Regolamento di esecuzione (UE) 2026/2083 della Commissione, del 18 settembre 2026, relativo a LaMiaSalute@UE (MyHealth@EU)

del 18 settembre 2026

relativo a LaMiaSalute@UE (MyHealth@EU)

(Testo rilevante ai fini del SEE)

Preamble

LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell’Unione europea,

visto il regolamento (UE) 2025/327 del Parlamento europeo e del Consiglio, dell’11 febbraio 2025, sullo spazio europeo dei dati sanitari e che modifica la direttiva 2011/24/UE e il regolamento (UE) 2024/2847 ¹ , in particolare l’articolo 23, paragrafi 4 e 8,

considerando quanto segue:

(1) Il regolamento (UE) 2025/327 mira a migliorare l’accesso delle persone fisiche ai loro dati sanitari elettronici personali e il loro controllo su tali dati nel contesto dell’assistenza sanitaria, nonché a migliorare lo scambio transfrontaliero di tali dati per assicurare la continuità dell’assistenza sanitaria. A tal fine, l’articolo 23 di detto regolamento affida alla Commissione il compito di istituire LaMiaSalute@UE (MyHealth@EU), una piattaforma centrale di interoperabilità per lo scambio transfrontaliero delle categorie prioritarie di dati di cui all’articolo 14 dello stesso regolamento, nonché di ulteriori categorie di dati. Lo scambio di tali dati è sostenuto dal formato europeo di scambio delle cartelle cliniche elettroniche di cui all’articolo 15 del regolamento (UE) 2025/327.

(2) La piattaforma LaMiaSalute@UE (MyHealth@EU) di cui al regolamento (UE) 2025/327 si basa sull’architettura e sui processi sviluppati per l’infrastruttura di servizi digitali di eHealth per i servizi informativi transfrontalieri per l’assistenza sanitaria online istituita dalla decisione di esecuzione (UE) 2019/1765 della Commissione ² . Tale infrastruttura ha consentito agli Stati membri di scambiare profili sanitari sintetici dei pazienti, prescrizioni elettroniche e dispensazioni elettroniche su base volontaria. La piattaforma LaMiaSalute@UE (MyHealth@EU) di cui al regolamento (UE) 2025/327 dovrebbe basarsi su tale esperienza e sull’architettura dei servizi di cui alla decisione di esecuzione (UE) 2019/1765 ed essere aggiornata per tenere conto dei cambiamenti tecnologici e delle differenze con lo spazio europeo dei dati sanitari ( European Health Data Space , EHDS).

(3) L’articolo 24, paragrafi 2 e 3, del regolamento (UE) 2025/327 prevede la possibilità che dei partecipanti autorizzati si colleghino a LaMiaSalute@UE (MyHealth@EU). In tali casi, l’articolo 7, ad eccezione del paragrafo 1, lettera a), e gli articoli da 8 a 13 del presente regolamento dovrebbero applicarsi mutatis mutandis ai partecipanti autorizzati, al fine di garantire coerenza nella segnalazione di incidenti significativi, nei controlli di conformità e nelle prescrizioni tecniche per rimanere collegati a LaMiaSalute@UE (MyHealth@EU).

(4) Per facilitare lo scambio di dati sanitari elettronici personali tra i punti di contatto nazionali per la sanità digitale, la Commissione dovrebbe fornire un software di implementazione di riferimento a uso facoltativo da parte dei punti di contatto nazionali per la sanità digitale. L’implementazione di riferimento dovrebbe basarsi sul catalogo dei requisiti ed essere regolarmente aggiornata per tenere conto di eventuali modifiche.

(5) Per garantire l’interoperabilità semantica dei servizi in LaMiaSalute@UE (MyHealth@EU), la Commissione dovrebbe fornire un servizio terminologico centrale che consenta agli Stati membri di fornire mappature e traduzioni da e verso i sistemi e i valori di codifica del formato europeo di scambio delle cartelle cliniche elettroniche di cui all’articolo 15, paragrafo 1, del regolamento (UE) 2025/327.

(6) I punti di contatto nazionali per la sanità digitale dovrebbero scambiare i dati sanitari elettronici personali a livello transfrontaliero utilizzando una rete di comunicazione sicura che dovrebbe essere fornita dalla Commissione.

