CELEX ID: 32025R0038

--- ENGLISH ---

Document:
Official Journal 
of the European Union
EN
L series
2025/38
15.1.2025
REGULATION (EU) 2025/38 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 19 December 2024
laying down measures to strengthen solidarity and capacities in the Union to detect, prepare for and respond to cyber threats and incidents and amending Regulation (EU) 2021/694 (Cyber Solidarity Act)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 173(3) and Article 322(1), point (a), thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the Court of Auditors 
(
1
)
,
Having regard to the opinion of the European Economic and Social Committee 
(
2
)
,
Having regard to the opinion of the Committee of the Regions 
(
3
)
,
Acting in accordance with the ordinary legislative procedure 
(
4
)
,
Whereas:
(1)
The use of and dependence on information and communication technologies have become fundamental aspects in all sectors of economic activity and society in light of the ever increasing interconnectedness and interdependence of Member State public administrations, businesses and citizens across sectors and borders, simultaneously introducing possible vulnerabilities.
(2)
The magnitude, frequency and impact of cybersecurity incidents, including supply chain attacks for the purposes of cyberespionage, ransomware or disruption, are increasing at Union and global level. They represent a major threat to the functioning of network and information systems. In view of the fast-evolving threat landscape, the threat of possible large-scale cybersecurity incidents causing significant disruption or damage to critical infrastructure demands a heightened preparedness of the Union’s cybersecurity framework. That threat goes beyond Russia’s war of aggression against Ukraine, and is likely to persist given the multiplicity of actors involved in current geopolitical tensions. Such incidents can impede the provision of public services as cyberattacks are frequently targeted at local, regional or national public services and infrastructure, with local authorities being particularly vulnerable, including due to their limited resources. They can also impede the pursuit of economic activities, including in sectors of high criticality or other critical sectors, generate substantial financial losses, undermine user confidence, cause major damage to the economy and the democratic systems of the Union, and could even have health or life-threatening consequences. Moreover, cybersecurity incidents are unpredictable, as they often emerge and evolve quickly, not contained within any specific geographical area, and occurring simultaneously or spreading instantly across many countries. It is important to have close cooperation between the public sector, the private sector, academia, civil society and the media.
(3)
It is necessary to strengthen the competitive position of industry and services in the Union across the digital economy and support their digital transformation, by reinforcing the level of cybersecurity in the Digital Single Market as recommended in three different proposals of the Conference on the Future of Europe. It is necessary to increase the resilience of citizens, businesses, including microenterprises, small and medium-sized enterprises and startups, and entities operating critical infrastructure, against increasing cyber threats, which can have a devastating societal and economic impact. Therefore, investment is needed in infrastructure and services and building capabilities to develop cybersecurity skills that will support a faster detection of and a faster response to cyber threats and incidents. In addition, Member States need assistance in better preparing for and responding to, as well as assistance in the initial recovery from, significant cybersecurity incidents and large-scale cybersecurity incidents. Building on the existing structures and in close cooperation with them, the Union should also increase its capacities in those areas, in particular as regards the collection and analysis of data on cyber threats and incidents.
(4)
The Union has already taken a number of measures to reduce vulnerabilities and increase the resilience of critical infrastructure and entities against risks, in particular Regulation (EU) 2019/881 of the European Parliament and of the Council 
(
5
)
, Directives 2013/40/EU 
(
6
)
 and (EU) 2022/2555 
(
7
)
 of the European Parliament and of the Council and Commission Recommendation (EU) 2017/1584 
(
8
)
. In addition, the Council Recommendation of 8 December 2022 on a Union-wide coordinated approach to strengthen the resilience of critical infrastructure invites Member States to take measures, and to cooperate with each other, the Commission and other relevant public authorities as well as the entities concerned, to enhance the resilience of critical infrastructure used to provide essential services in the internal market.
(5)
The growing cybersecurity risks and an overall complex threat landscape, with a clear risk of rapid spillover of incidents from one Member State to others and from a third country to the Union, require the strengthening of solidarity at Union level to better detect, prepare for, respond to, and recover from, cyber threats and incidents, in particular by reinforcing the capabilities of existing structures. Moreover, the Council conclusions of 23 May 2022 on the development of the European Union’s cyber posture invited the Commission to present a proposal on a new Emergency Response Fund for Cybersecurity.
(6)
The Joint Communication of the Commission and the High Representative of the Union for Foreign Affairs and Security Policy of 10 November 2022 to the European Parliament and the Council on EU Policy on Cyber Defence announced an EU Cyber Solidarity Initiative with the objectives of strengthening of common EU detection, situational awareness and response capabilities by promoting the deployment of an EU infrastructure of Security Operation Centres (SOCs), supporting gradual building of an EU-level cyber reserve with services from trusted private providers and testing of critical entities for potential vulnerabilities based on EU risk assessments.
(7)
It is necessary to strengthen the detection and situational awareness of cyber threats and incidents throughout the Union and to strengthen solidarity by enhancing Member States’ and the Union’s preparedness and capabilities to prevent and respond to significant cybersecurity incidents and large-scale cybersecurity incidents. Therefore a pan-European network of cyberhubs (the ‘European Cybersecurity Alert System’) should be established to build coordinated detection and situational awareness capabilities, reinforcing the Union’s threat detection and information-sharing capabilities; a Cybersecurity Emergency Mechanism should be established to support Member States upon their request in preparing for, responding to, mitigating the impact of and initiating recovery from significant cybersecurity incidents and large-scale cybersecurity incidents and to support other users in responding to significant cybersecurity incidents and large-scale-equivalent cybersecurity incidents; and a European Cybersecurity Incident Review Mechanism should be established to review and assess specific significant cybersecurity incidents or large-scale cybersecurity incidents. The actions taken pursuant to this Regulation should be conducted with due respect for Member States’ competences and should complement and not duplicate the activities conducted by the CSIRTs network, the European cyber crisis liaison organisation network (EU-CyCLONe) or the Cooperation Group (NIS Cooperation Group), all established pursuant to Directive (EU) 2022/2555. Those actions are without prejudice to Articles 107 and 108 of the Treaty on the Functioning of the European Union (TFEU).
(8)
To achieve those objectives, it is necessary to amend Regulation (EU) 2021/694 of the European Parliament and of the Council 
(
9
)
 in certain areas. In particular, this Regulation should amend Regulation (EU) 2021/694 as regards the addition of new operational objectives related to the European Cybersecurity Alert System and the Cybersecurity Emergency Mechanism under Specific Objective 3 of the Digital Europe Programme (DEP), which aims to guarantee the resilience, integrity and trustworthiness of the Digital Single Market, at strengthening capacities to monitor cyberattacks and cyber threats and to respond to them, and at reinforcing cross-border cooperation and coordination on cybersecurity. The European Cybersecurity Alert System could play an important role in supporting Member States in anticipating and protecting against cyber threats, and the EU Cybersecurity Reserve could play an important role in supporting Member States, Union institutions, bodies, offices and agencies, and DEP-associated third countries in responding to and mitigating the impact of significant cybersecurity incidents, large-scale cybersecurity incidents and large-scale-equivalent cybersecurity incidents. That impact could include considerable material or non-material damage and serious public security and safety risks. In light of the specific roles that the European Cybersecurity Alert System and the EU Cybersecurity Reserve could play, this Regulation should amend Regulation (EU) 2021/694 as regards the participation of legal entities that are established in the Union but are controlled from third countries, where there is a real risk that the necessary and sufficient tools, infrastructure and services, or technology, expertise and capacity, are not available in the Union and the benefits of including such entities outweigh the security risk. The specific conditions under which financial support may be granted for actions implementing the European Cybersecurity Alert System and the EU Cybersecurity Reserve should be established and the governance and coordination mechanisms necessary in order to achieve the intended objectives should be defined. Other amendments to Regulation (EU) 2021/694 should include descriptions of proposed actions under the new operational objectives, as well as measurable indicators to monitor the implementation of those new operational objectives.
(9)
To strengthen the Union’s response to cyber threats and incidents, cooperation with international organisations as well as with trusted, like-minded international partners is vital. In that context, trusted, like-minded international partners should be understood to be the countries that share the principles that inspired the Union’s creation, namely democracy, the rule of law, the universality and indivisibility of human rights and fundamental freedoms, respect for human dignity, the principles of equality and solidarity, and respect for the principles of the United Nations Charter and international law, and that do not undermine the essential security interests of the Union or its Member States. Such cooperation could also be beneficial with regard to the actions taken pursuant to this Regulation, in particular the European Cybersecurity Alert System and the EU Cybersecurity Reserve. Regulation (EU) 2021/694 should provide, subject to certain availability and security conditions, for tenders for the European Cybersecurity Alert System and the EU Cybersecurity Reserve to be open to legal entities controlled from third countries, subject to security requirements. When assessing the security risk of opening the procurement in this way, it is important to take into account the principles and values which the Union shares with like-minded international partners, where those principles and values are related to essential security interests of the Union. Additionally, where such security requirements are under consideration under Regulation (EU) 2021/694, several elements could be taken into account, such as an entity’s corporate structure and decision-making process, the security of data and classified or sensitive information and ensuring that the action’s results are not subject to control or restrictions by non-eligible third countries.
(10)
The financing of actions under this Regulation should be provided for in Regulation (EU) 2021/694, which should remain the relevant basic act for the actions enshrined within Specific Objective 3 of the DEP. Specific conditions for participation concerning each action are to be provided for in the relevant work programmes, in accordance with Regulation (EU) 2021/694.
(11)
Horizontal financial rules adopted by the European Parliament and by the Council on the basis of Article 322 TFEU apply to this Regulation. Those rules are laid down in Regulation (EU, Euratom) 2024/2509 of the European Parliament and of the Council 
(
10
)
 and determine, in particular, the procedure for establishing and implementing the Union budget, and provide for checks on the responsibility of financial actors. Rules adopted on the basis of Article 322 TFEU also include a general regime of conditionality for the protection of the Union budget as established in Regulation (EU, Euratom) 2020/2092 of the European Parliament and of the Council 
(
11
)
.
(12)
While prevention and preparedness measures are essential to enhance the resilience of the Union in addressing significant cybersecurity incidents, large-scale cybersecurity incidents and large-scale-equivalent cybersecurity incidents, the occurrence, timing and magnitude of such incidents are, by their nature, unpredictable. The financial resources required to ensure an adequate response can vary significantly from year to year and should be capable of being made available immediately. Reconciling the budgetary principle of predictability with the necessity to react rapidly to new needs therefore requires adaptation of the financial implementation of the work programmes. Consequently, it is appropriate to authorise the carry-over of unused appropriations, but only to the following year and only to the EU Cybersecurity Reserve and the actions supporting mutual assistance, in addition to the carry-over of appropriations authorised pursuant to Article 12(4) of Regulation (EU, Euratom) 2024/2509.
(13)
To more effectively prevent, assess, respond to and recover from cyber threats and incidents, it is necessary to develop more comprehensive knowledge about the threats to critical assets and infrastructure on the territory of the Union, including their geographical distribution, interconnection and potential effects in case of cyberattacks affecting that infrastructure. A proactive approach to identifying, mitigating and preventing cyber threats includes an increased capacity of advanced detection capabilities. The European Cybersecurity Alert System should consist of several interoperating Cross-Border Cyber Hubs, each grouping together three or more National Cyber Hubs. That infrastructure should serve national and Union cybersecurity interests and needs, leveraging state-of-the-art technology for advanced collection of relevant data and information, anonymised where appropriate, and analytics tools, enhancing coordinated cyber detection and management capabilities and providing real-time situational awareness. That infrastructure should serve to improve the cyber posture, by increasing detection, aggregation and the analysis of data and information with the aim of preventing cyber threats and incidents and thus complementing and supporting Union entities and networks responsible for cyber crisis management in the Union, in particular EU-CyCLONe.
(14)
Participation in the European Cybersecurity Alert System is voluntary for Member States. Each Member State should designate a single entity at national level tasked with coordinating cyber threat detection activities in that Member State. Those National Cyber Hubs should act as a reference point and gateway at national level for participation in the European Cybersecurity Alert System and should ensure that cyber threat information from public and private entities is shared and collected at national level in an effective and streamlined manner. National Cyber Hubs could strengthen the cooperation and information sharing between public and private entities and could also support the exchange of relevant data and information with relevant sectoral and cross-sectoral communities, including relevant industry Information Sharing and Analysis Centers (ISACs). Close and coordinated cooperation between public and private entities is central to strengthening the Union’s cyber resilience. Such cooperation is particularly valuable in the context of sharing cyber threat intelligence to improve active cyber protection. As part of such cooperation and information sharing, National Cyber Hubs could request and receive specific information. Those National Cyber Hubs are neither obliged nor empowered by this Regulation to enforce such requests. Where appropriate and in accordance with Union and national law, the information requested or received could include telemetry, sensor and logging data from entities, such as managed security service providers, that operate in sectors of high criticality or other critical sectors within that Member State, in order to enhance rapid detection of potential cyber threats and incidents at an earlier stage, thereby improving situational awareness. If the National Cyber Hub is not the competent authority designated or established by the relevant Member State pursuant to Article 8(1) of (EU) 2022/2555, it is crucial that it coordinates with that competent authority in respect of requests for and receipt of such data.
(15)
As part of the European Cybersecurity Alert System, a number of Cross-Border Cyber Hubs should be established. Those Cross-Border Cyber Hubs should bring together National Cyber Hubs from at least three Member States to ensure that the benefits of cross-border threat detection and information sharing and management can be fully achieved. The general objective of Cross-Border Cyber Hubs should be to strengthen capacities to analyse, prevent and detect cyber threats and to support the production of high-quality cyber threat intelligence, in particular through the sharing of relevant information, anonymised where appropriate, in a trusted and secure environment, from various sources, public or private, as well as through the sharing and joint use of state-of-the-art tools, and the joint development of detection, analysis and prevention capabilities in a trusted and secure environment. Cross-Border Cyber Hubs should provide new additional capacity, building upon and complementing existing SOCs, CSIRTs and other relevant actors, including the CSIRTs network.
(16)
A Member State selected by the European Cybersecurity Industrial, Technology and Research Competence Centre (ECCC) established by Regulation (EU) 2021/887 of the European Parliament and of the Council 
(
12
)
 following a call for expressions of interest to set up, or enhance the capabilities of, a National Cyber Hub, should, jointly with the ECCC, purchase relevant tools, infrastructure or services. Such a Member State should be eligible to receive a grant to operate the tools, infrastructure or services. A Hosting Consortium, consisting of at least three Member States, which has been selected by the ECCC following a call for expressions of interest to set up or enhance the capabilities of a Cross-Border Cyber Hub should purchase relevant tools, infrastructure or services jointly with the ECCC. The Hosting Consortium should be eligible to receive a grant to operate the tools, infrastructure or services. The procurement procedure to purchase the relevant tools, infrastructure or services should be carried out jointly by the ECCC and relevant contracting authorities of the Member States selected, following such calls for expressions of interest. Such procurement should comply with Article 168(2) of Regulation (EU, Euratom) 2024/2509, and the ECCC’s Financial Rules. Private entities should not therefore be eligible to participate in the calls for expressions of interest to purchase tools, infrastructure or services jointly with the ECCC, or to receive grants to operate those tools, infrastructure or services. However, the Member States should be able to involve private entities in the setting up, enhancement and operation of their National Cyber Hubs and Cross-Border Cyber Hubs in other ways which they deem appropriate, in accordance with Union and national law. Private entities could also be eligible to receive Union funding pursuant to Regulation (EU) 2021/887 for the purpose of providing support to National Cyber Hubs.
(17)
In order to enhance the detection of cyber threats and situational awareness in the Union, a Member State which, following a call for expressions of interest, is selected to set up, or enhance the capabilities of, a National Cyber Hub should commit to applying to participate in a Cross-Border Cyber Hub. If a Member State is not a participant in a Cross-Border Cyber Hub within two years of the date on which the tools, infrastructure or services are acquired or on which it receives grant funding, whichever occurs sooner, it should not be eligible to participate in further Union support actions within the framework of the European Cybersecurity Alert System to enhance the capabilities of its National Cyber Hub. In such cases, entities from Member States could still participate in calls for proposals on other topics under the DEP or other Union funding programmes, including calls on capacities for cyber detection and information sharing, provided that those entities meet the eligibility criteria established in those programmes.
(18)
CSIRTs exchange information within the CSIRTs network in accordance with Directive (EU) 2022/2555. The European Cybersecurity Alert System should constitute a new capability that is complementary to the CSIRTs network by contributing to building a Union situational awareness allowing the reinforcement of the capabilities of the CSIRTs network. Cross-Border Cyber Hubs should coordinate and cooperate closely with the CSIRTs network. They should act by pooling data and sharing relevant information, anonymised where appropriate, on cyber threats from public and private entities, enhancing the value of such data and information through expert analysis and jointly acquired infrastructure and state-of-the-art tools, and contributing to the Union’s technological sovereignty, its open strategic autonomy, competitiveness and resilience and to the development of Union capabilities.
(19)
Cross-Border Cyber Hubs should act as central points allowing for a broad pooling of relevant data and cyber threat intelligence, and enable the spreading of threat information among a large and diverse set of stakeholders, such as Computer Emergency Response Teams (CERTs), CSIRTs, ISACs and operators of critical infrastructure. The members of a Hosting Consortium should specify in the consortium agreement the relevant information to be shared among the participants of the Cross-Border Cyber Hub concerned. The information exchanged among participants in a Cross-Border Cyber Hub could include, for instance, data from networks and sensors, threat intelligence feeds, indicators of compromise, and contextualised information about incidents, cyber threats, near misses, vulnerabilities, techniques and procedures, adversarial tactics, threat-actor-specific information, cybersecurity alerts and recommendations regarding the configuration of cybersecurity tools to detect cyberattacks. In addition, Cross-Border Cyber Hubs should also enter into cooperation agreements with each other. Such cooperation agreements should, in particular, specify information-sharing principles and interoperability. Their clauses concerning interoperability, in particular information-sharing formats and protocols, should be guided by and therefore take as their starting point interoperability guidelines issued by the European Union Agency for Cybersecurity established by Regulation (EU) 2019/881 (ENISA). Those guidelines should be issued swiftly to ensure that they can be taken into account by Cross-Border Cyber Hubs at an early stage. They should take into account international standards and best practices, and the functioning of any established Cross-Border Cyber Hubs.
(20)
Cross-Border Cyber Hubs and the CSIRTs network should cooperate closely to ensure synergies and complementarity of activities. For that purpose, they should agree on procedural arrangements on cooperation and the sharing of relevant information. This could include the sharing of relevant information on cyber threats and significant cybersecurity incidents and ensuring that experience with state-of-the-art tools, in particular artificial intelligence and data analytics technology, used within the Cross-Border Cyber Hubs, is shared with the CSIRTs network.
(21)
Shared situational awareness among relevant authorities is an indispensable prerequisite for Union-wide preparedness and coordination with regards to significant cybersecurity incidents and large-scale cybersecurity incidents. Directive (EU) 2022/2555 established EU-CyCLONe to support the coordinated management of large-scale cybersecurity incidents and crises at operational level and to ensure the regular exchange of relevant information among Member States and Union institutions, bodies, offices and agencies. Directive (EU) 2022/2555 also established the CSIRTs network to promote swift and effective operational cooperation among all Member States. To ensure situational awareness and strengthen solidarity, in situations where Cross-Border Cyber Hubs obtain information related to a potential or ongoing large-scale cybersecurity incident, they should provide relevant information to the CSIRTs network and inform, as an early warning, EU-CyCLONe. In particular, depending on the situation, information to be shared could include technical information, information about the nature and motives of the attacker or potential attacker, and higher-level, non-technical information about a potential or ongoing large-scale cybersecurity incident. In that context, due regard should be paid to the need-to-know principle and to the potentially sensitive nature of the information shared. Directive (EU) 2022/2555 also reiterates the Commission’s responsibilities in the Union Civil Protection Mechanism (UCPM) established by Decision 1313/2013/EU of the European Parliament and of the Council 
(
13
)
, and its responsibility for providing the analytical reports for the EU Integrated Political Crisis Response Arrangements (IPCR Arrangements) pursuant to Council Implementing Decision (EU) 2018/1993 
(
14
)
. Where Cross-Border Cyber Hubs share relevant information and early warnings related to a potential or ongoing large-scale cybersecurity incident with EU-CyCLONe and the CSIRTs network, it is imperative that that information be shared through those networks with Member States’ authorities as well as with the Commission. In that respect, Directive (EU) 2022/2555 provides that EU-CyCLONe’s purpose is to support the coordinated management of large-scale cybersecurity incidents and crises at operational level and to ensure the regular exchange of relevant information among Member States and Union institutions, bodies, offices and agencies. EU-CyCLONe’s tasks include developing a shared situational awareness of such incidents and crises. It is of paramount importance that EU-CyCLONe ensure, in line with that purpose and its tasks, that such information is provided immediately to the relevant Member State representatives and to the Commission. To that end, it is crucial that EU-CyCLONe’s rules of procedure include appropriate provisions.
(22)
Entities participating in the European Cybersecurity Alert System should ensure a high level of interoperability among themselves including, as appropriate, as regards data formats, taxonomy, data handling and data analytics tools. They should also ensure secure communications channels, a minimum level of application layer security, a situational awareness dashboard, and indicators. The adoption of a common taxonomy and the development of a template for situational reports to describe the causes of detected cyber threats and risks, should take into account existing work done in the context of the implementation of Directive (EU) 2022/2555.
(23)
In order to enable the exchange of relevant data and information on cyber threats from various sources, on a large-scale basis, in a trusted and secure environment, entities participating in the European Cybersecurity Alert System should be equipped with state-of-the-art, highly secure tools, equipment and infrastructure, as well as skilled personnel. This should make it possible to improve collective detection capacities and timely warnings to authorities and relevant entities, in particular by using the latest artificial intelligence and data analytics technologies.
(24)
By collecting, analysing, sharing and exchanging relevant data and information, the European Cybersecurity Alert System should enhance the Union’s technological sovereignty and open strategic autonomy in the area of cybersecurity, competitiveness and resilience. The pooling of high-quality, curated data could also contribute to the development of advanced artificial intelligence and data analytics technologies. Human oversight and, to that end, a skilled labour force remains essential for the effective pooling of high-quality data.
(25)
While the European Cybersecurity Alert System is a civilian project, the cyber defence community could benefit from stronger civilian detection and situational awareness capabilities developed for the protection of critical infrastructure.
(26)
Information sharing among participants of the European Cybersecurity Alert System should comply with existing legal requirements and in particular Union and national data protection law, as well as the Union rules on competition governing the exchange of information. The recipient of the information should implement, insofar as the processing of personal data is necessary, technical and organisational measures that safeguard the rights and freedoms of data subjects, and destroy the data as soon as they are no longer necessary for the stated purpose and inform the entity making the data available that the data have been destroyed.
(27)
Preserving confidentiality and information security are of paramount importance for all three pillars of this Regulation, whether for encouraging the sharing or exchange of information in the context of the European Cybersecurity Alert System, preserving the interests of the entities applying for support under the Cybersecurity Emergency Mechanism, or ensuring that reports under the European Cybersecurity Incident Review Mechanism can yield useful lessons learned without having a negative impact on the entities affected by the incidents. The participation of Member States and entities in those mechanisms depend on relationships of trust between their components. Where information is confidential pursuant to Union or national rules, its sharing or exchange under this Regulation should be limited to that which is relevant and proportionate to the purpose of the sharing or exchange. That sharing or exchange should also preserve the confidentiality of that information, including protecting the security and commercial interests of any entities concerned. Information sharing or exchange pursuant to this Regulation could take place using non-disclosure agreements, or guidance on information distribution such as the traffic light protocol (TLP). The TLP is to be understood as a means to provide information about any limitations with regard to the further spreading of information. It is used in almost all CSIRTs and in some ISACs. In addition to those general requirements, when it comes to the European Cybersecurity Alert System, Hosting Consortia agreements should lay down specific rules regarding the conditions for information sharing within the Cross-Border Cyber Hub concerned. Those agreements could, in particular, require that information be shared only in accordance with Union and national law.
(28)
In respect of the deployment of the EU Cybersecurity Reserve, specific confidentiality rules are necessary. Support will be requested, assessed and provided in a crisis context and in respect of entities operating in sensitive sectors. For the EU Cybersecurity Reserve to function effectively, it is essential that users and entities are able to share, and provide access, without delay, to all information that is necessary for each entity to play its part in the assessment of requests and the deployment of support. Accordingly, this Regulation should provide that all such information is to be used or shared only where necessary for the operation of the EU Cybersecurity Reserve, and that information that is confidential or classified pursuant to Union and national law is to be used and shared only in accordance with that law. Additionally, users should be able, where appropriate, to use information-sharing protocols such as the TLP to further specify limitations. Whilst users have discretion in this regard, it is important that when applying such limitations, they take into account the possible consequences, in particular with regard to delayed assessment or delivery of the requested services. In order to have an efficient EU Cybersecurity Reserve, it is important that the contracting authority clarify those consequences to the user before it submits a request. Those safeguards are limited to the request and provision of EU Cybersecurity Reserve services and do not affect information exchange in other contexts, such as in the procurement of the EU Cybersecurity Reserve.
(29)
In view of the increasing risks and number of incidents affecting Member States, it is necessary to set up a crisis support instrument, namely the Cybersecurity Emergency Mechanism, to improve the Union’s resilience to significant cybersecurity incidents, large-scale cybersecurity incidents and large-scale-equivalent cybersecurity incidents and complement Member States’ actions through emergency financial support for preparedness, incident response and initial recovery of essential services. As the full recovery from an incident is a comprehensive process of restoring the functioning of the entity affected by the incident to the state from before the incident and could be a long process that entails significant costs, the support from the EU Cybersecurity Reserve should be limited to the initial stage of the recovery process, leading to the restoration of basic functionalities of the systems. The Cybersecurity Emergency Mechanism should enable the rapid and effective deployment of assistance in defined circumstances and under clear conditions and allow for a careful monitoring and evaluation of how resources have been used. Whilst the primary responsibility for preventing, preparing for and responding to incidents and crises lies with the Member States, the Cybersecurity Emergency Mechanism promotes solidarity between Member States in accordance with Article 3(3) of the Treaty on European Union (TEU).
(30)
The Cybersecurity Emergency Mechanism should provide support to Member States complementing their own measures and resources, and other existing support options in the case of response to, and initial recovery from, significant cybersecurity incidents and large-scale cybersecurity incidents, such as the services provided by ENISA in accordance with its mandate, the coordinated response and the assistance from the CSIRTs network, the mitigation support from EU-CyCLONe, as well as mutual assistance between Member States including in the context of Article 42(7) TEU and the permanent structured cooperation (PESCO) Cyber Rapid Response Teams established pursuant to Council Decision (CFSP) 2017/2315 
(
15
)
. It should address the need to ensure that specialised means are available to support preparedness for, response to and recovery from such incidents across the Union and in DEP-associated third countries.
(31)
This Regulation is without prejudice to procedures and frameworks to coordinate crisis responses at Union level, in particular Directive (EU) 2022/2555, the Union Civil Protection Mechanism established by Decision No 1313/2013/EU of the European Parliament and of the Council 
(
16
)
, the IPCR Arrangements and Commission Recommendation (EU) 2017/1584 
(
17
)
. Support provided under the Cybersecurity Emergency Mechanism can complement assistance provided in the context of the common foreign and security policy and the common security and defence policy, including through the Cyber Rapid Response Teams, taking into account the civilian nature of the Cybersecurity Emergency Mechanism. Support provided under the Cybersecurity Emergency Mechanism can complement actions implemented in the context of Article 42(7) TEU, including assistance provided by one Member State to another Member State, or form part of the joint response between the Union and Member States or in situations referred to in Article 222 TFEU. The implementation of this Regulation should also be coordinated with the implementation of measures under the Cyber Diplomacy Toolbox, where appropriate.
(32)
Assistance provided under this Regulation should be in support of, and complementary to, the actions taken by Member States at national level. To that end, close cooperation and consultation between the Commission, ENISA, the Member States and, where relevant, the ECCC should be ensured. When requesting support under the Cybersecurity Emergency Mechanism, Member States should provide relevant information justifying the need for support.
(33)
Directive (EU) 2022/2555 requires Member States to designate or establish one or more cyber crisis management authorities and ensure that they have adequate resources to carry out their tasks in an effective and efficient manner. It also requires Member States to identify capabilities, assets and procedures that can be deployed in the case of a crisis as well as to adopt a national large-scale cybersecurity incident and crisis response plan where the objectives of and arrangements for the management of large-scale cybersecurity incidents and crises are set out. Member States are also required to establish one or more CSIRTs tasked with incident-handling responsibilities in accordance with a well-defined process and covering at least the sectors, subsectors and types of entity under the scope of that Directive, and to ensure that they have adequate resources to carry out effectively their tasks. This Regulation is without prejudice to the Commission’s role in ensuring the compliance by Member States with the obligations of Directive (EU) 2022/2555. The Cybersecurity Emergency Mechanism should provide assistance for actions aiming to reinforce preparedness as well as incident response actions to mitigate the impact of significant cybersecurity incidents and large-scale cybersecurity incidents, to support initial recovery or to restore the basic functionalities of the services provided by entities operating in sectors of high criticality or entities operating in other critical sectors.
(34)
As part of the preparedness actions, to promote a consistent approach and strengthen security across the Union and its internal market, support should be provided for testing and assessing cybersecurity of entities operating in sectors of high criticality identified pursuant to Directive (EU) 2022/2555 in a coordinated manner, including through exercise and training. For that purpose, the Commission, after consulting ENISA, the NIS Cooperation Group and EU-CyCLONe, should regularly identify relevant sectors or subsectors, which should be eligible to receive financial support for coordinated preparedness testing at Union level. The sectors or subsectors should be selected from the sectors of high criticality listed in Annex I to Directive (EU) 2022/2555. The coordinated preparedness testing should be based on common risk scenarios and methodologies. The selection of sectors and development of risk scenarios should take into account relevant Union-wide risk assessments and risk scenarios, including the need to avoid duplication, such as the risk evaluation and risk scenarios called for in the Council conclusions on the development of the European Union’s cyber posture conducted by the Commission, the High Representative of the Union for Foreign Affairs and Security Policy (the ‘High Representative’) and the NIS Cooperation Group, in coordination with relevant civilian and military bodies and agencies and established networks, including EU-CyCLONe, as well as the risk assessment of communications networks and infrastructure requested by the Joint Ministerial Call of Nevers and conducted by the NIS Cooperation Group, with the support of the Commission and ENISA, and in cooperation with the Body of European Regulators for Electronic Communications established by Regulation (EU) 2018/1971 of the European Parliament and of the Council 
(
18
)
, the Union level coordinated security risk assessments of critical supply chains to be conducted pursuant to Article 22 of Directive (EU) 2022/2555 and digital operational resilience testing as provided for in Regulation (EU) 2022/2554 of the European Parliament and of the Council 
(
19
)
. The selection of sectors should also take into account the Council Recommendation on a Union-wide coordinated approach to strengthen the resilience of critical infrastructure.
(35)
In addition, the Cybersecurity Emergency Mechanism should provide support for other preparedness actions and support preparedness in other sectors, not covered by the coordinated preparedness testing of entities operating in sectors of high criticality or entities operating in other critical sectors. Those actions could include various types of national preparedness activity.
(36)
When Member States receive grants to support preparedness actions, entities in sectors of high criticality can participate in those actions on a voluntary basis. It is good practice that following such actions, participating entities draw up a remediation plan to implement any resulting recommendations of specific measures to benefit to the fullest extent from the preparedness action. While it is important that Member States request as part of the actions, that participating entities draw up and implement such remediation plans, Member States are neither obliged nor empowered by this Regulation to enforce such requests. Such requests are without prejudice to requirements for entities and supervisory powers for competent authorities in accordance with Directive (EU) 2022/2555.
(37)
The Cybersecurity Emergency Mechanism should also provide support for incident response actions to mitigate the impact of significant cybersecurity incidents, large-scale cybersecurity incidents and large-scale-equivalent cybersecurity incidents, to support initial recovery or restore the functioning of essential services. Where appropriate, it should complement the UCPM to ensure a comprehensive approach to respond to the impact of incidents on citizens.
(38)
The Cybersecurity Emergency Mechanism should support technical assistance provided by one Member State to another Member State that is affected by a significant cybersecurity incident or large-scale cybersecurity incident, including by CSIRTs as referred to in Article 11(3), point (f), of Directive (EU) 2022/2555. Member States providing such assistance should be allowed to submit requests to cover costs related to dispatching of expert teams in the framework of mutual assistance. The eligible costs could include travel, accommodation and daily allowance expenses of cybersecurity experts.
(39)
Given the essential role that private undertakings play in the detection of, preparedness for and response to large-scale cybersecurity incidents and large-scale-equivalent cybersecurity incidents, it is important to recognise the value of voluntary pro bono cooperation with such undertakings, whereby they offer services without remuneration in the case of large-scale cybersecurity incidents and crises and large-scale-equivalent cybersecurity incidents and crises. ENISA, in cooperation with EU-CyCLONe could monitor the evolution of such pro bono initiatives and promote their compliance with the criteria applicable to trusted managed security service providers under this Regulation, including in relation to the trustworthiness of private undertakings, their experience as well as the ability to handle sensitive information in a secure manner.
(40)
As part of the Cybersecurity Emergency Mechanism, an EU Cybersecurity Reserve should gradually be set up, consisting of services from trusted managed security service providers to support response and initiate recovery actions in the case of significant cybersecurity incidents, large-scale cybersecurity incidents or large-scale-equivalent cybersecurity incidents affecting Member States, Union institutions, bodies, offices or agencies, or DEP-associated third countries. The EU Cybersecurity Reserve should ensure the availability and readiness of services. It should therefore include services that are committed in advance, including for instance capacities that are on stand-by and deployable at short notice. The services from the EU Cybersecurity Reserve should serve to support national authorities in providing assistance to affected entities operating in sectors of high criticality or to affected entities operating in other critical sectors as a complement to their own actions at national level. The services from the EU Cybersecurity Reserve should also be able to serve to support Union institutions, bodies, offices and agencies, under similar conditions. The EU Cybersecurity Reserve could also contribute to strengthening the competitive position of industry and services in the Union across the digital economy, including microenterprises and small and medium-sized enterprises as well as start-ups, including by providing incentives for investment in research and innovation. It is important to take into account ENISA’s European cybersecurity skills framework when procuring the services for the EU Cybersecurity Reserve. When requesting support from the EU Cybersecurity Reserve, users should include in their application appropriate information regarding the affected entity and potential impact, information about the requested service from the EU Cybersecurity Reserve, and the support provided to the affected entity at the national level, which should be taken into account when assessing the request from the applicant. To ensure complementarity with other forms of support available to the affected entity, the request should also include, where available, information on contractual arrangements in place for incident response and initial recovery services, as well as insurance contracts potentially covering such a type of incident.
(41)
In order to ensure the effective use of Union funding, pre-committed services under the EU Cybersecurity Reserve should be convertible, in accordance with the relevant contract, into preparedness services related to incident prevention and response in the event that those pre-committed services are not used for incident response during the time for which they are pre-committed. Those services should be complementary to and should not duplicate the preparedness actions to be managed by the ECCC.
