åbent cyberøkosystem. I 2016 vedtog Unionen de første foranstaltninger inden for cybersikkerhed med Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 
(
3
)
 om sikkerhed for net- og informationssystemer.
(3)
I september 2017 fremlagde Kommissionen og den højtstående repræsentant en fælles meddelelse til Europa-Parlamentet og Rådet med titlen »Modstandsdygtighed, afskrækkelse og forsvar: opbygning af en stærk cybersikkerhed for EU« for yderligere at styrke Unionens robusthed over for, afskrækkelse af og reaktion på cyberangreb.
(4)
På det digitale topmøde i Tallinn i september 2017 opfordrede stats- og regeringscheferne Unionen til at blive en global leder inden for cybersikkerhed senest i 2025 for at sikre tillid og beskyttelse af borgere, forbrugere og virksomheder på nettet og for at muliggøre et frit, mere sikkert og lovstyret internet og erklærede deres hensigt til i højere grad at gøre brug af open source-løsninger og åbne standarder i forbindelse med bygning og genopbygning af systemer og løsninger vedrørende informations- og kommunikationsteknologi (IKT) og navnlig undgå leverandørbinding, herunder dem, der udvikles eller fremmes af EU-programmer for interoperabilitet og standardisering, såsom ISA
2
.
(5)
Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed (»kompetencecentret«), som oprettes ved denne forordning, bør bidrage til at øge sikkerheden i net- og informationssystemerne, herunder internettet og anden infrastruktur, der er kritisk for samfundets funktion, såsom transport, sundhed, energi, digital infrastruktur, vand, de finansielle markeder og banksystemerne.
(6)
De væsentlige nedbrud af net- og informationssystemer kan påvirke individuelle medlemsstater og Unionen som helhed. En høj grad af sikkerhed i net- og informationssystemer i hele Unionen er derfor afgørende for både samfundet og økonomien. På nuværende tidspunkt er Unionen afhængig af ikkeeuropæiske udbydere af cybersikkerhed. Det er imidlertid i Unionens strategiske interesse at sikre, at den bevarer og udvikler afgørende forskningsmæssige og teknologiske cybersikkerhedskapaciteter for at sikre borgeres og virksomheders net- og informationssystemer, og navnlig at beskytte kritiske net- og informationssystemer og tilvejebringe vigtige cybersikkerhedstjenester.
(7)
Der findes omfattende ekspertise og erfaring inden for forskning, teknologi og industriel udvikling på cybersikkerhedsområdet i Unionen, men forskningsmiljøers og erhvervslivets indsats er fragmenteret og savner tilpasning og en fælles mission, hvilket hæmmer konkurrenceevnen og den effektive beskyttelse af net og systemer på dette område. Det er nødvendigt, at sådan indsats og ekspertise samles, bruges i netværk og anvendes på en effektiv måde for at styrke og supplere eksisterende forskning, teknologi og industrielle kapaciteter og færdigheder på EU-plan og nationalt plan. Selv om IKT-sektoren står over for store udfordringer, såsom imødekommelse af efterspørgslen efter kvalificeret arbejdskraft, kan den drage fordel af at repræsentere mangfoldigheden i samfundet som helhed, at opnå en afbalanceret repræsentation af kønnene, etnisk diversitet og ikkeforskelsbehandling af personer med handicap samt at lette adgangen til viden og uddannelse for fremtidige cybersikkerhedseksperter, herunder uddannelsen af sådanne eksperter i ikkeformelle sammenhænge, f.eks. i free and open source software-projekter, borgerteknologi samt nystartede virksomheder og mikrovirksomheder.
(8)
Små og mellemstore virksomheder (SMV'er) er afgørende interessenter i Unionens cybersikkerhedssektor og kan levere banebrydende løsninger pga. deres smidighed. SMV'er, der ikke er specialiseret i cybersikkerhed, er imidlertid også mere sårbare over for cybersikkerhedshændelser på grund af de høje krav til investeringer og viden, der er nødvendige for etableringen af effektive cybersikkerhedsløsninger. Derfor er det nødvendigt, at kompetencecentret og Netværket af Nationale Koordinationscentre (»netværket«) yder støtte til SMV'er ved at lette SMV’ers adgang til viden og skræddersy adgang til forsknings- og udviklingsresultater, så SMV'erne bliver i stand til i tilstrækkelig grad at beskytte sig selv og for at give mulighed for, at SMV'er, der er aktive inden for cybersikkerhed, er konkurrencedygtige og kan bidrage til, at Unionen kan bevare sin førende position på cybersikkerhedsområdet.
(9)
Ekspertise findes uden for industri- og forskningssammenhænge. Ikkekommercielle og prækommercielle projekter, betegnet som borgerteknologiprojekter, bruger åbne standarder, åbne data samt free and open source software i samfundets og offentlighedens interesse.
(10)
Cybersikkerhedsområdet er alsidigt. Relevante interessenter omfatter interessenter fra offentlige enheder, medlemsstaterne og Unionen, samt fra industrien, civilsamfundet, såsom fagforeninger, forbrugersammenslutninger, fællesskabet omkring free and open source software samt den akademiske verden og forskningsverdenen og andre enheder.
(11)
Rådets konklusioner, der blev vedtaget i november 2017, opfordrede Kommissionen til hurtigt at forelægge en konsekvensanalyse om mulighederne for at oprette et netværk af kompetencecentre for cybersikkerhed og et europæisk forsknings- og kompetencecenter for cybersikkerhed og inden midten af 2018 at foreslå det relevante retlige instrument til skabelsen af sådan et netværk and sådanne centre.
(12)
Unionen mangler stadig tilstrækkelige teknologiske og industrielle kapaciteter og evner til selv at sikre sin økonomi og kritiske infrastruktur og blive en global leder på cybersikkerhedsområdet. Der er en utilstrækkelig grad af strategisk og bæredygtig koordinering og samarbejde mellem industrier, cybersikkerhedsforskningsmiljøer og regeringer. Unionen lider under utilstrækkelige investeringer og begrænset adgang til cybersikkerhedsknowhow, -færdigheder og -faciliteter, og kun få af Unionens resultater af forskning og innovation på cybersikkerhedsområdet omsættes til salgbare løsninger eller udnyttes bredt i hele økonomien.
(13)
Oprettelsen af kompetencecentret og netværket med mandat til at træffe foranstaltninger til støtte for industrielle teknologier og inden for forskning og innovation, er den bedste måde at nå denne forordnings mål, samtidig med at den giver den største økonomiske, samfundsmæssige og miljømæssige virkning og beskytter Unionens interesser.
(14)
Kompetencecentret bør være Unionens vigtigste instrument for pooling af investeringer i forskning, teknologi og industriel udvikling på cybersikkerhedsområdet og for gennemførelse af relevante projekter og initiativer sammen med netværket. Kompetencecentret bør håndtere cybersikkerhedsrelateret finansiel støtte gennem Horisont Europa — rammeprogrammet for forskning og innovation (»Horisont Europa«), oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2021/695 
(
4
)
, og programmet for et digitalt Europa, oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2021/694 
(
5
)
 og bør, hvor det er relevant, være åbent for andre programmer. Denne tilgang bør bidrage til at skabe synergier og koordinere finansiel støtte i forbindelse med EU-initiativer inden for forskning og udvikling, innovation, teknologi og industriel udvikling på cybersikkerhedsområdet og bør undgå unødig overlap.
(15)
Det er vigtigt at sikre respekt for grundlæggende rettigheder og etisk adfærd i de cybersikkerhedsforskningsprojekter, der støttes af kompetencecentret.
(16)
Kompetencecentret bør ikke udføre operationelle cybersikkerhedsopgaver såsom opgaver i forbindelse med enheder, der håndterer IT-sikkerhedshændelser (CSIRT'er), herunder overvågning og håndtering af cybersikkerhedshændelser. Kompetencecentret bør imidlertid kunne lette udviklingen af IKT-infrastrukturer til gavn for industrier, navnlig SMV'er, forskningsmiljøer, civilsamfundet og den offentlige sektor i overensstemmelse med missionen og målene fastsat i denne forordning. Hvor CSIRT'er og andre interessenter søger at fremme rapporteringen og afsløringen af sårbarheder, bør kompetencecentret og medlemmerne af Kompetencefællesskabet for Cybersikkerhed (»fællesskabet«) kunne støtte disse interessenter på deres anmodning inden for rammerne af deres respektive opgaver, samtidig med at overlap med Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) som oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2019/881 
(
6
)
 undgås.
(17)
Kompetencecentret, fællesskabet og netværket har til hensigt at drage fordel af erfaringerne og relevante interessenters brede repræsentation opbygget gennem det kontraktlige offentlig-private partnerskab om cybersikkerhed mellem Kommissionen og Den Europæiske Cybersikkerhedsorganisation (ECSO) under varigheden af Horisont 2020 — rammeprogrammet for forskning og innovation (2014-2020), som blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) nr. 1291/2013 
(
7
)
, af de indhøstede erfaringer fra fire pilotprojekter, der blev iværksat i begyndelsen af 2019 under Horisont 2020, nemlig Concordia, Echo, Sparta og CyberSec4Europe, og af pilotprojektet og den forberedende foranstaltning vedrørende audit af free and open source software (EU FOSSA) med henblik på forvaltning af fællesskabet og repræsentationen af fællesskabet i kompetencecentret.
(18)
I betragtning af omfanget af den udfordring, som cybersikkerhed udgør, og i betragtning af de investeringer, der foretages i cybersikkerhedskapaciteter og -evner i andre dele af verden, bør Unionen og medlemsstaterne opfordres til at øge deres økonomiske støtte til forskning, udvikling og ibrugtagning på dette område. For at opnå stordriftsfordele og et sammenligneligt beskyttelsesniveau i hele Unionen bør medlemsstaterne bruge deres kræfter på en EU-ramme ved aktivt at bidrage til kompetencecentrets og netværkets arbejde.
(19)
For at fremme Unionens konkurrenceevne og høje cybersikkerhedsstandarder internationalt bør kompetencecentret og fællesskabet tilstræbe udveksling af udviklinger på cybersikkerhedsområdet, herunder for så vidt angår produkter og processer, standarder og tekniske standarder, med det internationale samfund, hvor det er relevant i forhold til kompetencecentrets mission, mål og opgaver. Relevante tekniske standarder kunne med henblik på denne forordning omfatte etableringen af referenceimplementeringer, herunder dem der offentliggøres som led i åbne standardlicenser.
(20)
Kompetencecentret har hjemsted i Bukarest.
(21)
Når kompetencecentret forbereder sit årlige arbejdsprogram (det årlige arbejdsprogram), bør det underrette Kommissionen om sine samfinansieringsbehov på grundlag af medlemsstaternes planlagte samfinansieringsandel til fælles tiltag, således at Kommissionen kan tage hensyn til Unionens modsvarende bidrag i forbindelse med udarbejdelsen af forslaget til Unionens almindelige budget for det følgende år.
(22)
Når Kommissionen udarbejder arbejdsprogrammet for Horisont Europa for så vidt angår spørgsmål vedrørende cybersikkerhed, herunder i forbindelse med sin interessenthøringsproces og især inden vedtagelsen af det pågældende arbejdsprogram, bør Kommissionen tage hensyn til kompetencecentrets input og bør dele dette input med programudvalget for Horisont Europa.
(23)
Kompetencecentret bør for at kunne udføre sin rolle på cybersikkerhedsområdet, lette netværkets inddragelse og sikre en stærk forvaltningsrolle for medlemsstaterne oprettes som et EU-organ med status som juridisk person, som Kommissionens delegerede forordning (EU) 2019/715 
(
8
)
 skal finder anvendelse på. Kompetencecentret bør udfylde en dobbelt rolle ved dels at påtage sig specifikke opgaver inden for området for cybersikkerhedsindustri, -teknologi og –forskning som fastsat i denne forordning, dels at forvalte cybersikkerhedsrelaterede midler fra flere programmer samtidig, navnlig fra Horisont Europa og programmet for et digitalt Europa og eventuelt også fra andre EU-programmer. En sådan forvaltning vil skulle være i overensstemmelse med de regler, der gælder for de pågældende programmer. I betragtning af, at finansieringen af kompetencecentrets drift primært vil hidrøre fra Horisont Europa og programmet for et digitalt Europa, er det ikke desto mindre nødvendigt, at kompetencecentret betragtes som et partnerskab med henblik på gennemførelse af budgettet, herunder under programmeringsfasen.
(24)
Som følge af Unionens bidrag skal adgangen til resultaterne af kompetencecentrets aktiviteter og projekter skal være så åben som mulig og så lukket som nødvendigt, og videreanvendelse af sådanne resultater skal være mulig, hvor det er hensigtsmæssigt.
(25)
Kompetencecentret bør lette og koordinere netværkets arbejde. Netværket bør bestå af et nationalt koordinationscentre fra hver medlemsstat. Nationale koordinationscentre, som af Kommissionen er blevet anerkendt som havende den nødvendige kapacitet til at forvalte midler med henblik på at nå missionen og målene fastsat i denne forordning, bør modtage Unionens direkte finansielle støtte, herunder tilskud uden indkaldelse af forslag, med henblik på at udføre deres aktiviteter i forbindelse med denne forordning.
(26)
Nationale koordinationscentre bør være offentlige enheder eller enheder med overvejende offentlig deltagelse, der udøver offentlige administrative funktioner i henhold til national ret, herunder ved delegation, og de bør udvælges af medlemsstaterne. Det bør være muligt for et nationalt koordinationscenters funktioner i en given medlemsstat at blive varetaget af en enhed, som udfører andre funktioner, der hidrører fra EU-retten, såsom en national kompetent myndigheds funktioner, et centralt kontaktpunkts funktioner som omhandlet i direktiv (EU) 2016/1148 eller enhver anden EU-forordning, eller et digitalt innovationsknudepunkts funktioner som omhandlet i forordning (EU) 2021/694. Andre offentlige enheder eller enheder, der udøver offentlige administrative funktioner i en medlemsstat, bør kunne bistå det nationale koordinationscenter i den pågældende medlemsstat med udførelsen af dets opgaver.
(27)
Nationale koordinationscentre bør have den nødvendige administrative kapacitet, bør råde over eller have adgang til industriel, teknologisk og forskningsmæssig ekspertise inden for cybersikkerhed og bør være i stand til effektivt at inddrage og koordinere med erhvervslivet, den offentlige sektor og forskningsverdenen.
(28)
Uddannelse i medlemsstaterne bør afspejle vigtigheden af at have tilstrækkelig kendskab til og færdigheder inden for cybersikkerhed. Med henblik herpå, under hensyn til ENISA's rolle, og uden at det berører medlemsstaternes kompetencer på uddannelsesområdet, bør de nationale koordinationscentre sammen med relevante offentlige myndigheder og interessenter bidrage til at fremme og udbrede uddannelsesprogrammer om cybersikkerhed.
(29)
Nationale koordinationscentre bør kunne modtage tilskud fra kompetencecentret for at yde finansiel støtte til tredjeparter i form af tilskud. Direkte omkostninger, der afholdes af de nationale koordinationscentre til ydelse og forvaltning af finansiel støtte til tredjeparter, bør være støtteberettigede i henhold til de relevante programmer.
(30)
Kompetencecentret, netværket og fællesskabet bør bidrage til at fremme og formidle de seneste cybersikkerhedsprodukter, -tjenester og -processer. Samtidig bør kompetencecentret og netværket fremme cybersikkerhedsevnerne for industrien på efterspørgselssiden, navnlig ved at støtte udviklere og operatører i sektorer såsom transport, energi, sundhed, finans, offentlige myndigheder, telekommunikation, fremstilling og rumfart for at hjælpe sådanne udviklere og operatører med at løse deres udfordringer på cybersikkerhedsområdet, såsom ved at gennemføre security-by-design. Kompetencecentret og netværket bør ligeledes støtte standardisering og ibrugtagning af cybersikkerhedsprodukter, -tjenester og -processer samtidig med, at gennemførelsen af den europæiske ramme for cybersikkerhedscertificering som oprettet ved forordning (EU) 2019/881 fremmes, hvor det er muligt.
(31)
Som følge af den hurtigt skiftende natur af cybertrusler og cybersikkerhed er det nødvendigt, at Unionen hurtigt og løbende kan tilpasse sig til nye udviklinger på området. Derfor bør kompetencecentret, netværket og fællesskabet være tilstrækkeligt fleksible til at sikre den påkrævede evne til at reagere på sådanne udviklinger. De bør lette projekter, der hjælper enheder med konstant at opbygge evnerne til at forbedre deres egen og Unionens robusthed.