(7) Per individuarsi reciprocamente e stabilire una comunicazione affidabile tra loro, i punti di contatto nazionali per la sanità digitale dovrebbero utilizzare un servizio di configurazione centrale che dovrebbe essere fornito dalla Commissione.

(8) Onde assicurare l’interoperabilità, la Commissione dovrebbe stilare, in collaborazione con il gruppo direttivo LaMiaSalute@UE (MyHealth@EU) istituito dall’articolo 95, paragrafo 1, del regolamento (UE) 2025/327, un catalogo dei requisiti. Sulla base di tali requisiti, la Commissione dovrebbe proporre specifiche tecniche da sottoporre all’approvazione del gruppo direttivo. Le specifiche tecniche dovrebbero essere conformi al formato europeo di scambio delle cartelle cliniche elettroniche definito nell’atto di esecuzione da adottare in virtù del conferimento di poteri di cui all’articolo 15, paragrafo 1, del regolamento (UE) 2025/327.

(9) La Commissione dovrebbe proporre un piano di lavoro annuale per il funzionamento e la gestione della piattaforma centrale di interoperabilità da sottoporre all’approvazione del gruppo direttivo. Tale piano di lavoro dovrebbe essere coerente con il piano di lavoro biennale del comitato EHDS.

(10) Le modifiche che non sono retrocompatibili con la versione precedente o che sono obbligatorie per i punti di contatto nazionali per la sanità digitale e per i partecipanti autorizzati sono trattate come versioni principali soggette alla procedura completa di gestione delle modifiche. Per contro, le correzioni di difetti e bug, i chiarimenti redazionali e altre modifiche che non introducono nuove funzionalità o non incidono sulla capacità delle implementazioni esistenti del catalogo dei requisiti di scambiare dati senza modifiche dovrebbero seguire la procedura semplificata applicabile alle versioni minori. Le proposte di modifiche sostanziali al catalogo dei requisiti dovrebbero essere preparate accuratamente prima di essere sottoposte alla valutazione e all’approvazione del gruppo direttivo. A tal fine, è opportuno esigere che una proposta di modifica sia presentata da un gruppo di membri del gruppo direttivo o dalla Commissione, in quanto responsabile della gestione di LaMiaSalute@UE (MyHealth@EU).

(11) Al fine di garantire un’elevata qualità nello sviluppo e nel funzionamento dello scambio di dati sanitari elettronici personali tramite LaMiaSalute@UE (MyHealth@EU), la Commissione, per conto del gruppo direttivo LaMiaSalute@UE (MyHealth@EU), dovrebbe gestire le procedure per autorizzare lo scambio di dati sanitari elettronici personali.

(12) I punti di contatto nazionali per la sanità digitale dovrebbero dimostrare la conformità al catalogo dei requisiti attraverso prove tecniche e controlli di conformità. La Commissione dovrebbe agevolare le prove tecniche ed effettuare i controlli di conformità. Successivamente, la Commissione dovrebbe indicare le deviazioni dal catalogo dei requisiti. Le carenze emerse dai controlli di conformità e dalle prove tecniche dovrebbero essere classificate in base a fattori quali il rischio e l’impatto. I punti di contatto nazionali per la sanità digitale dovrebbero elaborare piani d’azione per ovviare a eventuali rischi individuati. La Commissione dovrebbe riferire periodicamente al gruppo direttivo in merito a eventuali carenze irrisolte e ai relativi piani d’azione.

(13) Un punto di contatto nazionale per la sanità digitale dovrebbe sempre essere conforme all’ultima versione del catalogo dei requisiti. Per favorire la fiducia nella rete e dimostrare a tutti gli altri punti di contatto nazionali tale conformità, è opportuno che i controlli di conformità siano condotti con cadenza regolare. Un controllo di conformità dovrebbe consistere in una procedura approfondita ed essere effettuato con una frequenza proporzionata al livello di rischio che lo scambio di dati sanitari elettronici personali comporta per la protezione dei dati sanitari elettronici personali, la sicurezza e la riservatezza. Qualora sussistano motivi per sospettare che un punto di contatto nazionale per la sanità digitale non sia conforme ai requisiti, dovrebbe essere conferito alla Commissione il potere di avviare un controllo di conformità ad hoc.