(42)
Requests for support from the EU Cybersecurity Reserve from Member States’ cyber crisis management authorities and CSIRTs, or CERT-EU on behalf of Union institutions, bodies, offices and agencies, should be assessed by the contracting authority. Where ENISA has been entrusted with the administration and operation of the EU Cybersecurity Reserve, that contracting authority is ENISA. Requests for support from DEP-associated third countries should be assessed by the Commission. To facilitate the submission and assessment of requests for support, ENISA could set up a secure platform.
(43)
Where multiple concurrent requests are received, those requests should be prioritised in accordance with criteria laid down in this Regulation. In light of the general objectives of this Regulation, those criteria should include the scale and severity of the incident, the type of entity affected, the potential impact of the incident on the Member States and users affected, the potential cross-border nature of the incident and risk of spillover, and the measures already taken by the user to assist the response and initial recovery. In light of those objectives and given that requests from Member State users are exclusively intended to support, across the Union, entities operating in sectors of high criticality or entities operating in other critical sectors, it is appropriate to give higher priority to requests from Member State users where those criteria lead to two or more requests being assessed as equal. This is without prejudice to any obligations that Member States may have under relevant hosting agreements to take measures to protect and assist Union institutions, bodies, offices and agencies.
(44)
The Commission should have overall responsibility for the implementation of the EU Cybersecurity Reserve. Given the extensive experience gained by ENISA with cybersecurity support action, ENISA is the most suitable agency to implement the EU Cybersecurity Reserve. Therefore, the Commission should entrust ENISA, partially or, where the Commission considers it to be appropriate, entirely with the operation and administration of the EU Cybersecurity Reserve. The entrustment should be carried out in accordance with the applicable rules under Regulation (EU, Euratom) 2024/2509 and in particular should be subject to the relevant conditions for signing a contribution agreement being fulfilled. Any aspects of the operation and administration of the EU Cybersecurity Reserve not entrusted to ENISA should be subject to direct management by the Commission, including prior to the signing of the contribution agreement.
(45)
Member States should have a key role in the constitution, deployment and post-deployment of the EU Cybersecurity Reserve. As Regulation (EU) 2021/694 is the relevant basic act for actions implementing the EU Cybersecurity Reserve, the actions under the EU Cybersecurity Reserve should be provided for in the work programmes referred to in Article 24 of Regulation (EU) 2021/694. Pursuant to paragraph 6 of that Article, those work programmes are to be adopted by the Commission by means of implementing acts in accordance with the examination procedure. Furthermore, the Commission, in coordination with the NIS Cooperation Group, should determine the priorities and the evolution of the EU Cybersecurity Reserve.
(46)
The contracts established within the framework of the EU Cybersecurity Reserve should not affect the business-to-business relationship and existing obligations between the affected entity or users and the service provider.
(47)
For the purpose of selecting private service providers to provide services in the context of the EU Cybersecurity Reserve, it is necessary to establish a set of minimum criteria and requirements that should be included in the call for tenders to select those providers, so as to ensure that the needs of Member States’ authorities, entities operating in sectors of high criticality and entities operating in other critical sectors are met. In order to address the specific needs of Member States, when procuring services for the EU Cybersecurity Reserve, the contracting authority should, where appropriate, develop selection criteria and requirements additional to those laid down in this Regulation. It is important to encourage the participation of smaller providers, active at regional and local level.
(48)
When selecting providers for inclusion in the EU Cybersecurity Reserve, the contracting authority should aim to ensure that the EU Cybersecurity Reserve, when taken as a whole, contains providers that are able to accommodate users’ language requirements. To that end, the contracting authority should, before preparing tender specifications, inquire whether the potential users of the EU Cybersecurity Reserve have specific language requirements, so that EU Cybersecurity Reserve support services can be provided in a language from among the official languages of the Union institutions or of the Member States, likely to be understood by the user or affected entity. In the case that more than one language is required by a user for the provision of EU Cybersecurity Reserve support services and those services have been procured in those languages for that user, the user should be able to specify, in the request for EU Cybersecurity Reserve support, in which of those languages the services should be provided in relation to the specific incident giving rise to the request.
(49)
To support the establishment of the EU Cybersecurity Reserve, it is important that the Commission requests ENISA to prepare a candidate cybersecurity certification scheme for managed security services pursuant to Regulation (EU) 2019/881, in the areas covered by the Cybersecurity Emergency Mechanism.
(50)
In order to support the objectives of this Regulation of promoting shared situational awareness, enhancing the Union’s resilience and enabling effective response to significant cybersecurity incidents and large-scale cybersecurity incidents, the Commission or EU-CyCLONe should be able to request ENISA, with the support of the CSIRTs network and with the approval of the Member States concerned, to review and assess cyber threats, known exploitable vulnerabilities and mitigation actions with respect to a specific significant cybersecurity incident or large-scale cybersecurity incident. Following the completion of a review and assessment of an incident, ENISA should prepare an incident review report, in collaboration with the Member State concerned, relevant stakeholders, including representatives from the private sector, the Commission and other relevant Union institutions, bodies, offices and agencies. Building on the collaboration with stakeholders, including from the private sector, the review report on specific incidents should aim to assess the causes, impact and mitigation of an incident, after it has occurred. Particular attention should be paid to the input and lessons shared by the managed security service providers that fulfil the conditions of highest professional integrity, impartiality and requisite technical expertise as required by this Regulation. The report should be delivered to EU-CyCLONe, the CSIRTs network and the Commission and should be used to inform their work as well as that of ENISA. Where the incident relates to a DEP-associated third country, the Commission should also provide the report to the High Representative.
(51)
Taking into account the unpredictable nature of cyberattacks and the fact that they are often not contained in a specific geographical area and pose a high risk of spillover, the strengthening of resilience of neighbouring countries and their capacity to respond effectively to significant cybersecurity incidents and large-scale-equivalent cybersecurity incidents contributes to the protection of the Union, and in particular its internal market and industry, as a whole. Such activities could further contribute to the Union’s cyber diplomacy. Therefore, DEP-associated third countries should be able to request support from the EU Cybersecurity Reserve, in all or part of their territories, where this is provided for in the agreement through which the third country is associated to the DEP. The funding for DEP-associated third countries should be supported by the Union in the framework of relevant partnerships and funding instruments for those countries. The support should cover services in the area of response to and initial recovery from significant cybersecurity incidents or large-scale-equivalent cybersecurity incidents.
(52)
The conditions set for the EU Cybersecurity Reserve and trusted managed security service providers in this Regulation should apply when providing support to DEP-associated third countries. DEP-associated third countries should be able to request support from the EU Cybersecurity Reserve where the entities targeted and for which they request support from the EU Cybersecurity Reserve are entities operating in sectors of high criticality or entities operating in other critical sectors and where the incidents detected lead to significant operational disruptions or might have spillover effects in the Union. DEP-associated third countries should only be eligible to receive support where the agreement through which they are associated to the DEP specifically provides for such support. In addition, such third countries should remain eligible only so long as three criteria are fulfilled. First, the third country should be complying in full with the relevant terms of that agreement. Second, given the complementary nature of the EU Cybersecurity Reserve, the third country should have taken adequate steps to prepare for significant cybersecurity incidents or large-scale-equivalent cybersecurity incidents. Third, the provision of support from the EU Cybersecurity Reserve should be consistent with the Union’s policy towards and overall relations with that country and with other Union policies in the field of security. In the context of its assessment of the compliance with that third criterion, the Commission should consult the High Representative for the alignment of the granting of such support with the common foreign and security policy.
(53)
The provision of support to DEP-associated third countries may affect relations with third countries and the Union’s security policy, including in the context of the common foreign and security policy and the common security and defence policy. Accordingly, it is appropriate for the Council to be granted implementing powers to authorise and specify the period during which such support can be provided. The Council should act on the basis of a Commission proposal, taking due account of the Commission’s assessment of the three criteria. The same should apply to renewals and to proposals to amend or repeal such acts. Where, in exceptional circumstances, the Council considers there to have been a significant change of circumstances in respect of the third criterion, the Council should be able to act on its own initiative to amend or repeal an implementing act, without awaiting a Commission proposal. Such significant changes are likely to require urgent action, to have particularly important implications for relations with third countries, and not to require detailed assessment in advance by the Commission. Moreover, the Commission should cooperate with the High Representative in respect of requests for support from DEP-associated third countries and the implementation of support granted to such third countries. The Commission should also take into account any views provided by ENISA in respect of such requests and support. The Commission should inform the Council about the outcome of the assessment of the requests, including relevant considerations made in that regard, and the services that are deployed.
(54)
The Commission communication of 18 April 2023 on the Cyber Skills Academy acknowledged the shortage of skilled professionals. Such skills are needed to pursue the objectives of this Regulation. The Union urgently needs professionals with the skills and competences to prevent, detect and deter cyberattacks and defend the Union, including its most critical infrastructure, against such attacks and ensure its resilience. To that end, it is important to encourage cooperation among stakeholders, including from the private sector, academia and public sector. It is equally important to create synergies, in all territories of the Union, for investment in education and training to promote the creation of safeguards to avoid a brain drain or the widening of the skills gap in some regions more than in others. It is urgent that the cybersecurity skills gap, with a particular focus on reducing the gender gap in the cybersecurity workforce to promote women’s presence and participation in the design of digital governance, be closed.
(55)
In order to boost the innovation in the Digital Single Market, strengthening research and innovation in cybersecurity is important, with a view to contributing to increasing the resilience of Member States and the open strategic autonomy of the Union, both of which are objectives of this Regulation. Synergies are essential to strengthen cooperation and coordination among the different stakeholders, including from the private sector, civil society and academia.
(56)
This Regulation should take into account the commitment set out in the Joint Declaration of 26 January 2022 of the European Parliament, the Council and the Commission entitled ‘European Declaration on Digital Rights and Principles for the Digital Decade’ to protect the interests of the Union’s democracies, people, businesses and public institutions against cybersecurity risks and cybercrime including data breaches and identity theft or manipulation.
(57)
In order to supplement certain non-essential elements of this Regulation, the power to adopt acts in accordance with Article 290 TFEU should be delegated to the Commission to specify the types and number of response services required for the EU Cybersecurity Reserve. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making 
(
20
)
. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States’ experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts.
(58)
In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission to specify further the detailed procedural arrangements for allocating the EU Cybersecurity Reserve support services. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
21
)
.
(59)
Without prejudice to the rules relating to the Union’s annual budget under the Treaties, the Commission should take into account the obligations arising from this Regulation when assessing the budgeting and staffing needs of ENISA.
(60)
The Commission should carry out an evaluation of the measures laid down in this Regulation on a regular basis. The first such evaluation should take place in the first 2 years after the date of entry into force of this Regulation and at least every 4 years thereafter, taking into account the timing of the revision of the multiannual financial framework established pursuant to Article 312 TFEU. The Commission should submit a report on progress made to the European Parliament and to the Council. In order to assess the different elements required, including the extent of information shared within the European Cybersecurity Alert System, the Commission should base itself exclusively on information that is readily available or voluntarily provided. Taking into consideration geopolitical developments and in order to ensure continuity and further development of the measures laid down in this Regulation beyond 2027, it is important that the Commission assess the necessity to allocate an appropriate budget in the multiannual financial framework for 2028 to 2034.
(61)
Since the objectives of this Regulation, namely to reinforce the competitive position of industry and services in the Union across the digital economy and to contribute to the Union’s technological sovereignty and open strategic autonomy in the area of cybersecurity, cannot be sufficiently achieved by the Member States but can rather, by reason of the scale or effects of the action, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 TEU. In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
GENERAL PROVISIONS
Article 1
Subject-matter and objectives
1.   This Regulation lays down measures to strengthen capacities in the Union to detect, prepare for and respond to cyber threats and incidents, in particular by establishing:
(a)
a pan-European network of cyber hubs (European Cybersecurity Alert System) to build and enhance coordinated detection and common situational awareness capabilities;
(b)
a Cybersecurity Emergency Mechanism to support Member States in preparing for, responding to, mitigating the impact of and initiating recovery from significant cybersecurity incidents and large-scale cybersecurity incidents and to support other users in responding to significant cybersecurity incidents and large-scale-equivalent cybersecurity incidents;
(c)
a European Cybersecurity Incident Review Mechanism to review and assess significant cybersecurity incidents or large-scale cybersecurity incidents.
2.   This Regulation pursues the general objectives of reinforcing the competitive position of industry and services in the Union across the digital economy, including microenterprises and small and medium-sized enterprises as well as start-ups, and of contributing to the Union’s technological sovereignty and open strategic autonomy in the area of cybersecurity, including by boosting innovation in the Digital Single Market. It pursues those objectives by strengthening solidarity at Union level, reinforcing the cybersecurity ecosystem, enhancing Member States’ cyber resilience and developing the skills, knowhow, abilities and competencies of the workforce in relation to cybersecurity.
3.   The achievement of the general objectives referred to in paragraph 2 shall be pursued through the following specific objectives:
(a)
to strengthen common coordinated Union detection capacities and common situational awareness of cyber threats and incidents;
(b)
to reinforce preparedness of entities operating in sectors of high criticality or entities operating in other critical sectors across the Union and strengthen solidarity by developing coordinated preparedness testing and enhanced response and recovery capacities to handle significant cybersecurity incidents, large-scale cybersecurity incidents or large-scale-equivalent cybersecurity incidents, including the possibility of making Union cybersecurity incident response support available for DEP-associated third countries;
(c)
to enhance the Union’s resilience and contribute to effective incident response by reviewing and assessing significant cybersecurity incidents or large-scale cybersecurity incidents, including drawing lessons learned and, where appropriate, recommendations.
4.   The actions under this Regulation shall be conducted with due respect to the Member States’ competences and shall be complementary to the activities carried out by the CSIRTs network, EU-CyCLONe and the NIS Cooperation Group.
5.   This Regulation is without prejudice to the Member States’ essential State functions, including ensuring the territorial integrity of the State, maintaining law and order and safeguarding national security. In particular, national security remains the sole responsibility of each Member State.
6.   The sharing or exchange of information under this Regulation that is confidential pursuant to Union or national rules shall be limited to that which is relevant and proportionate to the purpose of that sharing or exchange. Such sharing or exchange of information shall preserve the confidentiality of the information, and protect the security and commercial interests of the entities concerned. It shall not entail the supply of information the disclosure of which would be contrary to the Member States’ essential interests of national security, public security or defence.
Article 2
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘Cross-Border Cyber Hub’ means a multi-country platform, established by a written consortium agreement that brings together in a coordinated network structure National Cyber Hubs from at least three Member States, and that is designed to enhance the monitoring, detection and analysis of cyber threats to prevent incidents and to support the production of cyber threat intelligence, in particular through the exchange of relevant data and information, anonymised where appropriate, as well as through the sharing of state-of-the-art tools and the joint development of cyber detection, analysis, and prevention and protection capabilities in a trusted environment;
(2)
‘Hosting Consortium’ means a consortium composed of participating Member States, that have agreed to establish and to contribute to the acquisition of tools, infrastructure or services for, and the operation of, a Cross-Border Cyber Hub;
(3)
‘CSIRT’ means a CSIRT designated or established pursuant to Article 10 of Directive (EU) 2022/2555;
(4)
‘entity’ means an entity as defined in Article 6, point (38), of Directive (EU) 2022/2555;
(5)
‘entities operating in sectors of high criticality’ means the types of entity listed in Annex I to Directive (EU) 2022/2555;
(6)
‘entities operating in other critical sectors’ means the types of entity listed in Annex II to Directive (EU) 2022/2555;
(7)
‘risk’ means risk as defined in Article 6, point (9), of Directive (EU) 2022/2555;
(8)
‘cyber threat’ means a cyber threat as defined in Article 2, point (8), of Regulation (EU) 2019/881;
(9)
‘incident’ means an incident as defined in Article 6, point (6), of Directive (EU) 2022/2555;
(10)
‘significant cybersecurity incident’ means an incident fulfilling the criteria set out in Article 23(3) of Directive (EU) 2022/2555;
(11)
‘major incident’ means a major incident as defined in Article 3, point (8), of Regulation (EU, Euratom) 2023/2841 of the European Parliament and the Council 
(
22
)
;
(12)
‘large-scale cybersecurity incident’ means a large-scale cybersecurity incident as defined in Article 6, point (7), of Directive (EU) 2022/2555;
(13)
‘large-scale-equivalent cybersecurity incident’ means, in the case of Union institutions, bodies, offices and agencies, a major incident and, in the case of DEP-associated third countries, an incident which causes a level of disruption that exceeds the capacity of the DEP-associated third country concerned to respond to it;
(14)
‘DEP-associated third country’ means a third country which is party to an agreement with the Union allowing for its participation in the Digital Europe Programme pursuant to Article 10 of Regulation (EU) 2021/694;
(15)
‘contracting authority’ means the Commission or, to the extent that the operation and administration of the EU Cybersecurity Reserve has been entrusted to ENISA pursuant to Article 14(5), ENISA;
(16)
‘managed security service provider’ means a managed security service provider as defined in Article 6, point (40), of Directive (EU) 2022/2555;
(17)
‘trusted managed security service providers’ means managed security service providers selected to be included in the EU Cybersecurity Reserve in accordance with Article 17.
CHAPTER II
THE EUROPEAN CYBERSECURITY ALERT SYSTEM
Article 3
Establishment of the European Cybersecurity Alert System
1.   A pan-European network of infrastructure that consists of National Cyber Hubs and Cross-Border Cyber Hubs joining on a voluntary basis, the European Cybersecurity Alert System, shall be established to support the development of advanced capabilities for the Union to enhance detection, analysis and data processing capabilities in relation to cyber threats and the prevention of incidents in the Union.
2.   The European Cybersecurity Alert System shall:
(a)
contribute to better protection from and responses to cyber threats by supporting and cooperating with, and reinforcing the capabilities of, relevant entities, in particular CSIRTs, the CSIRTs network, EU-CyCLONe and competent authorities designated or established pursuant to Article 8(1) of Directive (EU) 2022/2555;
(b)
pool relevant data and information on cyber threats and incidents from various sources within the Cross-Border Cyber Hubs and share analysed or aggregated information through Cross-Border Cyber Hubs, where relevant with the CSIRTs network;
(c)
collect and support the production of high-quality, actionable information and cyber threat intelligence, through the use of state-of-the art tools and advanced technologies, and share that information and cyber threat intelligence;
(d)
contribute to enhancing the coordinated detection of cyber threats and common situational awareness across the Union, and to the issuing of alerts, including, where relevant, by providing concrete recommendations to entities;
(e)
provide services and activities for the cybersecurity community in the Union, including contributing to the development of advanced tools and technologies, such as artificial intelligence and data analytics tools.
3.   Actions implementing the European Cybersecurity Alert System shall be supported by funding from the Digital Europe Programme (DEP) and implemented in accordance with Regulation (EU) 2021/694, in particular Specific Objective 3 thereof.
Article 4
National Cyber Hubs
1.   Where a Member State decides to participate in the European Cybersecurity Alert System, it shall designate or, where applicable, establish a National Cyber Hub for the purposes of this Regulation.
2.   A National Cyber Hub shall be a single entity acting under the authority of a Member State. It may be a CSIRT or, where applicable, a national cyber crisis management authority or other competent authority designated or established pursuant to Article 8(1) of Directive (EU) 2022/2555, or another entity. The National Cyber Hub shall:
(a)
have the capacity to act as a reference point and gateway to other public and private organisations at national level for collecting and analysing information on cyber threats and incidents and to contribute to a Cross-Border Cyber Hub as referred to in Article 5; and
(b)
be capable of detecting, aggregating, and analysing data and information relevant to cyber threats and incidents, such as cyber threat intelligence, by using in particular state-of-the-art technologies, with the aim of preventing incidents.
3.   As part of the functions referred to in paragraph 2 of this Article, National Cyber Hubs may cooperate with private sector entities to exchange relevant data and information for the purpose of detecting and preventing cyber threats and incidents, including with sectoral and cross-sectoral communities of essential and important entities as referred to in Article 3 of Directive (EU) 2022/2555. Where appropriate and in accordance with Union and national law, the information requested or received by National Cyber Hubs may include telemetry, sensor and logging data.
4.   A Member State selected pursuant to Article 9(1) shall commit to applying for its National Cyber Hub to participate in a Cross-Border Cyber Hub.
Article 5
Cross-Border Cyber Hubs
1.   Where at least three Member States are committed to ensuring that their National Cyber Hubs work together to coordinate their cyber-detection and threat monitoring activities, those Member States may establish a Hosting Consortium for the purposes of this Regulation.
2.   A Hosting Consortium shall be composed of at least three participating Member States that have agreed to establish and contribute to the acquisition of tools, infrastructure or services for, and the operation of, a Cross-Border Cyber Hub, in accordance with paragraph 4.
3.   Where a Hosting Consortium is selected in accordance with Article 9(3), its members shall conclude a written consortium agreement which:
(a)
sets out the internal arrangements for implementing the hosting and usage agreement referred to in Article 9(3);
(b)
establishes the Hosting Consortium’s Cross-Border Cyber Hub; and
(c)
includes the specific clauses required pursuant to Article 6(1) and (2).
4.   A Cross-Border Cyber Hub shall be a multi-country platform established by a written consortium agreement as referred to in paragraph 3. It shall bring together in a coordinated network structure the National Cyber Hubs of the Hosting Consortium’s Member States. It shall be designed to enhance the monitoring, detection and analysis of cyber threats, to prevent incidents and to support the production of cyber threat intelligence, in particular through the exchange of relevant data and information, anonymised where appropriate, as well as through the sharing of state-of-the-art tools and the joint development of cyber detection, analysis, and prevention and protection capabilities in a trusted environment.
5.   A Cross-Border Cyber Hub shall be represented for legal purposes by a member of the corresponding Hosting Consortium acting as a coordinator, or by the Hosting Consortium if it has legal personality. Responsibility for compliance by the Cross-Border Cyber Hub with this Regulation and the hosting and usage agreement shall be allocated in the written consortium agreement referred to in paragraph 3.
6.   A Member State may join an existing Hosting Consortium with the agreement of the Hosting Consortium members. The written consortium agreement referred to in paragraph 3 and the hosting and usage agreement shall be modified accordingly. This shall not affect the ownership rights of the European Cybersecurity Industrial, Technology and Research Competence Centre (ECCC) over the tools, infrastructure or services already jointly procured with that Hosting Consortium.
Article 6
Cooperation and information sharing within and between Cross-Border Cyber Hubs
1.   Members of a Hosting Consortium shall ensure that their National Cyber Hubs share, in accordance with the written consortium agreement referred to in Article 5(3), relevant information, anonymised where appropriate, such as information relating to cyber threats, near misses, vulnerabilities, techniques and procedures, indicators of compromise, adversarial tactics, threat-actor-specific information, cybersecurity alerts and recommendations regarding the configuration of cybersecurity tools to detect cyberattacks, among themselves within the Cross-Border Cyber Hub where such information sharing:
(a)
fosters and enhances the detection of cyber threats and reinforces the capabilities of the CSIRTs network to prevent and respond to incidents or to mitigate their impact;
(b)
enhances the level of cybersecurity, for example through raising awareness in relation to cyber threats, limiting or impeding the ability of such threats to spread, supporting a range of defensive capabilities, vulnerability remediation and disclosure, threat detection, containment and prevention techniques, mitigation strategies, response and recovery stages or promoting collaborative threat research between public and private entities.
2.   The written consortium agreement referred to in Article 5(3) shall establish:
(a)
a commitment to share among the members of the Hosting Consortium information as referred to in paragraph 1 and the conditions under which that information is to be shared;
(b)
a governance framework clarifying and incentivising the sharing by all participants of relevant information, anonymised where appropriate, as referred to in paragraph 1;
(c)
targets for contribution to the development of advanced tools and technologies, such as artificial intelligence and data analytics tools.
The written consortium agreement may specify that the information referred to in paragraph 1 is to be shared in accordance with Union and national law.
3.   Cross-Border Cyber Hubs shall conclude cooperation agreements with one another, specifying interoperability and information-sharing principles among the Cross-Border Cyber Hubs. Cross-Border Cyber Hubs shall inform the Commission about the cooperation agreements concluded.
4.   Information sharing as referred to in paragraph 1 between Cross-Border Cyber Hubs shall be ensured by a high level of interoperability. To support such interoperability, ENISA shall, in close consultation with the Commission, without undue delay and in any event by 5 February 2026, issue interoperability guidelines specifying in particular information-sharing formats and protocols, taking into account international standards and best practices, as well as the functioning of any established Cross-Border Cyber Hubs. Interoperability requirements provided for in the cooperation agreements of Cross-Border Cyber Hubs shall be based on the guidelines issued by ENISA.
Article 7
Cooperation and information sharing with Union-level networks
1.   Cross-Border Cyber Hubs and the CSIRTs network shall cooperate closely, in particular for the purpose of sharing information. To that end, they shall agree on procedural arrangements on cooperation and sharing of relevant information and, without prejudice to paragraph 2, on the types of information to be shared.
2.   Where the Cross-Border Cyber Hubs obtain information relating to a potential or ongoing large-scale cybersecurity incident, they shall ensure, for the purposes of common situational awareness, that relevant information as well as early warnings are provided to Member States’ authorities and the Commission through EU-CyCLONe and the CSIRTs network without undue delay.
Article 8
Security
1.   Member States participating in the European Cybersecurity Alert System shall ensure a high level of cybersecurity, including confidentiality and data security, as well as physical security of the European Cybersecurity Alert System network, and shall ensure that the network is adequately managed and controlled in such a way as to protect it from threats and to ensure its security and that of the systems, including that of data and information shared through the network.
2.   Member States participating in the European Cybersecurity Alert System shall ensure that the sharing of information referred to in Article 6(1) within the European Cybersecurity Alert System with any entity other than a public authority or body of a Member State does not negatively affect the security interests of the Union or of the Member States.
Article 9
Funding of the European Cybersecurity Alert System
1.   Following a call for expressions of interest for Member States intending to participate in the European Cybersecurity Alert System, the ECCC shall select Member States to take part with the ECCC in the joint procurement of tools, infrastructure or services in order to set up, or enhance the capabilities of, National Cyber Hubs designated or established pursuant to Article 4(1). The ECCC may award to the selected Member States grants to fund the operation of such tools, infrastructure or services. The Union financial contribution shall cover up to 50 % of the acquisition costs of the tools, infrastructure or services and up to 50 % of the operational costs. The selected Member States shall cover the remaining costs. Before launching the procedure for the acquisition of tools, infrastructure or services, the ECCC and the selected Member States shall conclude a hosting and usage agreement regulating the usage of the tools, infrastructure or services.
2.   Where a Member State’s National Cyber Hub is not a participant in a Cross-Border Cyber Hub within 2 years of the date on which the tools, infrastructure or services were acquired, or on which it received grant funding, whichever occurred sooner, the Member State shall not be eligible for additional Union support under this Chapter until it has joined a Cross-Border Cyber Hub.
3.   Following a call for expressions of interest, a Hosting Consortium shall be selected by the ECCC to participate in a joint procurement of tools, infrastructure or services with the ECCC. The ECCC may award a grant to the Hosting Consortium to fund the operation of the tools, infrastructure or services. The Union financial contribution shall cover up to 75 % of the acquisition costs of the tools, infrastructure or services, and up to 50 % of the operational costs. The Hosting Consortium shall cover the remaining costs. Before launching the procedure for the acquisition of tools, infrastructure or services, the ECCC and the Hosting Consortium shall conclude a hosting and usage agreement regulating the usage of the tools, infrastructure or services.
4.   The ECCC shall prepare, at least every 2 years, a mapping of the tools, infrastructure or services necessary and of adequate quality to establish, or enhance the capabilities of, National Cyber Hubs and Cross-Border Cyber Hubs, and their availability, including from legal entities established or deemed to be established in Member States and controlled by Member States or by nationals of Member States. When preparing the mapping, the ECCC shall consult the CSIRTs network, any existing Cross-Border Cyber Hubs, ENISA and the Commission.
CHAPTER III
CYBERSECURITY EMERGENCY MECHANISM
Article 10
Establishment of the Cybersecurity Emergency Mechanism
1.   A Cybersecurity Emergency Mechanism is established to support the improvement of the Union’s resilience to cyber threats and the preparation for and mitigation of, in a spirit of solidarity, the short-term impact of significant cybersecurity incidents, large-scale cybersecurity incidents and large-scale-equivalent cybersecurity incidents.
2.   In the case of the Member States, actions under the Cybersecurity Emergency Mechanism shall be provided upon request and shall be complementary to Member States’ efforts and actions to prepare for, respond to and recover from incidents.
3.   The actions implementing the Cybersecurity Emergency Mechanism shall be supported by funding from the DEP and shall be implemented in accordance with Regulation (EU) 2021/694, in particular Specific Objective 3 thereof.
4.   The actions under the Cybersecurity Emergency Mechanism shall be implemented primarily through the ECCC in accordance with Regulation (EU) 2021/887. However, actions implementing the EU Cybersecurity Reserve as referred to in Article 11, point (b), of this Regulation shall be implemented by the Commission and ENISA.
Article 11
Types of action
The Cybersecurity Emergency Mechanism shall support the following types of action:
(a)
preparedness actions, namely:
(i)
the coordinated preparedness testing of entities operating in sectors of high criticality across the Union as specified in Article 12;
(ii)
other preparedness actions for entities operating in sectors of high criticality or entities operating in other critical sectors, as specified in Article 13;
(b)
actions supporting response to and initiating recovery from significant cybersecurity incidents, large-scale cybersecurity incidents and large-scale-equivalent cybersecurity incidents, to be provided by trusted managed security service providers participating in the EU Cybersecurity Reserve established under Article 14;
(c)
actions supporting mutual assistance as referred to in Article 18.
Article 12
Coordinated preparedness testing of entities
1.   The Cybersecurity Emergency Mechanism shall support the voluntary coordinated preparedness testing of entities operating in sectors of high criticality.
2.   The coordinated preparedness testing may consist of preparedness activities, such as penetration testing, and threat assessment.
3.   Support for preparedness actions under this Article shall be provided to Member States primarily in the form of grants and subject to the conditions provided for in the relevant work programmes as referred to in Article 24 of Regulation (EU) 2021/694.
4.   For the purpose of supporting the coordinated preparedness testing of entities referred to in Article 11, point (a)(i), of this Regulation across the Union, the Commission shall, after consulting the NIS Cooperation Group, EU-CyCLONe and ENISA, identify the sectors or sub-sectors concerned from the sectors of high criticality listed in Annex I to Directive (EU) 2022/2555 for which a call for proposals to award grants may be issued. The participation of Member States in those calls for proposals is voluntary.
5.   When identifying the sectors or sub-sectors referred to in paragraph 4, the Commission shall take into account coordinated risk assessments and resilience testing at Union level and the results thereof.
6.   The NIS Cooperation Group in cooperation with the Commission, the High Representative of the Union for Foreign Affairs and Security Policy (the ‘High Representative’) and ENISA, and, within the remit of its mandate, EU-CyCLONe, shall develop common risk scenarios and methodologies for the coordinated preparedness testing referred to in Article 11, point (a)(i), and, where appropriate, for other preparedness actions referred to in point (a)(ii) of that Article.
7.   Where an entity operating in a sector of high criticality participates voluntarily in coordinated preparedness testing and that testing results in recommendations for specific measures, which the participating entity could integrate into a remediation plan, the Member State authority responsible for the coordinated preparedness testing shall, where appropriate, review the follow-up of those measures by the participating entities with a view to reinforcing preparedness.
Article 13
Other preparedness actions
1.   The Cybersecurity Emergency Mechanism shall support preparedness actions not covered by Article 12. Such actions shall include preparedness actions for entities in sectors not identified for coordinated preparedness testing pursuant to Article 12. Such actions may support vulnerability monitoring, risk monitoring, exercises and training.
2.   Support for preparedness actions under this Article shall be provided to Member States upon request and primarily in the form of grants and subject to the conditions provided for in the relevant work programmes as referred to in Article 24 of Regulation (EU) 2021/694.
Article 14
Establishment of the EU Cybersecurity Reserve
1.   An EU Cybersecurity Reserve is established in order to assist, upon request, users as referred to in paragraph 3, in responding to, or providing support for a response to, significant cybersecurity incidents, large-scale cybersecurity incidents or large-scale-equivalent cybersecurity incidents, and initiating recovery from such incidents.
2.   The EU Cybersecurity Reserve shall consist of response services from trusted managed security service providers selected in accordance with the criteria laid down in Article 17(2). The EU Cybersecurity Reserve may include pre-committed services. The pre-committed services of a trusted managed security service provider shall be convertible into preparedness services related to incident prevention and response where those pre-committed services are not used for incident response during the time for which those services are pre-committed. The EU Cybersecurity Reserve shall be deployable, upon request, in all Member States, in Union institutions, bodies, offices and agencies, and in DEP-associated third countries as referred to in Article 19(1).
3.   The users of the services provided by the EU Cybersecurity Reserve shall consist of the following:
(a)
Member States’ cyber crisis management authorities and CSIRTs as referred to, respectively, in Article 9(1) and (2) and Article 10 of Directive (EU) 2022/2555;
(b)
CERT-EU in accordance with Article 13 of Regulation (EU, Euratom) 2023/2841;
(c)
competent authorities such as computer security incident response teams and cyber crisis management authorities of DEP-associated third countries in accordance with Article 19(8).
4.   The Commission shall have overall responsibility for the implementation of the EU Cybersecurity Reserve. The Commission shall determine the priorities and the evolution of the EU Cybersecurity Reserve in coordination with the NIS Cooperation Group and, in line with the requirements of the users referred to in paragraph 3, shall supervise its implementation and shall ensure complementarity, consistency, synergies and links with other support actions under this Regulation as well as with other Union actions and programmes. Those priorities shall be reviewed and, if appropriate, revised every 2 years. The Commission shall inform the European Parliament and the Council of those priorities and any revisions thereof.
5.   Without prejudice to the Commission’s overall responsibility for the implementation of the EU Cybersecurity Reserve referred to in paragraph 4 of this Article and subject to a contribution agreement as defined in Article 2, point (19), of Regulation (EU, Euratom) 2024/2509, the Commission shall entrust the operation and administration of the EU Cybersecurity Reserve, in full or in part, to ENISA. Aspects not entrusted to ENISA shall remain subject to direct management by the Commission.
6.   ENISA shall prepare, at least every 2 years, a mapping of the services needed by the users referred to in paragraph 3, points (a) and (b), of this Article. The mapping shall also include the availability of such services, including from legal entities established or deemed to be established in Member States and controlled by Member States or by nationals of Member States. In mapping that availability, ENISA shall assess the skills and capacity of the Union cybersecurity workforce relevant to the objectives of the EU Cybersecurity Reserve. When preparing the mapping, ENISA shall consult the NIS Cooperation Group, EU-CyCLONe, the Commission and, where applicable, the Interinstitutional Cybersecurity Board established pursuant to Article 10 of Regulation (EU, Euratom) 2023/2841 (IICB). In mapping the availability of services, ENISA shall also consult relevant cybersecurity industry stakeholders, including managed security service providers. ENISA shall prepare a similar mapping, after informing the Council and after consulting EU-CyCLONe, the Commission and, where relevant, the High Representative, to identify the needs of users referred to in paragraph 3, point (c), of this Article.
7.   The Commission is empowered to adopt delegated acts in accordance with Article 23 to supplement this Regulation by specifying the types and the number of response services required for the EU Cybersecurity Reserve. When preparing those delegated acts, the Commission shall take into account the mapping referred to in paragraph 6 of this Article and may exchange advice and cooperate with the NIS Cooperation Group and ENISA.