(32)
Kompetencecentret bør støtte fællesskabet. Kompetencecentret bør gennemføre relevante cybersikkerhedsdele af Horisont Europa og programmet for et digitalt Europa i overensstemmelse med kompetencecentrets flerårige arbejdsprogram (det flerårige arbejdsprogram), det årlige arbejdsprogram og Horisont Europas strategiske planlægningsproces gennem tildeling af tilskud og andre former for finansiering, primært efter en konkurrencepræget indkaldelse af forslag. Kompetencecentret bør også lette overførslen af ekspertise i netværket og fællesskabet og bør støtte fælles investeringer fra Unionen, medlemsstaterne eller industrien. Det bør navnlig lægge vægt på at støtte SMV'er inden for cybersikkerhed og på tiltag, der bidrager til at imødegå færdighedsgabet.
(33)
Teknisk bistand til projektforberedelse bør ydes på en fuldt ud objektiv og gennemsigtig måde, der sikrer, at alle potentielle støttemodtagere får de samme oplysninger, og skal undgå interessekonflikter.
(34)
Kompetencecentret bør stimulere og støtte det langsigtede strategiske samarbejde og samordningen af fællesskabets aktiviteter, hvilket vil skulle omfatte en stor, åben, tværfaglig og forskelligartet gruppe af europæiske interessenter involveret i teknologi vedrørende cybersikkerhed. Fællesskabet bør omfatte forskningsenheder, industrier og den offentlige sektor. Fællesskabet bør give input til kompetencecentrets aktiviteter, til det flerårige arbejdsprogram og til det årlige arbejdsprogram, navnlig gennem Den Strategiske Rådgivningsgruppe. Fællesskabet bør også kunne drage fordel af kompetencecentrets og netværkets fællesskabsopbyggende aktiviteter, men bør i øvrigt ikke nyde nogen fortrinsstilling i forbindelse med indkaldelser af forslag eller udbud. Fællesskabet bør bestå af kollektive organer og organisationer. Samtidig bør kompetencecentret og dets organer for at drage fordel af al ekspertise inden for cybersikkerhed i Unionen også kunne benytte sig af fysiske personers ekspertise som ad hoc-eksperter.
(35)
Kompetencecentret bør samarbejde og sikre synergier med ENISA og bør modtage relevant input fra ENISA, når finansieringsprioriteterne fastsættes.
(36)
For at imødekomme cybersikkerhedsbehovene på både efterspørgsels- og udbudssiden bør kompetencecentrets opgave med at levere viden om og teknisk bistand vedrørende cybersikkerhed til industrier omfatte både IKT-produkter, -processer og -tjenesteydelser og alle andre teknologiske produkter og processer, hvor cybersikkerhed skal indlejres. Hvor den anmoder herom, bør den offentlige sektor også kunne modtage støtte fra kompetencecentret.
(37)
For at opnå en holdbar cybersikkerhedssituation er det vigtigt at lade security-by-design være et princip i udviklingen, vedligeholdelsen, driften og ajourføringen af infrastrukturer, produkter og tjenesteydelser, navnlig gennem støtte til sikre udviklingsmetoder på det aktuelle tekniske niveau, passende sikkerhedsafprøvning og sikkerhedsaudits, ved straks at stille tilgængelige opdateringer, der afhjælper kendte svagheder eller imødegår kendte trusler, til rådighed og ved om muligt at sætte tredjeparter i stand til at udarbejde og levere opdateringer, som går ud over produkternes respektive supportophør. Security by design bør sikres gennem hele IKT-produkters, -tjenesters eller -processers levetid og ved udviklingsprocesser, der hele tiden udvikler sig med henblik på at begrænse skadevirkningerne af ondsindet udnyttelse.
(38)
Selv om kompetencecentret og netværket bør stræbe efter at fremme synergier og koordination mellem civile og forsvarsrelaterede områder for cybersikkerhed, bør projekter i henhold til denne forordning, som er finansieret af Horisont Europa, gennemføres i overensstemmelse med forordning (EU) 2021/695, i henhold til hvilken forsknings- og innovationsaktiviteter, der gennemføres inden for rammerne af Horisont Europa, udelukkende skal være rettet mod civile anvendelsesformål.
(39)
Denne forordnings finder fortrinsvis anvendelse på det civile område, men medlemsstaternes aktiviteter i henhold til denne forordning kan afspejle særlige forhold i medlemsstaterne i tilfælde, hvor cybersikkerhedspolitik føres af myndigheder, der udfører både civile og militære opgaver, bør tilstræbe komplementaritet og bør undgå overlap med forsvarsrelaterede finansieringsinstrumenter.
(40)
Denne forordning bør sikre ansvar og gennemsigtighed for kompetencecentret og de virksomheder, der modtager finansiering, i overensstemmelse med de relevante programbestemmelser.
(41)
Gennemførelsen af ibrugtagningsprojekter, især ibrugtagningsprojekter, der vedrører infrastrukturer og evner, der anvendes på EU-plan eller via fælles indkøb, vil kunne opdeles i forskellige gennemførelsesfaser, såsom separate tilbud for hardwarens design og softwarens arkitektur, deres produktion samt deres funktion og vedligeholdelse, mens virksomheder kun vil kunne deltage i én af faserne og, hvor det er relevant, vil kunne kræve, at støttemodtagerne i en eller flere af disse faser overholder bestemte betingelser med hensyn til europæisk ejerskab eller kontrol.
(42)
I lyset af sin ekspertise inden for cybersikkerhed og sit mandat som referencepunkt for rådgivning og ekspertise om cybersikkerhed for EU-institutioner, -organer, -kontorer og -agenturer samt for relevante EU-interessenter og i lyset af sin indsamling af input gennem sine opgaver, bør ENISA spille en aktiv rolle i kompetencecentrets aktiviteter, herunder udviklingen af dagsordenen, idet dobbeltarbejde skal undgås, navnlig gennem sin rolle som permanent observatør i kompetencecentrets bestyrelse. Med hensyn til udarbejdelsen af dagsordenen, det årlige arbejdsprogram og det flerårige arbejdsprogram bør kompetencecentrets administrerende direktør og bestyrelsen tage højde for alle relevante strategiske råd og input fra ENISA i overensstemmelse med bestyrelsens forretningsorden.
(43)
Hvor de modtager et finansielt bidrag fra Unionens almindelige budget, bør de nationale koordinationscentre og de enheder, som er en del af fællesskabet, offentligøre, at deres respektive aktiviteter udføres i forbindelse med denne forordning.
(44)
De omkostninger, der opstår fra kompetencecentrets etablering og fra kompetencecentrets administrations- og koordinationsaktiviteter bør finansieres af Unionen og af medlemsstaterne i forhold til des frivillige bidrag fra medlemsstaterne til fælles tiltag. Med henblik på at undgå dobbeltfinansiering bør disse aktiviteter ikke samtidigt modtage bidrag fra andre EU-programmer.
(45)
Bestyrelsen, der bør sammensættes af repræsentanter fra medlemsstaterne og Kommissionen, bør fastlægge de overordnede retningslinjer for kompetencecentrets drift og bør sikre, at kompetencecentret udfører sine opgaver i overensstemmelse med denne forordning. Bestyrelsen bør vedtage dagsordenen.
(46)
Bestyrelsen bør have de nødvendige beføjelser til at fastlægge kompetencecentrets budget. Den bør kontrollere gennemførelsen af budgettet, vedtage passende finansielle bestemmelser, og fastlægge gennemsigtige arbejdsprocedurer for kompetencecentrets beslutningsproces, herunder for vedtagelsen af det årlige arbejdsprogram og det flerårige arbejdsprogram, som skal afspejle dagsordenen. Bestyrelsen bør også vedtage sin forretningsorden, udnævne den administrerende direktør og træffe eventulle afgørelser om forlængelse eller ophævelse af den administrerende direktørs embedsperiode.
(47)
Bestyrelsen bør føre tilsyn med kompetencecentrets strategi- og gennemførelsesaktiviteter og bør sikre, at disse aktiviteter er tilpasset hinanden. Kompetencecentret bør i sin årlige rapport lægge særlig vægt på de strategiske mål, som den har opnået, og om nødvendigt foreslå tiltag til yderligere forbedring af opnåelsen af disse strategiske mål.
(48)
For at kompetencecentret kan fungere korrekt og effektivt, bør Kommissionen og medlemsstaterne sikre, at personer, der udnævnes til bestyrelsen, har passende faglig ekspertise og erfaring inden for de relevante områder. Kommissionen og medlemsstaterne bør desuden bestræbe sig på at begrænse udskiftningen af deres repræsentanter i bestyrelsen med henblik på at sikre kontinuiteten i dens arbejde.
(49)
I betragtning af kompetencecentrets særlige status og dets ansvar for gennemførelsen af EU-midler, navnlig fra Horisont Europa og programmet for et digitalt Europa, bør Kommissionen have 26 % af det samlede antal stemmer i bestyrelsen i forbindelse med afgørelser, der omfatter EU-midler, med henblik på at maksimere EU-merværdien af disse afgørelser og samtidig sikre, at disse afgørelser er lovlige og er i overensstemmelse med Unionens prioriteter.
(50)
Kompetencecentrets gnidningsfrie funktion kræver, at den administrerende direktør udnævnes på en gennemsigtig måde på grundlag af kvalifikationer, dokumenterede administrative og ledelsesmæssige færdigheder og kvalifikationer og erfaring med relevans for cybersikkerhed, og at den administrerende direktørs hverv udøves i fuld uafhængighed.
(51)
Kompetencecentret bør have en strategisk rådgivende gruppe som rådgivende organ. Den strategiske rådgivende gruppe bør yde rådgivning på grundlag af regelmæssig dialog mellem kompetencecentret og fællesskabet, som bør dannes af repræsentanter for den private sektor, forbrugerorganisationer, den akademiske verden og andre relevante interessenter. Den strategiske rådgivende gruppe bør fokusere på spørgsmål, der er relevante for interessenter, og forelægge dem for bestyrelsen og den administrerende direktør. Den strategiske rådgivende gruppes opgaver bør omfatte ydelse af rådgivning vedrørende dagsordenen, det årlige arbejdsprogram og det flerårige arbejdsprogram. Repræsentationen af forskellige interessenter i den strategiske rådgivende gruppe bør være balanceret, med særlig vægt på repræsentationen af SMV'er, for at sikre, at interessenter er passende repræsenterede i kompetencecentrets arbejde.
(52)
Medlemsstaternes bidrag til kompetencecentrets ressourcer vil kunne være finansielle eller i form af naturalier. For eksempel vil sådanne finansielle bidrag kunne bestå i et tilskud fra en medlemsstat til en tilskudsmodtager i den pågældende medlemsstat, som supplerer Unionens finansielle støtte, der er givet til et projekt inden for rammerne af det årlige arbejdsprogram. Til gengæld vil der typisk gives bidrag i form af naturalier, hvor en medlemsstats enhed selv er modtager af Unionens finansielle støtte. Hvis Unionen f.eks. støtter et nationalt koordinationscenters aktivitet med en finansieringssats på 50 %, vil de resterende omkostninger for aktiviteten rent regnskabsmæssigt blive betragtet som et bidrag i form af naturalier. Et andet eksempel er, hvis en medlemsstats enhed modtager Unionens finansielle støtte til etablering eller opgradering af en infrastruktur, der skal deles mellem interessenter i overensstemmelse med det årlige arbejdsprogram, ville de ikkesubsidierede omkostninger relateret dertil rent regnskabsmæssigt blive betragtet som bidrag i form af naturalier.
(53)
I overensstemmelse med de relevante bestemmelser i delegeret forordning (EU) 2019/715 om interessekonflikter, bør kompetencecentret vedtage regler til forebyggelse, konstatering, løsning og forvaltning af interessekonflikter for så vidt angår dets medlemmer, organer og medarbejdere, bestyrelsen samt Den Strategiske Rådgivningsgruppe og fællesskabet. Medlemsstaterne bør sikre forebyggelse, konstatering og løsning af interessekonflikter for så vidt angår de nationale koordinationscentre i overensstemmelse med national ret. Kompetencecentret bør ligeledes følge relevant EU-ret om aktindsigt som fastlagt i Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 
(
9
)
. Kompetencecentrets behandling af personoplysninger bør være omfattet af Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
10
)
. Kompetencecentret bør overholde de bestemmelser i EU-retten, der gælder for EU-institutioner samt national ret vedrørende behandling af informationer, herunder navnlig behandling af følsomme ikkeklassificerede oplysninger og EU-klassificerede informationer.
(54)
Unionens og medlemsstaternes finansielle interesser bør beskyttes ved hjælp af forholdsmæssigt afpassede foranstaltninger i hele udgiftscyklussen, herunder forebyggelse, afsløring og efterforskning af uregelmæssigheder, tilbagesøgning af tabte, uberettiget udbetalte eller ukorrekt anvendte midler og efter omstændighederne anvendelse af administrative og økonomiske sanktioner i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 
(
11
)
 (»finansforordningen«).
(55)
Kompetencecentret bør fungere på en åben og gennemsigtig måde. Det bør forelægge alle relevante oplysninger rettidigt og bør fremme dets aktiviteter, herunder gennem oplysnings- og formidlingsaktiviteter rettet mod den brede offentlighed. Forretningsordenen for kompetencecentrets bestyrelse og for Den Strategiske Rådgivningsgruppe bør gøres offentligt tilgængelige.
(56)
Kommissionens interne revisor bør have samme beføjelser for så vidt angår kompetencecentret som dem, vedkommende er tillagt for så vidt angår Kommissionen.
(57)
Kommissionen, Revisionsretten og Det Europæiske Kontor for Bekæmpelse af Svig bør have adgang til alle nødvendige oplysninger og kompetencecentrets lokaler med henblik på at gennemføre revisioner og undersøgelser af tilskud, kontrakter og aftaler indgået af kompetencecentret.
(58)
Målene for denne forordning, nemlig at styrke Unionens konkurrenceevne og kapaciteter, fastholde og udvikle Unionens forskningsmæssige, teknologiske og industrielle kapaciteter på cybersikkerhedsområdet, øge konkurrenceevnen i Unionens cybersikkerhedsindustri og gøre cybersikkerhed til en konkurrencefordel for Unionens øvrige industrier, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne alene, fordi de nuværende, begrænsede ressourcer er spredt og på grund af størrelsen af den nødvendige investering, men kan, ved at undgå unødig overlap af disse bestræbelser, bidrage til at opnå en kritisk masse af investeringer, sikre, at de offentlige midler udnyttes bedst muligt, og sikre, at et højt cybersikkerhedsniveau fremmes i alle medlemsstater, bedre nås på EU-plan. Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om den Europæiske Union (TEU). I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål —
VEDTAGET DENNE FORORDNING:
KAPITEL I
Generelle bestemmelser og principper for kompetencecentret og netværket
Artikel 1
Genstand og anvendelsesområde
1.   Ved denne forordning oprettes Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed (»kompetencecentret«) og Netværket af Nationale Koordinationscentre (»netværket«). Den fastsætter regler for udpegelsen af nationale koordinationscentre samt regler for oprettelsen af Kompetencefælleskabet for Cybersikkerhed (»fællesskabet«).
2.   Kompetencecentret skal spille en afgørende rolle ved gennemførelsen af cybersikkerhedsdelen i programmet for det digitale Europa, navnlig vedrørende tiltag i tilknytning til artikel 6 i forordning (EU) 2021/694, og skal bidrage til gennemførelsen af Horisont Europa, navnlig vedrørende afsnit 3.1.3 i søjle II i bilag I i Rådets afgørelse (EU) 2021/764 
(
12
)
.
3.   Medlemsstaterne bidrager kollektivt til kompetencecentrets og netværkets arbejde.
4.   Denne forordning berører ikke medlemsstaternes beføjelser med hensyn til offentlig sikkerhed, forsvar, statens sikkerhed og statens aktiviteter på det strafferetlige område.
Artikel 2
Definitioner
I denne forordning forstås ved:
1)
»cybersikkerhed«: de aktiviteter, der er nødvendige for at beskytte net- og informationssystemer, brugerne af sådanne systemer og andre personer berørt af cybertrusler
2)
»net- og informationssystem«: et net- og informationssystem som defineret i artikel 4, nr. 1), i direktiv (EU) 2016/1148
3)
»cybersikkerhedsprodukter, -tjenester og -processer«: kommercielle og ikkekommercielle IKT-produkter, -tjenester eller -processer med det særlige formål at beskytte net- og informationssystemer eller sikre fortroligheden, integriteten og tilgængeligheden af data, der behandles eller lagres i net- og informationssystemer, samt cybersikkerheden for brugerne af sådanne systemer og andre personer berørt af cybertrusler
4)
»cybertrussel«: enhver potentiel omstændighed, begivenhed eller handling, som kan skade, forstyrre eller på anden måde have en negativ indvirkning på net- og informationssystemer, brugerne af sådanne systemer og andre personer
5)
»fælles tiltag«: et tiltag, der indgår i det årlige arbejdsprogram, og som modtager finansiel støtte fra Horisont Europa, programmet for et digitalt Europa eller andre EU-programmer, samt finansiel støtte eller støtte i form af naturalier fra en eller flere medlemsstater, og som gennemføres via projekter, der omfatter støttemodtagere, der er etableret i og modtager finansiel støtte eller støtte i form af naturalier fra disse medlemsstater
6)
»bidrag i form af naturalier«: støtteberettigede omkostninger, der afholdes af nationale koordinationscentre og andre offentlige enheder, når de deltager i projekter, der finansieres via denne forordning, hvor disse omkostninger ikke finansieres af et EU-bidrag eller af finansielle bidrag fra medlemsstaterne
7)
»europæiske digitale innovationsknudepunkter«: et europæisk digitalt innovationsknudepunkt som defineret i artikel 2, litra e), i forordning (EU) 2021/694.