Article 15
Requests for support from the EU Cybersecurity Reserve
1.   The users referred to in Article 14(3) may request services from the EU Cybersecurity Reserve to support response to and initiate recovery from significant cybersecurity incidents, large-scale cybersecurity incidents or large-scale-equivalent cybersecurity incidents.
2.   To receive support from the EU Cybersecurity Reserve, the users referred to in Article 14(3) shall take all appropriate measures to mitigate the effects of the incident for which the support is requested, including, where relevant, the provision of direct technical assistance, and other resources to assist the response to the incident, and recovery efforts.
3.   Requests for support shall be transmitted to the contracting authority as follows:
(a)
in the case of the users referred to in Article 14(3), point (a), of this Regulation, via the single point of contact designated or established pursuant to Article 8(3) of Directive (EU) 2022/2555;
(b)
in the case of the user referred to in Article 14(3), point (b), by that user;
(c)
in the case of the users referred to in Article 14(3), point (c), via the single point of contact referred to in Article 19(9).
4.   In the case of requests from the users referred to in Article 14(3), point (a), Member States shall inform the CSIRTs network, and, where appropriate, EU-CyCLONe, about their users’ requests for incident response and initial recovery support pursuant to this Article.
5.   Requests for incident response and initial recovery support shall include:
(a)
appropriate information regarding the entity affected and the potential impact of the incident on:
(i)
in the case of users referred to in Article 14(3), point (a), the Member States and users affected, including the risk of spillover to another Member State;
(ii)
in the case of the user referred to in Article 14(3), point (b), the Union institutions, bodies, offices or agencies affected,
(iii)
in the case of users referred to in Article 14(3), point (c), the DEP-associated countries affected;
(b)
information regarding the requested service, together with the planned use of the requested support, including an indication of the estimated needs;
(c)
appropriate information about measures taken to mitigate the incident for which the support is requested, as referred to in paragraph 2;
(d)
where relevant, available information about other forms of support available to the entity affected.
6.   ENISA, in cooperation with the Commission and EU-CyCLONe, shall develop a template to facilitate the submission of requests for support from the EU Cybersecurity Reserve.
7.   The Commission may, by means of implementing acts, specify further the detailed procedural arrangements for the way in which the EU Cybersecurity Reserve support services are to be requested and the way in which those requests are to be responded to pursuant to this Article, to Article 16(1) and to Article 19(10), including arrangements for submitting such requests and delivering the responses and templates for the reports referred to in Article 16(9). Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 24(2).
Article 16
Implementation of the support from the EU Cybersecurity Reserve
1.   In the case of requests from users referred to in Article 14(3), points (a) and (b), requests for support from the EU Cybersecurity Reserve shall be assessed by the contracting authority. A response shall be transmitted to the users referred to in Article 14(3), points (a) and (b), without delay and in any event no later than 48 hours from the submission of the request to ensure effectiveness of the support. The contracting authority shall inform the Council and the Commission of the results of the process.
2.   As regards information shared in the course of requesting and providing the services of the EU Cybersecurity Reserve, all parties involved in the application of this Regulation shall:
(a)
limit the use and sharing of that information to what is necessary to discharge their obligations or functions under this Regulation;
(b)
use and share any information that is confidential or classified pursuant to Union and national law only in accordance with that law; and
(c)
ensure effective, efficient and secure information exchange, where appropriate by using and respecting relevant information-sharing protocols including the traffic light protocol.
3.   In assessing individual requests under Article 16(1) and Article 19(10), the contracting authority or the Commission, as applicable, shall first assess whether the criteria referred to in Article 15(1) and (2) are fulfilled. If that is the case, it shall assess the duration and nature of support that is appropriate, having regard to the objective referred to in Article 1(3), point (b), and the following criteria, where relevant:
(a)
the scale and severity of the incident;
(b)
the type of entity affected, with higher priority given to incidents affecting essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555;
(c)
the potential impact of the incident on the affected Member States, Union institutions, bodies, offices or agencies, or DEP-associated third countries;
(d)
the potential cross-border nature of the incident and the risk of spillover to other Member States, Union institutions, bodies, offices or agencies, or DEP-associated third countries;
(e)
the measures taken by the user to assist the response, and initial recovery efforts, as referred in Article 15(2).
4.   To prioritise requests, in the case of concurrent requests from users referred to in Article 14(3), the criteria referred to in paragraph 3 of this Article shall be taken into account, where relevant, without prejudice to the principle of sincere cooperation between Member States and Union institutions, bodies, offices and agencies. Where two or more requests are assessed as equal under those criteria, higher priority shall be given to requests from Member State users. Where the operation and administration of the EU Cybersecurity Reserve has been entrusted, in full or in part, to ENISA pursuant to Article 14(5), ENISA and the Commission shall closely cooperate to prioritise requests in accordance with this paragraph.
5.   The EU Cybersecurity Reserve services shall be provided in accordance with specific agreements between the trusted managed security service provider and the user to which the support under the EU Cybersecurity Reserve is provided. Those services may be provided in accordance with specific agreements between the trusted managed security service provider, the user and the entity affected. All agreements referred to in this paragraph shall include, inter alia, liability conditions.
6.   The agreements referred to in paragraph 5 shall be based on templates prepared by ENISA, after consulting Member States and, where appropriate, other users of the EU Cybersecurity Reserve.
7.   The Commission, ENISA and the users of the EU Cybersecurity Reserve shall bear no contractual liability for damage caused to third parties by the services provided in the framework of the implementation of the EU Cybersecurity Reserve.
8.   Users may use the EU Cybersecurity Reserve services provided in response to a request under Article 15(1) only in order to support response to and initiate recovery from significant cybersecurity incidents, large-scale cybersecurity incidents or large-scale-equivalent cybersecurity incidents. They may use those services only in respect of:
(a)
entities operating in sectors of high criticality or entities operating in other critical sectors, in the case of users referred to in Article 14(3), point (a), and equivalent entities in the case of users referred to in Article 14(3), point (c); and
(b)
Union institutions, bodies, offices and agencies, in the case of the user referred to in Article 14(3), point (b).
9.   Within 2 months of the end of a support, users that have received support shall provide a summary report about the service provided, the results achieved and the lessons learned, to:
(a)
the Commission, ENISA, the CSIRTs network and EU-CyCLONe in the case of users referred to in Article 14(3), point (a);
(b)
the Commission, ENISA and the IICB in the case of the user referred to in Article 14(3), point (b);
(c)
the Commission in the case of users referred to in Article 14(3), point (c).
The Commission shall transmit any summary report received from users referred to in Article 14(3) pursuant to the first subparagraph, point (c), of this paragraph, to the Council and the High Representative.
10.   Where the operation and administration of the EU Cybersecurity Reserve has been entrusted, in full or in part, to ENISA pursuant to Article 14(5) of this Regulation, ENISA shall report to and consult the Commission on a regular basis in that respect. In that context, ENISA shall immediately send to the Commission any requests it receives from users referred to in Article 14(3), point (c), of this Regulation and, where required for the purposes of prioritisation under this Article, any requests it has received from users referred to in Article 14(3), point (a) or (b), of this Regulation. The obligations in this paragraph shall be without prejudice to Article 14 of Regulation (EU) 2019/881.
11.   In the case of users referred in Article 14(3), points (a) and (b), the contracting authority shall report to the NIS Cooperation Group, on a regular basis and at least twice per year, about the use and the results of the support.
12.   In the case of users referred to in Article 14(3), point (c), the Commission shall report to the Council and inform the High Representative on a regular basis and at least twice per year, about the use and the results of the support.
Article 17
Trusted managed security service providers
1.   In procurement procedures for the purpose of establishing the EU Cybersecurity Reserve, the contracting authority shall act in accordance with the principles laid down in Regulation (EU, Euratom) 2024/2509 and in accordance with the following principles:
(a)
ensure that the services included in the EU Cybersecurity Reserve, when taken as a whole, are such that the EU Cybersecurity Reserve includes services that may be deployed in all Member States, taking into account in particular national requirements for the provision of such services, including on languages, certification or accreditation;
(b)
ensure the protection of the essential security interests of the Union and its Member States;
(c)
ensure that the EU Cybersecurity Reserve brings Union added value, by contributing to the objectives set out in Article 3 of Regulation (EU) 2021/694, including promoting the development of cybersecurity skills in the Union.
2.   When procuring services for the EU Cybersecurity Reserve, the contracting authority shall include in the procurement documents the following criteria and requirements:
(a)
the provider shall demonstrate that its personnel has the highest degree of professional integrity, independence, responsibility, and the requisite technical competence to perform the activities in their specific field, and ensures the permanence and continuity of expertise as well as the required technical resources;
(b)
the provider, and any relevant subsidiaries and subcontractors, shall comply with applicable rules on the protection of classified information and shall have in place appropriate measures, including, where relevant, agreements between one another, to protect confidential information relating to the service, and in particular evidence, findings and reports;
(c)
the provider shall provide sufficient proof that its governing structure is transparent, not likely to compromise its impartiality and the quality of its services or to cause conflicts of interest;
(d)
the provider shall have appropriate security clearance, at least for personnel intended for service deployment, where required by a Member State;
(e)
the provider shall have the relevant level of security for its IT systems;
(f)
the provider shall be equipped with the hardware and software necessary to support the requested service, which shall not contain known exploitable vulnerabilities, shall include the latest security updates and shall in any case comply with any applicable provision of Regulation (EU) 2024/2847 of the European Parliament and of the Council 
(
23
)
;
(g)
the provider shall be able to demonstrate that it has experience in delivering similar services to relevant national authorities, entities operating in sectors of high criticality or entities operating in other critical sectors;
(h)
the provider shall be able to provide the service within a short timeframe in the Member States where it can deliver the service;
(i)
the provider shall be able to provide the service in one or more official languages of the Union institutions or of a Member State as required, if any, by the Member States or users referred to in Articles 14(3), points (b) and (c), where the provider can deliver the service;
(j)
once an European cybersecurity certification scheme for managed security services pursuant to Regulation (EU) 2019/881 is in place, the provider shall be certified in accordance with that scheme within 2 years from the date of application of the scheme;
(k)
the provider shall include in the tender the conversion conditions for any unused incident response service that could be converted into preparedness services closely related to incident response, such as exercises or training.
3.   For the purpose of procuring services for the EU Cybersecurity Reserve, the contracting authority may, where appropriate, develop criteria and requirements in addition to those referred to in paragraph 2, in close cooperation with Member States.
Article 18
Actions supporting mutual assistance
1.   The Cybersecurity Emergency Mechanism shall provide support for technical assistance from one Member State to another Member State affected by a significant cybersecurity incident or a large-scale cybersecurity incident, including in cases referred to in Article 11(3), point (f), of Directive (EU) 2022/2555.
2.   The support for the technical mutual assistance referred to in paragraph 1 of this Article shall be provided in the form of grants and subject to the conditions provided for in the relevant work programmes as referred to in Article 24 of Regulation (EU) 2021/694.
Article 19
Support to DEP-associated third countries
1.   A DEP-associated third country may request support from the EU Cybersecurity Reserve where the agreement through which it is associated to the DEP provides for participation in the EU Cybersecurity Reserve. That agreement shall include provisions requiring the DEP-associated third country concerned to comply with the obligations set out in paragraphs 2 and 9 of this Article. For the purposes of the participation of a third country in the EU Cybersecurity Reserve, the partial association of a third country to the DEP may include an association limited to the operational objective referred to in Article 6(1), point (g), of Regulation (EU) 2021/694.
2.   Within 3 months of the conclusion of the agreement referred to in paragraph 1 and in any event prior to receiving any support from the EU Cybersecurity Reserve, the DEP-associated third country shall provide to the Commission information about its cyber resilience and risk management capabilities, including at least information on national measures taken to prepare for significant cybersecurity incidents or large-scale-equivalent cybersecurity incidents, as well as information on responsible national entities, including computer security incident response teams or equivalent entities, their capabilities and the resources allocated to them. The DEP-associated third country shall provide updates of that information on a regular basis and at least once a year. The Commission shall provide the High Representative and ENISA with that information for the purposes of facilitating the application of paragraph 11.
3.   The Commission shall assess regularly, and at least once a year, the following criteria in respect of each DEP-associated third country referred to in paragraph 1:
(a)
whether that country is complying with the terms of the agreement referred to in paragraph 1, insofar as those terms relate to participation in the EU Cybersecurity Reserve;
(b)
whether that country has taken adequate steps to prepare for significant cybersecurity incidents or large-scale-equivalent cybersecurity incidents, based on the information referred to in paragraph 2; and
(c)
whether the provision of support is consistent with the Union’s policy towards and overall relations with that country and whether it is consistent with other Union policies in the field of security.
The Commission shall consult the High Representative when conducting the assessment referred to in the first subparagraph, with regard to the criterion referred to in point (c) of that subparagraph.
Where the Commission concludes that a DEP-associated third country meets all of the conditions referred to in the first subparagraph, the Commission shall submit a proposal to the Council to adopt an implementing act in accordance with paragraph 4 authorising the provision of support from the EU Cybersecurity Reserve to that country.
4.   The Council may adopt the implementing acts referred to in paragraph 3. Those implementing acts shall apply for a maximum of one year. They may be renewed. They may include a limit of no less than 75 days on the number of days for which support can be provided in response to a single request.
For the purposes of this Article, the Council shall act expeditiously and shall, as a rule, adopt the implementing acts referred to in this paragraph within eight weeks of the adoption of the relevant Commission proposal pursuant to paragraph 3, third subparagraph.
5.   The Council may amend or repeal an implementing act adopted pursuant to paragraph 4 at any time, acting on a proposal of the Commission.
Where the Council considers there to have been a significant change concerning the criterion referred to in paragraph 3, first subparagraph, point (c), the Council may amend or repeal an implementing act adopted pursuant to paragraph 4 acting on the duly reasoned initiative of one or more Member States.
6.   In the exercise of its implementing powers under this Article, the Council shall apply the criteria referred to in paragraph 3, first subparagraph, and shall explain its assessment of those criteria. In particular, where it acts on its own initiative pursuant to paragraph 5, second subparagraph, the Council shall explain the significant change referred to in that subparagraph.
7.   Support from the EU Cybersecurity Reserve to a DEP-associated third country shall comply with any specific conditions laid down in the agreement referred to in paragraph 1.
8.   Users from DEP-associated third countries eligible to receive services from the EU Cybersecurity Reserve shall include competent authorities such as computer security incident and response teams or equivalent entities and cyber crisis management authorities.
9.   Each DEP-associated third country eligible for support from the EU Cybersecurity Reserve shall designate an authority to act as a single point of contact for the purposes of this Regulation.
10.   Requests for support from the EU Cybersecurity Reserve under this Article shall be assessed by the Commission. The contracting authority may provide support to a third country only where, and for so long as, a Council implementing act authorising such support in respect of that country adopted pursuant to paragraph 4 of this Article is in force. A response shall be transmitted to the users referred to in Article 14(3), point (c), without undue delay.
11.   Upon receipt of a request for support under this Article, the Commission shall immediately inform the Council. The Commission shall keep the Council informed of the assessment of the request. The Commission shall also cooperate with the High Representative about the requests received and the implementation of the support granted to DEP-associated third countries from the EU Cybersecurity Reserve. Additionally, the Commission shall also take into account any views provided by ENISA in respect of those requests.
Article 20
Coordination with Union crisis management mechanisms
1.   Where a significant cybersecurity incident, a large-scale cybersecurity incident or a large-scale-equivalent cybersecurity incident originates from or results in a disaster as defined in Article 4, point (1), of Decision No 1313/2013/EU, the support provided under this Regulation for responding to such incident shall complement actions under, and be without prejudice to, that Decision.
2.   In the event of a large-scale cybersecurity incident or a large-scale-equivalent cybersecurity incident where the EU Integrated Political Crisis Response Arrangements under Implementing Decision (EU) 2018/1993 (IPCR Arrangements) are activated, support provided under this Regulation for responding to such incident shall be handled in accordance with the relevant procedures under the IPCR Arrangements.
CHAPTER IV
EUROPEAN CYBERSECURITY INCIDENT REVIEW MECHANISM
Article 21
European Cybersecurity Incident Review Mechanism
1.   At the request of the Commission or EU-CyCLONe, ENISA shall, with the support of the CSIRTs network and with the approval of the Member States concerned, review and assess cyber threats, known exploitable vulnerabilities and mitigation actions with respect to a specific significant cybersecurity incident or large-scale cybersecurity incident. Following the completion of a review and assessment of an incident and with the aim of drawing lessons learned to avoid or mitigate future incidents, ENISA shall deliver an incident review report to EU-CyCLONe, the CSIRTs network, the Member States concerned and the Commission to support them in carrying out their tasks, in particular the tasks set out in Articles 15 and 16 of Directive (EU) 2022/2555. Where an incident has an impact on a DEP-associated third country, ENISA shall provide the report to the Council. In such cases, the Commission shall provide the report to the High Representative.
2.   To prepare the incident review report referred to in paragraph 1 of this Article, ENISA shall cooperate with and gather feedback from all relevant stakeholders, including representatives of Member States, the Commission, other relevant Union institutions, bodies, offices and agencies, industry, including managed security services providers, and users of cybersecurity services. Where appropriate, ENISA shall, in cooperation with CSIRTs and, where relevant, the competent authorities designated or established pursuant to Article 8(1) of Directive (EU) 2022/2555, also cooperate with entities affected by significant cybersecurity incidents or large-scale cybersecurity incidents. Consulted representatives shall disclose any potential conflict of interest.
3.   The incident review report referred to in paragraph 1 of this Article shall cover a review and analysis of the specific significant cybersecurity incident or large-scale cybersecurity incident, including the main causes, known exploitable vulnerabilities and lessons learned. ENISA shall ensure that the report complies with Union or national law concerning the protection of sensitive or classified information. If the relevant Member States or other users referred to in Article 14(3) that are affected by the incident so request, the data and information contained in the report shall be anonymised. It shall not include any details about actively exploited vulnerabilities that remain unpatched.
4.   Where appropriate, the incident review report shall draw recommendations to improve the Union’s cyber posture and may include best practices and lessons learned from relevant stakeholders.
5.   ENISA may issue a publicly available version of the incident review report. That version of the report shall include only reliable public information, or other reliable information with the consent of the Member States concerned and, as regards information relating to a user as referred to in Article 14(3), point (b) or (c), with the consent of that user.
CHAPTER V
FINAL PROVISIONS
Article 22
Amendments to Regulation (EU) 2021/694
Regulation (EU) 2021/694 is amended as follows:
(1)
Article 6 is amended as follows:
(a)
paragraph 1 is amended as follows:
(i)
the following point is inserted:
‘(aa)
support the development of the European Cybersecurity Alert System established by Article 3 of Regulation (EU) 2025/38 of the European Parliament and of the Council
 (
*1
)
 (the “European Cybersecurity Alert System”), including the development, deployment and operation of National Cyber Hubs and Cross-Border Cyber Hubs that contribute to situational awareness in the Union and to enhancing the cyber threat intelligence capacities of the Union;
(
*1
)
  Regulation (EU) 2025/38 of the European Parliament and of the Council of 19 December 2024 laying down measures to strengthen solidarity and capacities in the Union to detect, prepare for and respond to cyber threats and incidents and amending Regulation (EU) 2021/694 (Cyber Solidarity Act) (
OJ L, 2025/38, 15.1.2025, ELI: http://data.europa.eu/eli/reg/2025/38/oj
).’;"
(ii)
the following point is added:
‘(g)
establish and operate the Cybersecurity Emergency Mechanism established by Article 10 of Regulation (EU) 2025/38, including the EU Cybersecurity Reserve established by Article 14 of that Regulation (the “EU Cybersecurity Reserve”), to support Member States in preparing for and responding to significant cybersecurity incidents and large-scale cybersecurity incidents that is complementary to national resources and capabilities and other forms of support available at Union level, and to support other users in responding to significant cybersecurity incidents and large-scale-equivalent cybersecurity incidents;’
;
(b)
paragraph 2 is replaced by the following:
‘2.   The actions under Specific Objective 3 shall be implemented primarily through the European Cybersecurity Industrial, Technology and Research Competence Centre and the Network of National Coordination Centres in accordance with Regulation (EU) 2021/887 of the European Parliament and of the Council
 (
*2
)
. However, the EU Cybersecurity Reserve shall be implemented by the Commission and, in accordance with Article 14(6) of Regulation (EU) 2025/38, by ENISA.
(
*2
)
  Regulation (EU) 2021/887 of the European Parliament and of the Council of 20 May 2021 establishing the European Cybersecurity Industrial, Technology and Research Competence Centre and the Network of National Coordination Centres (
OJ L 202, 8.6.2021, p. 1
).’."
(2)
Article 9 is amended as follows:
(a)
in paragraph 2, points (b), (c) and (d) are replaced by the following:
‘(b)
EUR 1 760 806 000 for Specific Objective 2 – Artificial Intelligence;
(c)
EUR 1 372 020 000 for Specific Objective 3 – Cybersecurity and Trust;
(d)
EUR 482 640 000 for Specific Objective 4 – Advanced Digital Skills;’
;
(b)
the following paragraph is added:
‘8.   By way of derogation from Article 12(1) of the Financial Regulation, unused commitment and payment appropriations for actions in the context of the implementation of the EU Cybersecurity Reserve and the actions supporting mutual assistance pursuant to Regulation 2025/38, pursuing the objectives set out in Article 6(1), point (g), of this Regulation shall be automatically carried over and may be committed and paid up to 31 December of the following financial year. The European Parliament and the Council shall be informed of appropriations carried over pursuant to Article 12(6) of the Financial Regulation.’
;
(3)
Article 12 is amended as follows:
(a)
the following paragraphs are inserted:
‘5a.   Paragraph 5 shall not apply, insofar as concerns legal entities that are established in the Union but are controlled from third countries, to any action implementing the European Cybersecurity Alert System where both of the following conditions are fulfilled in respect of the action concerned:
(a)
there is a real risk, taking into account the results of the mapping carried out pursuant to Article 9(4) of Regulation (EU) 2025/38, that the tools, infrastructure or services necessary and sufficient for that action to adequately contribute to the objective of the European Cybersecurity Alert System will not be available from legal entities established or deemed to be established in Member States and controlled by Member States or by nationals of Member States;
(b)
the security risk of procuring from such legal entities within the European Cybersecurity Alert System is proportionate to the benefits and does not undermine the essential security interests of the Union and its Member States.
5b.   Paragraph 5 shall not apply, insofar as concerns legal entities that are established in the Union but are controlled from third countries, to any action implementing the EU Cybersecurity Reserve where both of the following conditions are fulfilled in respect of the action concerned:
(a)
there is a real risk, taking into account the results of the mapping carried out pursuant to Article 14(6) of Regulation (EU) 2025/38, that the technology, expertise or capacity necessary and sufficient for the EU Cybersecurity Reserve to adequately perform its functions will not be available from legal entities established or deemed to be established in Member States and controlled by Member States or by nationals of Member States;
(b)
the security risk of including such legal entities within the EU Cybersecurity Reserve is proportionate to the benefits and does not undermine the essential security interests of the Union and its Member States.’
;
(b)
paragraph 6 is replaced by the following:
‘6.   If duly justified for security reasons, the work programme may also provide that legal entities established in associated countries and legal entities that are established in the Union but are controlled from third countries may be eligible to participate in all or some actions under Specific Objectives 1 and 2 only if they comply with the requirements to be fulfilled by those legal entities to guarantee the protection of the essential security interests of the Union and the Member States and to ensure the protection of classified documents information. Those requirements shall be set out in the work programme.
The first subparagraph shall also apply, insofar as concerns legal entities that are established in the Union but are controlled from third countries, to actions under Specific Objective 3:
(a)
to implement the European Cybersecurity Alert System where paragraph 5a applies; and
(b)
to implement the EU Cybersecurity Reserve where paragraph 5b applies.’
;
(4)
in Article 14, paragraph 2 is replaced by the following:
‘2.   The Programme may provide funding in any of the forms laid down in the Financial Regulation, including in particular through procurement as a primary form, or grants and prizes.
Where the achievement of the objective of an action requires the procurement of innovative goods and services, grants may be awarded only to beneficiaries that are contracting authorities or contracting entities as defined in Directives 2014/24/EU
 (
*3
)
 and 2014/25/EU
 (
*4
)
 of the European Parliament and of the Council.
Where the supply of innovative goods or services that are not yet available on a large-scale commercial basis is necessary to achieve the objectives of an action, the contracting authority or the contracting entity may authorise the award of multiple contracts within the same procurement procedure.
For duly justified reasons of public security, the contracting authority or the contracting entity may require that the place of performance of the contract be situated within the territory of the Union.
When implementing procurement procedures for the EU Cybersecurity Reserve, the Commission and ENISA may act as a central purchasing body to procure on behalf of or in the name of third countries associated to the Programme in accordance with Article 10 of this Regulation. The Commission and ENISA may also act as wholesaler, by buying, stocking and reselling or donating supplies and services, including rentals, to those third countries. By way of derogation from Article 168(3) of Regulation (EU, Euratom) 2024/2509 of the European Parliament and of the Council
 (
*5
)
, the request from a single third country shall be sufficient to mandate the Commission or ENISA to act.
When implementing procurement procedures for the EU Cybersecurity Reserve, the Commission and ENISA may act as a central purchasing body to procure on behalf of or in the name of Union institutions, bodies, offices or agencies. The Commission and ENISA may also act as a wholesaler, by buying, stocking and reselling or donating supplies and services, including rentals, to Union institutions, bodies, offices or agencies. By way of derogation from Article 168(3) of Regulation (EU, Euratom) 2024/2509, a request from a single Union institution, body, office or agency shall be sufficient to mandate the Commission or ENISA to act.
The Programme may also provide financing in the form of financial instruments within blending operations.
(
*3
)
  Directive 2014/24/EU of the European Parliament and of the Council of 26 February 2014 on public procurement and repealing Directive 2004/18/EC (
OJ L 94, 28.3.2014, p. 65
)."
(
*4
)
  Directive 2014/25/EU of the European Parliament and of the Council of 26 February 2014 on procurement by entities operating in the water, energy, transport and postal services sectors and repealing Directive 2004/17/EC (
OJ L 94, 28.3.2014, p. 243
)."
(
*5
)
  Regulation (EU, Euratom) 2024/2509 of the European Parliament and of the Council of 23 September 2024 on the financial rules applicable to the general budget of the Union (
OJ L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj
).’;"
(5)
the following article is inserted:
‘Article 16a
Conflicts of rules
In the case of actions implementing the European Cybersecurity Alert System, the applicable rules shall be those set out in Articles 4, 5 and 9 of Regulation (EU) 2025/38. In the case of a conflict between the provisions of this Regulation and Articles 4, 5 and 9 of Regulation (EU) 2025/38, the latter shall prevail and apply to those specific actions.
In the case of EU Cybersecurity Reserve, specific rules for the participation of third countries associated to the Programme are laid down in Article 19 of Regulation (EU) 2025/38. In the case of a conflict between the provisions of this Regulation and Article 19 of Regulation (EU) 2025/38, the latter shall prevail and apply to those specific actions.’
;
(6)
Article 19 is replaced by the following:
‘Article 19
Grants
Grants under the Programme shall be awarded and managed in accordance with Title VIII of the Financial Regulation and may cover up to 100 % of the eligible costs, without prejudice to the co-financing principle as laid down in Article 190 of the Financial Regulation. Such grants shall be awarded and managed as specified for each specific objective.
Support in the form of grants may be awarded directly by the ECCC without a call for proposals to the Member States selected pursuant to Article 9 of Regulation (EU) 2025/38 and the Hosting Consortium referred to in Article 5 of Regulation (EU) 2025/38, in accordance with Article 195(1), point (d), of the Financial Regulation.
Support in the form of grants for the Cybersecurity Emergency Mechanism may be awarded directly by the ECCC to Member States without a call for proposals, in accordance with Article 195(1), point (d), of the Financial Regulation.
With regard to actions supporting mutual assistance provided for in Article 18 of Regulation (EU) 2025/38, the ECCC shall inform the Commission and ENISA about Member States’ requests for direct grants without a call for proposals.
With regard to actions supporting mutual assistance provided for in Article 18 of Regulation (EU) 2025/38, and in accordance with Article 193(2), second subparagraph, point (a), of the Financial Regulation, the costs may, in duly justified cases, be considered to be eligible even if they were incurred before the grant application was submitted.’
;
(7)
Annexes I and II are amended in accordance with the Annex to this Regulation.
Article 23
Exercise of the delegation
1.   The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article.
2.   The power to adopt delegated acts referred to in Article 14(7) shall be conferred on the Commission for a period of 5 years from 5 February 2025. The Commission shall draw up a report in respect of the delegation of power not later than 9 months before the end of the 5-year period. The delegation of power shall be tacitly extended for periods of an identical duration, unless the European Parliament or the Council opposes such extension not later than 3 months before the end of each period.
3.   The delegation of power referred to in Article 14(7) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following that of the publication of the decision in the 
Official Journal of the European Union
 or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.
4.   Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making.
5.   As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council.
6.   A delegated act adopted pursuant to Article 14(7) shall enter into force only if no objection has been expressed either by the European Parliament or by the Council within a period of 2 months of the notification of that act to the European Parliament and the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by 2 months at the initiative of the European Parliament or of the Council.
Article 24
Committee procedure
1.   The Commission shall be assisted by the Digital Europe Programme Coordination Committee referred to in Article 31(1) of Regulation (EU) 2021/694. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
Article 25
Evaluation and review
1.   By 5 February 2027 and at least every 4 years thereafter, the Commission shall evaluate the functioning of the measures provided for in this Regulation and shall submit a report to the European Parliament and to the Council.
2.   The evaluation referred to in paragraph 1 shall assess, in particular:
(a)
the number of National Cyber Hubs and Cross-Border Cyber Hubs established, the extent of information shared, including, if possible, the impact on the work of the CSIRTs network, and the extent to which those have contributed to strengthening common Union detection and situational awareness of cyber threats and incidents and to the development of state-of-the-art technologies; the use of DEP funding for cybersecurity tools, infrastructure, or services jointly procured; and, if the information is available, the level of cooperation between National Cyber Hubs and sectoral and cross-sectoral communities of essential and important entities as referred to in Article 3 of Directive (EU) 2022/2555;
(b)
the use and effectiveness of actions under the Cybersecurity Emergency Mechanism supporting preparedness, including training, response to and initial recovery from significant cybersecurity incidents, large-scale cybersecurity incidents and large-scale-equivalent cybersecurity incidents, including the use of DEP funding and the lessons learned and recommendations from the implementation of the Cybersecurity Emergency Mechanism;
(c)
the use and effectiveness of the EU Cybersecurity Reserve in relation to types of user, including the use of DEP funding, the uptake of services, including their type, the average time for responding to the requests and for the EU Cybersecurity Reserve to be deployed, the percentage of services converted into preparedness services related to incident prevention and response and the lessons learned and recommendations from the implementation of the EU Cybersecurity Reserve;
(d)
the contribution of this Regulation to strengthening the competitive position of the industry and services in the Union across the digital economy, including microenterprises and small and medium-sized enterprises as well as start-ups, and the contribution to the overall objective of reinforcing the cybersecurity skills and capacities of the workforce.
3.   On the basis of the reports referred to in paragraph 1, the Commission shall, where appropriate, submit a legislative proposal to the European Parliament and to the Council to amend this Regulation.
Article 26
Entry into force
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Brussels, 19 December 2024.
For the European Parliament
The President
R. METSOLA
For the Council
The President
BÓKA J.
(
1
)
  Opinion of 18 April 2023 (not yet published in the Official Journal).
(
2
)
  
            
OJ C 349, 29.9.2023, p. 167
.
(
3
)
  
            
OJ C, C/2024/1049, 9.2.2024, ELI: http://data.europa.eu/eli/C/2024/1049/oj
.
(
4
)
  Position of the European Parliament of 24 April 2024 (not yet published in the Official Journal) and decision of the Council of 2 December 2024.
(
5
)
  Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) (
OJ L 151, 7.6.2019, p. 15
).
(
6
)
  Directive 2013/40/EU of the European Parliament and of the Council of 12 August 2013 on attacks against information systems and replacing Council Framework Decision 2005/222/JHA (
OJ L 218, 14.8.2013, p. 8
).
(
7
)
  Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (
OJ L 333, 27.12.2022, p. 80
).
(
8
)
  Commission Recommendation (EU) 2017/1584 of 13 September 2017 on coordinated response to large-scale cybersecurity incidents and crises (
OJ L 239, 19.9.2017, p. 36
).
(
9
)
  Regulation (EU) 2021/694 of the European Parliament and of the Council of 29 April 2021 establishing the Digital Europe Programme and repealing Decision (EU) 2015/2240 (
OJ L 166, 11.5.2021, p. 1
).
(
10
)
  Regulation (EU, Euratom) 2024/2509 of the European Parliament and of the Council of 23 September 2024 on the financial rules applicable to the general budget of the Union (
OJ L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj
).
(
11
)
  Regulation (EU, Euratom) 2020/2092 of the European Parliament and of the Council of 16 December 2020 on a general regime of conditionality for the protection of the Union budget (
OJ L 433 I, 22.12.2020, p. 1
, ELI: http://data.europa.eu/eli/reg/2020/2092/oj).
(
12
)
  Regulation (EU) 2021/887 of the European Parliament and of the Council of 20 May 2021 establishing the European Cybersecurity Industrial, Technology and Research Competence Centre and the Network of National Coordination Centres (
OJ L 202, 8.6.2021, p. 1
, ELI: http://data.europa.eu/eli/reg/2021/887/oj).
(
13
)
  Decision No 1313/2013/EU of the European Parliament and of the Council of 17 December 2013 on a Union Civil Protection Mechanism (
OJ L 347, 20.12.2013, p. 924
, ELI: http://data.europa.eu/eli/dec/2013/1313/oj).
(
14
)
  Council Implementing Decision (EU) 2018/1993 of 11 December 2018 on the EU Integrated Political Crisis Response Arrangements (
OJ L 320, 17.12.2018, p. 28
, ELI: http://data.europa.eu/eli/dec_impl/2018/1993/oj).
(
15
)
  Council Decision (CFSP) 2017/2315 of 11 December 2017 establishing permanent structured cooperation (PESCO) and determining the list of participating Member States (
OJ L 331, 14.12.2017, p. 57
, ELI: http://data.europa.eu/eli/dec/2017/2315/oj).
(
16
)
  Decision No 1313/2013/EU of the European Parliament and of the Council of 17 December 2013 on a Union Civil Protection Mechanism (
OJ L 347, 20.12.2013, p. 924
).
(
17
)
  Commission Recommendation (EU) 2017/1584 of 13 September 2017 on coordinated response to large-scale cybersecurity incidents and crises (
OJ L 239, 19.9.2017, p. 36
).
(
18
)
  Regulation (EU) 2018/1971 of the European Parliament and of the Council of 11 December 2018 establishing the Body of European Regulators for Electronic Communications (BEREC) and the Agency for Support for BEREC (BEREC Office), amending Regulation (EU) 2015/2120 and repealing Regulation (EC) No 1211/2009 (
OJ L 321, 17.12.2018, p. 1
).
(
19
)
  Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU) No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011 (
OJ L 333, 27.12.2022, p. 1
).
(
20
)
  
            
OJ L 123, 12.5.2016, p. 1
, ELI: http://data.europa.eu/eli/agree_interinstit/2016/512/oj.