8)
»dagsorden«: en omfattende og bæredygtig industri-, teknologi- og forskningsstrategi for cybersikkerhed, der fastsætter strategiske anbefalinger for udvikling af og vækst i den europæiske industri-, teknologi- og forskningssektor for cybersikkerhed og strategiske prioriteter for kompetencecentrets aktiviteter og er ikke bindende med hensyn til de afgørelser, der skal træffes om de årlige arbejdsprogrammer
9)
»teknisk bistand«: bistand der ydes af kompetencecentret til de nationale koordinationscentre eller fællesskabet ved udøvelsen af deres opgaver ved at stille viden til rådighed eller lette adgang til ekspertise inden for forskning, teknologi og industri på cybersikkerhedsområdet, lette netværkssamarbejde, øge kendskabet og fremme samarbejdet, eller bistand, der ydes af kompetencecentret sammen med de nationale koordinationscentre til interessenter for så vidt angår forberedelse af projekter vedrørende kompetencecentrets og fælleskabets mission og kompetencecentrets mål.
Artikel 3
Kompetencecentrets og netværkets mission
1.   Kompetencecentrets og netværkets mission er at bistå Unionen med at:
a)
styrke dens førende position og strategiske autonomi på cybersikkerhedsområdet ved at fastholde og udvikle Unionens forskningsmæssige, akademiske, samfundsmæssige, teknologiske og industrielle cybersikkerhedskapaciteter og -evner, der er nødvendige for at styrke tilliden til og sikkerheden, herunder fortroligheden, integriteten og tilgængeligheden af data på det digitale indre marked
b)
støtte Unionens teknologiske kapaciteter, evner og færdigheder med hensyn til robustheden og pålideligheden af infrastrukturen i net- og informationssystemer, herunder kritisk infrastruktur og almindeligt anvendt hardware og software i Unionen, og
c)
øge Unionens cybersikkerhedsindustris globale konkurrenceevne, sikre høje cybersikkerhedsstandarder i hele Unionen og gøre cybersikkerhed til en konkurrencemæssig fordel for andre industrier i Unionen.
2.   Kompetencecentret og netværket udfører deres opgaver i samarbejde med ENISA og fællesskabet i relevant omfang.
3.   I overensstemmelse med retsakterne om oprettelse af de relevante programmer, navnlig Horisont Europa og programmet for det digitale Europa, anvender kompetencecentret Unionens relevante finansielle ressourcer på en sådan måde, at det bidrager til missionen i stk. 1.
Artikel 4
Kompetencecentrets mål
1.   Kompetencecentrets overordnede mål er, at fremme forskning, innovation og ibrugtagning på cybersikkerhedsområdet med henblik på at opfylde den mission, der er fastsat i artikel 3.
2.   Kompetencecentret har følgende specifikke mål:
a)
at styrke cybersikkerhedskapaciteter, -evner, -viden og -infrastrukturer til gavn for industrien, navnlig SMV'er, forskningsmiljøer, den offentlige sektor og civilsamfundet, alt efter hvad det er hensigtsmæssigt
b)
at fremme robustheden for så vidt angår cybersikkerhed, udbredelsen af bedste praksis inden for cybersikkerhed, princippet om security by design og certificering af digitale produkters og tjenesters sikkerhed på en måde, der supplerer andre offentlige enheders indsats
c)
at bidrage til et stærkt europæisk cybersikkerhedsøkosystem, der samler alle relevante interessenter.
3.   Kompetencecentret gennemfører de i stk. 2 omhandlede specifikke mål ved at:
a)
udarbejde strategiske anbefalinger for forskning, innovation og ibrugtagning inden for cybersikkerhed i overensstemmelse med EU-retten og fastsætte strategiske prioriteter for kompetencecentrets aktiviteter
b)
gennemføre tiltag i henhold til relevante EU-finansieringsprogrammer i overensstemmelse med de relevante arbejdsprogrammer og EU-retsakterne om oprettelse af disse finansieringsprogrammer,
c)
fremme samarbejde og koordination mellem de nationale koordinationscentre og med og inden for fællesskabet og
d)
hvor det er relevant og hensigtsmæssigt, erhverve og drive IKT-infrastrukturer og -tjenester, hvor det er nødvendigt for at udføre de i artikel 5 fastlagte opgaver, og i overensstemmelse med de i artikel 5, stk. 3, litra b), fastlagte respektive arbejdsprogrammer.
Artikel 5
Kompetencecentrets opgaver
1.   Med henblik på at opfylde sin mission og mål har kompetencecentret følgende opgaver:
a)
strategiske opgaver og
b)
gennemførelsesopgaver.
2.   De i stk. 1, litra a), omhandlede strategiske opgaver består af:
a)
udvikling og overvågning af gennemførelsen af dagsordenen
b)
ved hjælp af dagsordenen og det flerårige arbejdsprogram, samtidig med at overlap af aktiviteter med ENISA undgås, og der tages hensyn til behovet for at skabe synergier mellem cybersikkerhed og andre dele af Horisont Europa og programmet for et digitalt Europa:
i)
fastlæggelse af prioriteter for kompetencecentrets arbejde med hensyn til:
1)
styrkelse af forskning og innovation vedrørende cybersikkerhed, der dækker hele innovationscyklussen, og ibrugtagning af denne forskning og innovation
2)
udvikling af industrielle, teknologiske og forskningsmæssige cybersikkerhedskapaciteter, -evner og -infrastruktur
3)
styrkelse af cybersikkerhedsmæssige og teknologiske færdigheder og kompetence inden for industri, teknologi og forskning samt på alle relevante uddannelsesniveauer, idet hensynet til en ligelig kønsfordeling fremmes
4)
ibrugtagning af cybersikkerhedsprodukter, -tjenester og -processer
5)
støtte til markedsudbredelsen af cybersikkerhedsprodukter, -tjenester og -processer, der bidrager til den i artikel 3 fastlagte mission
6)
støtte til indførelse og integration af cybersikkerhedsprodukter, -tjenester og -processer på det aktuelle tekniske niveau hos offentlige myndigheder på deres anmodning og hos industrier på efterspørgselssiden samt hos andre brugere
ii)
støtte til cybersikkerhedsindustrien, navnlig SMV'er, med henblik på at styrke EU-ekspertise, -kapacitet og -konkurrenceevne for så vidt angår cybersikkerhed, herunder med henblik på at skabe forbindelse til potentielle markeder og ibrugtagningsmuligheder, og på at tiltrække investeringer og
iii)
yde støtte og teknisk bistand til nystartede virksomheder, SMV'er, mikrovirksomheder, sammenslutninger og individuelle eksperter, der agerer på cybersikkerhedsområdet, samt borgerteknologiprojekter på cybersikkerhedsområdet
c)
sikring af synergier mellem og samarbejde med relevante EU-institutioner, -organer, -kontorer og -agenturer, navnlig ENISA, samtidig med at enhver overlap med disse EU-institutioners, -organer, -kontorer og -agenturers aktiviteter undgås
d)
koordinering af de nationale koordinationscentre gennem netværket og sikring af en regelmæssig udveksling af ekspertise
e)
på anmodning af en medlemsstat ydelse af industriel, teknologisk og forskningsmæssig ekspertrådgivning inden for cybersikkerhed, herunder for så vidt angår offentligt indkøb og ibrugtagning af teknologier
f)
lettelse af samarbejde og udvekslingen af ekspertise blandt alle relevante interessenter, navnlig medlemmer af fællesskabet
g)
deltagelse i EU-konferencer, -messer og -fora og nationale og internationale konferencer, messer og fora knyttet til kompetencecentrets mission, mål og opgaver med henblik på at dele synspunkter og udveksle relevant bedste praksis med andre deltagere
h)
lettelse af anvendelsen af resultaterne fra forsknings- og innovationsprojekter til tiltag vedrørende udvikling af cybersikkerhedsprodukter, -tjenester og -processer samtidig med, at fragmentering og overlap af indsatsen søges undgået, og at god cybersikkerhedspraksis og gode cybersikkerhedsprodukter, -tjenester og -processer kopieres, navnlig dem, der er udviklet af SMV'er, og dem, der anvender open source software.
3.   De i stk. 1, litra b), omhandlede gennemførelsesopgaver består af:
a)
koordinering og forvaltning af arbejdet i netværket og fællesskabet med henblik på at opfylde missionen fastsat i artikel 3, navnlig ved at støtte nystartede virksomheder, SMV'er, mikrovirksomheder og sammenslutninger, der agerer på cybersikkerhedsområdet, samt og borgerteknologiprojekter på cybersikkerhedsområdet, i Unionen og lettelse af deres adgang til ekspertise, finansiering, investeringer og markeder
b)
fastlæggelse og gennemførelse af det årlige arbejdsprogram, i overensstemmelse med dagsordenen og det flerårige arbejdsprogram, for cybersikkerhedsdelene af:
i)
programmet for et digitalt Europa, navnlig tiltag vedrørende artikel 6 i forordning (EU) 2021/694
ii)
fælles tiltag, der modtager støtte i henhold til bestemmelserne, der vedrører cybersikkerhed i Horisont Europa, navnlig afsnit 3.1.3 under søjle II i bilag I til afgørelse (EU) 2021/764, i overensstemmelse med det flerårige arbejdsprogram og Horisont Europas strategiske planlægningsproces, og
iii)
andre programmer, hvor det er fastsat i de relevante lovgivningsmæssige EU-retsakter.
c)
hvor det er relevant, støtte til opfyldelsen af det specifikke mål 4 – »højtudviklede IT-færdigheder« som fastsat i artikel 7 i forordning (EU) 2021/694, i samarbejde med europæiske digitale innovationsknudepunkter
d)
ydelse af ekspertrådgivning til Kommissionen om cybersikkerhedsindustri, -teknologi og -forskning, når Kommissionen udarbejder udkast til arbejdsprogrammer i medfør af artikel 13 i afgørelse (EU) 2021/764
e)
gennemførelse eller muliggørelse af ibrugtagning af IKT-infrastruktur og fremme af anskaffelse af sådan infrastruktur til gavn for samfund, industri og den offentlige sektor på anmodning af medlemsstaterne, forskningsmiljøer og operatører af væsentlige tjenester ved hjælp af bl.a. bidrag fra medlemsstaterne og EU-midler til fælles tiltag i overensstemmelse med dagsordenen, det årlige arbejdsprogram og det flerårige arbejdsprogram
f)
forøgelse af kendskabet til kompetencecentrets og netværkets mission og til kompetencecentrets mål og opgaver
g)
uden at det berører den civile karakter af projekter, der skal finansieres via Horisont Europa og i overensstemmelse med forordning (EU) 2021/695 og (EU) 2021/694, styrkelse af synergier og koordinering mellem civile og forsvarsrelaterede områder for cybersikkerhed ved fremme af udvekslingen af:
i)
viden og oplysninger om teknologier og applikationer med dobbelt anvendelse
ii)
resultater, krav og bedste praksis, og
iii)
oplysninger for så vidt angår de relevante EU-programmers prioriteter.
4.   Kompetencecentret udfører opgaverne fastsat i stk. 1 i tæt samarbejde med netværket.
5.   I overensstemmelse med artikel 6 i forordning (EU) 2021/695 og med forbehold af en bidragsaftale, som defineret i finansforordningens artikel 2, nr. 18, kan kompetencecentret pålægges gennemførelsen af de cybersikkerhedsdele i henhold til Horisont Europa, der ikke er medfinansieret af medlemsstaterne, navnlig vedrørende afsnit 3.1.3 i søjle II i bilag I til afgørelse (EU) 2021/764.
Artikel 6
Udpegelse af de nationale koordinationscentre
1.   Senest den 29. december 2021 udpeger hver medlemsstat en enhed, der opfylder kriterierne i stk. 5, til at fungere som det nationale koordinationscenter med henblik på denne forordning. Hver medlemsstat giver straks bestyrelsen meddelelse om denne enhed. En sådan enhed kan være en enhed, der allerede er etableret i den pågældende medlemsstat.
Fristen fastsat i dette stykkes første afsnit forlænges med den periode, hvor Kommissionen skal afgive den i stk. 2 omhandlede udtalelse.
2.   En medlemsstat kan til enhver tid anmode Kommissionen om en udtalelse om, hvorvidt den enhed, som medlemsstaten har udpeget eller agter at udpege til at fungere som sit nationale koordinationscenter, har den nødvendige kapacitet til at forvalte midler til at opfylde missionen og målene fastsat i denne forordning. Kommissionen afgiver sin udtalelse til den pågældende medlemsstat senest tre måneder efter medlemsstatens anmodning.
3.   På grundlag af en medlemsstats meddelelse om en enhed, som omhandlet i stk. 1, registrerer bestyrelsen senest tre måneder efter meddelelsen enheden som nationalt koordinationscenter. Kompetencecentret offentliggør listen over udpegede nationale koordinationscentre.
4.   En medlemsstat kan til enhver tid udpege en ny enhed til at fungere som det nationale koordinationscenter med henblik på denne forordning. Stk. 1, 2 og 3 finder anvendelse på udpegelsen af en ny enhed.
5.   Det nationale koordinationscenter skal være en offentlig enhed eller en enhed, hvor majoriteten ejes af medlemsstaten, der udøver offentlige administrative funktioner i henhold til national ret, herunder ved delegation, og skal have kapacitet til at kunne støtte kompetencecentret og netværket med at opfylde deres mission som fastsat i denne forordnings artikel 3. Det skal enten råde over eller have adgang til forskningsmæssig og teknologisk cybersikkerhedsekspertise. Det skal have kapacitet til effektivt at inddrage og koordinere med industrien, den offentlige sektor, den akademiske verden og forskningsverdenen, og borgerne, samt med de myndigheder, der er udpeget i medfør af direktiv (EU) 2016/1148.
6.   Et nationalt koordinationscenter kan til enhver tid anmode om at få anerkendt, at det har den nødvendige kapacitet til at forvalte midler til at opfylde missionen og målene fastsat i denne forordning, i overensstemmelse med forordning (EU) 2021/695 og (EU) 2021/694. Senest for tre måneder efter en sådan anmodning foretager Kommissionen en vurdering om hvorvidt dette nationale koordinationscenter har en sådan kapacitet og træffer en afgørelse.
Hvor Kommissionen har afgivet en positiv udtalelse til en medlemsstat i overensstemmelse med proceduren i stk. 2, anses denne udtalelse for at være en afgørelse, der anerkender, at den pågældende enhed har den nødvendige kapacitet med henblik på nærværende stykke.
Senest den 29. august 2021, efter høring af bestyrelsen, udsteder Kommissionen retningslinjer om vurderingen som omhandlet i første afsnit, herunder en præcisering af betingelserne for anerkendelse, og af hvordan udtalelser og vurderinger foretages.
Inden udstedelsen af den i stk. 2 omhandlede udtalelse og den i nærværende stykkes først afsnit omhandlede afgørelse, tager Kommissionen hensyn til enhver oplysning og al dokumentation indgivet af det anmodende nationale koordinationscenter.
Enhver afgørelse om ikke at anerkende et nationalt koordinationscenter som havende den nødvendige kapacitet til at forvalte midler til at opfylde missionen og målene fastsat i denne forordning begrundes behørigt med angivelse af hvilke krav, det anmodende nationale koordinationscenter stadig mangler at opfylde, som berettiger afgørelsen om at nægte anerkendelse. Ethvert nationalt koordinationscenter, hvis anmodning om anerkendelse er blevet afvist, kan til enhver tid genindsende sin anmodning med yderligere oplysninger.
Medlemsstaterne underretter Kommissionen i tilfælde af ændringer af det nationale koordinationscenter såsom med hensyn til det nationale koordinationscenters sammensætning eller retlige form eller andre relevante aspekter, som påvirker dets kapacitet til at forvalte midler til at opfylde missionen og målene fastsat i denne forordning. Ved modtagelsen af sådan underretning kan Kommissionen tage en afgørelse om at tildele eller nægte anerkendelsen af det nationale koordinationscenter som havende den nødvendige kapacitet til at forvalte midler op til fornyet overvejelse i overensstemmelse hermed.