(
21
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by the Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
, ELI: http://data.europa.eu/eli/reg/2011/182/oj).
(
22
)
  Regulation (EU, Euratom) 2023/2841 of the European Parliament and of the Council of 13 December 2023 laying down measures for a high common level of cybersecurity at the institutions, bodies, offices and agencies of the Union (
OJ L, 2023/2841, 18.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2841/oj
).
(
23
)
  Regulation (EU) 2024/2847 of the European Parliament and of the Council of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements and amending Regulations (EU) No 168/2013 and (EU) 2019/1020 and Directive (EU) 2020/1828 (Cyber Resilience Act) (
OJ L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj
).
ANNEX
Regulation (EU) 2021/694 is amended as follows:
(1)
in Annex I, the section ‘Specific Objective 3 – Cybersecurity and Trust’ is replaced by the following:
‘Specific Objective 3 – Cybersecurity and Trust
The Programme shall stimulate the reinforcement, building and acquisition of essential capacities to secure the Union’s digital economy, society and democracy by reinforcing the Union cybersecurity industrial potential and competitiveness, as well as by improving capabilities of both the private and public sectors to protect citizens and businesses from cyber threats, including by supporting the implementation of Directive (EU) 2016/1148.
Initial and, where appropriate, subsequent actions under this objective shall include:
1.
Co-investment with Member States in advanced cybersecurity equipment, infrastructure and know-how that are essential to protect critical infrastructures and the Digital Single Market at large. Such co-investment could include investments in quantum facilities and data resources for cybersecurity, situational awareness in cyberspace including National Cyber Hubs and Cross-Border Cyber Hubs forming the European Cybersecurity Alert System, as well as other tools to be made available to public and private sector across Europe.
2.
Scaling up existing technological capacities and networking the competence centres in Member States and making sure that those capacities respond to public sector and industry needs, including through products and services that reinforce cybersecurity and trust within the Digital Single Market.
3.
Ensuring wide deployment of effective state-of-the-art cybersecurity and trust solutions across the Member States. Such deployment includes strengthening the security and safety of products, from their design to their commercialisation.
4.
Support closing the cybersecurity skills gap, taking into account gender balance by, for example, aligning cybersecurity skills programmes, adapting them to specific sectorial needs and facilitating access to targeted specialised training.
5.
Promoting solidarity among Member States in preparing for and responding to significant cybersecurity incidents and large-scale cybersecurity incidents through deployment of cybersecurity services across borders, including support for mutual assistance between public authorities and the establishment of a reserve of trusted managed security service providers at Union level.’;
(2)
in Annex II, the section ‘Specific Objective 3 – Cybersecurity and Trust’ is replaced by the following:
‘Specific Objective 3 – Cybersecurity and Trust
3.1.
The number of cybersecurity infrastructure, or tools, or both jointly procured including in the context of the European Cybersecurity Alert System
3.2.
The number of users and user communities getting access to European cybersecurity facilities
3.3.
The number of actions supporting preparedness for and response to cybersecurity incidents under the Cybersecurity Emergency Mechanism’.
A statement has been made with regard to this act and can be found in 
OJ C, C/2025/308, 15.1.2025, ELI: http://data.europa.eu/eli/C/2025/308/oj
ELI: http://data.europa.eu/eli/reg/2025/38/oj
ISSN 1977-0677 (electronic edition)

Summary:
Cyber Solidarity Act
SUMMARY OF:
Regulation (EU) 2025/38 on strengthening solidarity and capacities in the EU to detect, prepare for and respond to cyber threats and incidents (Cyber Solidarity Act)
WHAT IS THE AIM OF THE REGULATION?
Regulation (EU) 2025/38 aims to strengthen the 
European Union
’s (EU) capacity to detect, prepare for and respond to 
cyber
 threats and incidents. It lays down measures at the EU level to enhance situational awareness, reinforce preparedness, support coordinated responses and enable structured post-incident reviews, in order to safeguard critical services and increase the overall resilience of the EU.
KEY POINTS
Scope and purpose
The 
regulation’s
 general objective is to strengthen solidarity at the EU level while reinforcing the competitive position of industry and services in the EU across the digital economy and contributing to the EU’s technological sovereignty and open strategic autonomy in the area of cybersecurity.
This objective is implemented via 
three key pillars
.
1. European cybersecurity alert system
This system is designed to improve near real-time situational awareness and detection of cyber threats across the EU and consists of:
national cyber hubs
, designated by EU 
Member States
;
cross-border cyber hubs
, established by consortia involving at least three Member States.
These cyber hubs
1
 detect, analyse and exchange cyber threat intelligence and are supported by advanced tools such as 
artificial intelligence
 and data analytics. Funding is implemented by the 
European Cybersecurity Competence Centre
 (see 
summary
) (joint procurement of tools, infrastructure and services and grants for their operation).
To ensure effective cooperation, the 
European Union Agency for Cybersecurity
 (ENISA) was required to develop 
interoperability guidelines
, including common formats and protocols, by 
5 February 2026
. The cooperation agreements that cross-border cyber hubs conclude between themselves must be based on these guidelines.
2. Cybersecurity Emergency Mechanism
This mechanism enables coordinated EU support to prepare for and to respond to significant
2
, large-scale
3
 and large-scale-equivalent
4
 incidents, thereby reinforcing the EU’s resilience and solidarity among Member States. It includes the following areas.
Preparedness measures
, such as:
the coordinated preparedness testing of entities operating in sectors of high criticality;
support for other preparedness activities for entities in sectors of high criticality and other critical sectors, including vulnerability monitoring, risk assessments, exercises and training.
The 
EU Cybersecurity Reserve
, consisting of incident response services provided by trusted managed security service providers selected through EU procurement procedures.
The reserve supports Member States, EU institutions and competent authorities in non-EU countries associated with the digital Europe programme (DEP), if their DEP association agreement provides for such a possibility and whose participation must be authorised by the 
Council of the European Union
 in addressing such incidents.
Requests for deployment of the EU Cybersecurity Reserve may be submitted by:
Member States’ cyber crisis management authorities and national 
computer security incident response teams
;
the 
Cybersecurity Service for the Union Institutions, Bodies, Offices and Agencies
 (see 
summary
);
competent authorities such as the computer security incident response teams and cyber crisis management authorities of DEP-associated non-EU countries.
The 
European Commission
 has overall responsibility for the EU Cybersecurity Reserve’s implementation and entrusts the administration and operation of the Reserve to ENISA. The contracting authority (the Commission or ENISA, where applicable, for requests by Member States and by EU institutions, bodies and agencies) decides whether and to what extent to deploy support based on the incident’s scale and severity, the type of entity affected, the potential impact of the incident on the Member States and users affected, the cross-border nature and risk of spillover, and the mitigation measures already taken. The contracting authority must respond within 
48 hours
.
The requests from DEP-associated non-EU countries are assessed by the Commission.
Mutual assistance
, in which Member States provide technical support to each other in response to significant or large-scale cybersecurity incidents, with EU financial support.
3. European Cybersecurity Incident Review Mechanism
After significant or large-scale cybersecurity incidents, the Commission or the European Cyber Crisis Liaison Organisation Network (EU-CyCLONe) may request a structured review to assess causes and impacts, evaluate the response and extract lessons learned. The review:
is conducted by ENISA with the support of the computer security incident response teams network and with the approval of the Member States concerned;
results in a report containing findings and, where appropriate, best practices, lessons learned and non-binding 
recommendations
 to improve the EU’s cyber posture.
ENISA may publish a public version of the incident review report, containing only reliable public information or other content with the consent of the affected Member States or parties, subject to confidentiality rules.
Implementation and roles
The 
Commission
 oversees the overall implementation of the regulation, including the EU Cybersecurity Reserve. For the Reserve, it should entrust ENISA, fully or in part, with the operation and administration of the Reserve via a contribution agreement.
The European Cybersecurity Competence Centre manages grant-based preparedness measures and the deployment of national and cross-border cyber hubs. It must update its mapping of necessary tools, infrastructure and services 
at least every two years
.
ENISA
 coordinates the European Cybersecurity Incident Review Mechanism, is entrusted, fully or in part, with the administration and operation of the EU Cybersecurity Reserve and should regularly map the services needed for the EU Cybersecurity Reserve.
Funding
The regulation is financed under 
specific objective 3 (‘Cybersecurity and trust’)
 of the 
DEP
.
Additional rules
The Commission may adopt 
delegated acts
 to define the 
types and number of services
 to be provided under the EU Cybersecurity Reserve, based on evolving threats and available capabilities.
Information sharing under the regulation must comply with rules on 
confidentiality
 and 
proportionality
, and should not be contrary to Member States’ essential interests of 
national security, public security and defence
.
Procurement from non-EU-controlled entities may be permitted only under strict conditions, where no adequate EU-based alternatives exist and security interests are protected. The DEP work programme provides for conditions and rules regarding eligibility.
By 
5 February 2027
, the Commission must report to the 
European Parliament
 and the Council on the implementation and effectiveness of the regulation.
FROM WHEN DOES THE REGULATION APPLY?
The regulation has applied since 
4 February 2025
.
BACKGROUND
The Cyber Solidarity Act complements existing EU cybersecurity legislation, such as the 
NIS2 Directive
 (see 
summary
) and the 
EU
 
Cybersecurity Act
 (see 
summary
). It adds operational instruments for preparedness, early threat detection and coordinated response at the EU level, aimed at addressing increasingly complex and cross-border cyber threats. It also amends Regulation (EU) 2021/694 to provide the legal and financial basis for implementing the new mechanisms introduced by the act.
For further information, see:
EU Cyber Solidarity Act
 (European Commission)
EU Cyber Solidarity Act factsheet
 (European Commission).
KEY TERMS
Cyber hub.
 A designated national or multi-country centre that detects, analyses and shares cyber threat intelligence in near real time, supporting prevention and improved awareness of cybersecurity threats across the EU.
Significant cybersecurity incident.
 An incident is considered to be significant if it has caused or could cause severe operational disruption of the services or financial loss for the affected entity, or considerable material or non-material damage to others.
Large-scale cybersecurity incident.
 An incident that causes a level of disruption that exceeds a Member State’s capacity to respond to it or that has a significant impact on at least two Member States.
Large-scale-equivalent cybersecurity incident.
 In the case of EU institutions, bodies, offices and agencies, a major incident, and, in the case of DEP-associated non-EU countries, an incident that causes a level of disruption that exceeds the capacity of the country concerned to respond to it.
MAIN DOCUMENT
Regulation (EU) 
2025/38
 of the European Parliament and of the Council of 
19 December 2024
 laying down measures to strengthen solidarity and capacities in the Union to detect, prepare for and respond to cyber threats and incidents and amending Regulation (EU) 2021/694 (Cyber Solidarity Act) (OJ L, 2025/38, 
15.1.2025
).
Successive amendments to Regulation (EU) 2025/38 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
RELATED DOCUMENTS
Statement
 by the Commission (OJ C, C/2025/310, 
15.1.2025
).
Regulation (EU, Euratom) 
2023/2841
 of the European Parliament and of the Council of 
13 December 2023
 laying down measures for a high common level of cybersecurity at the institutions, bodies, offices and agencies of the Union (OJ L, 2023/2841, 
18.12.2023
).
Directive (EU) 
2022/2555
 of the European Parliament and of the Council of 
14 December 2022
 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) 
No 910/2014
 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (OJ L 333, 
27.12.2022
, 
pp. 80–152
).
See 
consolidated version
.
Regulation (EU) 
2021/887
 of the European Parliament and of the Council of 
20 May 2021
 establishing the European Cybersecurity Industrial, Technology and Research Competence Centre and the Network of National Coordination Centres (OJ L 202, 
8.6.2021
, 
pp. 1–31
).
Regulation (EU) 
2021/694
 of the European Parliament and of the Council of 
29 April 2021
 establishing the Digital Europe Programme and repealing Decision (EU) 2015/2240 (OJ L 166, 
11.5.2021
, 
pp. 1–34
).
See 
consolidated version
.
Regulation (EU) 
2019/881
 of the European Parliament and of the Council of 
17 April 2019
 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) 
No 526/2013
 (Cybersecurity Act) (OJ L 151, 
7.6.2019
, 
pp. 15–69
).
See 
consolidated version
.
last update 
26.11.2025

--- DANISH ---

Document:
Den Europæiske Unions 
Tidende
DA
L-udgaven
2025/38
15.1.2025
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2025/38
af 19. december 2024
om foranstaltninger til styrkelse af solidariteten og kapaciteten i Unionen til at opdage, forberede sig og reagere på cybertrusler og -hændelser og om ændring af forordning (EU) 2021/694 (forordning om cybersolidaritet)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 173, stk. 3, og artikel 322, stk. 1, litra a),
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Revisionsretten 
(
1
)
,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
2
)
,
under henvisning til udtalelse fra Regionsudvalget 
(
3
)
,
efter den almindelige lovgivningsprocedure 
(
4
)
, og
ud fra følgende betragtninger:
(1)
Anvendelsen og afhængigheden af informations- og kommunikationsteknologier er blevet grundlæggende aspekter i alle sektorer af økonomien og samfundet i lyset af den stadig voksende indbyrdes forbundenhed og indbyrdes afhængighed mellem offentlige forvaltninger, virksomheder og borgere på tværs af sektorer og grænser, hvilket samtidig udsætter dem for forskellige sårbarheder.
(2)
Cybersikkerhedshændelser er tiltagende både i omfang, hyppighed og virkning på EU-plan og globalt plan, herunder angreb mod forsyningskæden med henblik på cyberspionage, ransomware eller forstyrrelser. De udgør en alvorlig trussel mod netværks- og informationssystemernes funktion. Der ses et trusselsbillede i hastig udvikling, og truslen om mulige omfattende cybersikkerhedshændelser, der kan forårsage betydelige forstyrrelser og skader på kritisk infrastruktur, kræver et øget beredskab i Unionens cybersikkerhedsøkosystem. Truslen rækker langt videre end Ruslands angrebskrig mod Ukraine og er formentlig blivende, når man tager de mange forskellige aktører i betragtning, der er en del af de aktuelle geopolitiske spændinger. Sådanne hændelser kan hindre leveringen af offentlige tjenester, da cyberangreb ofte er rettet mod lokale, regionale eller nationale offentlige tjenester og infrastrukturer, hvor de lokale myndigheder er særligt sårbare, bl.a. på grund af deres begrænsede ressourcer. De kan også hindre udøvelsen af økonomiske aktiviteter, herunder i sektorer af særligt kritisk betydning eller andre kritiske sektorer, medføre betydelige finansielle tab, underminere brugernes tillid, forårsage betydelig skade på Unionens økonomi og demokratiske systemer og muligvis få sundhedsmæssige eller livstruende konsekvenser. Desuden er cybersikkerhedshændelser uforudsigelige, fordi de ofte opstår og udvikler sig hurtigt, fordi de ikke er begrænsede til et specifikt geografisk område, og fordi de forekommer samtidig eller spredes hurtigt til mange lande. Det er afgørende at sikre tæt samarbejde mellem den offentlige og den private sektor, den akademiske verden og medierne.
(3)
Det er nødvendigt at styrke industriens og tjenesteydelsernes konkurrenceevne i Unionen på tværs af hele den digitale økonomi og støtte den digitale omstilling i sektorerne ved at styrke cybersikkerhedsniveauet på det digitale indre marked som anbefalet i tre forskellige forslag fra konferencen om Europas fremtid. Der er behov for at øge modstandsdygtigheden hos borgere, virksomheder, herunder mikrovirksomheder, små og mellemstore virksomheder og nystartede virksomheder og enheder, der driver kritisk infrastruktur, over for tiltagende cybertrusler, som kan have ødelæggende samfundsmæssige og økonomiske konsekvenser. Der er derfor behov for investeringer i infrastrukturer og tjenester og opbygning af kapacitet til at udvikle cybersikkerhedsfærdigheder, der muliggør en hurtigere opdagelse af og en hurtigere reaktion på cybertrusler og -hændelser. Desuden har medlemsstaterne har brug for hjælp til bedre at kunne forberede sig på og reagere på, samt brug for hjælp i den indledende genopretning efter væsentlige cybersikkerhedshændelser og omfattende cybersikkerhedshændelser. Ved at bygge videre på de eksisterende strukturer og i tæt samarbejde med disse bør Unionen også øge sin kapacitet på disse områder, navnlig med hensyn til indsamling og analyse af data om cybertrusler og -hændelser.
(4)
Unionen har allerede truffet en række foranstaltninger for at mindske sårbarheder og øge kritiske infrastrukturers og enheders modstandsdygtighed over for risici, navnlig Europa-Parlamentets og Rådets forordning (EU) 2019/881 
(
5
)
, Europa-Parlamentets og Rådets direktiv 2013/40/EU 
(
6
)
 og (EU) 2022/2555 
(
7
)
 og Kommissionens henstilling (EU) 2017/1584 
(
8
)
. Desuden opfordres medlemsstaterne i Rådets henstilling af 8. december 2022 om en EU-dækkende koordineret tilgang til styrkelse af kritisk infrastrukturs modstandsdygtighed til at træffe foranstaltninger og til at samarbejde med hinanden, Kommissionen og andre relevante offentlige myndigheder samt de berørte enheder for at øge modstandsdygtigheden i den kritiske infrastruktur, der anvendes til at levere væsentlige tjenester på det indre marked.
(5)
De voksende cybersikkerhedsrisici og det generelt komplekse trusselsbillede, hvor der er en klar risiko for, at hændelser spreder sig fra én medlemsstat til andre og fra et tredjeland til Unionen, kræver, at man styrker solidariteten på EU-niveau for bedre at kunne opdage, forberede sig og reagere på og komme sig efter cybertrusler og -hændelser, navnlig ved at styrke de eksisterende strukturers kapacitet. Endvidere opfordrede Rådets konklusioner af 23. maj 2022 om udviklingen af Den Europæiske Unions cyberposition Kommissionen til at fremsætte et forslag om en ny beredskabsfond for cybersikkerhed.
(6)
I den fælles meddelelse fra Kommissionen og Unionens høje repræsentant for udenrigsanliggender og sikkerhedspolitik af 10. november 2022 til Europa-Parlamentet og Rådet om EU's politik for cyberforsvar blev EU's cybersolidaritetsinitiativ beskrevet med målsætninger om at styrke EU's fælles situationsbevidsthed og kapacitet til at opdage og reagere på hændelser ved at fremme etableringen af en EU-infrastruktur for sikkerhedsoperationscentre (SOC'er), støtte en gradvis opbygning af en cyberreserve på EU-plan med brug af tjenester fra betroede private udbydere og teste kritiske enheder for potentielle sårbarheder baseret på EU's risikovurderinger.
(7)
Det er nødvendigt at styrke situationsbevidsthed og kapaciteten til at opdage cybertrusler og -hændelser i hele Unionen og styrke solidariteten ved at øge medlemsstaternes og Unionens beredskab og kapacitet til at forebygge og reagere på væsentlige cybersikkerhedshændelser og omfattende cybersikkerhedshændelser. Derfor bør et paneuropæisk netværk af cyberknudepunkter (»det europæiske cybersikkerhedsvarslingssystem«) etableres for at opbygge koordineret situationsbevidsthed og kapacitet til at opdage hændelser og dermed styrke Unionens kapacitet til at afdække trusler og udveksle informationer; der bør oprettes en cybersikkerhedsberedskabsmekanisme, som efter anmodning fra medlemsstaterne hjælper dem med at forberede sig og reagere på, afbøde virkningen af og påbegynde genopretning efter væsentlige cybersikkerhedshændelser eller omfattende cybersikkerhedshændelser, og for at hjælpe andre brugere med at reagere på væsentlige cybersikkerhedshændelser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser, og der bør oprettes en europæisk mekanisme til gennemgang af cybersikkerhedshændelser med henblik på at gennemgå og vurdere specifikke væsentlige cybersikkerhedshændelser eller omfattende cybersikkerhedshændelser. Foranstaltningerne i henhold til denne forordning bør gennemføres under behørig hensyntagen til medlemsstaternes kompetencer og bør supplere og ikke overlappe de aktiviteter, der udføres af CSIRT-netværket, det Europæiske Netværk af Forbindelsesorganisationer for Cyberkriser (EU-CyCLONe) eller samarbejdsgruppen (NIS-samarbejdsgruppen), der alle er oprettet ved direktiv (EU) 2022/2555. Disse foranstaltninger berører ikke artikel 107 og 108 i traktaten om Den Europæiske Unions funktionsmåde (TEUF).
(8)
For at opfylde disse målsætninger er det nødvendigt at ændre Europa-Parlamentets og Rådets forordning (EU) 2021/694 
(
9
)
 på visse områder. Denne forordning bør navnlig ændre forordning (EU) 2021/694 for så vidt angår tilføjelsen af nye operationelle mål for det europæiske cybersikkerhedsvarslingssystem og cybersikkerhedsberedskabsmekanismen under specifikt mål nr. 3 i programmet for et digitalt Europa, hvis formål er at sikre det digitale indre markeds modstandsdygtighed, integritet og troværdighed, styrke kapaciteten til at overvåge cyberangreb og -trusler og reagere på dem og styrke det grænseoverskridende samarbejde og den grænseoverskridende koordination vedrørende cybersikkerhed. Det europæiske cybersikkerhedsvarslingssystem kan spille en vigtig rolle med hensyn til at støtte medlemsstaterne i at foregribe og beskytte sig mod cybertrusler, og EU's cybersikkerhedsreserve kan spille en vigtig rolle med hensyn til at støtte medlemsstaterne, EU's institutioner, organer, kontorer og agenturer og tredjelande, der er associeret til programmet for et digitalt Europa, i at reagere på og afbøde virkningerne af væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser. Disse virkninger kan omfatte betydelig materiel eller immateriel skade og alvorlige risici for den offentlige sikkerhed. I lyset af de specifikke roller, som det europæiske cybersikkerhedsvarslingssystem og EU's cybersikkerhedsreserve kan spille, bør denne forordning ændre forordning (EU) 2021/694 for så vidt angår deltagelse af retlige enheder, der er etableret i Unionen, men kontrolleres fra tredjelande, hvis der er en reel risiko for, at de nødvendige og tilstrækkelige værktøjer, infrastrukturer og tjenester eller teknologi, ekspertise og kapacitet ikke er tilgængelige i Unionen, og fordelene ved at medtage sådanne enheder opvejer sikkerhedsrisikoen. De særlige betingelser, hvorunder der kan ydes finansiel støtte til foranstaltninger til gennemførelse af det europæiske cybersikkerhedsvarslingssystem og EU's cybersikkerhedsreserve, bør fastlægges, og de forvaltnings- og koordineringsmekanismer, der er nødvendige for at nå de tilsigtede mål, bør defineres. Andre ændringer af forordning (EU) 2021/694 bør omfatte beskrivelse af foreslåede foranstaltninger under de nye operationelle målsætninger og målbare indikatorer til overvågning af gennemførelsen heraf.
(9)
Samarbejde med internationale organisationer samt med betroede, ligesindede internationale partnere er afgørende for at styrke Unionens reaktion på cybersikkerhedstrusler og -hændelser. I denne forbindelse bør pålidelige og ligesindede internationale partnere forstås som værende lande, der deler principperne, der førte til Unionens oprettelse, nemlig demokrati, retsstatsprincippet, menneskerettighedernes og de grundlæggende frihedsrettigheders universalitet og udelelighed, respekt for den menneskelige værdighed, principperne om lighed og solidaritet og respekt for principperne i De Forenede Nationers pagt og folkeretten, og som ikke underminerer Unionens eller dens medlemsstaters væsentlige sikkerhedsinteresser. Et sådant samarbejde kan også være gavnligt med hensyn til foranstaltningerne truffet i henhold til denne forordning, navnlig det europæiske cybersikkerhedsvarslingssystem og EU's cybersikkerhedsreserve. Forordning (EU) 2021/694 bør afhængig af visse tilgængeligheds- og sikkerhedsbetingelser fastsætte, at udbud vedrørende det europæiske cybersikkerhedsvarslingssystem og EU's cybersikkerhedsreserve er åbne for retlige enheder, der kontrolleres fra tredjelande, forudsat at sikkerhedskravene er opfyldt. I forbindelse med vurderingen af sikkerhedsrisikoen ved at åbne udbud på denne måde er det vigtigt at tage hensyn til de principper og værdier, som Unionen deler med ligesindede internationale partnere, når disse principper og værdier vedrører Unionens væsentlige sikkerhedsinteresser. Når sådanne sikkerhedskrav overvejes i henhold til forordning (EU) 2021/694, kan der desuden tages hensyn til flere elementer, såsom en enheds selskabsstruktur og beslutningsproces, datasikkerhed og sikkerheden af klassificerede eller følsomme oplysninger og sikring af, at foranstaltningens resultater ikke er underlagt kontrol eller begrænsninger fra tredjelande, der ikke er godkendt til deltagelse.
(10)
Finansieringen af foranstaltninger under denne forordning bør fastsættes i forordning (EU) 2021/694, som fortsat bør være den relevante basisretsakt for disse foranstaltninger, der hører under specifik målsætning nr. 3 i programmet for et digitalt Europa. Der vil i de relevante arbejdsprogrammer blive fastsat særlige betingelser for deltagelse i de enkelte foranstaltninger i overensstemmelse med forordning (EU) 2021/694.
(11)
Horisontale finansielle regler, der er vedtaget af Europa-Parlamentet og Rådet på grundlag af artikel 322 i TEUF, finder anvendelse på denne forordning. Disse regler er fastsat i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2024/2509 
(
10
)
 og fastlægger navnlig proceduren for opstilling og gennemførelse af Unionens budget og indeholder bestemmelser om kontrol af de finansielle aktørers ansvar. Regler vedtaget på grundlag af artikel 322 i TEUF omfatter også en generel ordning vedrørende konditionalitet med henblik på beskyttelse af Unionens budget som fastsat i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2020/2092 
(
11
)
.
(12)
Selv om forebyggelses- og beredskabsforanstaltninger er afgørende for at øge Unionens modstandsdygtighed over for væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser, er forekomsten, timingen og omfanget af sådanne hændelser i sagens natur uforudsigelige. De finansielle ressourcer, der er nødvendige for at sikre en passende reaktion, kan variere betydeligt fra år til år og bør kunne stilles til rådighed med det samme. Hvis budgetprincippet om forudsigelighed skal kunne forenes med nødvendigheden af at kunne reagere hurtigt på nye behov, er det nødvendigt at tilpasse den finansielle gennemførelse af arbejdsprogrammerne. I tillæg til fremførsel af bevillinger, der er godkendt i henhold til artikel 12, stk. 4, i forordning (EU, Euratom) 2024/2509, er det derfor hensigtsmæssigt at tillade fremførslen af uudnyttede bevillinger, men kun til det følgende år og udelukkende til EU's cybersikkerhedsreserve og de aktioner der støtter gensidig bistand.
(13)
For mere effektivt at forebygge, vurdere, reagere på og sikre genopretning efter cybertrusler og -hændelser er det nødvendigt at opbygge en mere omfattende viden om truslerne mod kritiske aktiver og infrastrukturer på Unionens område, herunder geografiske fordeling, sammenhæng og mulige virkninger i tilfælde af cyberangreb, der påvirker disse infrastrukturer. En proaktiv tilgang til at udpege, afbøde og forebygge cybertrusler nødvendiggør en styrkelse af avancerede opdagelseskapaciteter. Det europæiske cybersikkerhedsvarslingssystem bør bestå af flere interoperable grænseoverskridende cyberknudepunkter, som hver samler tre eller flere nationale cyberknudepunkter. Infrastrukturen bør tjene nationale og europæiske cybersikkerhedsinteresser og -behov, den nyeste teknologi til avanceret indsamling af relevante data og information, anonymiseret hvor det er hensigtsmæssigt, og analyseværktøjer til behandling af anonymiserede data bør udnyttes, den koordinerede kapacitet til opdagelse og forvaltning af cybertrusler bør styrkes, og en situationsbevidsthed i realtid bør opbygges. Infrastrukturen skal tjene til forbedring af cyberniveau ved at forbedre opdagelse samt aggregering og analyse af data og information med henblik på at forebygge cybertrusler og -hændelser og dermed supplere og støtte Unionens enheder og netværk med ansvar for cyberkrisestyring i Unionen, navnlig EU-CyCLONe.
(14)
Deltagelse i det europæiske cybersikkerhedsvarslingssystem er frivilligt for medlemsstaterne. De enkelte medlemsstater bør udpege en enkelt enhed på nationalt plan, der har til opgave at koordinere aktiviteter til opdagelse af cybertrusler i den pågældende medlemsstat. Disse nationale cyberknudepunkter bør fungere som reference- og indgangspunkt på nationalt plan for deltagelse i det europæiske cybersikkerhedsvarslingssystem, og de bør sikre, at information om cybertrusler fra offentlige og private enheder deles og indsamles på nationalt plan på en effektiv og koordineret måde. De nationale cyberknudepunkter kan styrke samarbejdet og informationsudvekslingen mellem offentlige og private enheder og kan også støtte udvekslingen af relevante data og information med relevante sektorspecifikke og tværsektorielle fællesskaber, herunder relevante industrielle informationsudvekslings- og analysecentre (ISAC'er). Et tæt og koordineret samarbejde mellem offentlige og private enheder er centralt, hvis Unionens cybermodstandsdygtighed skal styrkes. Et sådant samarbejde er særlig værdifuldt i forbindelse med udvekslingen af cybermæssige trusselsefterretninger for at forbedre den aktive cyberbeskyttelse. Som led i et sådant samarbejde og sådan informationsudveksling kan de nationale cyberknudepunkter anmode om og modtage specifik information. De nationale cyberknudepunkter er hverken forpligtet eller bemyndiget i henhold til denne forordning til at følge op på sådanne anmodninger. Hvor det er relevant og i overensstemmelse med EU-retten og national ret, kan den information, der anmodes om eller modtages, omfatte telemetri-, sensor- og loggingdata fra enheder såsom udbydere af administrerede sikkerhedstjenester, der opererer i sektorer af særligt kritisk betydning eller andre kritiske sektorer i den pågældende medlemsstat, med henblik på at fremme en hurtig opdagelse af potentielle cybertrusler og -hændelser på et tidligere tidspunkt og dermed forbedre situationsbevidstheden. Hvis det nationale cyberknudepunkt ikke er den kompetente myndighed, der er udpeget eller oprettet af den relevante medlemsstat i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555, er det afgørende, at det koordinerer med den pågældende kompetente myndighed i forbindelse med anmodninger om og modtagelse af sådanne data.
(15)
Som en del af det europæiske cybersikkerhedsvarslingssystem bør der oprettes en række grænseoverskridende cyberknudepunkter. Disse grænseoverskridende cyberknudepunkter skal samle de nationale cyberknudepunkter fra mindst tre medlemsstater for at sikre, at fordelene ved grænseoverskridende trusselsopdagelse og informationsdeling og -styring udnyttes fuldt ud. Den overordnede målsætning for de grænseoverskridende cyberknudepunkter bør være at styrke kapaciteten til at analysere, forebygge og opdage cybersikkerhedstrusler og støtte frembringelsen af cybermæssige trusselsefterretninger af høj kvalitet, navnlig gennem deling af relevant information, anonymiseret hvor det er hensigtsmæssigt, i et pålideligt og sikkert miljø fra forskellige offentlige eller private kilder samt gennem udveksling og fælles anvendelse af avancerede værktøjer og fælles udvikling af opdagelses-, analyse- og forebyggelseskapaciteter i et pålideligt og sikkert miljø. Cyberknudepunkter bør stille ny supplerende kapacitet til rådighed, der bygger på og supplerer eksisterende SOC'er og CSIRT'er og andre relevante aktører, herunder CSIRT-netværket.
(16)
En medlemsstat, der udvælges af Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed (ECCC) oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2021/887 
(
12
)
 efter en indkaldelse af interessetilkendegivelser med henblik på at oprette eller forbedre kapaciteten hos et nationalt cyberknudepunkt, bør i samarbejde med ECCC indkøbe relevante værktøjer, infrastrukturer og tjenester. En sådan medlemsstat bør være berettiget til at modtage tilskud til drift af værktøjer, infrastrukturer eller tjenester. Et værtskonsortium, bestående af mindst tre medlemsstater, som er blevet udvalgt af ECCC efter en indkaldelse af interessetilkendegivelser med henblik på at oprette eller forbedre kapaciteten hos et grænseoverskridende cyberknudepunkt, bør indkøbe relevante værktøjer, infrastrukturer eller tjenester i samarbejde med ECCC. Værtskonsortiet bør være berettiget til at modtage et tilskud til drift af værktøjer, infrastrukturer eller tjenester. Udbudsproceduren med henblik på indkøb af de relevante værktøjer, infrastrukturer eller tjenester bør gennemføres i fællesskab af ECCC og relevante ordregivende myndigheder fra medlemsstaterne, der udvælges efter sådanne indkaldelser af interessetilkendegivelser. Sådanne udbud bør overholde artikel 168, stk. 2, i forordning (EU) 2024/2509 og ECCC's finansielle regler. Private enheder bør derfor ikke være berettigede til at deltage i indkaldelser af interessetilkendegivelser med henblik på fælles indkøb af værktøjer, infrastrukturer eller tjenester med ECCC eller til at modtage tilskud til drift af disse værktøjer, infrastrukturer og tjenester. Medlemsstaterne bør dog kunne inddrage private enheder i oprettelsen, forbedringen og driften af deres nationale cyberknudepunkter og grænseoverskridende cyberknudepunkter på andre måder, som de finder hensigtsmæssige, i overensstemmelse med EU-retten og national ret. Private enheder kan også være berettigede til at modtage EU-finansiering i henhold til forordning (EU) 2021/887 med henblik på at yde støtte til nationale cyberknudepunkter.
(17)
For at øge opdagelsen af cybertrusler og forbedre situationsbevidstheden i Unionen bør en medlemsstat, der udvælges efter en indkaldelse af interessetilkendegivelser med henblik på at oprette eller styrke kapaciteten hos et nationalt cyberknudepunkt, forpligte sig til at ansøge om at deltage i et grænseoverskridende cyberknudepunkt. Hvis en medlemsstat ikke deltager i et grænseoverskridende cyberknudepunkt senest to år efter den dato, hvor værktøjerne, infrastrukturerne eller tjenesterne blev erhvervet, eller hvor den modtog tilskudsfinansiering, alt efter hvad der indtraf først, bør medlemsstaten ikke være berettiget til yderligere EU-støtteaktioner inden for rammerne af det europæiske cybersikkerhedsvarslingssystem med henblik på at øge det nationale cyberknudepunkts kapacitet. I sådanne tilfælde kan enheder fra medlemsstaterne stadig deltage i indkaldelser af forslag om andre emner under programmet for et digitalt Europa eller andre EU-finansieringsprogrammer, herunder indkaldelser vedrørende kapaciteter til opdagelse og informationsudveksling om cybertrusler og -hændelser, forudsat at disse enheder opfylder de støtteberettigelseskriterier, der er fastsat i disse programmer.