7.   Netværket består af alle de nationale koordinationscentre, som er meddelt til bestyrelsen af medlemsstaterne.
Artikel 7
De nationale koordinationscentres opgaver
1.   De nationale koordinationscentre udfører følgende opgaver:
a)
fungerer på nationalt plan som kontaktpunkter for fællesskabet for at støtte kompetencecentret med at opfylde dets mission og mål, navnlig med at koordinere fællesskabet gennem koordinering af fællesskabets medlemmer i deres medlemsstater
b)
tilvejebringer ekspertise og bidrager aktivt til de strategiske opgaver, der er fastsat i artikel 5, stk. 2, under hensyntagen til relevante nationale og regionale udfordringer for cybersikkerhed i forskellige sektorer
c)
fremmer, tilskynder til og letter deltagelse af civilsamfundet, industrien, navnlig nystartede virksomheder og SMV'er, de akademiske miljøer og forskningsmiljøerne samt andre interessenters deltagelse på nationalt plan i grænseoverskridende projekter og cybersikkerhedsmæssige tiltag finansieret via relevante EU-programmer
d)
yder teknisk bistand til interessenter ved at støtte dem under ansøgningsfasen for projekter, der forvaltes af kompetencecentret, for så vidt angår dets mission og mål, og i fuld overensstemmelse med reglerne for forsvarlig økonomisk forvaltning, navnlig vedrørende interessekonflikter
e)
arbejder på at etablere synergier med relevante aktiviteter på nationalt, regionalt og lokalt plan, såsom nationale politikker for forskning, udvikling og innovation på cybersikkerhedsområdet, navnlig de politikker, der er anført i de nationale cybersikkerhedsstrategier
f)
gennemfører specifikke tiltag, som kompetencecentret har ydet tilskud til, herunder ved at yde finansiel støtte til tredjeparter i overensstemmelse med finansforordningens artikel 204 på de betingelser, der er fastsat i de pågældende tilskudsaftaler
g)
samarbejder, uden at det berører medlemsstaternes kompetencer på uddannelsesområdet og under hensyntagen til ENISA's relevante opgaver, med de nationale myndigheder om mulige bidrag til fremme og udbredelse af uddannelsesprogrammer om cybersikkerhed
h)
fremmer og formidler de relevante resultater af arbejdet i netværket, fællesskabet og kompetencecentret på nationalt, regionalt eller lokalt plan
i)
vurderer anmodninger fra enheder, der er etableret i samme medlemsstat som det nationale koordinationscenter, om at blive en del af fællesskabet
j)
advokerer for og fremmer inddragelsen af relevante enheder i de aktiviteter, der opstår i forbindelse med kompetencecentret, netværket, fællesskabet, og overvåger, alt efter hvad der er relevant, omfanget af engagementet i og mængden af offentlig finansiel støtte til forskning i og udvikling og ibrugtagning af cybersikkerhed.
2.   Med henblik på denne artikels stk. 1, litra f), kan finansiel støtte til tredjeparter ydes i enhver af de former for EU-bidrag, der er angivet i finansforordningens artikel 125, herunder i form af faste beløb.
3.   På grundlag af en afgørelse som omhandlet i nærværende forordnings artikel 6, stk. 6, kan de nationale koordinationscentre modtage et tilskud fra Unionen i overensstemmelse med finansforordningens artikel 195, stk. 1, litra d), i forbindelse med udførelsen af de opgaver, der er fastsat i denne artikel.
4.   De nationale koordinationscentre samarbejder, hvor det er relevant, gennem netværket.
Artikel 8
Kompetencefællesskabet for Cybersikkerhed
1.   Fællesskabet bidrager til kompetencecentrets og netværkets mission, der er fastsat i artikel 3, og styrker, deler og formidler cybersikkerhedsekspertise i hele Unionen.
2.   Fællesskabet består af industri, herunder SMV'er, akademiske organisationer og forskningsorganisationer, andre relevante civilsamfundssammenslutninger samt, alt efter hvad der er hensigtsmæssigt, relevante europæiske standardiseringsorganisationer, offentlige organer og andre enheder, der beskæftiger sig med operationelle og tekniske cybersikkerhedsspørgsmål, og, hvor det er relevant, interessenter i sektorer, der har en interesse i cybersikkerhed og som står over for cybersikkerhedsudfordringer. Fællesskabet samler de vigtigste interessenter med hensyn til teknologisk, industriel, akademisk og forskningsmæssig cybersikkerhedskapacitet i Unionen. Det inddrager nationale koordinationscentre, europæiske digitale innovationsknudepunkter, hvor det er relevant, samt EU-institutioner, -organer, -kontorer og -agenturer med relevant ekspertise, såsom ENISA.
3.   Kun enheder, der er etableret i medlemsstaterne, kan registreres som medlemmer af fællesskabet. De skal påvise, at de kan bidrage til missionen, og skal have cybersikkerhedsekspertise på mindst ét af følgende områder:
a)
den akademiske verden, forskning eller innovation
b)
industriel udvikling eller produktudvikling
c)
uddannelse
d)
informationssikkerhedsforanstaltninger eller foranstaltninger til håndtering af hændelser
e)
etik
f)
formelle og tekniske standardiseringer og specifikationer.
4.   Kompetencecentret registrerer på deres egen anmodning enheder som medlemmer af fællesskabet efter en vurdering foretaget af det nationale koordinationscenter i den medlemsstat, i hvilken disse enheder er etableret, med henblik på at bekræfte at disse enheder opfylder kriterierne fastsat i denne artikels stk. 3. Denne vurdering tager også hensyn til eventuelle relevante nationale vurderinger af sikkerhedsmæssige årsager, der er foretaget af de nationale kompetente myndigheder. Sådanne registreringer er ikke tidsbegrænsede, men kan til enhver tid tilbagekaldes af kompetencecentret, hvis det relevante nationale koordinationscenter mener, at den pågældende enhed ikke længere opfylder kriterierne i denne artikels stk. 3, eller den falder ind under finansforordningens artikel 136, eller af berettigede sikkerhedsmæssige årsager. Hvor medlemsskabet af fællesskabet ophæves af sikkerhedsmæssige årsager, skal beslutningen om ophævelse være forholdsmæssig og begrundet. De nationale koordinationscentre skal tilstræbe at opnå en afbalanceret repræsentation af interessenter i fællesskabet og aktivt tilskynde deltagelse, navnlig af SMV'er.
5.   Nationale koordinationscentre tilskyndes til at samarbejde gennem netværket for at harmonisere den måde, hvorpå de anvender kriterierne i stk. 3, og procedurerne for vurdering og registrering af enheder, der er omhandlet i stk. 4.
6.   Kompetencecentret registrerer relevante EU-institutioner, -organer, -kontorer og -agenturer som medlemmer af fællesskabet efter en vurdering af, om denne EU-institution eller dette EU-organ, — kontor eller -agentur opfylder kriterierne i denne artikels stk. 3. Sådanne registreringer er ikke tidsbegrænset, men kan til enhver tid tilbagekaldes af kompetencecentret, hvis det vurderer, at EU-institutionen, -organet, -kontoret eller -agenturet ikke længere opfylder kriterierne i denne artikels stk. 3, eller den eller det falder under finansforordningens artikel 136.
7.   Repræsentanter for EU-institutionerne, -organerne, -kontorerne og -agenturerne kan deltage i arbejdet i fællesskabet.
8.   En enhed, der er registreret som et medlem af fællesskabet, udpeger dens repræsentanter for at sikre en effektiv dialog. Disse repræsentanter skal have ekspertise med hensyn til cybersikkerhedsforskning, -teknologi eller -industri. Bestyrelsen kan præcisere kravene yderligere uden unødigt at begrænse enhederne i udpegelsen af deres repræsentanter.
9.   Fællesskabet yder gennem sine arbejdsgrupper, navnlig gennem Den Strategiske Rådgivningsgruppe, strategisk rådgivning til den administrerende direktør og bestyrelsen om dagsordenen, det årlige arbejdsprogram samt det årlige og det flerårige arbejdsprogram i overensstemmelse med forretningsordenen, som bestyrelsen vedtager.
Artikel 9
Fællesskabets medlemmers opgaver
Medlemmerne af fællesskabet:
a)
støtter kompetencecentret i at opfylde dets mission og nå dets mål, og arbejder med henblik herpå tæt sammen med kompetencecentret og de nationale koordinationscentre
b)
deltager, hvor det relevant, i formelle eller uformelle aktiviteter og i de arbejdsgrupper, der er omhandlet i artikel 13, stk. 3, litra n), med det formål at udføre særlige aktiviteter som fastsat i det årlige arbejdsprogram, og
c)
støtter, hvor det er relevant, kompetencecentret og de nationale koordinationscentre med at fremme specifikke projekter.
Artikel 10
Kompetencecentrets samarbejde med andre EU-institutioner, -organer, -kontorer og -agenturer samt internationale organisationer
1.   For at sikre overensstemmelse og komplementaritet samtidig med at overlap af indsatsen undgås, samarbejder kompetencecentret med relevante EU-institutioner, -organer, -kontorer og -agenturer, herunder ENISA, Tjenesten for EU's Optræden Udadtil, Det Fælles Forskningscenter under Kommissionen, Forvaltningsorganet for Forskning, Forvaltningsorganet for Det Europæiske Forskningsråd og Det Europæiske Forvaltningsorgan for Sundhed og Det Digitale Område oprettet ved Kommissionens gennemførelsesafgørelse (EU) 2021/173 
(
13
)
, relevante europæiske digitale innovationsknudepunkter, Det Europæiske Center for Bekæmpelse af Cyberkriminalitet hos Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde, oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2016/794 
(
14
)
, Det Europæiske Forsvarsagentur for så vidt angår de opgaver, der er fastsat i nærværende forordnings artikel 5, og andre relevante EU-enheder. Kompetencecentret kan også samarbejde med internationale organisationer, hvor det er relevant.
2.   Det i denne artikels stk. 1 omhandlede samarbejde kan finde sted inden for rammerne af samarbejdsordninger. Disse ordninger forelægges bestyrelsen til godkendelse. Enhver udveksling af klassificerede informationer finder sted inden for rammerne af administrative ordninger, der indgås i overensstemmelse med artikel 36, stk. 3.
KAPITEL II
Kompetencecentrets Opbygning
Artikel 11
Medlemskab og struktur
1.   Kompetencecentrets medlemmer er Unionen, repræsenteret ved Kommissionen, samt medlemsstaterne.
2.   Kompetencecentrets struktur sikrer opfyldelsen af de i artikel 4 fastsatte mål og de i artikel 5 fastsatte opgaver og omfatter:
a)
en bestyrelse
b)
en administrerende direktør
c)
en strategisk rådgivende gruppe.
Afdeling I
Bestyrelsen
Artikel 12
Bestyrelsens sammensætning
1.   Bestyrelsen består af én repræsentant for hver medlemsstat og to repræsentanter for Kommissionen der handler på vegne af Unionen.
2.   Hvert medlem af bestyrelsen har en suppleant. Denne suppleant repræsenterer medlemmet i medlemmets fravær.
3.   De medlemmer af bestyrelsen, som er udpeget af medlemsstaterne, og deres suppleanter skal være medarbejdere i deres respektive medlemsstaters offentlige sektor og udpeges på grundlag af deres viden med hensyn til cybersikkerhedsforskning, -teknologi og -industri, deres evne til at sikre koordineringen af tiltag og indstillinger med deres respektive nationale koordinationscenter, eller deres relevante ledelsesmæssige, administrative og budgetmæssige færdigheder. Kommissionen udpeger sine medlemmer af bestyrelsen og deres suppleanter på grundlag af deres viden med hensyn til cybersikkerhed, teknologi eller deres relevante ledelsesmæssige, administrative og budgetmæssige færdigheder og på grundlag af deres evne til at sikre koordinering, synergier og så vidt muligt fælles initiativer mellem forskellige sektorspecifikke eller horisontale EU-politikker, der vedrører cybersikkerhed. Kommissionen og medlemsstaterne bestræber sig på at begrænse udskiftningen af deres repræsentanter i bestyrelsen med henblik på at sikre kontinuitet i bestyrelsens arbejde. Kommissionen og medlemsstaterne tilstræber at opnå en ligelig repræsentation af mænd og kvinder i bestyrelsen.
4.   Medlemmer af bestyrelsen og deres suppleanter udnævnes for en fireårig periode. Denne periode kan fornyes.
5.   Medlemmerne af bestyrelsen sikrer, at kompetencecentrets mission, mål, identitet og autonomi beskyttes, og at dets tiltag stemmer overens med denne mission og disse mål på uafhængig og gennemsigtig vis.
6.   Bestyrelsen kan indbyde observatører, herunder repræsentanter fra de relevante EU-institutioner, -organer, -kontorer og -agenturer og medlemmer af fællesskabet, til at deltage i bestyrelsens møder, alt efter hvad det er relevant.
7.   En repræsentant fra ENISA er permanent observatør i bestyrelsen. Bestyrelsen kan indbyde en repræsentant fra Den Strategiske Rådgivningsgruppe til at deltage i sine møder.
8.   Den administrerende direktør deltager i bestyrelsens møder, men har ikke stemmeret.
Artikel 13
Bestyrelsens opgaver
1.   Bestyrelsen har det overordnede ansvar for den strategiske retning og driften af kompetencecentret, fører tilsyn med gennemførelsen af dets aktiviteter og er ansvarlig for alle opgaver, der ikke specifikt pålægges den administrerende direktør.
2.   Bestyrelsen vedtager sin forretningsorden. Denne forretningsorden skal omfatte særlige procedurer for at konstatere og undgå interessekonflikter og sikre fortroligheden af følsomme oplysninger.
3.   Bestyrelsen træffer nødvendige strategiske afgørelser, navnlig med hensyn til:
a)
udarbejdelsen og vedtagelsen af dagsordenen og overvågningen af gennemførelsen heraf
b)
i lyset af Unionens politiske prioriteter og dagsordenen, vedtagelsen af det flerårige arbejdsprogram, der omfatter fælles industrielle, teknologiske og forskningsmæssige prioriteter på grundlag af de behov, som medlemsstaterne har identificeret i samarbejde med fællesskabet, og som har behov for fokus for så vidt angår Unionens finansielle støtte, herunder nøgleteknologier og domæner med henblik på udvikling af Unionens egne cybersikkerhedsevner
c)
vedtagelsen af det årlige arbejdsprogram for gennemførelse af de relevante EU-midler, navnlig cybersikkerhedsdelene af Horisont Europa, for så vidt som de medfinansieres frivilligt af medlemsstaterne, og programmet for et digitalt Europa, i overensstemmelse med kompetencecentrets flerårige arbejdsprogram og Horisont Europas strategiske planlægningsproces.
d)
vedtagelsen af kompetencecentrets årsregnskab og balance samt den årlige aktivitetsrapport på grundlag af et forslag fra den administrerende direktør
e)
vedtagelsen af de særlige finansielle bestemmelser for kompetencecentret i overensstemmelse med finansforordningens artikel 70
f)
vedtagelsen af afgørelser som en del af det årlige arbejdsprogram med henblik på at tildele midler fra EU-budgettet til Unionens og medlemsstaternes fælles tiltag
g)
som en del af det årlige arbejdsprogram og i overensstemmelse med de afgørelser, der er omhandlet i dette afsnits litra f), og i overensstemmelse med forordning (EU) 2021/695 og (EU) 2021/694, beskrivelsen af de fælles tiltag, der er omhandlet i dette afsnits litra f), og fastlæggelse af betingelserne for gennemførelse af sådanne fælles tiltag
h)
vedtagelsen af en procedure for udnævnelse af den administrerende direktør og udnævnelsen, afskedigelsen, forlængelsen af embedsperioden for og udstikning af retningslinjerne for den administrerende direktør og overvågningen af den administrerende direktørs præstation
i)
vedtagelsen af retningslinjer for vurdering og registrering af enheder som medlemmer af fællesskabet
j)
vedtagelse af de samarbejdsordninger, der er omhandlet i artikel 10, stk. 2
k)
udnævnelsen af regnskabsføreren
l)
vedtagelsen af kompetencecentrets årlige budget, herunder den tilhørende stillingsfortegnelse med angivelse af antallet af midlertidige stillinger i hver ansættelsesgruppe og lønklasse og med antallet af kontraktansatte og udstationerede nationale eksperter udtrykt i fuldtidsækvivalenter
m)
vedtagelsen af gennemsigtighedsregler for kompetencecentret og regler for forebyggelse og håndtering af interessekonflikter, herunder med hensyn til medlemmerne af bestyrelsen i overensstemmelse med artikel 42 i delegeret forordning (EU) 2019/715
n)
oprettelsen af arbejdsgrupper i fællesskabet, hvor det er relevant under hensyn til rådgivning fra Den Strategiske Rådgivningsgruppe
o)
udpegelsen af medlemmer af Den Strategiske Rådgivningsgruppe
p)
vedtagelsen af reglerne for godtgørelse af udgifter for medlemmer af Den Strategiske Rådgivningsgruppe
q)
oprettelsen af en overvågningsmekanisme for at sikre, at de respektive midler, som kompetencecentret forvalter, gennemføres i overensstemmelse med dagsordenen, missionen, det flerårige arbejdsprogram og reglerne for de programmer, som de relevante midler stammer fra
r)
sikringen af en regelmæssig dialog og etableringen af en effektiv samarbejdsmekanisme med fællesskabet
s)
fastlæggelse af kompetencecentrets kommunikationspolitik på grundlag af en anbefaling fra den administrerende direktør
t)
hvor det er relevant, fastlæggelsen af bestemmelser, der gennemfører vedtægten for tjenestemænd og ansættelsesvilkårene for de øvrige ansatte i Den Europæiske Union, fastsat ved Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 
(
15
)
 (»personalevedtægten« og »ansættelsesvilkårene«), i overensstemmelse med nærværende forordnings artikel 30, stk. 3
u)
hvor det er relevant, fastsættelsen af bestemmelser for udstationering af nationale eksperter til kompetencecentret og for anvendelsen af praktikanter i overensstemmelse med artikel 31, stk. 2
v)
vedtagelsen af sikkerhedsregler for kompetencecentret
w)
vedtagelsen af en strategi for bekæmpelse af svig og korruption, som står i forhold til risikoen for svig og korruption, samt vedtagelsen af omfattende foranstaltninger, i overensstemmelse med gældende EU-lovgivning, der beskytter personer, der indberetter overtrædelser af EU-retten, under hensyntagen til en cost-benefit-analyse af de foranstaltninger, der skal gennemføres
x)
om nødvendigt, indførelsen af metoden til beregning af frivillige finansielle bidrag og bidrag i form af naturalier fra bidragydende medlemsstater i overensstemmelse med forordning (EU) 2021/695 og (EU) 2021/694 eller anden lovgivning, der finder anvendelse
y)
sikringen af sammenhæng og synergier med de dele af programmet for et digitalt Europa og Horisont Europa, som ikke forvaltes af kompetencecentret, samt med andre EU-programmer, inden for rammerne af det årlige arbejdsprogram og det flerårige arbejdsprogram
z)
vedtagelsen af den årlige rapport om gennemførelsen af kompetencecentrets strategiske mål og prioriteter, om nødvendigt med en henstilling til bedre realisering af disse mål og prioriteter.