(18)
CSIRT'er udveksler oplysninger i CSIRT-netværket i overensstemmelse med direktiv (EU) 2022/2555. Det europæiske cybersikkerhedsvarslingssystem skal udgøre en ny kapacitet, der supplerer CSIRT-netværket, ved at bidrage til at opbygge et EU-situationsbevidsthed, der gør det muligt at styrke CSIRT-netværkets kapacitet. Grænseoverskridende cyberknudepunkter bør koordinere og arbejde tæt sammen med CSIRT-netværket. De bør handle ved at samle data og dele relevant information, anonymiseret hvor det er hensigtsmæssigt, om cybersikkerhedstrusler fra offentlige og private enheder, øge værdien af sådanne data og information gennem ekspertanalyser og fælles erhvervede infrastrukturer og avancerede værktøjer og bidrage til Unionens teknologiske suverænitet, dens åbne strategiske autonomi, konkurrenceevne og modstandsdygtighed og til udviklingen af Unionens kapaciteter.
(19)
Grænseoverskridende cyberknudepunkter bør fungere som centrale knudepunkter, hvor relevante data og cybermæssige trusselsefterretninger generelt sammenstilles, og de bør muliggøre udveksling af trusselsoplysninger blandt en lang række forskellige interessenter, såsom IT-beredskabsenheder (CERT'er), CSIRT'er, ISAC'er og operatører af kritisk infrastruktur. Medlemmerne af værtskonsortiet bør i konsortieaftalen angive de relevante oplysninger, der skal udveksles mellem deltagerne i det pågældende grænseoverskridende cyberknudepunkt. De oplysninger, der udveksles mellem deltagerne i et grænseoverskridende cyberknudepunkt, kan f.eks. omfatte data fra netværk og sensorer, trusselsefterretningsfeeds, kompromitteringsindikatorer og kontekstualiserede oplysninger om hændelser, cybertrusler, nærvedshændelser, sårbarheder, teknikker og procedurer, fjendtlige taktikker, specifikke oplysninger om trusselsaktører, cybersikkerhedsadvarsler og anbefalinger vedrørende konfigurationen af cybersikkerhedsværktøjer til at opdage cyberangreb. Desuden bør grænseoverskridende cyberknudepunkter også indgå samarbejdsaftaler med hinanden. Sådanne samarbejdsaftaler bør navnlig præcisere principperne for informationsudveksling og interoperabilitet. Deres bestemmelser om interoperabilitet, navnlig formater og protokoller for informationsudveksling, bør være vejledt af og derfor tage udgangspunkt i interoperationalitetsretningslinjer udstedt af Den Europæiske Unions Agentur for Cybersikkerhed oprettet ved forordning (EU) 2019/881 (ENISA). Disse retningslinjer bør udstedes hurtigt for at sikre, at de grænseoverskridende cyberknudepunkter kan tage dem i betragtning på et tidligt tidspunkt. De bør tage hensyn til internationale standarder og bedste praksis og funktionen af ethvert etableret grænseoverskridende cyberknudepunkt.
(20)
Grænseoverskridende cyberknudepunkter og CSIRT-netværket bør arbejde tæt sammen for at sikre synergi og komplementaritet i aktiviteterne. Med henblik herpå bør de nå til enighed om proceduremæssige ordninger for samarbejde og udveksling af relevant information. Dette kan omfatte udveksling af relevant information om cybertrusler og væsentlige cybersikkerhedshændelser og sikring af, at erfaringer med avancerede værktøjer, navnlig kunstig intelligens og dataanalyseteknologi, der anvendes inden for de grænseoverskridende cyberknudepunkter, deles med CSIRT-netværket.
(21)
At de relevante myndigheder opbygger en fælles situationsbevidsthed er en nødvendig forudsætning for EU-dækkende beredskab og koordinering vedrørende væsentlige cybersikkerhedshændelser og omfattende cybersikkerhedshændelser. Ved direktiv (EU) 2022/2555 oprettedes EU-CyCLONe for at støtte den koordinerede forvaltning af omfattende cybersikkerhedshændelser og -kriser på operationelt plan og for at sikre regelmæssig udveksling af relevante oplysninger mellem medlemsstaterne og EU's institutioner, organer, kontorer og agenturer. Ved direktiv (EU) 2022/2555 oprettedes også CSIRT-netværket med henblik på at fremme et hurtigt og effektivt operationelt samarbejde mellem medlemsstaterne. Med henblik på at øge situationsbevidstheden og styrke solidariteten bør de grænseoverskridende cyberknudepunkter i situationer, hvor de indhenter oplysninger vedrørende en potentiel eller igangværende omfattende cybersikkerhedshændelse, videregive relevante oplysninger til CSIRT-netværket og, som en tidlig varsling, underrette EU-CyCLONe. Afhængigt af situationen kan de oplysninger, der skal udveksles, især omfatte tekniske oplysninger, oplysninger om angriberens eller den mulige angriberes kendetegn og motiver og ikke-tekniske oplysninger på overordnet niveau om en potentiel eller igangværende omfattende cybersikkerhedshændelse. I den sammenhæng bør der tages behørigt hensyn til, hvilke oplysninger der er nødvendige, og til den eventuelt følsomme karakter af de udvekslede oplysninger. I direktiv (EU) 2022/2555 genpåpeges også Kommissionens ansvar i forbindelse med EU-civilbeskyttelsesmekanismen, der blev oprettet ved Europa-Parlamentets og Rådets afgørelse 1313/2013/EU 
(
13
)
, og dens ansvar for at udarbejde analytiske rapporter om ordningerne under EU's integrerede ordninger for politisk kriserespons i henhold til Rådets gennemførelsesafgørelse (EU) 2018/1993 
(
14
)
. Når grænseoverskridende cyberknudepunkter udveksler relevante oplysninger med og giver tidlige varslinger vedrørende en potentiel eller igangværende omfattende cybersikkerhedshændelse til EU-CyCLONe og CSIRT-netværket, er det afgørende, at disse oplysninger deles gennem disse netværk med medlemsstaternes myndigheder og Kommissionen. I denne forbindelse fastsætter direktiv (EU) 2022/2555, at EU-CyCLONe har til formål at støtte den koordinerede forvaltning af omfattende cybersikkerhedshændelser og -kriser på operationelt plan og for at sikre regelmæssig udveksling af relevant information mellem medlemsstaterne og EU's institutioner, organer, kontorer og agenturer. EU-CyCLONes opgaver omfatter udvikling af en fælles situationsbevidsthed om sådanne hændelser og kriser. Det er af afgørende betydning, at EU-CyCLONe i overensstemmelse med dette formål og sine opgaver sikrer, at sådanne oplysninger straks deles med de relevante repræsentanter for medlemsstaterne og Kommissionen. Med henblik herpå er det afgørende, at EU-CyCLONes forretningsorden indeholder passende bestemmelser.
(22)
Enheder, der deltager i det europæiske cybersikkerhedsvarslingssystem, bør sikre en høj grad af indbyrdes interoperabilitet, herunder, hvor det er relevant, for så vidt angår dataformater, taksonomi, datahåndterings- og dataanalyseværktøjer. De bør også sikre kommunikationskanaler, et minimumsniveau af sikkerhed i applikationslaget, en situationsbevidsthedsoversigtstavle samt indikatorer. Ved vedtagelse af en fælles taksonomi og udvikling af en skabelon til situationsrapporter til beskrivelse af årsagerne til opdagede cybertrusler og -risici bør der tages hensyn til det arbejde, der allerede er udført i forbindelse med gennemførelsen af direktiv (EU) 2022/2555.
(23)
For at muliggøre udveksling af relevante data og oplysninger om cybersikkerhedstrusler fra forskellige kilder i stor skala i et pålideligt og sikkert miljø bør enheder, der deltager i det europæiske cybersikkerhedsvarslingssystem, udstyres med avancerede, særligt sikre værktøjer, udstyr og infrastrukturer samt kvalificeret personale. Dermed bør det blive muligt at forbedre den kollektive opdagelseskapacitet og tilvejebringe rettidige advarsler til myndigheder og relevante enheder, navnlig ved at anvende de nyeste teknologier inden for kunstig intelligens og dataanalyse.
(24)
Gennem indsamling, analyse, deling og udveksling af relevante data og oplysninger bør det europæiske cybersikkerhedsvarslingssystem kunne styrke Unionens teknologiske suverænitet og åbne strategiske autonomi på områderne for cybersikkerhed, konkurrenceevne og modstandsdygtighed. Sammenlægning af udvalgte data af høj kvalitet kan også bidrage til udviklingen af avancerede teknologier inden for kunstig intelligens og dataanalyse. Menneskelig kontrol er afgørende, og med henblik herpå er en kvalificeret arbejdsstyrke fortsat vigtig for effektivt at samle data af høj kvalitet.
(25)
Selv om det europæiske cybersikkerhedsvarslingssystem er et civilt projekt, kan cyberforsvarssektoren udnytte en større civil situationsbevidsthed og en stærkere civil opdagelseskapacitet, der er udviklet med henblik på beskyttelse af kritisk infrastruktur.
(26)
Udveksling af oplysninger mellem deltagerne i det europæiske cybersikkerhedsvarslingssystem bør ske i overensstemmelse med eksisterende retlige krav og navnlig Unionens og den nationale databeskyttelseslovgivning samt Unionens konkurrenceregler vedrørende udveksling af oplysninger. Modtageren af oplysningerne bør, i det omfang behandlingen af personoplysninger er nødvendig, gennemføre tekniske og organisatoriske foranstaltninger til beskyttelse af de registreredes rettigheder og frihedsrettigheder og tilintetgøre data, så snart de ikke længere er nødvendige til det angivne formål, og underrette den enhed, der stiller oplysningerne til rådighed, om, at oplysningerne er blevet destrueret.
(27)
Bevarelse af fortrolighed og informationssikkerhed er af afgørende betydning for alle tre søjler i denne forordning, hvad enten det drejer sig om at tilskynde til informationsdeling eller -udveksling inden for rammerne af det europæiske cybersikkerhedsvarslingssystem, bevare interesserne hos de enheder, der ansøger om støtte under cybersikkerhedsberedskabsmekanismen, eller sikre, at rapporter indgivet under den europæiske mekanisme til gennemgang af cybersikkerhedshændelser kan give nyttige erfaringer uden at indvirke negativt på de enheder, der er berørt af hændelserne. Medlemsstaternes og enhedernes deltagelse i disse mekanismer afhænger af tillidsforholdet mellem deres komponenter. Hvis oplysninger er fortrolige i henhold til EU-regler eller nationale regler, bør delingen eller udvekslingen heraf i henhold til denne forordning begrænses til det, der er relevant og står i rimeligt forhold til formålet med delingen eller udvekslingen. Delingen eller udvekslingen bør også sikre de nævnte oplysningers fortrolighed, herunder beskyttelse af alle berørte enheders sikkerhed og kommercielle interesser. Informationsdeling eller -udveksling i henhold til denne forordning kan finde sted ved hjælp af fortrolighedsaftaler eller vejledning om informationsdistribution såsom traffic light-protokollen (TLP). TLP skal forstås som et middel til at informere om eventuelle begrænsninger for så vidt angår den videre spredning af oplysninger. Den anvendes i næsten alle CSIRT'er og i nogle ISAC'er. Ud over disse generelle krav bør værtskonsortiets aftaler for så vidt angår det europæiske cybersikkerhedsvarslingssystem fastsætte specifikke regler vedrørende betingelserne for informationsdeling inden for det berørte grænseoverskridende cyberknudepunkt. Disse aftaler kan navnlig kræve, at oplysningerne kun deles i overensstemmelse med EU-retten og national ret.
(28)
Med hensyn til anvendelsen af EU's cybersikkerhedsreserve er der behov for specifikke fortrolighedsregler. Den vil blive anmodet om, vurdere og yde støtte i en krisesituation og til enheder, der opererer i følsomme sektorer. For at EU's cybersikkerhedsreserve kan fungere effektivt, er det afgørende, at brugere og enheder er i stand til straks at dele og give adgang til alle oplysninger, der er nødvendige for, at hver enhed kan spille en rolle i vurderingen af anmodninger og leveringen af støtte. Denne forordning bør derfor fastsætte, at alle sådanne oplysninger kun anvendes eller deles, hvis det er nødvendigt for driften af EU's cybersikkerhedsreserve, og at oplysninger, der er fortrolige eller klassificerede i henhold til EU-retten eller national ret, kun må anvendes og deles i overensstemmelse med nævnte ret. Desuden bør brugerne altid, hvor det er relevant, kunne anvende informationsudvekslingsprotokoller såsom TLP til yderligere at præcisere begrænsninger. Selv om brugerne har skønsbeføjelser i denne henseende, er det vigtigt, at de ved anvendelsen af sådanne begrænsninger tager hensyn til de mulige konsekvenser, navnlig med hensyn til forsinket vurdering eller levering af de ønskede tjenester. For at sikre effektiviteten af EU's cybersikkerhedsreserve er det vigtigt, at den ordregivende myndighed præciserer disse konsekvenser for brugeren, inden den indgiver en anmodning. Disse beskyttelsesforanstaltninger er begrænset til anmodning om og levering af tjenester fra EU's cybersikkerhedsreserve og påvirker ikke informationsudveksling i andre sammenhænge, f.eks. i forbindelse med EU's cybersikkerhedsreserves indkøb.
(29)
I betragtning af de stigende risici og antallet af hændelser, der påvirker medlemsstaterne, er det nødvendigt at oprette et krisestøtteinstrument, nemlig cybersikkerhedsberedskabsmekanismen, for at forbedre Unionens modstandsdygtighed over for væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser og supplere medlemsstaternes foranstaltninger gennem finansiel nødhjælp til beredskab, indsats og den indledende genopretning af væsentlige tjenester. Da fuld genopretning efter en hændelse er en omfattende proces, hvor funktionen af den enhed, der er berørt af hændelsen, skal genetableres til den status, den havde før hændelsen, og dette kan være en langvarig proces, der medfører betydelige omkostninger, bør støtten fra EU's cybersikkerhedsreserve begrænses til den første fase af genopretningsprocessen, der fører til genetablering af systemernes grundlæggende funktioner. Cybersikkerhedsberedskabsmekanismen bør muliggøre hurtig og effektiv udsendelse af bistand under nærmere fastsatte omstændigheder og på klare betingelser og give mulighed for nøje overvågning og evaluering af, hvordan ressourcerne er blevet anvendt. Mens medlemsstaterne har det primære ansvar for forebyggelse, beredskab og indsats i tilfælde af cybersikkerhedshændelser og -kriser, skal cybersikkerhedsberedskabsmekanismen øge solidariteten mellem medlemsstaterne i overensstemmelse med artikel 3, stk. 3, i traktaten om Den Europæiske Union (TEU).
(30)
Cybersikkerhedsberedskabsmekanismen bør yde støtte til medlemsstaterne som supplement til deres egne foranstaltninger og ressourcer og andre eksisterende støttemuligheder i tilfælde af reaktion på og den indledende genopretning efter væsentlige cybersikkerhedshændelser og omfattende cybersikkerhedshændelser såsom de tjenester, der leveres af ENISA i overensstemmelse med dets mandat, den koordinerede indsats og bistanden fra CSIRT-netværket, støtten til afbødende foranstaltninger fra EU-CyCLONe samt gensidig bistand mellem medlemsstaterne, herunder i medfør af artikel 42, stk. 7, i TEU og i det permanente strukturerede samarbejdes (PESCO) cyberberedskabshold oprettet i henhold til Rådets afgørelse (FUSP) 2017/2315 
(
15
)
. Cybersikkerhedsberedskabsmekanismen bør indgå i løsning af behovet for at sikre, at der er specialiserede ressourcer til rådighed til støtte for beredskab, indsats og genopretning efter sådanne hændelser i hele Unionen og i tredjelande, der er associeret til programmet for et digitalt Europa.
(31)
Denne forordning berører ikke procedurer og rammer for koordinering af kriserespons på EU-plan, navnlig direktiv (EU) 2022/2555, EU-civilbeskyttelsesmekanismen oprettet ved Europa-Parlamentets og Rådets afgørelse 1313/2013/EU 
(
16
)
, IPCR-ordninger og Kommissionens henstilling (EU) 2017/1584 
(
17
)
. Støtte under cybersikkerhedsberedskabsmekanismen kan supplere den bistand, der ydes inden for rammerne af den fælles udenrigs- og sikkerhedspolitik og den fælles sikkerheds- og forsvarspolitik, herunder gennem cyberberedskabsholdene, under hensyntagen til cybersikkerhedsberedskabsmekanismens civile karakter. Støtte, der ydes inden for rammerne af cybersikkerhedsberedskabsmekanismen, kan supplere foranstaltninger, der gennemføres inden for rammerne af artikel 42, stk. 7, i TEU, herunder bistand fra en medlemsstat til en anden medlemsstat, eller udgøre en del af den fælles indsats mellem Unionen og medlemsstaterne eller i situationer, der er omhandlet i artikel 222 i TEUF. Gennemførelsen af denne forordning bør også koordineres med gennemførelsen af foranstaltninger i henhold til den cyberdiplomatiske værktøjskasse, hvor det er relevant.
(32)
Den bistand, der ydes i henhold til denne forordning, bør støtte og supplere de foranstaltninger, som medlemsstaterne træffer på nationalt plan. Med henblik herpå bør der sikres et tæt samarbejde og samråd mellem Kommissionen, ENISA, medlemsstaterne og, hvor det er relevant, ECCC. Når en medlemsstat anmoder om støtte i henhold til cybersikkerhedsberedskabsmekanismen, bør den fremlægge relevante oplysninger, der begrunder behovet for støtte.
(33)
I henhold til direktiv (EU) 2022/2555 skal medlemsstaterne udpege eller oprette en eller flere cyberkrisestyringsmyndigheder og sikre, at de har tilstrækkelige ressourcer til at udføre deres opgaver effektivt og virkningsfuldt. I henhold til direktivet skal medlemsstaterne endvidere identificere kapaciteter, aktiver og procedurer, der kan indsættes i tilfælde af en krise, og vedtage en national omfattende beredskabsplan for cybersikkerhedshændelser og -kriser, hvor målsætningerne og ordningerne vedrørende håndtering af væsentlige cybersikkerhedshændelser og -kriser er fastsat. Medlemsstaterne skal også oprette en eller flere CSIRT'er, der har ansvar for håndtering af hændelser efter en veldefineret proces, der som minimum dækker de sektorer, delsektorer og typer af enhed, der er omfattet af nævnte direktivs anvendelsesområde, og sikre, at de har tilstrækkelige ressourcer til effektivt at udføre deres opgaver. Denne forordning berører ikke Kommissionens rolle med hensyn til at sikre, at medlemsstaterne overholder forpligtelserne i direktiv (EU) 2022/2555. Cybersikkerhedsberedskabsmekanismen bør yde bistand til foranstaltninger, der har til formål at styrke beredskabet og indsatsen i forbindelse med hændelser for at afbøde virkningerne af væsentlige cybersikkerhedshændelser og omfattende cybersikkerhedshændelser, støtte den indledende genopretning eller genetablere de grundlæggende funktioner af de tjenester, der leveres af enheder, der opererer i sektorer af særligt kritisk betydning eller enheder, der opererer i andre kritiske sektorer.
(34)
For at fremme en konsekvent tilgang og styrke sikkerheden i hele Unionen og dens indre marked bør der som led i beredskabsforanstaltningerne ydes støtte til en koordineret afprøvning og vurdering af cybersikkerheden i enheder, der opererer i sektorer af særligt kritisk betydning, der er udpeget i direktiv (EU) 2022/2555, herunder gennem øvelser og uddannelse. Med henblik herpå bør Kommissionen efter høring af ENISA, NIS-samarbejdsgruppen og EU-CyCLONe regelmæssigt udpege relevante sektorer eller delsektorer, som bør være berettigede til at modtage finansiel støtte til koordineret beredskabstestning på EU-plan. Sektorerne eller delsektorerne bør udvælges fra sektorerne af særlig kritisk betydning anført i bilag I til direktiv (EU) 2022/2555. De koordinerede beredskabstest bør baseres på fælles risikoscenarier og -metoder. Udvælgelsen af sektorer og udarbejdelsen af risikoscenarier bør tage højde for relevante risikovurderinger og risikoscenarier på EU-plan, herunder behovet for at undgå overlapning, såsom den risikoevaluering og de risikoscenarier, der anbefales i Rådets konklusioner om udviklingen af Den Europæiske Unions cyberniveau, foretaget af Kommissionen, Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik (»den højtstående repræsentant«) og NIS-samarbejdsgruppen i samarbejde med relevante civile og militære organer og agenturer og etablerede netværk, herunder EU-CyCLONe, samt den risikovurdering af kommunikationsnet og -infrastrukturer, der er anmodet om i den fælles ministerielle Nevers-indkaldelse, og som gennemføres af NIS-samarbejdsgruppen med støtte fra Kommissionen og ENISA og i samarbejde med Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2018/1971 
(
18
)
, de på EU-plan koordinerede sikkerhedsrisikovurderinger af kritiske forsyningskæder, der skal foretages i henhold til artikel 22 i direktiv (EU) 2022/2555, og afprøvning af digital operationel modstandsdygtighed, jf. Europa-Parlamentets og Rådets forordning (EU) 2022/2554 
(
19
)
. Ved udvælgelse af sektorer bør der også tages hensyn til Rådets henstilling om en EU-dækkende koordineret tilgang til styrkelse af kritisk infrastrukturs modstandsdygtighed.
(35)
Derudover bør cybersikkerhedsberedskabsmekanismen yde støtte til andre beredskabsforanstaltninger og støtte beredskabet i andre sektorer, der ikke er omfattet af den koordinerede beredskabstest af enheder, der opererer i sektorer af særligt kritisk betydning, eller enheder, der opererer i andre kritiske sektorer. Disse foranstaltninger kan omfatte forskellige typer af national beredskabsaktivitet.
(36)
Når medlemsstaterne modtager tilskud til støtte med henblik på at støtte beredskabsforanstaltninger, kan enheder i sektorer af særligt kritisk betydning deltage i disse foranstaltninger på frivillig basis. Det er god praksis, at de deltagende enheder efter sådanne foranstaltninger udarbejder en afhjælpningsplan med henblik på at gennemføre eventuelle anbefalinger om specifikke tiltag for i videst muligt omfang at kunne drage fordel af beredskabsforanstaltningen. Selv om det er vigtigt, at medlemsstaterne som led i foranstaltningerne anmoder om, at deltagende enheder udarbejder og gennemfører sådanne afhjælpningsplaner, er medlemsstaterne hverken forpligtet eller bemyndiget i henhold til denne forordning til at følge op på sådanne anmodninger. Sådanne anmodninger berører ikke kravene til enheder og de kompetente myndigheders tilsynsbeføjelser i overensstemmelse med direktiv (EU) 2022/2555.
(37)
Cybersikkerhedsberedskabsmekanismen bør yde støtte til indsatsen i forbindelse med hændelser for at afbøde virkningerne af væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser for at støtte den indledende genopretning eller genoprette væsentlige tjenesters funktion. Den bør, hvor det er relevant, supplere EU-civilbeskyttelsesmekanismen for at sikre en samlet tilgang til indsatsen over for følgerne af hændelser for borgerne.
(38)
Cybersikkerhedsberedskabsmekanismen bør støtte teknisk bistand fra en medlemsstat til en anden medlemsstat, der er berørt af en væsentlig cybersikkerhedshændelse eller en omfattende cybersikkerhedshændelse, herunder fra CSIRT'er som omhandlet i artikel 11, stk. 3, litra f), i direktiv (EU) 2022/2555. Medlemsstater, der yder sådan bistand, bør have mulighed for at indgive anmodning om dækning af omkostninger i forbindelse med udsendelse af eksperthold inden for rammerne af gensidig bistand. De støtteberettigede omkostninger kan omfatte udgifter til rejser, indkvartering og daglige udgifter for cybersikkerhedseksperter.
(39)
I betragtning af den væsentlige rolle, som private virksomheder spiller i forbindelse med opdagelse, beredskab og reaktion på omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser, er det vigtigt at anerkende værdien af frivilligt pro bono-samarbejde med sådanne virksomheder, hvorved de tilbyder tjenester uden betaling i tilfælde af omfattende cybersikkerhedshændelser og kriser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser og kriser. ENISA kan i samarbejde med EU-CyCLONe overvåge udviklingen af sådanne pro bono-initiativer og fremme overholdelsen af de kriterier, der gælder for betroede udbydere af administrerede sikkerhedstjenester i henhold til denne forordning, herunder med hensyn til private virksomhedernes troværdighed, deres erfaring samt deres evne til at håndtere følsomme oplysninger på en sikker måde.
(40)
Som led i cybersikkerhedsberedskabsmekanismen bør der gradvist oprettes en cybersikkerhedsreserve på EU-plan bestående af tjenester fra betroede udbydere af administrerede sikkerhedstjenester til støtte for indsatsen og iværksættelse af de indledende genopretningsforanstaltninger i tilfælde af væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser eller cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser, der påvirker medlemsstaterne, EU's institutioner, organer eller agenturer eller tredjelande, der er associeret til programmet for et digitalt Europa. EU's cybersikkerhedsreserve bør sikre, at tjenesterne er tilgængelige og parate. Den bør derfor omfatte tjenester, der er omfattet af forhåndsforpligtelser, herunder f.eks. kapaciteter, der er på standby og kan indsættes med kort varsel. Tjenesterne fra EU's cybersikkerhedsreserve bør tjene til at støtte de nationale myndigheder i at yde bistand til berørte enheder, der opererer i sektorer af særligt kritisk betydning, eller til berørte enheder, der opererer i andre kritiske sektorer, som supplement til deres egne foranstaltninger på nationalt plan. Tjenesterne fra EU's cybersikkerhedsreserve bør også kunne tjene til at støtte EU's institutioner, organer, kontorer og agenturer på lignende betingelser. EU's cybersikkerhedsreserve kan også bidrag til at styrke industriens og tjenesteydelsernes konkurrenceevne i Unionen i hele den digitale økonomi, herunder mikrovirksomheder og små og mellemstore virksomheder samt nystartede virksomheder, bl.a. gennem tilvejebringelse af incitamenter til forskning og innovation. Det er vigtigt at tage hensyn til ENISA's europæiske ramme for cybersikkerhedsfærdigheder, når der indkøbes tjenester til EU's cybersikkerhedsreserve. Når brugere anmoder om støtte fra EU's cybersikkerhedsreserve, bør de i deres ansøgning medtage relevante oplysninger om den berørte enhed og potentielle virkninger, oplysninger om den tjeneste, der anmodes om fra EU's cybersikkerhedsreserve, og specificere hvilken støtte, der ydes til den berørte enhed på nationalt plan, og som der bør tages hensyn til ved vurderingen af ansøgerens anmodning. For at sikre komplementaritet med andre former for støtte, der er til rådighed for den berørte enhed, bør anmodningen også indeholde eventuelle oplysninger om indgåede kontrakter vedrørende reaktioner på hændelser og tjenester med henblik på den indledende genopretning, samt forsikringsaftaler, der eventuelt dækker den pågældende hændelsestype.
(41)
For at sikre en effektiv anvendelse af EU-midler bør de tjenester, der er omfattet af EU's cybersikkerhedsreserve, i overensstemmelse med den relevante kontrakt kunne konverteres til beredskabstjenester i forbindelse med forebyggelse af og reaktion på hændelser i tilfælde, hvor disse tjenester ikke anvendes til at reagere på hændelser i det tidsrum, hvor disse tjenester er omfattet af forhåndsforpligtelser. Disse tjenester bør være supplerende til og bør ikke overlappe de beredskabsforanstaltninger, der forvaltes af ECCC.
(42)
Anmodninger om støtte fra EU's cybersikkerhedsreserve fra medlemsstaternes cyberkrisestyringsmyndigheder og CSIRT'er eller CERT-EU på vegne af EU's institutioner, organer, kontorer og agenturer bør vurderes af den ordregivende myndighed. Hvis ENISA har fået overdraget forvaltningen og driften af EU's cybersikkerhedsreserve, er ENISA den ordregivende myndighed. Anmodninger om støtte fra tredjelande, der er associeret til programmet for et digitalt Europa, bør vurderes af Kommissionen. For at lette indgivelsen og vurderingen af anmodninger om støtte kan ENISA oprette en sikker platform.
(43)
Hvis der modtages flere anmodninger samtidig, bør disse anmodninger prioriteres i overensstemmelse med de i denne forordning fastsatte kriterier. I lyset af denne forordnings generelle mål bør disse kriterier omfatte hændelsens størrelse og alvor, typen af berørt enhed, den potentielle indvirkning af hændelsen på berørte medlemsstater og brugere, hændelsens potentielle grænseoverskridende karakter og risikoen for afsmitning og de foranstaltninger, som brugeren allerede har truffet for at bidrage til indsatsen og den indledende genopretning. I lyset af disse mål og i betragtning af, at anmodninger fra brugere i medlemsstaterne udelukkende har til formål i Unionen at støtte enheder, der opererer i sektorer af særligt kritisk betydning, eller enheder, der opererer i andre kritiske sektorer, bør anmodninger fra brugere i medlemsstater prioriteres højest, hvis kriterierne fører til, at to eller flere anmodninger vurderes som ligestillede. Dette berører ikke eventuelle forpligtelser, som medlemsstaterne måtte have indgået i henhold til relevante værtsaftaler til at træffe foranstaltninger til at beskytte og bistå EU's institutioner, organer, kontorer og agenturer.
(44)
Kommissionen bør have det overordnede ansvar for EU-cybersikkerhedsreservens gennemførelse. I betragtning af ENISA's omfattende erfaring med støtteforanstaltningen vedrørende cybersikkerhed er ENISA det mest egnede agentur til at gennemføre EU's cybersikkerhedsreserve, og Kommissionen bør derfor helt eller delvist overdrage driften og forvaltningen af EU's cybersikkerhedsreserve til ENISA, alt efter hvad Kommissionen finder mest hensigtsmæssigt. Overdragelsen bør udføres i overensstemmelse med de gældende regler i forordning (EU) 2024/2509 og bør navnlig være betinget af, at de relevante betingelser for undertegnelse af en bidragsaftale er opfyldt. Alle aspekter af driften og forvaltningen af EU's cybersikkerhedsreserve, der ikke overdrages til ENISA, bør være underlagt direkte forvaltning af Kommissionen, herunder forud for undertegnelsen af bidragsaftalen.
(45)
Medlemsstaterne bør spille en central rolle i forbindelse med oprettelsen, udrulningen og perioden efter udrulning af EU's cybersikkerhedsreserve. Da forordning (EU) 2021/694 er den relevante basisretsakt for foranstaltninger til gennemførelse af EU's cybersikkerhedsreserve, bør foranstaltningerne under EU's cybersikkerhedsreserve fastsættes i de arbejdsprogrammer, der er omhandlet i artikel 24 i forordning (EU) 2021/694. I henhold til stk. 6 i nævnte artikel skal disse arbejdsprogrammer vedtages af Kommissionen ved hjælp af gennemførelsesretsakter efter undersøgelsesproceduren. Desuden bør Kommissionen i samarbejde med NIS-samarbejdsgruppen fastlægge prioriteterne for og udviklingen af EU's cybersikkerhedsreserve.
(46)
De kontrakter, der indgås inden for rammerne af EU's cybersikkerhedsreserve, bør ikke påvirke forholdet mellem virksomheder og eksisterende forpligtelser mellem den berørte enhed eller brugere og tjenesteudbyderen.
(47)
Med henblik på at udvælge private tjenesteudbydere, der skal levere tjenester i forbindelse med EU's cybersikkerhedsreserve, er det nødvendigt at fastsætte et sæt minimumskriterier og -krav, der bør indgå i udbuddet til udvælgelse af udbyderne, for at sikre, at behovene opfyldes hos medlemsstaternes myndigheder, enheder, der opererer i sektorer af særligt kritisk betydning og enheder, der opererer i andre kritiske sektorer. For at imødekomme medlemsstaternes specifikke behov bør den ordregivende myndighed, når den indkøber tjenester til EU's cybersikkerhedsreserve, hvor det er relevant, fastlægge yderligere udvælgelseskriterier og -krav ud over dem, der er fastsat i denne forordning. Det er vigtigt at tilskynde mindre udbydere, der er aktive på regionalt og lokalt plan, til at deltage.
(48)
Ved udvælgelsen af udbydere til EU's cybersikkerhedsreserve bør den ordregivende myndighed sikre, at EU's cybersikkerhedsreserve som helhed omfatter udbydere, der er i stand til at imødekomme brugernes sprogkrav. Med henblik herpå bør den ordregivende myndighed, inden den udarbejder udbudsbetingelserne, undersøge, om de potentielle brugere af EU's cybersikkerhedsreserve har specifikke sprogkrav, så støttetjenester under EU's cybersikkerhedsreserve kan leveres på et af EU-institutionernes eller medlemsstaternes officielle sprog, som brugeren eller den berørte enhed sandsynligvis vil forstå. Hvis en bruger kræver, at støttetjenester under EU's cybersikkerhedsreserve leveres på mere end ét sprog, og disse tjenester er blevet indkøbt på disse sprog med tanke på den pågældende bruger, bør brugeren i anmodningen om støtte fra EU's cybersikkerhedsreserve kunne angive, på hvilke af disse sprog tjenesterne bør leveres i forbindelse med den specifikke hændelse, der giver anledning til anmodningen.
(49)
For at støtte etableringen af EU's cybersikkerhedsreserve er det vigtigt, at Kommissionen anmoder ENISA om at udarbejde et forslag til en cybersikkerhedscertificeringsordning for kandidater i henhold til forordning (EU) 2019/881 for administrerede sikkerhedstjenester på de områder, der er omfattet af cybersikkerhedsberedskabsmekanismen.
(50)
For at støtte målsætningerne i denne forordning om at fremme fælles situationsbevidsthed, styrke Unionens modstandsdygtighed og muliggøre en effektiv reaktion på væsentlige cybersikkerhedshændelser og omfattende cybersikkerhedshændelser bør Kommissionen eller EU-CyCLONe kunne anmode ENISA, med støtte fra CSIRT-netværket og efter godkendelse fra den berørte medlemsstat, om at gennemgå og vurdere cybertrusler, kendte sårbarheder, der kan udnyttes, og afbødende foranstaltninger i forbindelse med en specifik væsentlig cybersikkerhedshændelse eller omfattende cybersikkerhedshændelse. Efter gennemførelsen af en gennemgang og vurdering af en hændelse bør ENISA udarbejde en rapport om hændelsen i samarbejde med den berørte medlemsstat, relevante interessenter, herunder repræsentanter fra den private sektor, Kommissionen og andre relevante EU-institutioner, -organer, -kontorer og -agenturer. På grundlag af samarbejdet med interessenter, herunder den private sektor, bør rapporten om gennemgang af specifikke hændelser have til formål at vurdere årsagerne til, virkningerne af og modvirkningen af en hændelse, efter at den er indtruffet. Der bør lægges særlig vægt på oplysninger og erfaringer, der indmeldes af udbydere af administrerede sikkerhedstjenester, som opfylder betingelserne om højeste faglige integritet, upartiskhed og den nødvendige tekniske ekspertise som krævet i denne forordning. Rapporten bør leveres til EU-CyCLONe, CSIRT-netværket og Kommissionen og bør have for vane at underrette deres og ENISA's arbejde. Når hændelsen vedrører et tredjeland, der er associeret til programmet for et digitalt Europa, bør Kommissionen også udlevere rapporten til den højtstående repræsentant.
(51)
I betragtning af cyberangrebs uforudsigelige karakter og det forhold, at de ofte ikke kun berører et specifikt geografisk område og medfører høj risiko for afsmittende virkninger, bidrager styrkelsen af nabolandenes modstandsdygtighed og deres evne til at reagere effektivt på væsentlige cybersikkerhedshændelser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser til beskyttelsen af Unionen som helhed, og navnlig dens indre marked og industrien. Sådanne aktiviteter kan bidrage yderligere til EU's cyberdiplomati. Derfor bør tredjelande, der er associeret til programmet for et digitalt Europa, kunne anmode om støtte fra EU's cybersikkerhedsreserve på alle eller dele af deres områder, hvis dette er fastsat i den aftale, hvorigennem tredjelandet er associeret til programmet for et digitalt Europa. Finansieringen til tredjelande, der er associeret til programmet for et digitalt Europa, bør støttes af Unionen inden for rammerne af relevante partnerskaber og finansieringsinstrumenter for disse lande. Støtten bør omfatte tjenester inden for reaktion på og den indledende genopretning efter væsentlige cybersikkerhedshændelser eller cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser.
(52)
De betingelser, der er fastsat for EU's cybersikkerhedsreserve og betroede udbydere af administrerede sikkerhedstjenester i denne forordning, bør finde anvendelse, når der ydes støtte til tredjelande, der er associeret til programmet for et digitalt Europa. Tredjelande, der er associeret til programmet for et digitalt Europa, bør kunne anmode om støtte fra EU's cybersikkerhedsreserve, når de enheder, som tjenesterne skal rettes mod, og for hvilke tredjelandene anmoder om støtte fra EU's cybersikkerhedsreserve, er enheder, der opererer i sektorer af særligt kritisk betydning eller enheder, der opererer i andre kritiske sektorer, og når de opdagede hændelser fører til betydelige operationelle forstyrrelser eller kan have afsmittende virkninger i Unionen. Tredjelande, der er associeret til programmet for et digitalt Europa, bør kun være berettigede til at modtage støtte, hvis den aftale, hvorigennem de er associeret til programmet for et digitalt Europa, specifikt indeholder bestemmelser om en sådan støtte. Desuden bør sådanne tredjelande kun være støtteberettigede, så længe tre kriterier er opfyldt. For det første bør tredjelandet fuldt ud overholde de relevante betingelser i den pågældende aftale. For det andet bør tredjelandet i betragtning af EU's cybersikkerhedsreserves supplerende karakter have taget passende skridt til at forberede sig på væsentlige cybersikkerhedshændelser eller cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser. For det tredje bør ydelsen af støtte fra EU's cybersikkerhedsreserve være i overensstemmelse med EU's politik over for og de overordnede forbindelser med det pågældende tredjeland og med andre EU-politikker på sikkerhedsområdet. I forbindelse med sin vurdering af overholdelsen af dette tredje kriterium bør Kommissionen rådføre sig med den højtstående repræsentant med henblik på at tilpasse ydelsen af en sådan støtte til den fælles udenrigs- og sikkerhedspolitik.
(53)
Ydelsen af støtte til tredjelande, der er associeret til programmet for et digitalt Europa, kan påvirke forbindelserne med tredjelande og Unionens sikkerhedspolitik, herunder inden for rammerne af den fælles udenrigs- og sikkerhedspolitik og den fælles sikkerheds- og forsvarspolitik. Det er derfor hensigtsmæssigt, at Rådet tillægges gennemførelsesbeføjelser til at godkende og præcisere den periode, hvor der kan ydes sådan støtte. Rådet bør træffe afgørelse på grundlag af et forslag fra Kommissionen under behørig hensyntagen til Kommissionens vurdering af de tre kriterier. Det samme bør gælde for forlængelser og forslag om ændring eller ophævelse af sådanne retsakter. Hvis Rådet i særlige tilfælde finder, at der er sket en væsentlig ændring i omstændighederne med hensyn til det tredje kriterium, bør Rådet kunne handle på eget initiativ for at ændre eller ophæve en gennemførelsesretsakt uden at afvente et forslag fra Kommissionen. Sådanne væsentlige ændringer vil sandsynligvis kræve en hurtig indsats, have særligt stor indvirkning på relationerne med tredjelande og ikke kræve en detaljeret vurdering på forhånd fra Kommissionens side. Desuden bør Kommissionen samarbejde med den højtstående repræsentant i forbindelse med anmodninger om støtte fra tredjelande, der er associeret til programmet for et digitalt Europa, og gennemførelsen af støtte til sådanne tredjelande. Kommissionen bør også tage hensyn til ENISA's eventuelle synspunkter vedrørende sådanne anmodninger og sådan støtte. Kommissionen bør underrette Rådet om resultatet af vurderingen af anmodningerne, herunder relevante overvejelser i denne henseende, og om de tjenester, der leveres.
(54)
Kommissionens meddelelse af 18. april 2023 om akademiet for cyberfærdigheder påpegede manglen på kvalificerede fagfolk. Der er behov for sådanne kvalifikationer for at nå målene i denne forordning. Unionen har akut behov for fagfolk med færdigheder og kompetencer til at forebygge, opdage og afværge cyberangreb og forsvare Unionen, herunder dets mest kritiske infrastruktur, mod sådanne angreb og sikre dets modstandsdygtighed. Med henblik herpå er det vigtigt at tilskynde til samarbejde mellem interessenter, herunder fra den private og den offentlige sektor og den akademiske verden. Det er også vigtigt at skabe synergier på hele Unionens område og sørge for, at uddannelsesinvesteringerne fremmer indførelsen af sikkerhedsforanstaltninger, der sigter mod at undgå hjerneflugt eller en udvidelse af kvalifikationskløften i nogle regioner mere end i andre. Det haster med at lukke kvalifikationskløften inden for cybersikkerhed med særligt fokus på at mindske kønsskævheden i arbejdsstyrken på dette område og fremme kvinders tilstedeværelse og deltagelse i udformningen af digital forvaltning.
(55)
For at sætte skub i innovationen på det digitale indre marked er det vigtigt at styrke forskning og innovation inden for cybersikkerhed for at bidrage til at øge medlemsstaternes modstandsdygtighed og Unionens åbne strategiske autonomi, som er nogle af målene med denne forordning. Synergier er afgørende for at styrke samarbejdet og koordineringen mellem de forskellige interessenter, herunder den private sektor, civilsamfundet og den akademiske verden.
(56)
Denne forordning bør tage hensyn til forpligtelsen fastsat i den fælles erklæring af 26. januar 2022 fra Europa-Parlamentet, Rådet og Kommissionen med titlen »Europæisk erklæring om digitale rettigheder og principper for det digitale årti« med hensyn til at beskytte Unionens demokratier, befolkninger, virksomheder og offentlige institutioner mod cybersikkerhedsrisici og cyberkriminalitet, herunder brud på datasikkerheden og identitetstyveri eller manipulation.
(57)
Med henblik på at supplere visse ikke-væsentlige bestemmelser i denne forordning bør Kommissionen tillægges beføjelse til at vedtage retsakter i overensstemmelse med artikel 290 i TEUF med henblik på at præcisere, hvilke typer og hvor mange beredskabstjenester der er nødvendige i EU's cybersikkerhedsreserve. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 
(
20
)
. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelsen af delegerede retsakter.
(58)
For at sikre ensartede betingelser for gennemførelse af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser til yderligere at præcisere de detaljerede proceduremæssige ordninger for fordelingen af EU-cybersikkerhedsreservens støttetjenester. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
21
)
.
(59)
Med forbehold af reglerne vedrørende Unionens årlige budget i henhold til traktaterne bør Kommissionen tage hensyn til de forpligtelser, der følger af denne forordning, når den vurderer ENISA's budgetterings- og personalebehov.
(60)
Kommissionen bør regelmæssigt foretage en evaluering af de foranstaltninger, der er fastsat i denne forordning. Den første sådanne evaluering bør finde sted i de første to år efter datoen for denne forordnings ikrafttræden og derefter mindst hvert fjerde år under hensyntagen til tidsplanen for revisionen af den flerårige finansielle ramme oprettet i henhold til TEUF artikel 312. Kommissionen bør forelægge Europa-Parlamentet og Rådet en rapport om de fremskridt, der er gjort. For at vurdere de forskellige nødvendige elementer, herunder omfanget af de oplysninger, der udveksles inden for det europæiske cybersikkerhedsvarslingssystem, bør Kommissionen udelukkende basere sig på oplysninger, der er umiddelbart tilgængelige eller gives frivilligt. I lyset af den geopolitiske udvikling og for at sikre kontinuitet og videreudvikling efter 2027 af de foranstaltninger, der er fastsat i denne forordning, er det vigtigt, at Kommissionen vurderer, om det er nødvendigt at oprette en særlig budgetpost i den flerårige finansielle ramme for 2028-2034.
(61)
Målene for denne forordning, nemlig at styrke industri- og tjenesteydelses konkurrencedygtighed i Unionen gennem en digital økonomi og at bidrage til Unionens teknologiske suverænitet og åbne strategisk uafhængighed på området for cybersikkerhed, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af handlingens omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i TEU. I overensstemmelse med proportionalitetsprincippet går denne forordning går ikke videre, end hvad der er nødvendigt for at opfylde disse mål —
VEDTAGET DENNE FORORDNING:
KAPITEL I
GENERELLE BESTEMMELSER
Artikel 1
Genstand og formål
1.   Ved denne forordning fastsættes foranstaltninger til styrkelse af Unionens kapacitet til at opdage, forberede sig og reagere på cybertrusler og -hændelser, navnlig gennem oprettelse af:
a)
et paneuropæisk netværk af cyberknudepunkter (et europæisk cybersikkerhedsvarslingssystem) for at opbygge og styrke en koordineret kapacitet til at opdage hændelser og den fælles situationsbevidsthed
b)
en cybersikkerhedsberedskabsmekanisme som støtte til medlemsstaterne til at forberede sig og reagere på, afbøde virkningerne af og påbegynde den indledende genopretning efter væsentlige cybersikkerhedshændelser og omfattende cybersikkerhedshændelser og som støtte til andre brugere til at reagere på omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser
c)
en europæisk mekanisme til gennemgang af cybersikkerhedshændelser med henblik på at gennemgå og vurdere væsentlige cybersikkerhedshændelser eller omfattende cybersikkerhedshændelser.
2.   De overordnede mål med denne forordning er at styrke industriens og tjenesteydelsernes konkurrenceevne i Unionen i hele den digitale økonomi, herunder mikrovirksomheder og små og mellemstore virksomheder samt nystartede virksomheder, og bidrage til Unionens teknologiske suverænitet og åbne strategiske autonomi på cybersikkerhedsområdet, bl.a. ved at fremme innovationen inden for det digitale indre marked. Forordningen forfølger disse mål ved at styrke solidariteten på EU-plan, styrke cybersikkerhedsøkosystemet, øge medlemsstaternes cyberrobusthed og udvikle arbejdsstyrkens færdigheder, knowhow, evner og kompetencer med hensyn til cybersikkerhed.
3.   Opfyldelsen af de overordnede mål som omhandlet i stk. 2 forfølges gennem følgende specifikke mål:
a)
at styrke Unionens fælles situationsbevidsthed og koordinerede kapacitet til at opdage cybertrusler og -hændelser
b)
at styrke beredskabet hos enheder, der opererer i sektorer af særligt kritisk betydning eller enheder, der opererer i andre kritiske sektorer i hele Unionen, og styrke solidariteten ved at udvikle koordinerede beredskabstest og bedre indsats- og genopretningskapaciteter med henblik på at håndtere væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser eller cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser, herunder muligheden for at stille indsatsstøtte fra Unionen ved cybersikkerhedshændelser til rådighed for tredjelande, der er associeret til programmet for et digitalt Europa
c)
at øge Unionens modstandsdygtighed og bidrage til en effektiv reaktion på hændelser ved at gennemgå og vurdere væsentlige cybersikkerhedshændelser eller omfattende cybersikkerhedshændelser, herunder ved at trække på indhøstede erfaringer og henstillinger, hvor det er relevant.
4.   Foranstaltningerne i henhold til denne forordning gennemføres under behørig hensyntagen til medlemsstaternes kompetencer og supplerer de aktiviteter, der udføres af CSIRT-netværket, EU-CyCLONe og NIS-samarbejdsgruppen.
5.   Denne forordning berører ikke medlemsstaternes væsentlige statslige funktioner, herunder sikring af statens territoriale integritet, opretholdelse af lov og orden og beskyttelse af den nationale sikkerhed. Navnlig forbliver den nationale sikkerhed den enkelte medlemsstats eneansvar.
6.   Delingen eller udvekslingen efter denne forordning af oplysninger, der er fortrolige i henhold til EU-regler eller nationale regler, begrænses til det omfang, der er relevant og står i rimeligt forhold til formålet med denne deling eller udveksling. Sådan deling eller udveksling af oplysninger sikrer oplysningernes fortrolighed og beskytter de berørte enheders sikkerhed og kommercielle interesser. Den omfatter ikke meddelelse af oplysninger, hvis videregivelse strider mod medlemsstaternes væsentlige nationale sikkerhedsinteresser, offentlige sikkerhed eller forsvar.
Artikel 2
Definitioner
I denne forordning forstås ved:
1)
»grænseoverskridende cyberknudepunkt«: en platform for flere lande, som er oprettet i henhold til en skriftlig konsortieaftale, der i en koordineret netværksstruktur samler nationale cyberknudepunkter fra mindst tre medlemsstater, og som er udformet med henblik på at styrke overvågningen, opdagelsen og analysen af cybertrusler og forebygge hændelser og støtte tilvejebringelse af cybermæssige trusselsefterretninger, navnlig gennem udveksling af relevante data og oplysninger, anonymiserede hvor det er hensigtsmæssigt, samt gennem deling af avancerede værktøjer og fælles udvikling af cybermæssige opdagelses-, analyse-, forebyggelses- og beskyttelseskapaciteter i et pålideligt miljø
2)
»værtskonsortium«: et konsortium bestående af deltagende medlemsstater, der har indvilliget i at etablere og at bidrage til erhvervelse af værktøjer, infrastruktur eller tjenester til og driften af et grænseoverskridende cyberknudepunkt
3)
»CSIRT«: en CSIRT som defineret i artikel 10 i direktiv (EU) 2022/2555
4)
»enhed«: en enhed som defineret i artikel 6, nr. 38), i direktiv (EU) 2022/2555
5)
»enheder, der opererer i sektorer af særligt kritisk betydning«: den type enhed, der er opført i bilag I til direktiv (EU) 2022/2555
6)
»enheder, der opererer i andre kritiske sektorer«: den type enhed, der er opført i bilag II til direktiv (EU) 2022/2555
7)
»risiko«: en risiko som defineret i artikel 6, nr. 9), i direktiv (EU) 2022/2555
8)
»cybertrussel«: en cybertrussel som defineret i artikel 2, nr. 8), i forordning (EU) 2019/881
9)
»hændelse«: en hændelse som defineret i artikel 6, nr. 6), i direktiv (EU) 2022/2555
10)
»væsentlig cybersikkerhedshændelse«: en hændelse, der opfylder kriterierne i artikel 23, stk. 3, i direktiv (EU) 2022/2555
11)
»større hændelse«: en større hændelse som defineret i artikel 3, nr. 8), i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2023/2841 
(
22
)
12)
»omfattende cybersikkerhedshændelse«: en omfattende cybersikkerhedshændelse som defineret i artikel 6, nr. 7), i direktiv (EU) 2022/2555
13)
»cybersikkerhedshændelse svarende til en omfattende cybersikkerhedshændelse«: for så vidt angår EU's institutioner, organer, kontorer og agenturer, en større hændelse og, for så vidt angår tredjelande, der er associeret til programmet for et digitalt Europa, en hændelse, der forårsager en forstyrrelse på et niveau, der overstiger kapaciteten i det berørte tredjeland, der er associeret til programmet for et digitalt Europa, til at reagere på den
14)
»tredjeland, der er associeret til programmet for et digitalt Europa«: et tredjeland, der er part i en aftale med Unionen, der giver mulighed for dets deltagelse i programmet for et digitalt Europa i henhold til artikel 10 i forordning (EU) 2021/694
15)
»ordregivende myndighed«: Kommissionen eller, i det omfang driften og forvaltningen af EU's cybersikkerhedsreserve er overdraget til ENISA i henhold til artikel 14, stk. 5, ENISA
16)
»udbyder af administrerede sikkerhedstjenester«: en udbyder af administrerede sikkerhedstjenester som defineret i artikel 6, nr. 40), i direktiv (EU) 2022/2555
17)
»betroede udbydere af administrerede sikkerhedstjenester«: betroede udbydere af administrerede sikkerhedstjenester, der er udvalgt til at indgå i EU's cybersikkerhedsreserve i overensstemmelse med artikel 17.
KAPITEL II
DET EUROPÆISKE CYBERSIKKERHEDSVARSLINGSSYSTEM
Artikel 3
Oprettelse af det europæiske cybersikkerhedsvarslingssystem
1.   Det europæiske cybersikkerhedsvarslingssystem oprettes som et paneuropæisk infrastrukturnet, der består af nationale cyberknudepunkter og grænseoverskridende cyberknudepunkter, der tilslutter sig på frivillig basis, for at støtte udviklingen af avancerede kapaciteter for Unionen med henblik på at forbedre opdagelses-, analyse- og databehandlingsfærdighederne i forbindelse med cybertrusler og forebyggelsen af hændelser i Unionen.
2.   Det europæiske cybersikkerhedsvarslingssystem skal:
a)
bidrage til bedre beskyttelse imod og reaktion på cybertrusler ved at støtte, samarbejde med og styrke kapaciteten hos relevante enheder, navnlig CSIRT'er, CSIRT-netværket, EU-CyCLONe og de kompetente myndigheder, der er udpeget eller oprettet i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555
b)
samle relevante data og oplysninger om cybertrusler og -hændelser fra forskellige kilder inden for de grænseoverskridende cyberknudepunkter og dele analyserede eller aggregerede oplysninger gennem grænseoverskridende cyberknudepunkter, hvor det er relevant, med CSIRT-netværket
c)
indsamle og støtte tilvejebringelsen af anvendelige oplysninger af høj kvalitet og cybermæssige trusselsefterretninger ved hjælp af de nyeste værktøjer og avancerede teknologier og dele disse oplysninger og cybermæssige trusselsefterretninger
d)
bidrage til at forbedre koordineret opdagelse af cybertrusler og fælles situationsbevidsthed i hele Unionen og til udstedelse af varslinger, herunder, hvor det er relevant, ved at fremsætte konkrete anbefalinger til enheder
e)
levere tjenester og aktiviteter til cybersikkerhedssektoren i Unionen, herunder bidrage til udviklingen af avancerede værktøjer og teknologier såsom kunstig intelligens og dataanalyseværktøjer.
3.   Foranstaltninger til gennemførelse af det europæiske cybersikkerhedsvarslingssystem støttes med midler fra programmet for et digitalt Europa og gennemføres i overensstemmelse med forordning (EU) 2021/694, navnlig specifikt mål nr. 3.
Artikel 4
Nationale cyberknudepunkter
1.   Hvis en medlemsstat beslutter at deltage i det europæiske cybersikkerhedsvarslingssystem, udpeger eller opretter den, hvor det er relevant, et nationalt cyberknudepunkt med henblik på denne forordning.
2.   Det nationale cyberknudepunkt er en enkelt enhed, der handler under en medlemsstats myndighed. Det kan være en CSIRT eller, hvor det er relevant, en national cyberkrisestyringsmyndighed eller en anden kompetent myndighed, der er udpeget eller oprettet i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555, eller en anden enhed. Det nationale cyberknudepunkt skal:
a)
have kapacitet til at fungere som referencepunkt og portal til andre offentlige og private organisationer på nationalt plan med henblik på at indsamle og analysere information om cybertrusler og -hændelser og bidrage til et grænseoverskridende cyberknudepunkt som omhandlet i artikel 5 i denne forordning, og
b)
være i stand til at finde, aggregere og analysere data og oplysninger om cybertrusler og -hændelser, såsom cybermæssige trusselsefterretninger, ved navnlig at anvende de nyeste teknologier med henblik på at forebygge hændelser.
3.   Som en del af de funktioner, der er omhandlet i nærværende artikels stk. 2, kan nationale cyberknudepunkter samarbejde med enheder i den private sektor om at udveksle relevante data og oplysninger med henblik på at opdage og forebygge cybertrusler og -hændelser, herunder med sektorielle og tværsektorielle fællesskaber af væsentlige og vigtige enheder som omhandlet i artikel 3 i direktiv (EU) 2022/2555. Hvis det er relevant og i overensstemmelse med EU-retten og national ret, kan de oplysninger, som de nationale cyberknudepunkter anmoder om eller modtager, omfatte telemetri-, sensor- og logningsdata.
4.   En medlemsstat, der er udvalgt i henhold til artikel 9, stk. 1, forpligter sig til at ansøge om, at dens nationale cyberknudepunkt deltager i et grænseoverskridende cyberknudepunkt.
Artikel 5
Grænseoverskridende cyberknudepunkter
1.   Hvis mindst tre medlemsstater har forpligtet sig til at sikre, at deres nationale cyberknudepunkter samarbejder om at koordinere deres cybersporings- og trusselsovervågningsaktiviteter, kan disse medlemsstater oprette et værtskonsortium med henblik på denne forordning.
2.   Et værtskonsortium består af mindst tre deltagende medlemsstater, der har indvilliget i at etablere og bidrage til erhvervelse af værktøjer, infrastruktur eller tjenester til og drift af et grænseoverskridende cyberknudepunkt i overensstemmelse med stk. 4.
3.   Hvis et værtskonsortium udvælges i overensstemmelse med artikel 9, stk. 3, indgår dets medlemmer en skriftlig konsortieaftale, som:
a)
fastlægger den interne ordninger for gennemførelse af værts- og brugsaftalen, der er omhandlet i artikel 9, stk. 3,
b)
opretter værtskonsortiets grænseoverskridende cyberknudepunkt, og
c)
omfatter de specifikke bestemmelser, der kræves i henhold til artikel 6, stk. 1 og 2.
4.   Et grænseoverskridende cyberknudepunkt er en platform for flere lande, der er oprettet ved en skriftlig konsortieaftale som omhandlet i stk. 3. Det samler de nationale cyberknudepunkter i værtskonsortiets medlemsstater i en koordineret netværksstruktur. Det skal være udformet med henblik på at forbedre overvågning, opdagelse og analyse af cybertrusler, forebygge hændelser og støtte tilvejebringelsen af cybermæssige trusselsefterretninger, navnlig gennem udveksling af relevante data og information, anonymiseret hvor det er hensigtsmæssigt, samt gennem deling af avancerede værktøjer og fælles udvikling af cybermæssige opdagelses-, analyse-, forebyggelses- og beskyttelseskapaciteter i et pålideligt miljø.
5.   Et grænseoverskridende cyberknudepunkt repræsenteres i juridisk henseende af et medlem af det tilsvarende værtskonsortium, der fungerer som koordinator, eller af værtskonsortiet, hvis det har status som juridisk person. Ansvaret for, at det grænseoverskridende cyberknudepunkt overholder denne forordning og værts- og brugsaftalen, tildeles i den skriftlige konsortieaftale, der er omhandlet i stk. 3.
6.   En medlemsstat kan tilslutte sig et eksisterende værtskonsortium efter aftale med værtskonsortiets medlemmer. Den skriftlige konsortieaftale, der er omhandlet i stk. 3, og værts- og brugsaftalen ændres i overensstemmelse hermed. Dette berører ikke Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerheds ejendomsrettigheder (ECCC) over de værktøjer, infrastrukturer eller tjenester, der allerede er indkøbt i fællesskab med det pågældende værtskonsortium.
Artikel 6
Samarbejde og informationsudveksling inden for og mellem grænseoverskridende cyberknudepunkter
1.   Medlemmerne af et værtskonsortium sikrer, at deres nationale cyberknudepunkter i overensstemmelse med den konsortieaftale, der er omhandlet i artikel 5, stk. 3, udveksler relevant information, anonymiseret hvor det er hensigtsmæssigt, med hinanden inden for det grænseoverskridende cyberknudepunkt, såsom information om cybertrusler, nærvedhændelser, sårbarheder, teknikker og procedurer, indikatorer for kompromittering, fjendtlige taktikker, trusselsspecifikke oplysninger, cybersikkerhedsadvarsler og anbefalinger vedrørende konfiguration af cybersikkerhedsværktøjer til afsløring af cyberangreb, hvor en sådan informationsudveksling:
a)
fremmer og forbedrer opdagelse af cybertrusler og styrker CSIRT-netværkets kapacitet til at forebygge og reagere på hændelser eller afbøde deres virkninger
b)
øger cybersikkerhedsniveauet, f.eks. ved at øge kendskabet til cybertrusler, begrænse eller hindre muligheden for, at sådanne trusler spreder sig, støtte en række forsvarskapaciteter, afhjælpe og afsløre sårbarheder, støtte teknikker til opdagelse, begrænsning og forebyggelse af trusler, støtte afbødningsstrategier, indsats- og genopretningsfaserne eller fremme samarbejde mellem offentlige og private enheder om forskning i trusler.
2.   Den skriftlige konsortieaftale i henhold til artikel 5, stk. 3, skal indeholde:
a)
en forpligtelse til at udveksle information mellem værtskonsortiets medlemmer, jf. stk. 1, og betingelserne for udveksling af denne information.
b)
en forvaltningsramme, der præciserer og tilskynder alle deltagere til at udveksle relevant information, anonymiseret hvor det er hensigtsmæssigt, som omhandlet i stk. 1
c)
mål for bidrag til udvikling af avancerede værktøjer og teknologier, såsom kunstig intelligens og dataanalyseværktøjer.
Den skriftlige konsortieaftale kan præcisere, at oplysningerne omhandlet i stk. 1 skal deles i overensstemmelse med EU-retten og national ret.
3.   Grænseoverskridende cyberknudepunkter indgår samarbejdsaftaler med hinanden, hvor principperne for interoperabilitet og informationsudveksling mellem de grænseoverskridende cyberknudepunkter fastlægges. Grænseoverskridende cyberknudepunkter underretter Kommissionen om de indgåede samarbejdsaftaler.
4.   Informationsudveksling som omhandlet i stk. 1 mellem grænseoverskridende cyberknudepunkter sikres gennem en høj grad af interoperabilitet. For at støtte en sådan interoperabilitet udsteder ENISA, uden unødig forsinkelse og under alle omstændigheder senest den 5. februar 2026, i tæt samråd med Kommissionen interoperabilitetsretningslinjer, der navnlig præciserer formater og protokoller for informationsudveksling, under hensyntagen til internationale standarder og bedste praksis, samt funktionen af etablerede grænseoverskridende cyberknudepunkter. Interoperabilitetskravene fastsat i samarbejdsaftaler om grænseoverskridende cyberknudepunkter baseres på de retningslinjer, der er udstedt af ENISA.
Artikel 7
Samarbejde og informationsudveksling med netværk på EU-plan
1.   Grænseoverskridende cyberknudepunkter og CSIRT-netværket arbejder tæt sammen, navnlig med henblik på udveksling af oplysninger. Med henblik herpå aftaler de proceduremæssige ordninger for samarbejde og udveksling af relevante oplysninger og, med forbehold af stk. 2, hvilke typer oplysninger der skal udveksles.
2.   Hvis grænseoverskridende cyberknudepunkter indhenter oplysninger om en mulig eller igangværende væsentlig cybersikkerhedshændelse, sikrer de med henblik på fælles situationsbevidsthed, at der uden unødig forsinkelse gives relevante oplysninger og tidlige varslinger til medlemsstaternes myndigheder og Kommissionen via EU-CyCLONe og CSIRT-netværket.
Artikel 8
Sikkerhed
1.   Medlemsstater, der deltager i det europæiske cybersikkerhedsvarslingssystem, sikrer et højt cybersikkerhedsniveau, herunder fortrolighed og datasikkerhed, samt fysisk sikkerhed i netværket for det europæiske cybersikkerhedsvarslingssystem, og sikrer, at netværket forvaltes og styres hensigtsmæssigt, så det beskyttes mod trusler, og så sikkerheden i netværket og i systemerne, herunder de data og oplysninger, der deles via netværket, garanteres.
2.   Medlemsstater, der deltager i det europæiske cybersikkerhedsvarslingssystem, sikrer, at udvekslingen af information, der er omhandlet i artikel 6, stk. 1, inden for det europæiske cybersikkerhedsvarslingssystem med andre enheder end en offentlig myndighed eller et offentligt organ i en medlemsstat ikke har en negativ indvirkning på Unionens eller medlemsstaternes sikkerhedsinteresser.
Artikel 9
Finansiering af det europæiske cybersikkerhedsvarslingssystem
1.   Efter en indkaldelse af interessetilkendegivelser for medlemsstater, der har til hensigt at deltage i det europæiske cybersikkerhedsvarslingssystem, udvælger ECCC medlemsstater til at deltage sammen med ECCC i det fælles indkøb af værktøjer, infrastruktur eller tjenester med henblik på at oprette eller styrke færdighederne hos nationale cyberknudepunkter, som er udpeget eller oprettet i henhold til artikel 4, stk. 1. ECCC kan yde tilskud til de udvalgte medlemsstater til finansiering af driften af sådanne værktøjer, sådan infrastruktur eller sådanne tjenester. Unionens finansielle bidrag dækker op til 50 % af omkostningerne ved erhvervelse af værktøjer, infrastruktur eller tjenester og op til 50 % af driftsomkostningerne. De udvalgte medlemsstater afholder de resterende omkostninger. Inden iværksættelsen af proceduren for erhvervelse af værktøjer, infrastruktur eller tjenester indgår ECCC og medlemsstaten en værts- og brugsaftale, der regulerer brugen af værktøjerne, infrastrukturen eller tjenesterne.
2.   Hvis en medlemsstats nationale cyberknudepunkt ikke deltager i et grænseoverskridende cyberknudepunkt senest to år efter den dato, hvor værktøjerne, infrastrukturen eller tjenesterne blev erhvervet, eller hvor den modtog tilskudsfinansiering, alt efter hvad der indtraf først, er medlemsstaten ikke berettiget til yderligere EU-støtte i henhold til dette kapitel, før den har tilsluttet sig et grænseoverskridende cyberknudepunkt.
3.   Efter en indkaldelse af interessetilkendegivelser udvælges et værtskonsortium af ECCC til at deltage i fælles indkøb af værktøjer, infrastruktur eller tjenester i samarbejde med ECCC. ECCC kan yde tilskud til værtskonsortiet til finansiering af driften af værktøjerne, infrastrukturen eller tjenesterne. Unionens finansielle bidrag dækker op til 75 % af omkostningerne ved erhvervelse af værktøjer, infrastruktur eller tjenester og op til 50 % af driftsomkostningerne. Værtskonsortiet afholder de resterende omkostninger. Inden iværksættelsen af proceduren for erhvervelse af værktøjer, infrastruktur eller tjenester indgår ECCC og værtskonsortiet en værts- og brugsaftale, der regulerer brugen af værktøjerne, infrastrukturen eller tjenesterne.
4.   ECCC udarbejder mindst hvert andet år en kortlægning af de værktøjer, den infrastruktur eller de tjenester, der er nødvendige og af tilstrækkelig kvalitet til at etablere eller forbedre færdighederne hos nationale cyberknudepunkter og grænseoverskridende cyberknudepunkter og deres tilgængelighed, herunder hos retlige enheder, der er etableret eller anses for at være etableret i medlemsstaterne, og som kontrolleres af medlemsstaterne eller af statsborgere i medlemsstaterne. Ved udarbejdelsen af kortlægningen hører ECCC CSIRT-netværket, eventuelle eksisterende grænseoverskridende cyberknudepunkter, ENISA og Kommissionen.
KAPITEL III
CYBERSIKKERHEDSBEREDSKABSMEKANISME
Artikel 10
Oprettelse af cybersikkerhedsberedskabsmekanismen
1.   Der etableres en cybersikkerhedsberedskabsmekanisme for at støtte forbedringen af Unionens modstandsdygtighed over for cybertrusler samt forberede Unionen på og på solidarisk vis afbøde de kortsigtede virkninger af væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser.
2.   For så vidt angår medlemsstaterne, skal foranstaltninger, der ydes inden for rammerne af cybersikkerhedsberedskabsmekanismen, stilles til rådighed efter anmodning og skal supplere medlemsstaternes indsats og foranstaltninger for at forberede sig på, reagere på og komme sig efter hændelser.
3.   Foranstaltningerne til gennemførelse af cybersikkerhedsberedskabsmekanismen støttes med midler fra programmet for et digitalt Europa og gennemføres i overensstemmelse med forordning (EU) 2021/694, navnlig specifikt mål nr. 3.
4.   Foranstaltningerne under cybersikkerhedsberedskabsmekanismen gennemføres primært gennem ECCC i overensstemmelse med forordning (EU) 2021/887. Dog gennemføres foranstaltninger til gennemførelse af EU's cybersikkerhedsreserve som omhandlet i nærværende forordnings artikel 11, litra b), af Kommissionen og ENISA.
Artikel 11
Foranstaltningstyper
Under cybersikkerhedsberedskabsmekanismen støttes følgende foranstaltningstyper:
a)
beredskabsforanstaltninger, nemlig:
i)
koordineret beredskabstest af enheder, der opererer i sektorer af særligt kritisk betydning i hele Unionen, jf. artikel 12
ii)
andre beredskabsforanstaltninger for enheder, der opererer i sektorer af særligt kritisk betydning eller enheder, der opererer i andre kritiske sektorer, jf. artikel 13
b)
foranstaltninger, der støtter reaktion på og den indledende genopretning efter væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til en omfattende cybersikkerhedshændelse, der leveres af betroede udbydere af administrerede sikkerhedstjenester, der deltager i EU's cybersikkerhedsreserve, som er oprettet i henhold til artikel 14
c)
foranstaltninger til støtte for gensidig bistand som omhandlet i artikel 18.
Artikel 12
Koordineret beredskabstest af enheder
1.   Cybersikkerhedsberedskabsmekanismen skal støtte frivillig koordineret beredskabstest af enheder, der opererer i sektorer af særligt kritisk betydning.
2.   Den koordinerede beredskabstest kan bestå af beredskabsaktiviteter såsom penetrationstest og trusselsvurdering.
3.   Støtte til beredskabsforanstaltninger i henhold til denne artikel ydes primært til medlemsstaterne i form af tilskud og på de betingelser, der er fastsat i de relevante arbejdsprogrammer som omhandlet i artikel 24 i forordning (EU) 2021/694.
4.   Med henblik på at støtte den koordinerede beredskabstest af de enheder, der er omhandlet i nærværende forordnings artikel 11, litra a), nr. i), i hele Unionen identificerer Kommissionen efter høring af NIS-samarbejdsgruppen, EU-CyCLONe og ENISA de berørte sektorer eller delsektorer blandt de sektorer af særligt kritisk betydning, der er anført i bilag I til direktiv (EU) 2022/2555, for hvilke der kan udsendes en indkaldelse af forslag om ydelse af tilskud. Medlemsstaternes deltagelse i disse forslagsindkaldelser er frivillig.
5.   Når Kommissionen identificerer sektorerne eller delsektorerne omhandlet i stk. 4, tager den hensyn til koordinerede risikovurderinger og afprøvning af modstandsdygtighed på EU-plan og resultaterne heraf.