I det omfang det årlige arbejdsprogram indeholder fælles tiltag, skal det indeholde oplysninger om medlemsstaternes frivillige bidrag til fælles tiltag. Hvor det er relevant, vurderes i forslag, navnlig i forslag til det årlige arbejdsprogram, behovet for at anvende sikkerhedsregler som fastsat i denne forordnings artikel 33, herunder proceduren for selvvurdering af sikkerheden i overensstemmelse med artikel 20 i forordning (EU) 2021/695.
4.   Med hensyn til afgørelserne i stk. 3, litra a), b) og c), tager den administrerende direktør og bestyrelsen højde for alle relevante strategiske råd og input fra ENISA i overensstemmelse med bestyrelsens forretningsorden.
5.   Bestyrelsen er ansvarlig for at sikre, at der sker en passende opfølgning på anbefalingerne indeholdt i gennemførelsesrapporten og evalueringen, der er omhandlet i artikel 38, stk. 2 og 4.
Artikel 14
Formanden og bestyrelsens møder
1.   Bestyrelsen vælger en formand og en næstformand blandt sine medlemmer, hver for en periode på tre år. Formandens og næstformandens mandat kan forlænges én gang ved en afgørelse truffet af bestyrelsen. Hvis formandens eller næstformandens medlemskab af bestyrelsen ophører på et tidspunkt under deres mandatperiode, udløber deres mandatperiode dog automatisk på dette tidspunkt. Næstformanden træder uden videre i stedet for formanden, hvis denne er forhindret i at udøve sit hverv. Formanden deltager i afstemninger.
2.   Bestyrelsen afholder ordinært møde mindst tre gange om året. Den kan afholde ekstraordinære møder på anmodning af Kommissionen, på anmodning af en tredjedel af alle sine medlemmer, på anmodning af formanden eller på anmodning af den administrerende direktør i forbindelse med udførelsen af dennes opgaver.
3.   Den administrerende direktør deltager i bestyrelsens drøftelser, medmindre bestyrelsen beslutter noget andet, men har ikke stemmeret.
4.   Bestyrelsen kan fra sag til sag indbyde andre personer til at deltage i sine møder som observatører.
5.   Formanden kan indbyde repræsentanter for fællesskabet til at deltage i bestyrelsens møder, men de har ikke stemmeret.
6.   Medlemmerne af bestyrelsen og deres suppleanter kan i overensstemmelse med reglerne fastsat i dens forretningsorden bistås af rådgivere eller eksperter.
7.   Kompetencecentret varetager sekretariatsopgaverne for bestyrelsen.
Artikel 15
Bestyrelsens afstemningsregler
1.   Bestyrelsen anvender en konsensustilgang i sine drøftelser. Der holdes en afstemning, hvis det ikke lykkes for medlemmerne af bestyrelsen at nå til enighed.
2.   Hvis det ikke lykkes for bestyrelsen at nå til enighed om et anliggende, træffer den afgørelse med et flertal på mindst 75 % af alle sine medlemmers stemmer, idet Kommissionens repræsentanter udgør ét enkelt medlem i den henseende. Et fraværende bestyrelsesmedlem kan delegere sin stemme til suppleanten eller, i fravær af suppleanten, til et andet medlem. Et medlem af bestyrelsen kan ikke repræsentere mere end ét andet medlem.
3.   Bestyrelsen træffer afgørelser om de fælles tiltag og deres forvaltning som omhandlet i artikel 13, stk. 3, litra f) og g), på følgende måde:
a)
Afgørelser om tildeling af midler fra EU-budgettet til fælles tiltag som omhandlet i artikel 13, stk. 3, litra f), og afgørelser om at medtage sådanne fælles tiltag i det årlige arbejdsprogram træffes i overensstemmelse med nærværende artikels stk. 2.
b)
Afgørelser vedrørende beskrivelsen af fælles tiltag og fastsættelse af betingelser for gennemførelse heraf, der er omhandlet i artikel 13, stk. 3, litra g), træffes af de deltagende medlemsstater og Kommissionen, med forbehold af, at medlemmernes stemmerettigheder står i forhold til deres respektive bidrag til denne fælles aktion, beregnet efter den metode, der vedtages i medfør af artikel 13, stk. 3, litra x).
4.   For afgørelser, der træffes i henhold til artikel 13, stk. 3, litra b), c), d), e), f), k), l), p), q), t), u), w), x) og y), har Kommissionen 26 % af det samlede antal stemmer i bestyrelsen.
5.   Hvad angår andre afgørelser end dem, der er omhandlet i stk. 3, litra b), og stk. 4, har hver enkelt medlemsstat og Unionen én stemme. Unionens stemme afgives i fællesskab af Kommissionens to repræsentanter.
6.   Formanden deltager i afstemninger.
Afdeling II
Den administrerende direktør
Artikel 16
Udnævnelse og afskedigelse af og forlængelse af embedsperioden for den administrerende direktør
1.   Direktøren skal være en person med ekspertise og et godt omdømme inden for de områder, hvor kompetencecentret opererer.
2.   Den administrerende direktør ansættes i en stilling som midlertidigt ansat ved kompetencecentret i henhold til artikel 2, litra a), i ansættelsesvilkårene.
3.   Den administrerende direktør udnævnes af bestyrelsen fra en liste over kandidater, som Kommissionen foreslår, på baggrund af en åben, gennemsigtig og ikkediskriminerende udvælgelsesprocedure.
4.   Med henblik på indgåelsen af kontrakten med den administrerende direktør repræsenteres kompetencecentret af formanden for bestyrelsen.
5.   Den administrerende direktørs embedsperiode er fire år. Ved udgangen af denne periode foretager Kommissionen en vurdering, der tager evalueringen af den administrerende direktørs præstation og kompetencecentrets fremtidige opgaver og udfordringer i betragtning.
6.   Bestyrelsen kan på grundlag af et forslag fra Kommissionen, der tager hensyn til den i stk. 5 omhandlede vurdering, forlænge den administrerende direktørs embedsperiode med højst fire år.
7.   En administrerende direktør, hvis embedsperiode er blevet forlænget, må ikke deltage i endnu en udvælgelsesprocedure til den samme stilling.
8.   Den administrerende direktør kan kun afskediges ved en afgørelse truffet af bestyrelsen efter forslag fra Kommissionen eller fra mindst 50 % af medlemsstaterne.
Artikel 17
Den administrerende direktørs opgaver
1.   Den administrerende direktør er ansvarlig for driften og den daglige ledelse af kompetencecentret og er dets retlige repræsentant. Den administrerende direktør er ansvarlig over for bestyrelsen og udøver sit hverv i fuld uafhængighed inden for rammerne af de beføjelser, vedkommende har fået overdraget. Den administrerende direktør bistås af kompetencecentrets personale.
2.   Den administrerende direktør varetager som minimum følgende opgaver i fuld uafhængighed:
a)
gennemføre afgørelser vedtaget af bestyrelsen
b)
støtte bestyrelsen i dens arbejde, sørge for sekretariatsbistand til dens møder, og forsyne den med alle de oplysninger, der er nødvendige for udøvelsen af dens hverv
c)
efter samråd med bestyrelsen og Kommissionen og under hensyntagen til input fra de nationale koordinationscentre og fællesskabet udarbejde og med henblik på vedtagelse forelægge bestyrelsen dagsordenen samt, i overensstemmelse med dagsordenen, udkastet til det årlige arbejdsprogram og udkastet til kompetencecentrets flerårige arbejdsprogram, herunder anvendelsesområdet for indkaldelser af forslag, indkaldelser af interessetilkendegivelser og indkaldelser af bud, der er nødvendige for at gennemføre det årlige arbejdsprogram og de tilhørende udgiftsoverslag på forslag af medlemsstaterne og Kommissionen
d)
udarbejde og forelægge bestyrelsen forslag til det årlige budget med henblik på vedtagelse, herunder den tilhørende stillingsfortegnelse, der er omhandlet i artikel 13, stk. 3, litra l), med angivelse af antallet af midlertidige stillinger i hver ansættelsesgruppe og lønklasse samt antallet af kontraktansatte og udstationerede nationale eksperter udtrykt i fuldtidsækvivalenter
e)
gennemføre det årlige arbejdsprogram og det flerårige arbejdsprogram og aflægge rapport til bestyrelsen herom
f)
udarbejde et udkast til den årlige aktivitetsrapport om kompetencecentret, herunder oplysninger om de tilhørende udgifter og gennemførelsen af dagsordenen og det flerårige arbejdsprogram; rapporten ledsages om nødvendigt af forslag om yderligere forbedring af virkeliggørelsen eller om omformulering af de strategiske mål og prioriteter
g)
sikre gennemførelsen af effektive overvågnings- og evalueringsprocedurer knyttet til kompetencecentrets præstation
h)
udarbejde en handlingsplan, der følger op på konklusionerne i gennemførelsesrapporten og evalueringen, der er omhandlet i artikel 38, stk. 2 og 4, og hvert andet år forelægge rapporterne om fremskridt for Europa-Parlamentet og Kommissionen
i)
udarbejde og indgå aftaler med de nationale koordinationscentre
j)
være ansvarlig for administrative, finansielle og personalemæssige spørgsmål, herunder gennemførelsen af kompetencecentrets budget, under behørig hensyntagen til rådgivning fra den relevante interne revisionsfunktion, i overensstemmelse med de afgørelser, der er omhandlet i artikel 13, stk. 3, litra e), l), t), u), v) og w)
k)
godkende og forvalte iværksættelsen af indkaldelser af forslag i henhold til det årlige arbejdsprogram og forvalte de deraf følgende tilskudsaftaler og -afgørelser
l)
godkende fortegnelsen over tiltag, der er udvalgt til at modtage støtte på grundlag af en prioriteringsliste udarbejdet af et panel af uafhængige eksperter
m)
godkende og forvalte iværksættelsen af indkaldelser af bud i overensstemmelse med det årlige arbejdsprogram og forvalte de deraf følgende kontrakter
n)
godkende de bud, der udvælges til at modtage støtte
o)
indsende udkastet til årsregnskab og balance til den relevante interne revisionsfunktion, og efterfølgende til bestyrelsen
p)
sikre, at der foretages risikovurdering og risikostyring
q)
underskrive individuelle tilskudsaftaler, -afgørelser og -kontrakter
r)
underskrive indkøbskontrakter
s)
udarbejde en handlingsplan, som følger op på konklusionerne i interne eller eksterne revisionsberetninger samt undersøgelser foretaget af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) oprettet ved Kommissionens afgørelse 1999/352/EF, EKSF, Euratom 
(
16
)
, og aflægge statusrapport to gange om året til Kommissionen og regelmæssigt til bestyrelsen
t)
udarbejde udkast til finansielle bestemmelser for kompetencecentret
u)
etablere og opretholde et velfungerende og effektivt internt kontrolsystem og indberette alle betydelige ændringer heraf til bestyrelsen
v)
sikre effektiv kommunikation med EU-institutionerne og efter anmodning aflægge rapport til Europa-Parlamentet og Rådet
w)
træffe enhver anden foranstaltning, der er nødvendig for at vurdere kompetencecentrets opfyldelse af dets mission og mål
x)
varetage alle andre opgaver, som bestyrelsen har pålagt eller delegeret til vedkommende.
Afdeling III
Den strategiske rådgivningsgruppe
Artikel 18
Sammensætningen af Den Strategiske Rådgivningsgruppe
1.   Den Strategiske Rådgivningsgruppe består af højst 20 medlemmer. Medlemmerne udnævnes af bestyrelsen på forslag af den administrerende direktør blandt repræsentanterne for medlemmerne af fællesskabet, ud over repræsentanter fra EU-institutioner, -organer, -kontorer og -agenturer. Kun repræsentanter for medlemmer, der ikke kontrolleres af et tredjeland, eller af en enhed etableret i et tredjeland, kan komme i betragtning. Udnævnelsen sker efter en åben, gennemsigtig og ikkediskriminerende procedure. Bestyrelsen skal sigte mod, at Den Strategiske Rådgivningsgruppes sammensætning opnår en afbalanceret repræsentation af fællesskabet for så vidt angår videnskabelige, industrielle og civilsamfundsmæssige enheder, industrier på efterspørgsels- og udbudssiden, store virksomheder og SMV’er, samt en afbalanceret repræsentation med hensyn til geografisk oprindelse og køn. Den skal også sigte mod at opnå en sektorspecifik balance under hensyn til samhørigheden i Unionen og alle medlemsstaterne inden for cybersikkerhedsforskning, -industri og -teknologi. Den Strategiske Rådgivningsgruppe skal være sammensat for at muliggøre en omfattende, løbende og permanent dialog mellem fællesskabet og kompetencecentret.
2.   Medlemmerne af Den Strategiske Rådgivningsgruppe skal have erfaring med hensyn til cybersikkerhedsforskning, industriel udvikling, udbud, gennemførelse eller ibrugtagning af professionelle tjenesteydelser eller produkter. Kravene til en sådan ekspertise præciseres yderligere af bestyrelsen.
3.   Procedurerne for bestyrelsens udnævnelse af medlemmerne af Den Strategiske Rådgivningsgruppe og Den Strategiske Rådgivningsgruppes drift præciseres i forretningsordenen for bestyrelsen og gøres offentligt tilgængelige.
4.   Mandatperioderne for medlemmerne af Den Strategiske Rådgivningsgruppe er to år. Disse perioder kan fornyes én gang.
5.   Repræsentanterne for Kommissionen og for andre EU-institutioner, -organer, -kontorer og -agenturer, navnlig ENISA, kan af Den Strategiske Rådgivningsgruppe indbydes til at deltage i og støtte dens arbejde. Den Strategiske Rådgivningsgruppe kan fra sag til sag indbyde yderligere repræsentanter fra fællesskabet til som observatør, rådgiver eller ekspert, alt efter hvad der er relevant, for at tage hensyn til dynamikken i udviklingen på cybersikkerhedsområdet. Medlemmerne af bestyrelsen kan deltage som observatører i Den Strategiske Rådgivningsgruppes møder.
Artikel 19
Sammensætningen af Den Strategiske Rådgivningsgruppe
1.   Den Strategiske Rådgivningsgruppe mødes mindst tre gange om året.
2.   Den Strategiske Rådgivningsgruppe giver rådgivning til bestyrelsen om oprettelse i fællesskabet i overensstemmelse med artikel 13, stk. 3, litra n), af arbejdsgrupper om specifikke spørgsmål af relevans for kompetencecentrets arbejde, når disse spørgsmål direkte vedrører opgaverne og kompetenceområderne fastsat i artikel 20. Hvor det er nødvendigt, er sådanne arbejdsgrupper underlagt den overordnede koordinering forestået af et eller flere medlemmer af Den Strategiske Rådgivningsgruppe.