6.   NIS-samarbejdsgruppen udarbejder i samarbejde med Kommissionen, Unionens højtstående repræsentant for udenrigs- og sikkerhedspolitik (»den højtstående repræsentant«) og ENISA og, inden for rammerne af dets mandat, EU-CyCLONe fælles risikoscenarier og metoder til gennemførelse af de koordinerede beredskabstest omhandlet i artikel 11, litra a), nr. i), og, hvor det er relevant, for andre beredskabsforanstaltninger omhandlet i nævnte artikels litra a), nr. ii).
7.   Når en enhed, der opererer i en sektor af særligt kritisk betydning, frivilligt deltager i koordinerede beredskabstest, og disse test resulterer i anbefalinger om specifikke foranstaltninger, som den deltagende enhed kan integrere i en afhjælpningsplan, skal den myndighed i medlemsstaten, der er ansvarlig for den koordinerede beredskabstest, hvor det er relevant, gennemgå de deltagende enheders opfølgning på disse foranstaltninger med henblik på at styrke beredskabet.
Artikel 13
Andre beredskabsforanstaltninger
1.   Cybersikkerhedsberedskabsmekanismen støtter beredskabsforanstaltninger, der ikke er omfattet af denne forordnings artikel 12. Sådanne foranstaltninger skal omfatte beredskabsforanstaltninger for enheder i sektorer, der ikke er udpeget til koordineret beredskabstest i henhold til artikel 12. Sådanne foranstaltninger kan støtte sårbarhedsovervågning, risikoovervågning, øvelser og uddannelse.
2.   Støtte til beredskabsforanstaltninger i henhold til denne artikel ydes til medlemsstaterne efter anmodning og primært i form af tilskud og på de betingelser, der er fastsat i de relevante arbejdsprogrammer som omhandlet i artikel 24 i forordning (EU) 2021/694.
Artikel 14
Oprettelse af EU's cybersikkerhedsreserve
1.   Der oprettes en EU-cybersikkerhedsreserve med henblik på efter anmodning at bistå de brugere, der er omhandlet i stk. 3, med at reagere på eller yde støtte til at reagere på væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser eller cybersikkerhedshændelser svarende til en omfattende cybersikkerhedshændelse og den indledende genopretning efter sådanne hændelser.
2.   EU's cybersikkerhedsreserve består af beredskabstjenester fra betroede udbydere af administrerede sikkerhedstjenester, der er udvalgt i overensstemmelse med kriterierne i artikel 17, stk. 2. EU's cybersikkerhedsreserve kan omfatte tjenester omfattet af forhåndsforpligtelser. En betroet udbyder af administrerede sikkerhedstjenesters tjenester omfattet af forhåndsforpligtelser skal kunne konverteres til beredskabstjenester i forbindelse med forebyggelse af og reaktioner på hændelser i tilfælde, hvor disse tjenester omfattet af forhåndsforpligtelser ikke anvendes til at reagere på hændelser i det tidsrum, hvor disse tjenester er omfattet af forhåndsforpligtelser. EU's cybersikkerhedsreserve kan efter anmodning indsættes i alle medlemsstater, i EU's institutioner, organer, kontorer og agenturer og i tredjelande, der er associeret til programmet for et digitalt Europa som omhandlet i artikel 19, stk. 1.
3.   Brugerne af tjenester leveret af EU's cybersikkerhedsreserve er følgende:
a)
medlemsstaternes cyberkrisestyringsmyndigheder og CSIRT'er som anført i henholdsvis artikel 9, stk. 1 og 2, og artikel 10 i direktiv (EU) 2022/2555
b)
CERT-EU i overensstemmelse med artikel 13 i forordning (EU, Euratom) 2023/2841
c)
kompetente myndigheder såsom enheder, der håndterer IT-sikkerhedshændelser, og cyberkrisestyringsmyndigheder i tredjelande, der er associeret til programmet for et digitalt Europa, i overensstemmelse med artikel 19, stk. 8.
4.   Kommissionen har det overordnede ansvar for gennemførelsen af EU's cybersikkerhedsreserve. Kommissionen fastlægger prioriteterne for og udviklingen af EU's cybersikkerhedsreserve i samarbejde med NIS-samarbejdsgruppen og i overensstemmelse med kravene til de brugere, der er omhandlet i stk. 3, overvåger gennemførelsen og sikrer komplementaritet, sammenhæng, synergi og forbindelser med andre støtteaktioner i henhold til denne forordning samt andre EU-foranstaltninger og -programmer. Disse prioriteter gennemgås hvert andet år og revideres om nødvendigt. Kommissionen underretter Europa-Parlamentet og Rådet om disse prioriteter og om enhver revision heraf.
5.   Uden at det berører Kommissionens overordnede ansvar for gennemførelsen af EU's cybersikkerhedsreserve som omhandlet i denne artikels stk. 4, og med forbehold af en bidragsaftale som defineret i artikel 2, nr. 19), i forordning (EU, Euratom) 2024/2509 overdrager Kommissionen helt eller delvist driften og forvaltningen af EU's cybersikkerhedsreserve til ENISA. Aspekter, der ikke overdrages til ENISA, forvaltes fortsat direkte af Kommissionen.
6.   ENISA udarbejder mindst hvert andet år en kortlægning af de tjenester, som de brugere, der er omhandlet i nærværende artikels stk. 3, litra a) og b), har brug for. Kortlægningen skal også omfatte tilgængeligheden af sådanne tjenester, herunder fra retlige enheder, der er etableret eller anses for at være etableret i medlemsstaterne, og som kontrolleres af medlemsstaterne eller af statsborgere i medlemsstaterne. Ved kortlægningen af denne tilgængelighed vurderer ENISA de færdigheder og den kapacitet hos Unionens cybersikkerhedsarbejdsstyrke, der er relevante for målene for EU's cybersikkerhedsreserve. Ved udarbejdelsen af kortlægningen hører ENISA NIS-samarbejdsgruppen, EU-CyCLONe, Kommissionen og, hvor det er relevant, Det Interinstitutionelle Råd for Cybersikkerhed oprettet i henhold til artikel 10 i forordning (EU, Euratom) 2023/2841 (IICB). Ved kortlægningen af tilgængeligheden af tjenester hører ENISA også relevante interessenter inden for cybersikkerhedsindustrien, herunder udbydere af administrerede sikkerhedstjenester. ENISA udarbejder en lignende kortlægning efter at have underrettet Rådet og efter at have hørt EU-CyCLONe, Kommissionen og, hvor det er relevant, den højtstående repræsentant for at identificere brugernes behov som omhandlet i nærværende artikels stk. 3, litra c).
7.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 23 med henblik på at supplere denne forordning ved at præcisere de typer og det antal af beredskabstjenester, der kræves i EU's cybersikkerhedsreserve. Ved udarbejdelsen af disse delegerede retsakter tager Kommissionen hensyn til den kortlægning, der er omhandlet i nærværende artikels stk. 6, og kan udveksle rådgivning og samarbejde med NIS-samarbejdsgruppen og ENISA.
Artikel 15
Anmodninger om støtte fra EU's cybersikkerhedsreserve
1.   De brugere, der er omhandlet i artikel 14, stk. 3, kan anmode om tjenester fra EU's cybersikkerhedsreserve til støtte for en reaktion på og den indledende genopretning efter væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser eller cybersikkerhedshændelser svarende til en omfattende cybersikkerhedshændelse.
2.   For at modtage støtte fra EU's cybersikkerhedsreserve træffer de brugere, der er omhandlet i artikel 14, stk. 3, alle passende foranstaltninger til at afbøde virkningerne af den hændelse, der er årsag til anmodningen om støtte, herunder, hvor det er relevant, ydelse af direkte teknisk bistand og andre ressourcer som en del af reaktionen på hændelsen og genopretningsindsatsen.
3.   Anmodninger om støtte sendes til den ordregivende myndighed som følger:
a)
for så vidt angår de brugere, der er omhandlet i denne forordnings artikel 14, stk. 3, litra a), via det centrale kontaktpunkt, der er udpeget eller oprettet i henhold til artikel 8, stk. 3, i direktiv (EU) 2022/2555
b)
for så vidt angår den bruger, der er omhandlet i artikel 14, stk. 3, litra b), af denne bruger
c)
for så vidt angår de brugere, der er omhandlet i artikel 14, stk. 3, litra c), via det centrale kontaktpunkt, der er omhandlet i artikel 19, stk. 9.
4.   I tilfælde af anmodninger fra brugere som omhandlet i artikel 14, stk. 3, litra a), underretter medlemsstaterne CSIRT-netværket og, hvor det er relevant, EU-CyCLONe om deres brugeres anmodninger om støtte til reaktioner på hændelser og den første genopretning i henhold til denne artikel.
5.   Anmodninger om støtte til reaktioner på hændelser og den indledende genopretning omfatter:
a)
relevante oplysninger om den berørte enhed og mulige virkninger af hændelsen på:
i)
for så vidt angår de brugere, der er omhandlet i artikel 14, stk. 3, litra a), de berørte medlemsstater og brugere, herunder risikoen for afsmittende virkninger på en anden medlemsstat
ii)
for så vidt angår den bruger, der er omhandlet i artikel 14, stk. 3, litra b), de berørte EU-institutioner, -organer, -kontorer og -agenturer
iii)
for så vidt angår de brugere, der er omhandlet i denne forordnings artikel 14, stk. 3, litra c), de berørte tredjelande, der er associeret til programmet for et digitalt Europa
b)
oplysninger om den ønskede tjeneste, sammen med den planlagte anvendelse af den støtte, der anmodes om, herunder en angivelse af de anslåede behov
c)
relevante oplysninger om foranstaltninger, der er truffet for at afbøde den hændelse, der er årsag til anmodningen om støtte, jf. stk. 2
d)
hvis det er relevant, tilgængelige oplysninger om andre former for støtte, der er til rådighed for den berørte enhed.
6.   ENISA udarbejder i samarbejde med Kommissionen og EU-CyCLONe en skabelon for at lette indgivelsen af anmodninger om støtte fra EU's cybersikkerhedsreserve.
7.   Kommissionen kan i gennemførelsesretsakter yderligere præcisere de detaljerede proceduremæssige ordninger for den måde, hvorpå der skal anmodes om og reageres på støttetjenester fra EU's cybersikkerhedsreserve, og den måde hvorpå der skal reageres på disse anmodninger i henhold til denne artikel, til artikel 16, stk. 1, og til artikel 19, stk. 10, herunder ordninger for indgivelse af sådanne anmodninger og levering af reaktioner og skabeloner for de rapporter, der er omhandlet i artikel 16, stk. 9. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 24, stk. 2.
Artikel 16
Gennemførelse af støtte fra EU's cybersikkerhedsreserve
1.   For så vidt angår anmodninger fra de brugere, der er omhandlet i artikel 14, stk. 3, litra a) og b), vurderes anmodninger om støtte fra EU's cybersikkerhedsreserve af den ordregivende myndighed. Et svar sendes til de brugere, der er omhandlet i artikel 14, stk. 3, litra a) og b), straks og under alle omstændigheder senest 48 timer efter indgivelsen af anmodningen for at sikre støttens effektivitet. Den ordregivende myndighed underretter Rådet og Kommissionen om resultaterne af processen.
2.   For så vidt angår oplysninger, der udveksles i forbindelse med anmodning om og levering af tjenester fra EU's cybersikkerhedsreserve, skal alle parter, der er involveret i anvendelsen af denne forordning:
a)
begrænse anvendelsen og udvekslingen af disse oplysninger til, hvad der er nødvendigt for at opfylde deres forpligtelser eller funktioner i henhold til denne forordning
b)
kun anvende og udveksle oplysninger, der er fortrolige eller klassificeret i henhold til EU-retten og national ret, i overensstemmelse med denne ret
c)
sikre effektiv og sikker informationsudveksling, hvor det er relevant, ved at anvende og respektere relevante protokoller for informationsudveksling, herunder traffic light-protokollen.
3.   Ved vurderingen af individuelle anmodninger i henhold til artikel 16, stk. 1, og artikel 19, stk. 10, vurderer den ordregivende myndighed eller Kommissionen, alt efter hvad der er relevant, først, om kriterierne i artikel 15, stk. 1 og 2, er opfyldt. Hvis dette er tilfældet, vurderer den varigheden og arten af den støtte, der er hensigtsmæssig, under hensyntagen til det mål, der er omhandlet i artikel 1, stk. 3, litra b), og følgende kriterier, hvor det er relevant:
a)
omfanget og alvorligheden af hændelsen
b)
typen af berørt enhed, idet der gives højere prioritet til hændelser, der påvirker væsentlige enheder som omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555
c)
mulig indvirkning af hændelsen på de berørte medlemsstater, EU-institutioner, -organer, -kontorer eller -agenturer eller tredjelande, der er associeret til programmet for et digitalt Europa
d)
hændelsens mulige grænseoverskridende karakter og risikoen for afledte effekter for andre medlemsstater, EU-institutioner, -organer, -kontorer eller -agenturer eller tredjelande, der er associeret til programmet for et digitalt Europa
e)
foranstaltninger truffet af brugeren for at medvirke til reaktionen herpå og den indledende genopretningsindsats, jf. artikel 15, stk. 2.
4.   Med henblik på at prioritere anmodninger i tilfælde af samtidige anmodninger fra de brugere, der er omhandlet i artikel 14, stk. 3, tages der, hvor det er relevant, hensyn til de kriterier, der er omhandlet i nærværende artikels stk. 3, uden at det berører princippet om loyalt samarbejde mellem medlemsstaterne og EU's institutioner, organer, kontorer og agenturer. Hvis to eller flere anmodninger vurderes at være ens i henhold til disse kriterier, gives der højere prioritet til anmodninger fra brugere i medlemsstaterne. Hvis driften og forvaltningen af EU's cybersikkerhedsreserve helt eller delvist er blevet overdraget til ENISA i henhold til artikel 14, stk. 5, arbejder ENISA og Kommissionen tæt sammen om at prioritere anmodninger i overensstemmelse med dette stykke.
5.   Tjenesterne under EU's cybersikkerhedsreserve leveres i overensstemmelse med særaftaler mellem den betroede udbyder af administrerede sikkerhedstjenester og den bruger, som støtten under EU's cybersikkerhedsreserve ydes til. Disse tjenester kan leveres i overensstemmelse med særaftaler mellem den betroede udbyder af administrerede sikkerhedstjenester, brugeren og den berørte enhed. Alle aftaler, der er omhandlet i dette stykke, skal bl.a. indeholde ansvarsbetingelser.
6.   De i stk. 5 omhandlede aftaler baseres på skabeloner udarbejdet af ENISA efter høring af medlemsstaterne og, hvor det er relevant, andre brugere af EU's cybersikkerhedsreserve.
7.   Kommissionen, ENISA og brugerne af EU's cybersikkerhedsreserve bærer intet kontraktligt ansvar for skader påført tredjepart som følge af de tjenester, der leveres inden for rammerne af gennemførelsen af EU's cybersikkerhedsreserve.
8.   Brugere må kun anvende tjenesterne under EU's cybersikkerhedsreserve, der leveres som reaktion på en anmodning i henhold til artikel 15, stk. 1, med henblik på at støtte en reaktion på og sikre den indledende genopretning efter væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til en omfattende cybersikkerhedshændelse. De må kun anvende disse tjenester til:
a)
enheder, der opererer i sektorer af særligt kritisk betydning, eller enheder, der opererer i andre kritiske sektorer, for så vidt angår de brugere, der er omhandlet i artikel 14, stk. 3, litra a), og tilsvarende enheder for så vidt angår de brugere, der er omhandlet i artikel 14, stk. 3, litra c), og
b)
EU's institutioner, organer, kontorer og agenturer, for så vidt angår den bruger, der er omhandlet i artikel 14, stk. 3, litra b).
9.   Senest to måneder efter afslutningen af en støtte skal brugere, der har modtaget støtte, forelægge en sammenfattende rapport om den leverede tjeneste, de opnåede resultater og de indhøstede erfaringer for:
a)
Kommissionen, ENISA, CSIRT-netværket og EU-CyCLONe for så vidt angår de brugere, der er omhandlet i denne forordnings artikel 14, stk. 3, litra a)
b)
Kommissionen, ENISA og Det Interinstitutionelle Råd for Cybersikkerhed for så vidt angår den bruger, der er omhandlet i denne forordnings artikel 14, stk. 3, litra b)
c)
Kommissionen for så vidt angår de brugere, der er omhandlet i denne forordnings artikel 14, stk. 3, litra c).
Kommissionen fremsender enhver sammenfattende rapport modtaget fra de i artikel 14, stk. 3, omhandlede brugere i henhold til nærværende stykkes første afsnits litra c) til Rådet og den højtstående repræsentant.
10.   Hvis driften og forvaltningen af EU's cybersikkerhedsreserve helt eller delvist er blevet overdraget til ENISA i henhold til denne forordnings artikel 14, stk. 5, aflægger ENISA regelmæssigt rapport til og hører Kommissionen herom. I den forbindelse sender ENISA straks Kommissionen alle anmodninger, det modtager fra de brugere, der er omhandlet i denne forordnings artikel 14, stk. 3, litra c), og, hvis det er nødvendigt med henblik på prioritering i henhold til denne artikel, alle anmodninger, det har modtaget fra de brugere, der er omhandlet i denne forordnings artikel 14, stk. 3, litra a) eller b). Forpligtelserne i dette stykke berører ikke artikel 14 i forordning (EU) 2019/881.
11.   For så vidt angår de brugere, der er omhandlet i artikel 14, stk. 3, litra a) og b), aflægger den ordregivende myndighed regelmæssigt og mindst to gange om året rapport til NIS-samarbejdsgruppen om anvendelsen og resultaterne af støtten.
12.   For så vidt angår de brugere, der er omhandlet i artikel 14, stk. 3, litra c), aflægger Kommissionen regelmæssigt og mindst to gange om året rapport til Rådet og underretter den højtstående repræsentant om anvendelsen og resultaterne af støtten.
Artikel 17
Betroede udbydere af administrerede sikkerhedstjenester
1.   I forbindelse med udbudsprocedurer med henblik på etablering af EU's cybersikkerhedsreserve handler den ordregivende myndighed i overensstemmelse med principperne i forordning (EU, Euratom) 2024/2509 og i overensstemmelse med følgende principper:
a)
sikre, at de tjenester, der indgår i EU's cybersikkerhedsreserve, som helhed er af en sådan art, at EU's cybersikkerhedsreserve omfatter tjenester, der kan udrulles i alle medlemsstater, idet der navnlig tages hensyn til nationale krav til levering af sådanne tjenester, herunder sprog, certificering eller akkreditering
b)
sikre beskyttelse af Unionens og dens medlemsstaters væsentlige sikkerhedsinteresser
c)
sikre, at EU's cybersikkerhedsreserve skaber merværdi for Unionen ved at bidrage til de målsætninger, der er fastsat i artikel 3 i forordning (EU) 2021/694, herunder ved at fremme udviklingen af cybersikkerhedsfærdigheder i Unionen.
2.   Ved indkøb af tjenesteydelser til EU's cybersikkerhedsreserve medtager den ordregivende myndighed følgende kriterier og krav i udbudsdokumenterne:
a)
udbyderen skal påvise, at personalet har den højeste grad af faglig integritet, selvstændighed og ansvar samt den nødvendige tekniske kompetence til at udføre aktiviteterne inden for de specifikke områder, og udbyderen skal sikre, at ekspertisen samt de nødvendige tekniske ressourcer er til rådighed permanent og uden afbrydelse
b)
udbyderen og eventuelle relevante datterselskaber og underleverandører skal overholde gældende regler om beskyttelse af klassificerede informationer og skal have indført passende foranstaltninger, herunder, hvor det er relevant, aftaler mellem hinanden, til beskyttelse af fortrolige oplysninger vedrørende tjenesten, navnlig dokumentation, undersøgelser og rapporter
c)
udbyderen skal fremlægge tilstrækkelig dokumentation for en transparent ledelsesstruktur, hvor der ikke er sandsynlighed for, at upartiskheden og kvaliteten af tjenesterne kan anfægtes eller interessekonflikter opstå
d)
udbyderen skal have en passende sikkerhedsgodkendelse, i det mindste for personale, der arbejder med udrulning af tjenesterne, hvis en medlemsstat kræver det
e)
udbyderens IT-systemer skal være sikret med et relevant sikkerhedsniveau
f)
udbyderen skal være udstyret med den nødvendige hardware og software til at understøtte den ønskede tjeneste, som ikke må indeholde kendte sårbarheder, der kan udnyttes, skal omfatte de seneste sikkerhedsopdateringer og skal under alle omstændigheder overholde alle gældende bestemmelser i Europa-Parlamentets og Rådets forordning (EU) 2024/2847 
(
23
)
g)
udbyderen skal kunne dokumentere erfaring med at levere lignende tjenester til relevante nationale myndigheder, enheder, der opererer i sektorer af særligt kritisk betydning, eller enheder, der opererer i andre kritiske sektorer
h)
udbyderen skal være i stand til at levere tjenesten hurtigt i den eller de medlemsstater, hvor udbyderen kan levere tjenesten
i)
udbyderen skal kunne levere tjenesten på et eller flere af EU-institutionernes eller en medlemsstats officielle sprog som krævet af den eller de medlemsstater eller brugere, der er omhandlet i artikel 14, stk. 3, litra b) og c), hvor udbyderen kan levere tjenesten
j)
når en europæisk cybersikkerhedscertificeringsordning for administrerede sikkerhedstjenester i henhold til forordning (EU) 2019/881 er indført, skal udbyderen certificeres i overensstemmelse med denne ordning inden for to år fra datoen, hvor ordningen finder anvendelse
k)
udbyderen skal i udbuddet medtage konverteringsbetingelserne for eventuelle ubrugte hændelsesberedskabstjenester, der kan konverteres til beredskabstjenester, der er tæt knyttet til reaktioner på hændelser, såsom øvelser eller kurser.
3.   Med henblik på indkøb af tjenester til EU's cybersikkerhedsreserve kan den ordregivende myndighed, hvor det er relevant, udvikle kriterier og krav ud over dem, der er omhandlet i stk. 2, i tæt samarbejde med medlemsstaterne.
Artikel 18
Foranstaltninger til støtte for ensidig bistand
1.   Cybersikkerhedsberedskabsmekanismen yder støtte til teknisk bistand fra en medlemsstat til en anden medlemsstat, der er berørt af en væsentlig cybersikkerhedshændelse eller en omfattende cybersikkerhedshændelse, herunder i de tilfælde, der er omhandlet i artikel 11, stk. 3, litra f), i direktiv (EU) 2022/2555.
2.   Støtten til den i denne artikels stk. 1 omhandlede tekniske gensidige bistand ydes i form af tilskud og på de betingelser, der er fastsat i de relevante arbejdsprogrammer som omhandlet i artikel 24 i forordning (EU) 2021/694.
Artikel 19
Støtte til tredjelande, der er associeret til programmet for et digitalt Europa
1.   Et tredjeland, der er associeret til programmet for et digitalt Europa, kan anmode om støtte fra EU's cybersikkerhedsreserve, hvis aftalen, hvorigennem det er associeret til programmet for et digitalt Europa, indeholder bestemmelser om deltagelse i EU's cybersikkerhedsreserve. Denne aftale skal indeholde bestemmelser om, at det berørte tredjeland, der er associeret til programmet for et digitalt Europa, skal overholde de forpligtelser, der er fastsat i denne artikels stk. 2 og 9. Med henblik på et tredjelands deltagelse i EU's cybersikkerhedsreserve kan et tredjelands delvise associering til programmet for et digitalt Europa omfatte en associering, der er begrænset til det operationelle mål, der er omhandlet i artikel 6, stk. 1, litra g), i forordning (EU) 2021/694.
2.   Senest tre måneder efter indgåelsen af den i stk. 1 omhandlede aftale og under alle omstændigheder forud for modtagelse af støtte fra EU's cybersikkerhedsreserve forelægger det tredjeland, der er associeret til programmet for et digitalt Europa, Kommissionen oplysninger om sin cyberrobusthed og risikostyringskapacitet, herunder som minimum oplysninger om nationale foranstaltninger, der er truffet for at forberede sig på væsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til en omfattende cybersikkerhedshændelse, samt oplysninger om ansvarlige nationale enheder, herunder enheder, der håndterer IT-sikkerhedshændelser eller tilsvarende enheder, deres kapaciteter og de ressourcer, de har fået tildelt. Det tredjeland, der er associeret til programmet for et digitalt Europa, skal regelmæssigt og mindst én gang om året ajourføre disse oplysninger. Kommissionen forelægger disse oplysninger for den højtstående repræsentant og ENISA med henblik på anvendelsen af stk. 11.
3.   Kommissionen vurderer regelmæssigt og mindst én gang om året følgende kriterier for hvert af de i stk. 1 omhandlede tredjelande, der er associeret til programmet for et digitalt Europa:
a)
om det pågældende land overholder betingelserne i den i stk. 1 omhandlede aftale, for så vidt som disse vilkår vedrører deltagelse i EU's cybersikkerhedsreserve
b)
om det pågældende land har taget passende skridt til at forberede sig på væsentlige cybersikkerhedshændelser eller cybersikkerhedshændelser svarende til en omfattende cybersikkerhedshændelse på grundlag af de oplysninger, der er omhandlet i stk. 2, og
c)
om ydelsen af støtte er i overensstemmelse med Unionens politik over for og de overordnede relationer med dette land, og om den er i overensstemmelse med andre EU-politikker på sikkerhedsområdet.
Kommissionen hører i forbindelse med den i første afsnit omhandlede vurdering den højtstående repræsentant med hensyn til kriteriet i nævnte afsnits litra c).
Hvis Kommissionen konkluderer, at et tredjeland, der er associeret til programmet for et digitalt Europa, opfylder alle betingelserne i første afsnit, forelægger Kommissionen Rådet et forslag om vedtagelse af en gennemførelsesretsakt i overensstemmelse med stk. 4 om bemyndigelse til at yde støtte fra EU's cybersikkerhedsreserve til det pågældende land.
4.   Rådet kan vedtage de gennemførelsesretsakter, der er omhandlet i stk. 3. Disse nævnte gennemførelsesretsakter finder anvendelse i højst ét år. De kan fornyes. De kan omfatte en grænse på mindst 75 dage for det antal dage, for hvilke der kan ydes støtte som svar på en enkelt anmodning.
Med henblik på denne artikel træffer Rådet en afgørelse hurtigt, og det vedtager som hovedregel de i dette stykke omhandlede gennemførelsesretsakter senest otte uger efter vedtagelsen af det relevante forslag fra Kommissionen i henhold til stk. 3, tredje afsnit.
5.   Rådet kan til enhver tid på forslag af Kommissionen ændre eller ophæve en gennemførelsesretsakt vedtaget i henhold til stk. 4.
Hvis Rådet finder, at der er sket en væsentlig ændring vedrørende kriteriet i stk. 3, første afsnit, litra c), kan Rådet ændre eller ophæve en gennemførelsesretsakt vedtaget i henhold til stk. 4 på behørigt begrundet initiativ fra en eller flere medlemsstater.
6.   Ved udøvelsen af sine gennemførelsesbeføjelser i henhold til denne artikel anvender Rådet de i stk. 3, første afsnit, omhandlede kriterier og redegør for sin vurdering af disse kriterier. Navnlig når Rådet handler på eget initiativ i henhold til stk. 5, andet afsnit, redegør det for den væsentlige ændring, der er omhandlet i nævnte afsnit.
7.   Støtte fra EU's cybersikkerhedsreserve til et tredjeland, der er associeret til programmet for et digitalt Europa, er i overensstemmelse med denne forordning og opfylder eventuelle specifikke betingelser, der er fastsat i den aftale, der er omhandlet i stk. 1.
8.   Brugere fra tredjelande, der er associeret til programmet for et digitalt Europa, der er berettigede til levering af tjenester fra EU's cybersikkerhedsreserve, omfatter kompetente myndigheder såsom enheder, der håndterer IT-sikkerhedshændelser eller tilsvarende enheder, og cyberkrisestyringsmyndigheder.
9.   Tredjelande, der er associeret til programmet for et digitalt Europa, og som er berettiget til støtte fra EU's cybersikkerhedsreserve, udpeger en myndighed, der skal fungere som et centralt kontaktpunkt med henblik på denne forordning.
10.   Anmodninger om støtte fra EU's cybersikkerhedsreserve i henhold til denne artikel vurderes af Kommissionen. Den ordregivende myndighed må kun yde støtte til et tredjeland, hvis og så længe en gennemførelsesretsakt fra Rådet om bemyndigelse af en sådan støtte til det pågældende land vedtaget i henhold til nærværende artikels stk. 4 er i kraft. Et svar sendes uden unødig forsinkelse til de brugere, der er omhandlet i artikel 14, stk. 3, litra c).
11.   Når Kommissionen modtager en anmodning om støtte i henhold til denne artikel, underretter den straks Rådet herom. Kommissionen holder Rådet underrettet om vurderingen af anmodningen. Kommissionen samarbejder også med den højtstående repræsentant om de modtagne anmodninger og gennemførelsen af den støtte, der ydes til tredjelande, der er associeret til programmet for et digitalt Europa, fra EU's cybersikkerhedsreserve. Desuden tager Kommissionen også hensyn til ENISA's eventuelle synspunkter vedrørende disse anmodninger.
Artikel 20
Koordinering med EU-krisestyringsmekanismer
1.   Hvis en væsentlig cybersikkerhedshændelse, en omfattende cybersikkerhedshændelse eller en cybersikkerhedshændelse svarende til en omfattende cybersikkerhedshændelse skyldes eller resulterer i en katastrofe som defineret i artikel 4, nr. 1), i afgørelse nr. 1313/2013/EU, supplerer støtten til reaktioner på en sådan hændelse, der ydes i henhold til denne forordning, foranstaltninger i henhold til nævnte afgørelse uden at berøre nævnte afgørelse.
2.   I tilfælde af en omfattende cybersikkerhedshændelse eller en cybersikkerhedshændelse svarende til en omfattende cybersikkerhedshændelse, hvor EU's integrerede ordninger for politisk kriserespons i henhold til gennemførelsesafgørelse (EU) 2018/1993 (IPCR-ordninger) aktiveres, skal støtten, der ydes i henhold til denne forordning til at reagere på en sådan hændelse, håndteres i overensstemmelse med de relevante procedurer i henhold til IPCR-ordningerne.
KAPITEL IV
EUROPÆISK MEKANISME TIL GENNEMGANG AF CYBERSIKKERHEDSHÆNDELSER
Artikel 21
Europæisk mekanisme til gennemgang af cybersikkerhedshændelser
1.   Efter anmodning fra Kommissionen eller EU-CyCLONe gennemgår og vurderer ENISA med støtte fra CSIRT-netværket og med de berørte medlemsstaters godkendelse cybertrusler, kendte sårbarheder, der kan udnyttes, og afbødende foranstaltninger ved specifikke, væsentlige cybersikkerhedshændelser eller omfattende cybersikkerhedshændelser. Efter afsluttet gennemgang og vurdering af en hændelse fremsender ENISA med henblik på at indhøste erfaringer for at undgå eller afbøde fremtidige hændelser en rapport om hændelsen til EU-CyCLONe, CSIRT-netværket, de berørte medlemsstater og Kommissionen som støtte til udførelsen af deres opgaver, navnlig opgaver fastsat i artikel 15 og 16 i direktiv (EU) 2022/2555. Når en hændelse har indvirkning på et tredjeland, der er associeret til programmet for et digitalt Europa, forelægger ENISA også rapporten for Rådet. I sådanne tilfælde forelægger Kommissionen rapporten for den højtstående repræsentant.
2.   Ved udarbejdelse af den i denne artikels stk. 1 omhandlede rapport om gennemgang af en hændelse samarbejder ENISA med og indsamler feedback fra alle relevante interessenter, herunder repræsentanter for medlemsstaterne, Kommissionen, andre relevante EU-institutioner, -organer, -kontorer og -agenturer, industrien, herunder udbydere af administrerede sikkerhedstjenester og brugere af cybersikkerhedstjenester. Hvor det er relevant, arbejder ENISA, i samarbejde med CSIRT'er og i givet fald kompetente myndigheder udpeget eller oprettet i henhold til artikel 8, stk. 1, i direktiv (EU) 2022/2555, også sammen med enheder, der er berørt af væsentlige cybersikkerhedshændelser eller omfattende cybersikkerhedshændelser. De hørte repræsentanter skal oplyse om eventuelle interessekonflikter.
3.   Rapporten om gennemgang af en hændelse omhandlet i denne artikels stk. 1, omfatter en gennemgang og analyse af den specifikke væsentlige cybersikkerhedshændelse eller omfattende cybersikkerhedshændelse, herunder de vigtigste årsager, kendte sårbarheder, der kan udnyttes, og indhøstede erfaringer. ENISA sikrer, at rapporten er i overensstemmelse med EU-retten eller national ret vedrørende beskyttelse af følsomme eller klassificerede informationer. Hvis de relevante medlemsstater eller andre brugere, der er omhandlet i artikel 14, stk. 3, som er berørt af hændelsen, anmoder herom, skal data of oplysninger i rapporten være anonymiserede. Den må ikke indeholde oplysninger om aktivt udnyttede sårbarheder, der ikke er blevet udbedret.
4.   Rapporten om gennemgang af en hændelse skal, hvor det er relevant, indeholde anbefalinger til forbedring af Unionens cyberposition og kan omfatte bedste praksis og erfaringer fra relevante interessenter.
5.   ENISA kan udstede en offentligt tilgængelig udgave af rapporten om gennemgang af en hændelse. Denne udgave af rapporten må kun indeholde pålidelige offentlige oplysninger eller andre pålidelige oplysninger med den eller de berørte medlemsstaters samtykke og, for så vidt angår oplysninger om en bruger som omhandlet i artikel 14, stk. 3, litra b) eller c), med den pågældende brugers samtykke.
KAPITEL V
AFSLUTTENDE BESTEMMELSER
Artikel 22
Ændringer af forordning (EU) 2021/694
I forordning (EU) 2021/694 foretages følgende ændringer:
1)
Artikel 6 ændres således:
a)
Stk. 1 ændres således:
i)
Følgende litra indsættes:
»aa)
støtte udviklingen af det europæiske cybersikkerhedsvarslingssystem, der er oprettet ved artikel 3 i Europa-Parlamentets og Rådets forordning (EU) 2025/38
 (
*1
)
 (»det europæiske cybersikkerhedsvarslingssystem«), herunder udvikling, udrulning og drift af nationale cyberknudepunkter og grænseoverskridende cyberknudepunkter, der bidrager til et øget situationsbevidsthed i Unionen og til at styrke Unionens cybermæssige trusselsefterretningskapacitet.
(
*1
)
  Europa-Parlamentets og Rådets forordning (EU) 2025/38 af 19. december 2024 om foranstaltninger til styrkelse af solidariteten og kapaciteten i Unionen til at opdage, forberede sig og reagere på cybersikkerhedstrusler og -hændelser og om ændring af forordning (EU) 2021/694 (forordning om cybersolidaritet) (
EUT L, 2025/38, 15.1.2025, ELI: http://data.europa.eu/eli/reg/2025/38/oj
).«
                                                                     "
ii)
Følgende litra tilføjes:
»g)
etablere og drive en cybersikkerhedsberedskabsmekanisme, der er oprettet ved artikel 10 i forordning (EU) 2025/38, herunder EU-cybersikkerhedsreserven, der er oprettet ved artikel 14 i nævnte forordning (»EU's cybersikkerhedsreserve«) for at hjælpe medlemsstaterne med at forberede sig og reagere på væsentlige cybersikkerhedshændelser og omfattende cybersikkerhedshændelser som supplement til nationale ressourcer og kapaciteter og andre former for støtte, der er til rådighed på EU-plan, og for at støtte andre brugere i at reagere på væsentlige cybersikkerhedshændelser og omfattende cybersikkerhedshændelser«.
b)
Stk. 2 affattes således:
»2.   Foranstaltningerne under specifikt mål nr. 3 gennemføres primært gennem det europæiske industri-, teknologi- og forskningskompetencecenter for cybersikkerhed og netværket af nationale koordinationscentre i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2021/887
 (
*2
)
. Dog gennemføres EU's cybersikkerhedsreserve af Kommissionen og, i overensstemmelse med artikel 14, stk. 6, i forordning (EU) 2025/38, af ENISA.