3.   Den Strategiske Rådgivningsgruppe vælger sin formand ved simpelt flertal blandt sine medlemmer.
4.   Sekretariatet for Den Strategiske Rådgivningsgruppe varetages af den administrerende direktør og kompetencecentrets personale under anvendelse af eksisterende ressourcer, med behørig hensyntagen til kompetencecentrets samlede arbejdsbyrde. De midler, der tildeles til støtte for Den Strategiske Rådgivningsgruppe, anføres i forslaget til det årlige budget.
5.   Den Strategiske Rådgivningsgruppe vedtager sin forretningsorden ved simpelt flertal blandt sine medlemmer.
Artikel 20
Den Strategiske Rådgivningsgruppes opgaver
Den Strategiske Rådgivningsgruppe rådgiver regelmæssigt vedrørende varetagelsen af kompetencecentret aktiviteter og sikrer kommunikation med fællesskabet og andre relevante interessenter. Den Strategiske Rådgivningsgruppe skal endvidere:
a)
under hensyn til bidrag fra fællesskabet og de i artikel 13, stk. 3, litra n) omhandlede arbejdsgrupper, hvor det er relevant, yde og løbende ajourføre strategisk rådgivning og input til den administrerende direktør og bestyrelsen for så vidt angår dagsordenen, det årlige arbejdsprogram og det flerårige arbejdsprogram inden for de frister, bestyrelsen fastsætter
b)
rådgive bestyrelsen om oprettelsen af arbejdsgrupper inden for fællesskabet i overensstemmelse med artikel 13, stk. 3, litra n), om specifikke spørgsmål af relevans for kompetencecentrets arbejde
c)
med forbehold af bestyrelsens godkendelse træffe afgørelser om og organisere offentlige høringer, som er åbne for alle offentlige og private interessenter med en interesse for cybersikkerhedsområdet for at indsamle input til den i litra a) omhandlede strategiske rådgivning.
KAPITEL III
Finansielle bestemmelser
Artikel 21
Unionens og medlemsstaternes finansielle bidrag
1.   Kompetencecentret finansieres af Unionen, mens fælles tiltag finansieres af Unionen og af frivillige bidrag fra medlemsstaterne.
2.   Administrations- og driftsomkostningerne for fælles tiltag dækkes af Unionen og de medlemsstater, der bidrager til de fælles tiltag, i overensstemmelse med forordning (EU) 2021/695 og (EU) 2021/694.
3.   Unionens bidrag til kompetencecentret til dækning af administrations- og driftsomkostninger omfatter følgende:
a)
op til 1 649 566 000 EUR fra programmet for et digitalt Europa, herunder op til 32 000 000 EUR til administrationsomkostninger
b)
et beløb fra Horisont Europa, herunder til administrationsomkostninger, til fælles tiltag, et sådant beløb lig med beløbet, som medlemsstaterne bidrager med i henhold til denne artikels stk. 7, men ikke større end det beløb, der er fastsat i Horisont Europas strategiske planlægningsproces, der skal gennemføres i medfør af artikel 6, stk. 6, i forordning (EU) 2021/695, i det årlige arbejdsprogram eller i det flerårige arbejdsprogram
c)
et beløb fra andre relevante EU-programmer, som det er nødvendigt for gennemførelsen af kompetencecentrets opgaver eller opfyldelsen af dets mål, med forbehold af afgørelser, der træffes i overensstemmelse med Unionens retsakter om oprettelse af disse programmer.
4.   Unionens maksimale bidrag betales over bevillingerne i Unionens almindelige budget, afsat til programmet for et digitalt Europa, særprogrammet til gennemførelse af Horisont Europa som oprettet ved afgørelse (EU) 2021/764 og andre programmer og projekter, der ligger inden for kompetencecentrets eller netværkets virkefelt.
5.   Kompetencecentret gennemfører cybersikkerhedstiltag, der er omfattet af programmet for et digitalt Europa og Horisont Europa i overensstemmelse med finansforordningens artikel 62, stk. 1, første afsnit, litra c), nr. iv).
6.   Bidrag fra andre EU-programmer end dem, der er omhandlet i stk. 3 og 4, som udgør en del af Unionens medfinansiering af et program, der gennemføres af en af medlemsstaterne, medregnes ikke i beregningen af Unionens maksimale finansielle bidrag, der er omhandlet i disse stykker.
7.   Medlemsstaterne deltager frivilligt i fælles tiltag ved hjælp af frivillige finansielle bidrag og/eller bidrag i naturalier. Hvis en medlemsstat deltager i en fælles aktion, dækker den pågældende medlemsstats finansielle bidrag administrationsomkostningerne i forhold til dens bidrag til dette fælles tiltag. Administrationsomkostningerne ved fælles tiltag dækkes af finansielle bidrag. Driftsomkostningerne ved fælles tiltag dækkes af finansielle bidrag eller i form af naturalier, som fastsat i Horisont Europa og programmet for et digitalt Europa. Bidrag fra den enkelte medlemsstat kan tage form af støtte som den pågældende medlemsstat yder som led i et fælles tiltag til støttemodtagere etableret i den pågældende medlemsstat. Bidrag i form af naturalier fra medlemsstaterne består af de støtteberettigede omkostninger, der afholdes af de nationale koordinationscentre og andre offentlige enheder, når de deltager i projekter, der finansieres via denne forordning, med fradrag af Unionens bidrag til disse omkostninger. I tilfælde af projekter, der finansieres via Horisont Europa, beregnes støtteberettigede omkostninger i overensstemmelse med artikel 36 i forordning (EU) 2021/695. I tilfælde af projekter, der finansieres af programmet for et digitalt Europa, beregnes de støtteberettigede omkostninger i overensstemmelse med finansforordningen.
Den forventede størrelse af medlemsstaternes samlede frivillige bidrag til fælles tiltag under Horisont Europa, herunder finansielle bidrag til administrationsomkostninger, fastlægges, så de kan tages i betragtning i Horisont Europas strategiske planlægningsproces, der skal gennemføres i medfør af artikel 6, stk. 6, i forordning (EU) 2021/695 med input fra bestyrelsen. Med hensyn til tiltag under programmet for et digitalt Europa kan medlemsstaterne uanset artikel 15 i forordning (EU) 2021/694 yde et bidrag til de af kompetencecentrets omkostninger, der medfinansieres af programmet for et digitalt Europa, som er lavere end de beløb, der er angivet i denne artikels stk. 3, litra a).
8.   Medlemsstaternes nationale medfinansiering af tiltag, der støttes af andre EU-programmer end Horisont Europa og programmet for et digitalt Europa, betragtes som medlemsstaternes nationale bidrag, for så vidt som disse bidrag er led i fælles tiltag og indgår i kompetencecentrets arbejdsprogram.
9.   Med henblik på at vurdere de bidrag, der er omhandlet i denne artikels stk. 3 og i artikel 22, stk. 2, litra b), fastlægges omkostninger i overensstemmelse med de berørte medlemsstaters sædvanlige praksis for omkostningsberegning, den berørte medlemsstats gældende regnskabsstandarder og de relevante internationale regnskabsstandarder og IFRS-standarder (International Financial Reporting Standards). Omkostninger attesteres af en uafhængig ekstern revisor, som udnævnes af den pågældende medlemsstat. Værdiansættelsesmetoden kan kontrolleres af kompetencecentret, hvis der opstår usikkerhed om følge af attesteringen.
10.   Såfremt en medlemsstat misligholder sine forpligtelser vedrørende det finansielle bidrag eller bidrag i form af naturalier til fælles tiltag, meddeler den administrerende direktør skriftligt den pågældende medlemsstat herom og fastsætter en rimelig frist, inden for hvilken en sådan misligholdelse skal bringes til ophør. Såfremt situationen ikke er bragt til ophør inden for denne frist, indkalder den administrerende direktør til et bestyrelsesmøde med henblik på at beslutte, om den misligholdende deltagende medlemsstat skal fratages sin stemmeret, eller hvorvidt der skal træffes andre foranstaltninger, indtil den pågældende medlemsstat har opfyldt sine forpligtelser. Den misligholdende medlemsstats stemmerettigheder vedrørende fælles tiltag suspenderes, indtil misligholdelsen er bragt til ophør.
11.   Kommissionen kan indstille, forholdsmæssigt nedsætte eller suspendere Unionens finansielle bidrag til fælles tiltag, såfremt de bidragydende medlemsstater ikke bidrager, kun bidrager delvis eller bidrager for sent med de bidrag, der er omhandlet i stk. 3, litra b). Kommissionens indstilling, nedsættelse eller suspension af Unionens finansielle bidrag skal for så vidt angår beløb og tid stå i forhold til medlemsstatens manglende bidrag, delvise bidrag eller forsinkede bidrag.
12.   De bidragydende medlemsstater meddeler senest den 31. januar hvert år bestyrelsen værdien af de i stk. 7 omhandlede bidrag til fælles tiltag med Unionen, som er ydet i det foregående regnskabsår.
Artikel 22
Kompetencecentrets omkostninger og ressourcer
1.   Kompetencecentrets administrationsomkostninger dækkes i princippet af finansielle bidrag fra Unionen på årsbasis. Yderligere finansielle bidrag gives af bidragydende medlemsstater i forhold til deres frivillige bidrag til fælles tiltag. Hvis en del af bidraget til administrationsomkostninger ikke anvendes, kan det stilles til rådighed til dækning af kompetencecentrets driftsomkostninger.
2.   Kompetencecentrets driftsomkostninger dækkes af følgende bidrag:
a)
Unionens finansielle bidrag
b)
frivillige finansielle bidrag eller bidrag i form af naturalier fra bidragydende medlemsstater for så vidt angår fælles tiltag.
3.   Kompetencecentrets ressourcer, der er indført i dets budget, består af følgende bidrag:
a)
Unionens finansielle bidrag til drifts- og administrationsomkostninger
b)
bidragydende medlemsstaters frivillige finansielle bidrag til administrationsomkostninger for så vidt angår fælles tiltag
c)
bidragydende medlemsstaters frivillige finansielle bidrag til driftsomkostninger for så vidt angår fælles tiltag
d)
eventuelle indtægter genereret af kompetencecentret
e)
eventuelle andre finansielle bidrag, ressourcer eller indtægter.
4.   Eventuelle renter af de bidrag, der betales til kompetencecentret af de bidragydende medlemsstater, betragtes som kompetencecentrets indtægt.
5.   Alle kompetencecentrets indtægter og dets aktiviteter skal anvendes til at nå dets mål.
6.   Kompetencecentret ejer alle aktiver, som det har genereret, eller som er overføret til det med det formål at opfylde dets mål. Uden at det berører de gældende regler for det relevante finansieringsprogram træffes der afgørelse om ejerskabet af aktiver, der er genereret eller erhvervet i forbindelse med fælles tiltag, i overensstemmelse med artikel 15, stk. 3, litra b).
7.   Bortset fra når kompetencecentret afvikles, forbliver eventuelle overskydende indtægter i forhold til udgifterne kompetencecentrets ejendom og må ikke udbetales til de bidragydende medlemmer af kompetencecentret.
8.   Kompetencecentret arbejder tæt sammen med andre EU-institutioner, -organer, -kontorer og -agenturer under behørig hensyntagen til deres respektive mandater, og uden at eksisterende samarbejdsmekanismer overlapper hinanden, med henblik på at drage fordel af synergier med disse og, hvor det er muligt og hensigtsmæssigt, med henblik på at reducere de administrative omkostninger.
Artikel 23
Finansielle forpligtelser
Kompetencecentrets finansielle forpligtelser må ikke overstige værdien af de finansielle ressourcer, der er til rådighed, eller som medlemmerne har afsat til dets budget.
Artikel 24
Regnskabsår
Regnskabsåret løber fra den 1. januar til den 31. december.
Artikel 25
Opstilling af budgettet
1.   Hvert år udarbejder den administrerende direktør et udkast til overslag over kompetencecentrets indtægter og udgifter for det følgende regnskabsår og forelægger det for bestyrelsen, ledsaget af udkastet til stillingsfortegnelse, der er omhandlet i artikel 13, stk. 3, litra l). Der skal være balance mellem indtægter og udgifter. Kompetencecentrets udgifter omfatter udgifter til personale, administration, infrastruktur og drift. Administrative udgifter skal holdes på et minimum, herunder ved hjælp af omplacering af personale eller omfordeling af stillinger.
2.   Hvert år udarbejder bestyrelsen på grundlag af udkastet til overslag over indtægter og udgifter, der er omhandlet i stk. 1, et overslag over indtægter og udgifter for kompetencecentret for det følgende regnskabsår.
3.   Bestyrelsen fremsender senest den 31. januar hvert år det i denne artikels stk. 2 nævnte overslag, der skal være en del af udkastet til det samlede programmeringsdokument, som er omhandlet i artikel 32, stk. 1, i delegeret forordning (EU) 2019/715, til Kommissionen.
4.   På grundlag af det overslag, der er omhandlet i denne artikels stk. 2, opfører Kommissionen i forslaget til Unionens budget de overslag, den skønner nødvendige for den stillingsfortegnelse, der er omhandlet i denne forordnings artikel 13, stk. 3, litra l), og beløbet af det bidrag der skal ydes over det almindelige budget, som den forelægger Europa-Parlamentet og Rådet i overensstemmelse med artikel 313 og 314 i traktaten om Den Europæiske Unions funktionsmåde (TEUF).
5.   Europa-Parlamentet og Rådet godkender bevillingerne til bidraget til kompetencecentret.
6.   Europa-Parlamentet og Rådet vedtager den stillingsfortegnelse, der er omhandlet i artikel 13. stk. 3, litra l).
7.   Bestyrelsen vedtager kompetencecentrets budget sammen med det årlige arbejdsprogram og det flerårige arbejdsprogram. Det bliver endeligt efter den endelige vedtagelse af Unionens almindelige budget. Om nødvendigt afpasser bestyrelsen kompetencecentrets budget og det årlige arbejdsprogram i overensstemmelse med Unionens almindelige budget.
Artikel 26
Fremlæggelse af kompetencecentrets regnskaber og decharge
Fremlæggelsen af kompetencecentrets foreløbige og endelige regnskaber og decharge skal overholde reglerne og tidsplanen i finansforordningen og i kompetencecentrets finansielle bestemmelser.
Artikel 27
Operationel og finansiel rapportering
1.   Den administrerende direktør rapporterer årligt til bestyrelsen om udøvelsen af vedkommendes hverv i overensstemmelse med kompetencecentrets finansielle bestemmelser.
2.   Senest to måneder efter udgangen af hvert regnskabsår forelægger den administrerende direktør med henblik på godkendelse bestyrelsen en årlig aktivitetsrapport om de fremskridt, som kompetencecentret har gjort i det foregående kalenderår, navnlig med hensyn til det årlige arbejdsprogram for det pågældende år og opfyldelsen af dets strategiske mål og prioriteter. Denne rapport omfatter oplysninger om følgende:
a)
gennemførte operationelle tiltag og de tilhørende udgifter
b)
indsendte forslag til tiltag fordelt efter deltagertype, herunder SMV'er, og efter medlemsstat
c)
de tiltag, der er udvalgt til at modtage støtte, fordelt på deltagertype, herunder SMV'er, og efter medlemsstat og med angivelse af kompetencecentrets bidrag til de enkelte deltagere og tiltag
d)
opfyldelsen af missionen og målene fastsat i denne forordning og forslag til yderligere nødvendigt arbejde for at opfylde denne mission og disse mål
e)
gennemførelsesopgavernes overensstemmelse med dagsordenen og det flerårige arbejdsprogram.
3.   Den årlige aktivitetsrapport gøres offentligt tilgængelig, når den er godkendt af bestyrelsen.
Artikel 28
Finansielle bestemmelser
Kompetencecentret vedtager sine særlige finansielle bestemmelser i overensstemmelse med finansforordningens artikel 70.
Artikel 29
Beskyttelse af Unionens finansielle interesser
1.   Ved gennemførelsen af tiltag, der finansieres i henhold til denne forordning, træffer kompetencecentret egnede foranstaltninger til at sikre, at Unionens finansielle interesser beskyttes gennem foranstaltninger til forebyggelse af svig, korruption og andre ulovlige aktiviteter, ved regelmæssig og effektiv kontrol og, hvis der konstateres uregelmæssigheder, ved tilbagesøgning af de uretmæssigt udbetalte beløb samt efter omstændighederne ved administrative sanktioner, der skal være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.
2.   Kompetencecentret giver Kommissionens personale og andre personer med tilladelse fra Kommissionen samt Revisionsretten adgang til kompetencecentrets lokaler og til alle oplysninger, herunder i elektronisk form, som er nødvendige for at gennemføre deres revisioner.
3.   OLAF kan foretage undersøgelser, herunder kontrol og inspektion på stedet, i overensstemmelse med de bestemmelser og procedurer, der er fastsat i Rådets forordning (Euratom, EF) nr. 2185/96 
(
17
)
 og Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 
(
18
)
 for at fastslå, om der har været tale om svig, korruption eller andre ulovlige aktiviteter, der berører Unionens finansielle interesser, i forbindelse med en aftale om tilskud eller en kontrakt, der direkte eller indirekte er finansieret i overensstemmelse med denne forordning.
4.   Kontrakter og aftaler om tilskud som følge af gennemførelsen af denne forordning skal indeholde bestemmelser, der udtrykkeligt giver Kommissionen, kompetencecentret, Revisionsretten og OLAF beføjelse til at foretage denne kontrol og disse undersøgelser i overensstemmelse med deres respektive kompetencer, uden at det berører stk. 1, 2 og 3. Hvor gennemførelsen af et tiltag helt eller delvis uddelegeres eller videredelegeres, eller hvor den kræver indgåelse af en kontrakt om offentligt indkøb eller finansiel støtte til tredjepart, skal kontrakten eller tilskudsaftalen omfattekontrahenten eller tilskudsmodtagerens forpligtelse til at kræve, at alle involverede tredjeparter udtrykkelig accepterer de nævnte beføjelser, der er tildelt Kommissionen, kompetencecentret, Revisionsretten og OLAF.
KAPITEL IV
Kompetencecentrets personale
Artikel 30
Personale
1.   Personalevedtægten og ansættelsesvilkårene og de regler, der i fællesskab er vedtaget af EU-institutionerne med henblik på anvendelsen af personalevedtægten og ansættelsesvilkårene, finder anvendelse på kompetencecentrets ansatte.
2.   Bestyrelsen udøver med hensyn til kompetencecentrets ansatte de beføjelser, som personalevedtægten tillægger ansættelsesmyndigheden, og de beføjelser, som ansættelsesvilkårene tillægger den myndighed, der er beføjet til at indgå ansættelseskontrakter (»ansættelsesmyndighedsbeføjelser«).
3.   I overensstemmelse med personalevedtægtens artikel 110 vedtager bestyrelsen i på grundlag af artikel 2, stk. 1, i personalevedtægten og artikel 6 i ansættelsesvilkårene en afgørelse, der tillægger den administrerende direktør de relevante ansættelsesmyndighedsbeføjelser og fastsætter betingelserne for at suspendere denne delegation. Den administrerende direktør har bemyndigelse til at uddelegere disse beføjelser.
4.   Under helt særlige omstændigheder kan bestyrelsen ved en afgørelse midlertidigt suspendere de ansættelsesmyndighedsbeføjelser, der er uddelegeret til den administrerende direktør, og enhver efterfølgende uddelegering foretaget af sidstnævnte. I sådanne tilfælde udøver bestyrelsen selv ansættelsesmyndighedsbeføjelserne eller uddelegerer dem til et af sine medlemmer eller til en anden medarbejder i kompetencecentret end den administrerende direktør.
5.   Bestyrelsen vedtager gennemførelsesbestemmelser til personalevedtægten og ansættelsesvilkårene i overensstemmelse med personalevedtægtens artikel 110.
6.   Personaleressourcerne fastlægges i stillingsfortegnelsen, der er omhandlet i artikel 13, stk. 3, litra l), med angivelse af antallet af midlertidige stillinger i hver ansættelsesgruppe og lønklasse samt antallet af kontraktansatte udtrykt i fuldtidsækvivalenter i overensstemmelse med kompetencecentrets årlige budget.
7.   De menneskelige ressourcer, som kompetencecentret kræver, dækkes i første omgang ved omplacering af personale eller omfordeling af stillinger fra EU-institutioner, -organer, -kontorer og -agenturer og yderligere menneskelige ressourcer gennem rekruttering. Kompetencecentrets personale kan bestå af midlertidigt ansatte og kontraktansatte.
8.   Alle personaleomkostninger afholdes af kompetencecentret.
Artikel 31
Udstationerede nationale eksperter og andet personale
1.   Kompetencecentret kan gøre brug af udstationerede nationale eksperter eller andre medarbejdere, der ikke er ansat af kompetencecentret.
2.   Bestyrelsen vedtager efter aftale med Kommissionen en afgørelse, der fastlægger bestemmelser om udstationering af nationale eksperter til kompetencecentret.
Artikel 32
Privilegier og immuniteter
Protokol nr. 7 vedrørende Den Europæiske Unions privilegier og immuniteter, der er knyttet som bilag til TEU og til TEUF, finder anvendelse på kompetencecentret og dets personale.
KAPITEL V
Fælles bestemmelser
Artikel 33
Sikkerhedsregler
1.   Artikel 12 i forordning (EU) 2021/694 finder anvendelse på deltagelse i alle tiltag, som finansieres af kompetencecentret.
2.   Følgende særlige sikkerhedsregler finder anvendelse på tiltag, der finansieres af Horisont Europa:
a)
med henblik på artikel 38, stk. 1, i forordning (EU) 2021/695, kan udstedelse af ikkeekslusive licenser, når det fremgår af det årlige arbejdsprogram, begrænses til tredjeparter, der er etableret eller anses for at være etableret i en medlemsstat og er kontrolleret af denne medlemsstat eller af denne medlemsstats statsborgere
b)
med henblik på artikel 40, stk. 4, første afsnit, litra b) i forordning (EU) 2021/695 er overdragelse eller licens til en juridisk enhed, der er etableret i et associeret land eller etableret i Unionen, men kontrolleret fra tredjelande, begrundelse for at gøre indsigelse mod overdragelse af ejendomsretten til resultater eller mod indrømmelse af en eksklusiv licens vedrørende resultater
c)
med henblik på artikel 41, stk. 7, første afsnit, litra a), i forordning (EU) 2021/695 kan indrømmelsen af adgangsrettigheder, som defineret i nævnte forordnings artikel 2, nr. 9), når det fremgår af det årlige arbejdsprogram, begrænses til en juridisk enhed, der er etableret eller anses for at være etableret i en medlemsstat og kontrolleret af denne medlemsstat eller af denne medlemsstats statsborgere.
Artikel 34
Gennemsigtighed
1.   Kompetencecentret udfører sine aktiviteter med en høj grad af gennemsigtighed.
2.   Kompetencecentret sikrer, at offentligheden og eventuelle interesserede parter rettidigt får passende, objektive, pålidelige og let tilgængelige oplysninger, navnlig med hensyn til resultaterne af dets arbejde. Det gør også interesseerklæringer afgivet i overensstemmelse med artikel 43 offentligt tilgængelige. Disse krav gælder også for de nationale koordinationscentre, fællesskabet og Den Strategiske Rådgivningsgruppe i overensstemmelse med relevant ret.
3.   Bestyrelsen kan efter forslag fra den administrerende direktør tillade interesserede parter at følge nogle af kompetencecentrets aktiviteter.
4.   Kompetencecentret fastsætter i forretningsordenen for kompetencecentrets bestyrelse og for Den Strategiske Rådgivningsgruppe de praktiske ordninger for gennemførelse af de gennemsigtighedsregler, der er omhandlet i denne artikels stk. 1 og 2. For tiltag, der finansieres af Horisont Europa, tager disse forretningsordener og ordninger behørigt hensyn til forordning (EU) 2021/695.
Artikel 35
Kønsbalance
Ved gennemførelsen af denne forordning skal Kommissionen, medlemsstaterne og andre interessenter fra den institutionelle og private sektor, når de udpeger kandidater eller foreslår repræsentanter, om muligt vælge repræsentanter blandt forskellige kandidater og med henblik på at sikre en ligelig kønsfordeling.
Artikel 36
Sikkerhedsregler for beskyttelse af klassificerede informationer og ikkeklassificerede følsomme informationer
1.   Efter Kommissionens godkendelse, vedtager bestyrelsen kompetencecentrets sikkerhedsregler. Disse sikkerhedsregler anvender de sikkerhedsprincipper og -regler, der er fastsat i Kommissionens afgørelse (EU, Euratom) 2015/443 
(
19
)
 og (EU, Euratom) 2015/444 
(
20
)
.
2.   Medlemmerne af bestyrelsen, den administrerende direktør, eksterne eksperter, der deltager i ad hoc-arbejdsgrupper, og kompetencecentrets medarbejdere skal overholde fortrolighedskravene i henhold til artikel 339 i TEUF, selv efter at deres hverv er ophørt.
3.   Kompetencecentret kan træffe de nødvendige foranstaltninger for at lette udvekslingen af oplysninger, der er relevante for dets opgaver, med Kommissionen og medlemsstaterne og, hvor det er hensigtsmæssigt, de relevante EU-institutioner, -organer, -kontorer og -agenturer. Administrative ordninger, der indgås med henblik herpå angående udveksling af EU's klassificerede informationer, eller, i mangel af sådanne ordninger, ekstraordinær ad hoc-videregivelse af EU's klassificerede informationer skal forhåndsgodkendes af Kommissionen.
Artikel 37
Aktindsigt
1.   Forordning (EF) nr. 1049/2001 finder anvendelse på dokumenter, der opbevares af kompetencecentret.
2.   Bestyrelsen vedtager ordninger for gennemførelse af forordning (EF) nr. 1049/2001 senest den 29. december 2021.
3.   Afgørelser truffet af kompetencecentret i medfør af artikel 8 i forordning (EF) nr. 1049/2001 kan gøres til genstand for en klage til ombudsmanden i henhold til artikel 228 i TEUF eller indbringes for Den Europæiske Unions Domstol i henhold til artikel 263 i TEUF.
Artikel 38
Overvågning, evaluering og revision
1.   Kompetencecentret sikrer, at dets aktiviteter, herunder de aktiviteter, der forvaltes gennem de nationale koordinationscentre og netværk, underkastes løbende og systematisk overvågning og regelmæssig evaluering. Kompetencecentret sikrer, at data for overvågning af gennemførelsen og resultaterne af EU-finansieringsprogrammerne, der er omhandlet i artikel 4, stk. 3, litra b), indsamles effektivt og rettidigt, og pålægger modtagere af EU-midler og medlemsstaterne proportionelle rapporteringskrav. Konklusionerne af denne evaluering gøres offentligt tilgængelige.
2.   Når der foreligger tilstrækkelige oplysninger om gennemførelsen af denne forordning, og under alle omstændigheder senest 30 måneder efter den dato, der er fastlagt i artikel 46, stk. 4, udarbejder Kommissionen en gennemførelsesrapport om kompetencecentrets aktiviteter under hensyntagen til det foreløbige input fra bestyrelsen, de nationale koordinationscentre og fællesskabet. Kommissionen forelægger denne gennemførelsesrapport for Europa-Parlamentet og Rådet senest den 30. juni 2024. Kompetencecentret og medlemsstaterne giver Kommissionen de oplysninger, der er nødvendige for udarbejdelsen af denne rapport.
3.   Den i stk. 2 omhandlede gennemførelsesrapport skal omfatte vurderinger af:
a)
kompetencecentrets arbejdskapacitet med hensyn til dets mission, mål, mandat og opgaver samt samarbejde og koordinering med andre interessenter, navnlig de nationale koordinationscentre, fællesskabet og ENISA
b)
de resultater, som kompetencecentret har opnået under hensyntagen til dets mission, mål, mandat og opgaver, og navnlig kompetencecentrets effektivitet ved koordinering af EU-midler og pooling af ekspertise
c)
gennemførelsesopgavernes overensstemmelse med dagsordenen og det flerårige arbejdsprogram
d)
kompetencecentrets koordinering og samarbejde med programudvalgene for Horisont Europa og for programmet for et digitalt Europa, navnlig med henblik på at øge overensstemmelse og synergier med dagsordenen, det årlige arbejdsprogram, det flerårige arbejdsprogram og programmet for et digitalt Europa
e)
fælles tiltag.
4.   Efter forelæggelse af den i denne artikels stk. 2 omhandlede gennemførelsesrapport foretager Kommissionen en evaluering af kompetencecentret under hensyn til det foreløbige input fra bestyrelsen, de nationale koordinationscentre og fællesskabet. Denne evaluering henviser til eller ajourfører om nødvendigt de i denne artikels stk. 3 omhandlede vurderinger og foretages før udløbet af den frist, der er fastsat i artikel 47, stk. 1, med henblik på rettidigt at afgøre, om det er hensigtsmæssigt at forlænge varigheden af kompetencecentrets mandat ud over den pågældende periode. Denne evaluering skal vurdere de retlige og administrative aspekter vedrørende kompetencecentrets mandat og potentialet til at skabe synergier og undgå fragmentering i forhold til andre EU-institutioner, -organer, -kontorer og -agenturer.
Såfremt Kommissionen finder, at en videreførelse af kompetencecentret er berettiget med henblik på dets mission, mål, mandat og opgaver, kan den fremsætte et lovgivningsforslag om forlængelse af varigheden af kompetencecentrets mandat fastsat i artikel 47.
5.   På baggrund af konklusionerne i gennemførelsesrapporten, der er omhandlet i stk. 2, kan Kommissionen træffe passende tiltag.
6.   Overvågning, evaluering, udfasning og fornyelse af bidraget fra Horisont Europa udføres i overensstemmelse med artikel 10, 50 og 52 og i forordning (EU) 2021/695 og aftalte gennemførelsesordninger.
7.   Overvågning, rapportering og evaluering af bidraget fra programmet for et digitalt Europa udføres i overensstemmelse medartikel 24 og 25 i forordning (EU) 2021/694.
8.   I tilfælde af afvikling af kompetencecentret foretager Kommissionen en endelig evaluering af kompetencecentret inden for seks måneder efter kompetencecentrets afvikling og under alle omstændigheder senest to år efter iværksættelsen af afviklingsproceduren, der er omhandlet i artikel 47. Resultaterne af denne endelige evaluering forelægges for Europa-Parlamentet og Rådet.
Artikel 39
Kompetencecentrets status som juridisk person
1.   Kompetencecentret har status som juridisk person.
2.   Kompetencecentret har i hver medlemsstat den mest vidtgående rets- og handleevne, som retten i den pågældende medlemsstat tillægger juridiske personer. Det kan navnlig erhverve og afhænde fast ejendom og løsøre og kan optræde som part i retssager.
Artikel 40
Kompetencecentrets ansvar
1.   Kompetencecentrets ansvar i kontraktforhold er omfattet af den ret, som finder anvendelse på den pågældende aftale, afgørelse eller kontrakt.
2.   For så vidt angår ansvar uden for kontraktforhold, erstatter kompetencecentret samtlige skader, der forvoldes af dets ansatte under udøvelsen af deres hverv, i overensstemmelse med de almindelige retsprincipper, der er fælles for medlemsstaternes ret.
3.   Kompetencecentrets betalinger som følge af et erstatningsansvar som omhandlet i stk. 1 og 2 samt omkostninger og udgifter i denne forbindelse anses for kompetencecentrets udgifter og afholdes af dets midler.
4.   Kompetencecentret er eneansvarligt for at opfylde sine forpligtelser.
Artikel 41
Den Europæiske Unions Domstols kompetence og lovvalg
1.   Den Europæiske Unions Domstol har kompetence:
a)
til at træffe afgørelse i medfør af eventuelle voldgiftsbestemmelser indeholdt i afgørelser truffet af, eller aftaler eller kontrakter indgået af, kompetencecentret
b)
i tvister vedrørende erstatning for skader forårsaget af kompetencecentrets personale under udøvelsen af deres hverv
c)
ved enhver tvist mellem kompetencecentret og dets personale inden for de grænser og på de betingelser, der er fastsat i personalevedtægten.
2.   Med hensyn til anliggender, som ikke er omfattet af denne forordning eller andre EU-retsakter, finder retten i den medlemsstat, hvor kompetencecentret har hjemsted, anvendelse.
Artikel 42
Unionens og medlemsstaternes ansvar og forsikring
1.   Unionens og medlemsstaternes økonomiske ansvar for kompetencecentrets gæld er begrænset til de bidrag, de allerede har ydet til administrationsomkostninger.
2.   Kompetencecentret tegner og opretholder passende forsikring.
Artikel 43
Interessekonflikter
Bestyrelsen vedtager regler om forebyggelse, konstatering og løsning af interessekonflikter for så vidt angår medlemmer, organer og personale, herunder den administrerende direktør. Disse regler skal indeholde bestemmelser med henblik på at undgå interessekonflikter for så vidt angår repræsentanterne for de medlemmer, der sidder i bestyrelsen samt i Den Strategiske Rådgivningsgruppe, i overensstemmelse med finansforordningen, herunder bestemmelser om interesseerklæringer. De nationale koordinationscentre er underlagt national ret med hensyn til interessekonflikter.