(
*2
)
  Europa-Parlamentets og Rådets forordning (EU) 2021/887 af 20. maj 2021 om oprettelse af Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed og Netværket af Nationale Koordinationscentre (
EUT L 202 af 8.6.2021, s. 1
).«
                                                   "
2)
Artikel 9 ændres således:
a)
Stk. 2, litra b), c) og d), affattes således:
»b)
1 760 806 000 EUR til specifikt mål nr. 2 — Kunstig intelligens
c)
1 372 020 000 EUR til specifikt mål nr. 3 — Cybersikkerhed og tillid
d)
482 640 000 EUR til specifikt mål nr. 4 — Højtudviklede digitale færdigheder.«
b)
Følgende stykke tilføjes:
»8.   Uanset artikel 12, stk. 1, i finansforordningen overføres uudnyttede forpligtelses- og betalingsbevillinger til foranstaltninger i forbindelse med gennemførelsen af EU's cybersikkerhedsreserve og de aktioner der støtter gensidig bistand i henhold til forordning (EU) 2025/38, der forfølger de mål, der er fastsat i nærværende forordnings artikel 6, stk. 1, litra g), automatisk, og der kan indgås forpligtelser og betales frem til den 31. december i det følgende regnskabsår. Europa-Parlamentet og Rådet underrettes om bevillinger, der overføres i henhold til artikel 12, stk. 6, i finansforordningen.«
3)
I artikel 12 foretages følgende ændringer:
a)
Følgende stykker indsættes:
»5a.   Stk. 5 finder for så vidt angår retlige enheder, der er etableret i Unionen, men som kontrolleres fra tredjelande, ikke anvendelse på tiltagene til gennemførelse af det europæiske cybersikkerhedsvarslingssystem, hvis begge følgende betingelser er opfyldt med hensyn til det pågældende tiltag:
a)
der er en reel risiko for, under hensyntagen til resultaterne af den kortlægning, der er foretaget i henhold til artikel 9, stk. 4, i forordning (EU) 2025/38, at de værktøjer, infrastrukturer eller tjenester, der er nødvendige og tilstrækkelige til, at dette tiltag i tilstrækkelig grad kan bidrage til målet for det europæiske cybersikkerhedsvarslingssystem, ikke vil være tilgængelige hos retlige enheder, der er etableret eller anses for at være etableret i medlemsstaterne, og som kontrolleres af medlemsstaterne eller af statsborgere i medlemsstaterne
b)
sikkerhedsrisikoen ved indkøb fra sådanne retlige enheder inden for det europæiske cybersikkerhedsvarslingssystem står i et rimeligt forhold til fordelene og underminerer ikke Unionens og dens medlemsstaters væsentlige sikkerhedsinteresser.
5b.   Stk. 5 finder for så vidt angår retlige enheder, der er etableret i Unionen, men som kontrolleres fra tredjelande, ikke anvendelse på tiltagene til gennemførelse af EU's cybersikkerhedsreserve, hvis begge følgende betingelser er opfyldt med hensyn til det pågældende tiltag:
a)
der er en reel risiko for, under hensyntagen til resultaterne af den kortlægning, der er foretaget i henhold til artikel 14, stk. 6, i forordning (EU) 2025/38, at den teknologi, ekspertise eller kapacitet, der er nødvendig og tilstrækkelig til, at EU's cybersikkerhedsreserve kan udføre sine funktioner på passende vis, ikke vil være tilgængelig hos retlige enheder, der er etableret eller anses for at være etableret i medlemsstaterne, og som kontrolleres af medlemsstaterne eller af statsborgere i medlemsstaterne
b)
sikkerhedsrisikoen ved at medtage sådanne retlige enheder i EU's cybersikkerhedsreserve står i et rimeligt forhold til fordelene og underminerer ikke Unionens og dens medlemsstaters væsentlige sikkerhedsinteresser.«
b)
Stk. 6 affattes således:
»6.   Hvis det er behørigt begrundet af sikkerhedsmæssige årsager, kan det i arbejdsprogrammet også fastsættes, at retlige enheder, der er etableret i associerede lande, og retlige enheder, der er etableret i Unionen, men som kontrolleres fra tredjelande, kun er berettigede til at deltage i alle eller nogle af tiltagene under specifikt mål nr. 1 og 2, hvis de opfylder de krav, der skal opfyldes af disse retlige enheder for at garantere beskyttelsen af Unionens og medlemsstaternes væsentlige sikkerhedsinteresser og for at sikre beskyttelsen af oplysninger i klassificerede dokumenter. Disse krav fastsættes i arbejdsprogrammet.
Første afsnit finder for så vidt angår retlige enheder, der er etableret i Unionen, men som kontrolleres fra tredjelande, også anvendelse på tiltagene under specifikt mål nr. 3:
a)
at gennemføre det europæiske cybersikkerhedsvarslingssystem, hvor stk. 5a finder anvendelse, og
b)
at gennemføre EU's cybersikkerhedsreserve, hvor stk. 5b finder anvendelse.«
4)
Artikel 14, stk. 2, affattes således:
»2.   Programmet kan yde finansiering i enhver af de former, der er fastsat i finansforordningen, herunder navnlig gennem udbud som den primære form eller tilskud og priser.
Hvor det er nødvendigt at indkøbe innovative varer og tjenester for at opfylde målsætningen for en foranstaltning, må der kun ydes tilskud til støttemodtagere, der er ordregivende myndigheder eller ordregivende enheder som defineret i Europa-Parlamentets og Rådets direktiv 2014/24/EU
 (
*3
)
 og 2014/25/EU
 (
*4
)
.
Hvor levering af innovative varer eller tjenester, som endnu ikke er kommercielt tilgængelige i stor skala, er nødvendig for at opfylde målsætningen for en foranstaltning, kan den ordregivende myndighed eller den ordregivende enhed godkende tildelingen af flere kontrakter inden for samme udbudsprocedure.
Ud fra behørigt begrundede hensyn til den offentlige sikkerhed kan den ordregivende myndighed eller den ordregivende enhed kræve, at kontraktens opfyldelsessted skal være inden for Unionens område.
Ved gennemførelse af udbudsprocedurer vedrørende EU's cybersikkerhedsreserve, kan Kommissionen og ENISA fungere som indkøbscentral på vegne af tredjelande, der er associeret til programmet i overensstemmelse med denne forordnings artikel 10. Kommissionen og ENISA kan også fungere som grossist ved at købe, oplagre og videresælge eller donere varer og tjenesteydelser, herunder leje, til disse tredjelande. Uanset artikel 168, stk. 3, i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2024/2509
 (
*5
)
 er en anmodning fra et enkelt tredjeland tilstrækkelig til at give Kommissionen eller ENISA mandat til at handle.
Ved gennemførelse af udbudsprocedurer vedrørende EU's cybersikkerhedsreserve, kan Kommissionen og ENISA fungere som indkøbscentral på vegne af EU's institutioner, organer, kontorer eller agenturer. Kommissionen og ENISA kan også fungere som grossist ved at købe, oplagre og videresælge eller donere varer og tjenesteydelser, herunder leje, til EU's institutioner, organer, kontorer og agenturer. Uanset artikel 168, stk. 3, i forordning (EU, Euratom) 2024/2509 er en anmodning fra en enkelt EU-institution, et enkelt EU-organ, -kontor eller -agentur tilstrækkeligt til at give Kommissionen eller ENISA mandat til at handle.
Programmet kan også stille finansiering til rådighed i form af finansielle instrumenter under blandingsoperationer.
(
*3
)
  Europa-Parlamentets og Rådets direktiv 2014/24/EU af 26. februar 2014 om offentlige udbud og om ophævelse af direktiv 2004/18/EF (
EUT L 94 af 28.3.2014, s. 65
)."
(
*4
)
  Europa-Parlamentets og Rådets direktiv 2014/25/EU af 26. februar 2014 om fremgangsmåderne ved indgåelse af kontrakter inden for vand- og energiforsyning, transport samt posttjenester og om ophævelse af direktiv 2004/17/EF (
EUT L 94 af 28.3.2014, s. 243
)."
(
*5
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) 2024/2509 af 23. september 2024 om de finansielle regler vedrørende Unionens almindelige budget (
EUT L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj
).«
                                       "
5)
Følgende artikel indsættes:
»Artikel 16a
Regelkonflikter
For så vidt angår foranstaltninger til gennemførelse af det europæiske cybersikkerhedsvarslingssystem, er reglerne fastsat i artikel 4, 5 og 9 i forordning (EU) 2025/38. I tilfælde af konflikt mellem bestemmelserne i nærværende forordning og artikel 4, 5 og 9 i forordning (EU) 2025/38 har sidstnævnte forrang og finder anvendelse på disse specifikke foranstaltninger.
For så vidt angår EU's cybersikkerhedsreserve, er der fastsat specifikke regler for deltagelse af tredjelande, der er associeret til programmet, i artikel 19 i forordning (EU) 2025/38. I tilfælde af konflikt mellem bestemmelserne i nærværende forordning og artikel 19 i forordning (EU) 2025/38 har sidstnævnte forrang og finder anvendelse på disse specifikke foranstaltninger.«
6)
Artikel 19 affattes således:
»Artikel 19
Tilskud
Tilskud i henhold til programmet tildeles og forvaltes i overensstemmelse med afsnit VIII i finansforordningen og kan dække op til 100 % af de støtteberettigede omkostninger, uden at dette berører artikel 190 i finansforordningen. Sådanne tilskud tildeles og forvaltes som nærmere angivet for hvert specifikt mål.
Støtte i form af tilskud kan ydes direkte af ECCC uden forslagsindkaldelse til de medlemsstater, der er udvalgt i henhold til artikel 9 i forordning (EU) 2025/38, og værtskonsortiet, der er omhandlet i artikel 5 i forordning (EU) 2025/38, i overensstemmelse med artikel 195, stk. 1, litra d), i finansforordningen.
Støtte i form af tilskud til cybersikkerhedsberedskabsmekanismen, kan tildeles direkte af ECCC til medlemsstaterne uden forslagsindkaldelse i overensstemmelse med artikel 195, stk. 1, litra d), i finansforordningen.
For så vidt angår foranstaltninger til støtte for gensidig bistand fastsat i artikel 18 i forordning (EU) 2025/38 underretter ECCC Kommissionen og ENISA om medlemsstaternes anmodninger om direkte tilskud uden indkaldelse af forslag.
For så vidt angår foranstaltninger til støtte for gensidig bistand fastsat i artikel 18 i forordning (EU) 2025/38 og i overensstemmelse med artikel 193, stk. 2, andet afsnit, litra a), i finansforordningen, kan omkostningerne i behørigt begrundede tilfælde betragtes som støtteberettigede, selv om de blev afholdt, inden ansøgningen om tilskud blev indgivet.«
7)
Bilag I og II ændres som anført i bilaget til denne forordning.
Artikel 23
Udøvelse af de delegerede beføjelser
1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 14, stk. 7, tillægges Kommissionen for en periode på fem år fra den 5. februar 2025. Kommissionen udarbejder en rapport vedrørende delegationen af beføjelser senest ni måneder inden udløbet af femårsperioden. Delegationen af beføjelser forlænges stiltiende for perioder af samme varighed, medmindre Europa-Parlamentet eller Rådet modsætter sig en sådan forlængelse senest tre måneder inden udløbet af hver periode.
3.   Den i artikel 14, stk. 7, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i 
Den Europæiske Unions Tidende
 eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4.   Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6.   En delegeret retsakt vedtaget i henhold til artikel 14, stk. 7, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 24
Udvalgsprocedure
1.   Kommissionen bistås af koordinationsudvalget for programmet for et digitalt Europa, der er omhandlet i artikel 31, stk. 1, i forordning (EU) 2021/694. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.
Artikel 25
Evaluering og revision
1.   Senest den 5. februar 2027 og derefter mindst hvert fjerde år evaluerer Kommissionen, hvordan foranstaltningerne fastsat i denne forordning fungerer, og forelægger en rapport for Europa-Parlamentet og Rådet.
2.   Den i stk. 1 omhandlede evaluering skal navnlig vurdere følgende:
a)
antallet af oprettede nationale cyberknudepunkter og grænseoverskridende cyberknudepunkter, omfanget af den udvekslede information, herunder om muligt indvirkningen på CSIRT-netværkets arbejde, og i hvilket omfang disse har bidraget til at styrke Unionens fælles opdagelse af og situationsbevidsthed vedrørende cybertrusler og -hændelser og til udviklingen af de nyeste teknologier samt anvendelsen af midler fra programmet for et digitalt Europa til cybersikkerhedsværktøjer, infrastruktur eller tjenester, der indkøbes i fællesskab, og, hvis oplysningerne er tilgængelige, graden af samarbejde mellem nationale cyberknudepunkter og sektorielle og tværsektorielle fællesskaber af væsentlige og vigtige enheder som omhandlet i artikel 3 i direktiv (EU) 2022/2555
b)
anvendelsen og effektiviteten af foranstaltninger under cybersikkerhedsberedskabsmekanismen til støtte for beredskab, herunder uddannelse, reaktion på den indledende genopretning eftervæsentlige cybersikkerhedshændelser, omfattende cybersikkerhedshændelser og cybersikkerhedshændelser svarende til omfattende cybersikkerhedshændelser, herunder anvendelse af midler fra programmet for et digitalt Europa og de indhøstede erfaringer og anbefalinger fra gennemførelsen af cybersikkerhedsberedskabsmekanismen
c)
anvendelsen og effektiviteten af EU's cybersikkerhedsreserve i forhold til typen af brugere, herunder anvendelsen af midler fra programmet for et digitalt Europa, udbredelsen af tjenester, herunder deres type, den gennemsnitlige tid til at besvare anmodninger og indsætte EU's cybersikkerhedsreserve, procentdelen af tjenester, der konverteres til beredskabstjenester i forbindelse med forebyggelse af og reaktioner på hændelser, og de indhøstede erfaringer og anbefalinger fra gennemførelsen af EU's cybersikkerhedsreserve
d)
denne forordnings bidrag til at styrke industriens og tjenesteydelsernes konkurrenceevne i Unionen i hele den digitale økonomi, herunder mikrovirksomheder og små og mellemstore virksomheder samt nystartede virksomheder, og bidraget til det overordnede mål om at styrke arbejdsstyrkens færdigheder og kapacitet inden for cybersikkerhed.
3.   På grundlag af de rapporter, der er omhandlet i stk. 1, forelægger Kommissionen i givet fald Europa-Parlamentet og Rådet et lovgivningsforslag om ændring af denne forordning.
Artikel 26
Ikrafttræden
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 19. december 2024.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
BÓKA J.
Formand
(
1
)
  Udtalelse af 18.4.2023 (endnu ikke offentliggjort i EUT).
(
2
)
  
            
EUT C 349 af 29.9.2023, s. 167
.
(
3
)
  
            
EUT C, C/2024/1049, 9.2.2024, ELI: http://data.europa.eu/eli/C/2024/1049/oj
.
(
4
)
  Europa-Parlamentets holdning af 24.4.2024 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 2.12.2024.
(
5
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (
EUT L 151 af 7.6.2019, s. 15
).
(
6
)
  Europa-Parlamentets og Rådets direktiv 2013/40/EU af 12. august 2013 om angreb på informationssystemer og om erstatning af Rådets rammeafgørelse 2005/222/RIA (
EUT L 218 af 14.8.2013, s. 8
).
(
7
)
  Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (
EUT L 333 af 27.12.2022, s. 80
).
(
8
)
  Kommissionens henstilling (EU) 2017/1584 af 13. september 2017 om en koordineret reaktion på væsentlige cybersikkerhedshændelser og -kriser (
EUT L 239 af 19.9.2017, s. 36
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EU) 2021/694 af 29. april 2021 om programmet for et digitalt Europa og om ophævelse af afgørelse (EU) 2015/2240 (
EUT L 166 af 11.5.2021, s. 1
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) 2024/2509 af 23. september 2024 om de finansielle regler vedrørende Unionens almindelige budget (
EUT L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj
).
(
11
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) 2020/2092 af 16. december 2020 om en generel ordning med konditionalitet til beskyttelse af Unionens budget (
EUT L 433 I af 22.12.2020, s. 1
, ELI: http://data.europa.eu/eli/reg/2020/2092/oj).
(
12
)
  Europa-Parlamentets og Rådets forordning (EU) 2021/887 af 20. maj 2021 om oprettelse af Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed og Netværket af Nationale Koordinationscentre (
EUT L 202 af 8.6.2021, s. 1
, ELI: http://data.europa.eu/eli/reg/2021/887/oj).
(
13
)
  Europa-Parlamentets og Rådets afgørelse nr. 1313/2013/EU af 17. december 2013 om en EU-civilbeskyttelsesmekanisme (
EUT L 347 af 20.12.2013, s. 924
, ELI: http://data.europa.eu/eli/dec/2013/1313/oj).
(
14
)
  Rådets gennemførelsesafgørelse (EU) 2018/1993 af 11. december 2018 om EU's integrerede ordninger for politisk kriserespons (
EUT L 320 af 17.12.2018, s. 28
, ELI: http://data.europa.eu/eli/dec_impl/2018/1993/oj).
(
15
)
  Rådets afgørelse (FUSP) 2017/2315 af 11. december 2017 om etablering af et permanent struktureret samarbejde (PESCO) og fastlæggelse af listen over deltagende medlemsstater (
EUT L 331 af 14.12.2017, s. 57
, ELI: http://data.europa.eu/eli/dec/2017/2315/oj).
(
16
)
  Europa-Parlamentets og Rådets afgørelse nr. 1313/2013/EU af 17. december 2013 om en EU-civilbeskyttelsesmekanisme (
EUT L 347 af 20.12.2013, s. 924
).
(
17
)
  Kommissionens henstilling (EU) 2017/1584 af 13. september 2017 om en koordineret reaktion på væsentlige cybersikkerhedshændelser og -kriser (
EUT L 239 af 19.9.2017, s. 36
).
(
18
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1971 af 11. december 2018 om oprettelse af Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC) og Agenturet for Støtte til BEREC (BEREC-kontoret), om ændring af forordning (EU) 2015/2120 og om ophævelse af forordning (EF) nr. 1211/2009 (
EUT L 321 af 17.12.2018, s. 1
).
(
19
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 og (EU) 2016/1011 (
EUT L 333 af 27.12.2022, s. 1
).
(
20
)
  
            
EUT L 123 af 12.5.2016, s. 1
, ELI: http://data.europa.eu/eli/agree_interinstit/2016/512/oj.
(
21
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
, ELI: http://data.europa.eu/eli/reg/2011/182/oj).
(
22
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) 2023/2841 af 13. december 2023 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i Unionens institutioner, organer, kontorer og agenturer (
EUT L, 2023/2841, 18.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2841/oj
).
(
23
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/2847 af 23. oktober 2024 om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) nr. 168/2013 og (EU) 2019/1020 og direktiv (EU) 2020/1828 (forordningen om cyberrobusthed) (
EUT L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj
).
BILAG
I forordning (EU) 2021/694 foretages følgende ændringer:
1)
I bilag I affattes afsnittet »Specifikt mål nr. 3 — Cybersikkerhed og tillid« således:
»Specifikt mål nr. 3 — Cybersikkerhed og tillid
Programmet skal fremme styrkelse, opbygning og erhvervelse af afgørende kapacitet til at sikre Unionens digitale økonomi, samfund og demokrati ved at styrke Unionens industrielle potentiale og konkurrenceevne inden for cybersikkerhed samt ved at forbedre både den private og den offentlige sektors kapacitet til at beskytte borgere og virksomheder mod cybertrusler, herunder ved at understøtte gennemførelsen af direktiv (EU) 2016/1148.
De indledende og, hvor det er relevant, efterfølgende tiltag under dette mål omfatter:
1.
Investeringer i fællesskab med medlemsstaterne i højtudviklet cybersikkerhedsudstyr, -infrastruktur og -knowhow, som er afgørende for beskyttelsen af kritiske infrastrukturer og det digitale indre marked generelt. Sådanne fælles investeringer kan omfatte investeringer i kvantefaciliteter og dataressourcer til cybersikkerhed, situationsbevidsthed vedrørende cyberspace, herunder nationale cyberknudepunkter og grænseoverskridende cyberknudepunkter, der udgør det europæiske cybersikkerhedsvarslingssystem, samt andre værktøjer, som skal gøres tilgængelige for offentlige og private sektorer i hele Europa.
2.
Opskalering af eksisterende teknologisk kapacitet og netværkssamarbejde mellem kompetencecentrene i medlemsstaterne, idet det sikres, at nævnte kapacitet opfylder den offentlige sektors og industriens behov, herunder gennem produkter og tjenester, som styrker cybersikkerhed og tillid inden for det digitale indre marked.
3.
Sikring af en bred udrulning af effektive, avancerede cybersikkerheds- og tillidsløsninger i alle medlemsstater. En sådan udrulning omfatter styrkelse af produkters sikkerhed fra udformning til kommercialisering af dem.
4.
Støtte til at slå bro over færdighedskløften inden for cybersikkerhed under hensyntagen til kønsbalancen ved f.eks. at ensrette programmerne for cybersikkerhedsfærdigheder, tilpasse dem til specifikke sektorbehov og lette adgangen til målrettet specialiseret uddannelse.
5.
Fremme af solidaritet mellem medlemsstaterne i forbindelse med beredskab og indsats ved væsentlige cybersikkerhedshændelser gennem udrulning af cybersikkerhedstjenester på tværs af grænserne, herunder støtte til gensidig bistand mellem offentlige myndigheder og etablering af en reserve af betroede udbydere af administrerede sikkerhedstjenester på EU-plan.«
2)
I bilag II affattes afsnittet »Specifikt mål nr. 3 — Cybersikkerhed og tillid« således:
»Specifikt mål nr. 3 — Cybersikkerhed og tillid
3.1.
Antallet af cybersikkerhedsinfrastrukturer eller værktøjer eller begge dele, som er indkøbt i fællesskab, herunder inden for rammerne af det europæiske cybersikkerhedsvarslingssystem
3.2.
Antal brugere og brugersamfund, som får adgang til europæiske cybersikkerhedsfaciliteter
3.3.
Antal foranstaltninger til støtte for beredskab og reaktion på cybersikkerhedshændelser inden for rammerne af cyberberedskabsmekanismen«.
Der er fremsat en erklæring vedrørende denne retsakt, og den kan findes i 
EUT C, C/2025/308, 15.1.2025, ELI: http://data.europa.eu/eli/C/2025/308/oj
.
ELI: http://data.europa.eu/eli/reg/2025/38/oj
ISSN 1977-0634 (electronic edition)

Summary:
Forordningen om cybersolidaritet
RESUMÉ AF:
Forordning (EU) 2025/38 om styrkelse af solidariteten og kapaciteterne i EU til at opdage, forberede sig på og reagere på cybertrusler og -hændelser (cybersolidaritetsforordningen)
HVAD ER FORMÅLET MED DENNE FORORDNING?
Forordning (EU) 2025/38 har til formål at styrke 
Den Europæiske Unions
 (EU's) kapacitet til at opdage, forberede sig på og reagere på 
cyber
trusler og -hændelser. Den fastsætter foranstaltninger på EU-plan for at øge situationsbevidstheden, styrke beredskabet, støtte koordinerede reaktioner og muliggøre strukturerede gennemgange efter hændelser med henblik på at beskytte kritiske tjenester og øge EU’s overordnede modstandsdygtighed.
HOVEDPUNKTER
Anvendelsesområde og formål
Forordningens
 overordnede mål er at styrke solidariteten på EU-plan, samtidig med at den styrker industriens og tjenesternes konkurrencemæssige position i EU på tværs af den digitale økonomi og bidrager til EU’s teknologiske suverænitet og åbne strategiske autonomi på cybersikkerhedsområdet.
Dette mål realiseres gennem 
tre centrale søjler
.
1. Det europæiske cybersikkerhedsvarslingssystem
Dette system er udviklet til at forbedre situationsbevidstheden i næsten realtid og opdage cybertrusler på tværs af EU og består af:
nationale cyberknudepunkter
, udpeget af EU’s 
medlemsstater
grænseoverskridende cyberknudepunkter
, som er oprettet af konsortier bestående af mindst tre medlemsstater.
Disse cyberknudepunkter
1
 opdager, analyserer og udveksler efterretninger om cybertrusler og understøttes af avancerede værktøjer såsom 
kunstig intelligens
 og dataanalyse. Finansieringen forvaltes af 
Det Europæiske Kompetencecenter for Cybersikkerhed
 (se 
resumé
) (fælles indkøb af værktøjer, infrastruktur og tjenester samt tilskud til deres drift).
For at sikre et effektivt samarbejde skulle 
Det Europæiske Unions Agentur for Cybersikkerhed
 (ENISA) udarbejde 
interoperabilitetsretningslinjer
, herunder fælles formater og protokoller, senest den 
5. februar 2026
. De samarbejdsaftaler, som grænseoverskridende cyberknudepunkter indgår med hinanden, skal baseres på disse retningslinjer.
2. Beredskabsmekanisme for cybersikkerhed
Denne mekanisme muliggør koordineret EU-støtte til at forberede sig på og reagere på væsentlige
2
, omfattende hændelser
3
 og hændelser svarende til omfattende hændelser
4
, hvilket styrker EU’s modstandsdygtighed og solidaritet mellem medlemsstaterne. Den omfatter følgende områder.
Beredskabsforanstaltninger
, såsom:
koordineret beredskabstest af enheder, der opererer i sektorer af særligt kritisk betydning
støtte til andre beredskabsaktiviteter for enheder i sektorer af særligt kritisk betydning og andre kritiske sektorer, herunder sårbarhedsovervågning, risikoovervågning, øvelser og uddannelse.
EU’s cybersikkerhedsreserve
, som består af hændelsesberedskabstjenester fra betroede udbydere af administrerede sikkerhedstjenester, der er udvalgt gennem EU’s udbudsprocedurer.
Reserven yder støtte til medlemsstater, EU-institutioner og kompetente myndigheder i tredjelande, der er associeret med programmet for et digitalt Europa (DEP), hvis deres DEP-associeringsaftale giver mulighed herfor, og hvis deltagelse skal godkendes af 
Rådet for Den Europæiske Union
, med henblik på håndteringen af sådanne hændelser.
Anmodninger om udrulning af EU’s cybersikkerhedsreserve kan indgives af:
medlemsstaternes cyberkrisestyringsmyndigheder og nationale 
enheder, der håndterer IT-sikkerhedshændelser (CSIRT)
Cybersikkerhedstjenesten for Unionens Institutioner, Organer, Kontorer og Agenturer
 (se 
resumé
)
kompetente myndigheder såsom enheder, der håndterer IT-sikkerhedshændelser, og cyberkrisestyringsmyndigheder i tredjelande, der er associeret til DEP.
Europa-Kommissionen
 har det overordnede ansvar for gennemførelsen af EU’s cybersikkerhedsreserve og overdrager forvaltningen og driften af reserven til ENISA. Den ordregivende myndighed (Kommissionen eller, hvor det er relevant, ENISA, for anmodninger fra medlemsstater samt EU’s institutioner, organer og agenturer) beslutter, om og i hvilket omfang der skal ydes støtte på grundlag af hændelsens omfang og alvor, typen af den berørte enhed, hændelsens potentielle indvirkning på de berørte medlemsstater og brugere, dens grænseoverskridende karakter og risikoen for afsmittende virkninger samt de afbødende foranstaltninger, der allerede er truffet. Den ordregivende myndighed skal svare inden for 
48 timer
.
Anmodninger fra tredjelande, der er associeret med programmet for et digitalt Europa, vurderes af Kommissionen.
Gensidig bistand
, hvor medlemsstaterne yder teknisk støtte til hinanden som reaktion på væsentlige eller omfattende cybersikkerhedshændelser, med finansiel støtte fra EU.
3. Den europæiske mekanisme til gennemgang af cybersikkerhedshændelser
Efter væsentlige eller omfattende cybersikkerhedshændelser kan Kommissionen eller det europæiske netværk af forbindelsesorganisationer for cyberkriser (EU-CyCLONe) anmode om en struktureret gennemgang for at vurdere årsager og konsekvenser, evaluere reaktionen og udlede de erfaringer, der er gjort. Gennemgangen:
gennemføres af ENISA med støtte fra netværket af enheder, der håndterer IT-sikkerhedshændelser og med de berørte medlemsstaters godkendelse
munder ud i en rapport med konklusioner og, hvor det er relevant, bedste praksisser, indhøstede erfaringer og ikkebindende 
anbefalinger
 til forbedring af EU’s cyberposition.
ENISA kan, med forbehold af fortrolighedsreglerne, offentliggøre en offentlig udgave af rapporten om gennemgang af hændelser, som udelukkende indeholder pålidelige offentligt tilgængelige oplysninger eller andet indhold, hvortil de berørte medlemsstater eller parter har givet samtykke.
Gennemførelse og roller
Kommissionen
 fører tilsyn med den overordnede gennemførelse af forordningen, herunder EU’s cybersikkerhedsreserve. For så vidt angår reserven bør Kommissionen helt eller delvist overdage driften og forvaltningen af reserven til ENISA via en bidragsaftale.
Det Europæiske Kompetencecenter for Cybersikkerhed forvalter tilskudsbaserede beredskabsforanstaltninger og udrulningen af nationale og grænseoverskridende cyberknudepunkter. Det skal ajourføre sin kortlægning af de nødvendige værktøjer, infrastruktur og tjenester 
mindst hvert andet år
.
ENISA
 koordinerer den europæiske mekanisme til gennemgang af cybersikkerhedshændelser, og har — helt eller delvist — fået overdraget forvaltningen og driften af EU’s cybersikkerhedsreserve og bør regelmæssigt kortlægge de tjenester, der er nødvendige for EU’s cybersikkerhedsreserve.
Finansiering
Forordningen finansieres under 
specifikt mål 3 ("Cybersikkerhed og tillid")
 i 
DEP
.
Supplerende regler
Kommissionen kan vedtage 
delegerede retsakter
 for at fastlægge, hvilke 
typer og antal af tjenester
 der skal stilles til rådighed under EU’s cybersikkerhedsreserve på baggrund af de skiftende trusler og de tilgængelige kapaciteter.
Udveksling af oplysninger i henhold til forordningen skal være i overensstemmelse med reglerne om 
fortrolighed
 og 
proportionalitet
 og må ikke være i strid med medlemsstaternes væsentlige interesser inden for 
national sikkerhed, offentlig sikkerhed og forsvar
.
Indkøb fra enheder, der ikke er under EU-kontrol, må kun finde sted på strenge betingelser, når der ikke findes tilstrækkelige EU-baserede alternativer, og sikkerhedsinteresserne er beskyttet. DEP-arbejdsprogrammet fastsætter betingelser og regler for støtteberettigelse.
Senest den 
5. februar 2027
 skal Kommissionen aflægge rapport til 
Europa-Parlamentet
 og Rådet om forordningens gennemførelse og effektivitet.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Forordningen har været gældende siden 
4. februar 2025
.
BAGGRUND
Forordningen om cybersolidaritet supplerer den eksisterende EU-lovgivning om cybersikkerhed, f.eks. 
NIS 2-direktivet
 (se 
resumé
) og 
EU’s
 
forordning om cybersikkerhed
 (se 
resumé
). Den tilføjer operationelle instrumenter til beredskab, tidlig opdagelse af trusler og koordineret reaktion på EU-plan med henblik på at håndtere stadig mere komplekse og grænseoverskridende cybertrusler. Den ændrer også forordning (EU) 2021/694 for at skabe det retlige og finansielle grundlag for gennemførelsen af de nye mekanismer, der indføres ved denne retsakt.
For yderligere oplysninger henvises til:
EU Cyber Solidarity Act
 (Europa-Kommissionen)
EU Cyber Solidarity Act factsheet
 (Europa-Kommissionen).
VIGTIGE BEGREBER
Cyberknudepunkt.
 Et udpeget nationalt eller flerlandecenter, der opdager, analyserer og deler efterretninger om cybertrusler i næsten realtid og dermed understøtter forebyggelse og øger bevidstheden om cybersikkerhedstrusler i hele EU.
Væsentlig cybersikkerhedshændelse.
 En hændelse anses for at være væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsmæssige forstyrrelser af tjenesterne eller økonomiske tab for den berørte enhed eller betydelig materiel eller immateriel skade for andre.
Omfattende cybersikkerhedshændelse.
 En hændelse, der forårsager et forstyrrelsesniveau, der overstiger en medlemsstats kapacitet til at reagere på den, eller som har en væsentlig indvirkning på mindst to medlemsstater.
Cybersikkerhedsændelse svarende til en omfattende cybersikkerhedshændelse.
 For EU-institutioner, ‑organer, ‑kontorer og ‑agenturer betyder det en alvorlig hændelse, og for tredjelande, der er associeret med DEP, en hændelse, der medfører et forstyrrelsesniveau, som overstiger det pågældende lands kapacitet til at håndtere den.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2025/38
 af 
19. december 2024
 om foranstaltninger til styrkelse af solidariteten og kapaciteten i Unionen til at opdage, forberede sig og reagere på cybertrusler og -hændelser og om ændring af forordning (EU) 2021/694 (forordning om cybersolidaritet) (EUT L, 2025/38, 
15.1.2025
).
Efterfølgende ændringer til forordning (EU) 2025/38 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
TILHØRENDE DOKUMENTER
Erklæring
 fra Kommissionen (EUT C, C/2025/310, 
15.1.2025
).
Europa-Parlamentets og Rådets forordning (EU, Euratom) 
2023/2841
 af 
13. december 2023
 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i Unionens institutioner, organer, kontorer og agenturer (EUT L, 2023/2841, 
18.12.2023
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2022/2555
 af 
14. december 2022
 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) 
Nr. 910/2014
 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT L 333 af 
27.12.2022
, 
s. 80-152
).
Europa-Parlamentets og Rådets Forordning (EU) 
2021/887
 af 
20. maj 2021
 om oprettelse af Det Europæiske Industri-, Teknologi- og Forskningskompetencecenter for Cybersikkerhed og Netværket af Nationale Koordinationscentre (EUT L 202 af 
8.6.2021
, 
s. 1–31
).
Europa-Parlamentets og Rådets Forordning (EU) 
2021/694
 af 
29. April 2021
 om Programmet for et Digitalt Europa og om Ophævelse af Afgørelse (EU) 2015/2240 (EUT L 166 af 
11.5.2021
, 
s. 1-34
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets Forordning (EU) 
2019/881
 af 
17. April 2019
 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) 
Nr. 526/2013
 (forordningen om cybersikkerhed) (EUT L 151 af 
7.6.2019
, 
s. 15-69
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
26.11.2025