Artikel 44
Beskyttelse af personoplysninger
1.   Kompetencecentrets behandling af personoplysninger sker i overensstemmelse med forordning (EU) 2018/1725.
2.   Bestyrelsen vedtager gennemførelsesbestemmelser som omhandlet i artikel 45, stk. 3, i forordning (EU) 2018/1725. Bestyrelsen kan vedtage de supplerende foranstaltninger, der måtte være nødvendige for kompetencecentrets anvendelse af nævnte forordning.
Artikel 45
Støtte fra værtsmedlemsstaten
Der kan indgås en administrativ aftale mellem kompetencecentret og værtsmedlemsstaten, hvor det har hjemsted, angående privilegier og immuniteter og anden støtte, som denne medlemsstat skal yde kompetencecentret.
KAPITEL VI
Afsluttende bestemmelser
Artikel 46
Indledende tiltag
1.   Kommissionen har ansvaret for oprettelsen og den indledende drift af kompetencecentret, indtil det har operativ kapacitet til at gennemføre sit eget budget. Kommissionen gennemfører i overensstemmelse med EU-retten alle nødvendige tiltag i samarbejde med kompetencecentrets kompetente organer.
2.   Med henblik på denne artikels stk. 1 kan Kommissionen udpege en midlertidig administrerende direktør, indtil den administrerende direktør tiltræder sin stilling efter at være blevet udnævnt af bestyrelsen i overensstemmelse med artikel 16. Den midlertidige administrerende direktør udøver den administrerende direktørs hverv og kan bistås af et begrænset antal medarbejdere fra Kommissionen. Kommissionen kan udpege et begrænset antal af sine medarbejdere til kompetencecentret på midlertidig basis.
3.   Den midlertidige administrerende direktør kan anvise alle betalinger, som er omfattet af bevillingerne i kompetencecentrets årlige budget, når det er blevet vedtaget af bestyrelsen, og kan indgå aftaler og kontrakter, herunder ansættelseskontrakter, og træffe afgørelser, efter vedtagelse af stillingsfortegnelsen omhandlet i artikel 13, stk. 3, litra l).
4.   Den midlertidige administrerende direktør skal efter aftale med den administrerende direktør og med forbehold af bestyrelsens godkendelse, fastsætte den dato, hvor kompetencecentret har kapacitet til at gennemføre sit eget budget. Fra og med denne dato afholder Kommissionen sig fra at indgå forpligtelser og foretage betalinger for kompetencecentrets aktiviteter.
Artikel 47
Varighed
1.   Kompetencecentret oprettes for perioden fra den 28. juni 2021 til den 31. december 2029.
2.   Medmindre kompetencecentrets mandat forlænges i overensstemmelse med artikel 38, stk. 4, iværksættes afviklingsproceduren automatisk ved udløbet af den periode, der er omhandlet i nærværende artikels stk. 1.
3.   Til at forestå afviklingen af kompetencecentret udpeger bestyrelsen en eller flere likvidatorer, som handler i overensstemmelse med bestyrelsens afgørelser.
4.   Når kompetencecentret afvikles, anvendes dets aktiver til at dække dets forpligtelser og udgifterne til afviklingen. Et eventuelt overskud fordeles mellem Unionen og de bidragydende medlemsstater i forhold til deres finansielle bidrag til kompetencecentret. Et eventuelt overskud, der tilfalder Unionen, tilbageføres til Unionens budget.
Artikel 48
Ikrafttræden
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 20. maj 2021.
På Europa-Parlamentets vegne
D.M. SASSOLI
Formand
På Rådets vegne
A.P. ZACARIAS
Formand
(
1
)
  
            
EUT C 159 af 10.5.2019, s. 63
.
(
2
)
  Europa-Parlamentets holdning af 17.4.2019 (endnu ikke offentliggjort i EUT) og Rådets førstebehandlingsholdning af 20.4.2021 (endnu ikke offentliggjort i EUT). Europa-Parlamentets holdning af 19.5.2021 (endnu ikke offentliggjort i EUT).
(
3
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (
EUT L 194 af 19.7.2016, s. 1
).
(
4
)
  Europa-Parlamentets og Rådets forordning (EU) 2021/695 af 28. april 2021 om oprettelse af Horisont Europa — rammeprogrammet for forskning og innovation og om reglerne for deltagelse og formidling og om ophævelse af forordning (EU) nr. 1290/2013 og (EU) nr. 1291/2013 (
EUT L 170 af 12.5.2021 s. 1
).
(
5
)
  Europa-Parlamentets og Rådets forordning (EU) 2021/694 af 29. april 2021 om programmet for et digitalt Europa og om ophævelse af afgørelse (EU) 2015/2240 (
EUT L 166 af 11.5.2021 s. 1
).
(
6
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (
EUT L 151 af 7.6.2019, s. 15
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 1291/2013 af 11. december 2013 om Horisont 2020 — rammeprogram for forskning og innovation (2014-2020) og om ophævelse af afgørelse nr. 1982/2006/EF (
EUT L 347 af 20.12.2013, s. 104
).
(
8
)
  Kommissionens delegerede forordning (EU) 2019/715 af 18. december 2018 om rammefinansforordningen for de organer, der er nedsat i henhold til TEUF og Euratomtraktaten og omhandlet i artikel 70 i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 (
EUT L 122 af 10.5.2019, s. 1
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (
EFT L 145 af 31.5.2001, s. 43
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
11
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 af 18. juli 2018 om de finansielle regler vedrørende Unionens almindelige budget, om ændring af forordning (EU) nr. 1296/2013, (EU) nr. 1301/2013, (EU) nr. 1303/2013, (EU) nr. 1304/2013, (EU) nr. 1309/2013, (EU) nr. 1316/2013, (EU) nr. 223/2014, (EU) nr. 283/2014 og afgørelse nr. 541/2014/EU og om ophævelse af forordning (EU, Euratom) nr. 966/2012 (
EUT L 193 af 30.7.2018, s. 1
).
(
12
)
  Rådets afgørelse (EU) 2021/764 af 10. maj 2021 om særprogrammet til gennemførelse af Horisont Europa — rammeprogrammet for forskning og innovation, og om ophævelse af afgørelse 2013/743/EU (
EUT L 167 I af 12.5.2021, s. 1
).
(
13
)
  Kommissionens gennemførelsesafgørelse (EU) 2021/173 af 12. februar 2021 om oprettelse af Det Europæiske Forvaltningsorgan for Klima, Infrastruktur og Miljø, Det Europæiske Forvaltningsorgan for Sundhed og Det Digitale Område, Det Europæiske Forvaltningsorgan for Forskning, Forvaltningsorganet for Det Europæiske Innovationsråd og SMV'er, Forvaltningsorganet for Det Europæiske Forskningsråd og Det Europæiske Forvaltningsorgan for Uddannelse og Kultur og om ophævelse af gennemførelsesafgørelse 2013/801/EU, 2013/771/EU, 2013/778/EU, 2013/779/EU, 2013/776/EU og 2013/770/EU (
EUT L 50 af 15.2.2021, s. 9
).
(
14
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (
EUT L 135 af 24.5.2016, s. 53
).
(
15
)
  
            
EFT L 56 af 4.3.1968, s. 1
.
(
16
)
  Kommissionens afgørelse 1999/352/EF, EKSF, Euratom af 28. april 1999 om oprettelse af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) (
EFT L 136 af 31.5.1999, s. 20
).
(
17
)
  Rådets forordning (Euratom, EF) nr. 2185/96 af 11. november 1996 om Kommissionens kontrol og inspektion på stedet med henblik på beskyttelse af De Europæiske Fællesskabers finansielle interesser mod svig og andre uregelmæssigheder (
EFT L 292 af 15.11.1996, s. 2
).
(
18
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 af 11. september 2013 om undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 1073/1999 og Rådets forordning (Euratom) nr. 1074/1999 (
EUT L 248 af 18.9.2013, s. 1
).
(
19
)
  Kommissionens afgørelse (EU, Euratom) 2015/443 af 13. marts 2015 om sikkerhedsbeskyttelse i Kommissionen (
EUT L 72 af 17.3.2015, s. 41
).
(
20
)
  Kommissionens afgørelse (EU, Euratom) 2015/444 af 13. marts 2015 om reglerne for sikkerhedsbeskyttelse af EU's klassificerede informationer (
EUT L 72 af 17.3.2015, s. 53
).

Summary:
Europæisk netværk for cybersikkerhed og kompetencecenter
RESUMÉ AF:
Forordning (EU) 2021/887 om oprettelse af Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed og Netværket af Nationale Koordinationscentre
HVAD ER FORMÅLET MED FORORDNINGEN?
Den opretter 
Det Europæiske Kompetencecenter for Cybersikkerhed
 og Netværket af Nationale Koordinationscentre (»netværket«).
Den fastlægger reglerne for nationale koordinationscentre og opretter Kompetencefællesskabet for Cybersikkerhed.
Det Europæiske Kompetencecenter for Cybersikkerhed spiller en meget vigtig rolle i 
programmet for et digitalt Europa
 (oprettet ved forordning (EU) 
2021/694
 — se 
resumé
) og bidrager til 
Horisont Europa
. Den opretter en ramme for at øge og koordinere investeringer i cybersikkerhed blandt 
Den Europæiske Unions
 (EU) -
medlemsstater
 og indirekte industrien.
HOVEDPUNKTER
Opgave
Det Europæiske Kompetencecenter for Cybersikkerheds og netværkets mission er at hjælpe EU med at:
styrke EU’s førende position inden for cybersikkerhed
1
 ved at styrke tilliden til og sikkerheden, herunder fortroligheden, integriteten og tilgængeligheden af data
støtte robustheden og pålideligheden af net- og informationssystemer
, herunder kritisk infrastruktur og almindeligt anvendt hardware og software, og
øge EU’s cybersikkerhedsindustris globale konkurrenceevne, sikre høje standarder
 og gøre cybersikkerhed til en konkurrencemæssig fordel for EU’s industri.
Mål
Det Europæiske Kompetencecenter for Cybersikkerheds specifikke mål kan omsættes til strategiske opgaver og gennemførelsesopgaver:
at styrke 
cybersikkerhedskapaciteter, -evner, -viden og -infrastruktur
at fremme 
robusthed, bedste praksis, security by design
 inden for cybersikkerhed og 
sikkerhedscertificering
 af digitale produkter og tjenester
at bidrage til et 
stærkt europæisk cybersikkerhedsøkosystem
 og samle alle relevante interessenter.
Disse opgaver gennemføres ved at:
sætte strategiske retninger
 for forskning, innovation og ibrugtagning samt fastlægge prioriteter
gennemføre dele af 
relevante EU-finansieringsprogrammer
opfordre til samarbejde og koordination
 på nationalt og europæisk plan og
lette fælles investeringer
.
Nationale koordinationscentre
Hver medlemsstat udpeger et nationalt koordinationscenter og meddeler 
Europa-Kommissionen
 om beslutningen.
Hvert nationalt koordinationscenter skal have adgang til cybersikkerhedsforskning og teknologisk ekspertise.
Nationale koordinationscentre kan, under visse betingelser, modtage direkte EU-tilskud og kan yde finansiel støtte til tredjeparter.
Nationale koordinationscentres vigtigste funktioner omfatter:
at 
fungere som kontaktpunkter
 på nationalt plan
at tilvejebringe ekspertise og bidrage
 til strategiske opgaver
at fremme deltagelse i grænseoverskridende projekter
 og EU-finansierede cybersikkerhedsmæssige tiltag
at yde teknisk bistand til interessenter
 i projekter, der forvaltes af Det Europæiske Kompetencecenter for Cybersikkerhed
at arbejde på at etablere synergier med aktiviteter på nationalt, regionalt og lokalt plan
, såsom nationale politikker for forskning, udvikling og innovation
at gennemføre specifikke tiltag
, som Det Europæiske Kompetencecenter for Cybersikkerhed har ydet tilskud til
at bidrage til uddannelsesprogrammer
.
Kompetencefællesskab for Cybersikkerhed
Bidrager til Det Europæiske Kompetencecenter for Cybersikkerheds og netværkets missioner, deling og formidling af cybersikkerhedsekspertise.
Det består af industri, herunder 
små og mellemstore virksomheder
, akademiske organisationer og forskningsorganisationer, civilsamfundssammenslutninger, standardiseringsorganisationer, relevante offentlige organer og andre interessenter, der står over for cybersikkerhedsudfordringer.
Det Europæiske Kompetencecenter for Cybersikkerhedsstruktur
Det Europæiske Kompetencecenter for Cybersikkerheds administrative struktur og forvaltningsstruktur omfatter:
en 
bestyrelse
, der fastlægger den strategiske retning og overser aktiviteter
en 
administrerende direktør
, Det Europæiske Kompetencecenter for Cybersikkerheds juridiske repræsentant og personen med ansvaret for den daglige ledelse
en 
strategisk rådgivende gruppe
, der sikrer dialog mellem Kompetencefællesskabet for Cybersikkerhed og Det Europæiske Kompetencecenter for Cybersikkerhed.
Bestyrelsen
En repræsentant for hver medlemsstat og to repræsentanter for Kommissionen med viden om cybersikkerhed og ledelsesmæssige færdigheder.
Observatører, herunder 
Den Europæiske Unions Agentur for Cybersikkerhed
, der er oprettet ved forordning (EU) 
2019/881
, som permanent observatør.
Formand og næstformand vælges af bestyrelsesmedlemmerne.
Den administrerende direktør deltager i møder, men har ikke stemmeret.
Den Strategiske Rådgivningsgruppe
Tyve medlemmer, der udpeges af bestyrelsen.
Mødes mindst tre gange om året.
Rådgiver bestyrelsen om nedsættelse af arbejdsgrupper.
Afholder offentlige høringer for at indsamle input til Det Europæiske Kompetencecenter for Cybersikkerhedsdagsorden og arbejdsprogrammer.
Finansiering
Det Europæiske Kompetencecenter for Cybersikkerhed finansieres af EU, og fælles tiltag finansieres af EU og frivillige bidrag fra medlemsstaterne:
op til 1 649 566 000 EUR fra programmet for et digitalt Europa, herunder op til 32 000 000 EUR til administration
et beløb fra Horisont Europa til fælles tiltag, modsvarende bidrag fra medlemsstaterne og i overensstemmelse med planlægningen for Horisont Europa
et beløb fra andre EU-programmer, efter behov, for at gennemføre Det Europæiske Kompetencecenter for Cybersikkerhedsmål.
Forordningen tillader og opfordrer medlemsstaterne til at bidrage med egne ressourcer. Hvis medlemsstaterne bidrager til de ressourcer, der forvaltes af Det Europæiske Kompetencecenter for Cybersikkerhed, skal de også bidrage til de administrative omkostninger.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Den trådte i kraft den 
28. juni 2021
.
BAGGRUND
Se desuden:
Cybersikkerhedsstrategien
 (
Europa-Kommissionen
)
Cybersikkerhed: EU’s håndtering af cybertrusler
 (
Rådet for Den Europæiske Union
)
Det Europæiske Kompetencecenter for Cybersikkerhed
 (
Europa-Kommissionen
)
Det Europæiske Center for Bekæmpelse af Cyberkriminalitet (EC3)
 (
Europol
).
VIGTIGE BEGREBER
Cybersikkerhed:
 de aktiviteter, der er nødvendige for at beskytte net- og informationssystemer, brugerne af sådanne systemer og andre personer berørt af cybertrusler
2
.
Cybertrussel:
 enhver potentiel omstændighed, begivenhed eller handling, som kan skade, forstyrre eller på anden måde have en negativ indvirkning på net- og informationssystemer, brugerne af sådanne systemer og andre personer.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2021/887
 af 
20. maj 2021
 om oprettelse af Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed og Netværket af Nationale Koordinationscentre (EUT L 202 af 
8.6.2021
, 
s. 1-31
).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2021/694
 af 
29. april 2021
 om programmet for et digitalt Europa og om ophævelse af afgørelse (EU) 2015/2240 (EUT L 166 af 
11.5.2021
, 
s. 1-34
).
Meddelelse fra Kommissionen til Europa-Parlamentet, Det Europæiske Råd, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget om strategien for EU’s sikkerhedsunion (
COM(2020) 605 final
 af 
24.7.2020
).
Europa-Parlamentets og Rådets direktiv (EU) 
2016/1148
 af 
6. juli 2016
 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (EUT L 194 af 
19.7.2016
, 
s. 1-30
).
Europa-Parlamentets og Rådets forordning (EU) 
2019/881
 af 
17. april 2019
 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) 
nr. 526/2013
 (forordningen om cybersikkerhed) (EUT L 151 af 
7.6.2019
, 
s. 15-69
).
seneste ajourføring 
27.7.2021