(14) Ogniqualvolta un punto di contatto nazionale per la sanità digitale avvia lo scambio di dati sanitari elettronici personali, tale scambio dovrebbe basarsi su un’autorizzazione del gruppo direttivo. Ciò assicura che il gruppo direttivo abbia il controllo sullo scambio di dati sanitari elettronici personali. Al fine di garantire prevedibilità per i punti di contatto nazionali per la sanità digitale che avviano lo scambio, la decisione del gruppo direttivo dovrebbe basarsi sull’esito di un controllo di conformità e di una prova tecnica pertinenti.

(15) Per garantire l’interoperabilità tra i punti di contatto nazionali per la sanità digitale nello scambio di dati sanitari elettronici personali, essi dovrebbero operare rifacendosi alla stessa versione del catalogo dei requisiti. Le soluzioni tecniche adottate sulla base di tali requisiti dovrebbero essere sottoposte a prove accurate prima di essere utilizzate per lo scambio di dati sanitari elettronici personali. Il gruppo direttivo dovrebbe valutare l’esito di tali prove e autorizzare un punto di contatto nazionale per la sanità digitale a procedere all’aggiornamento a una nuova versione principale.

(16) Dopo un controllo di conformità condotto su un punto di contatto nazionale per la sanità digitale che già scambia dati sanitari elettronici personali, il gruppo direttivo dovrebbe valutarne l’esito e dare la propria autorizzazione a proseguire lo scambio.

(17) Un punto di contatto nazionale per la sanità digitale può accorgersi che lo scambio di dati sanitari elettronici personali non funziona correttamente. La Commissione, in collaborazione con il gruppo direttivo, dovrebbe specificare i tipi di tali incidenti e individuare risposte adeguate per gestirli in un quadro operativo.

(18) È opportuno definire chiaramente quali dati sanitari elettronici personali possono essere trattati tramite LaMiaSalute@UE (MyHealth@EU) e tale definizione dovrebbe corrispondere agli obblighi di cui al regolamento (UE) 2025/327.

(19) L’articolo 23 del regolamento (UE) 2025/327 assegna il ruolo di contitolari del trattamento ai punti di contatto nazionali per la sanità digitale e quello di responsabile del trattamento alla Commissione, in quanto fornitore di LaMiaSalute@UE (MyHealth@EU). Onde garantire condizioni uniformi per l’attuazione del regolamento (UE) 2025/327, il presente regolamento dovrebbe specificare le funzioni e le responsabilità dei punti di contatto nazionali per la sanità digitale e della Commissione sulla base di tali ruoli. A tal fine, il presente regolamento dovrebbe stabilire la materia disciplinata, la durata, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, nonché gli obblighi e i diritti del titolare del trattamento, nella misura in cui non siano già definiti nel regolamento (UE) 2025/327. Dovrebbe anche definire le rispettive responsabilità dei contitolari del trattamento.

(20) Il regolamento (UE) 2025/327 stabilisce che la Commissione agisce in qualità di responsabile del trattamento dei dati personali in LaMiaSalute@UE (MyHealth@EU), per conto degli Stati membri in qualità di contitolari del trattamento. Conformemente alle norme in materia di protezione dei dati, gli obblighi del responsabile del trattamento devono essere disciplinati in un contratto o da altro atto giuridico che vincoli il responsabile del trattamento nei confronti del titolare del trattamento. Il presente regolamento stabilisce gli obblighi specifici in capo alla Commissione in qualità di responsabile del trattamento in un atto giuridico vincolante. Analogamente, i contitolari del trattamento devono determinare le rispettive responsabilità in merito all’osservanza degli obblighi in materia di protezione dei dati mediante un accordo interno, a meno che e nella misura in cui le rispettive responsabilità dei contitolari del trattamento siano determinate dal diritto dell’Unione o dello Stato membro cui i contitolari del trattamento sono soggetti. Il presente regolamento determina le rispettive responsabilità dei contitolari del trattamento per legge.

(21) Il trattamento di dati personali a norma del presente regolamento è soggetto ai regolamenti (UE) 2016/679 ³ e (UE) 2018/1725 ⁴ del Parlamento europeo e del Consiglio, a seconda dei casi. Le operazioni di trattamento dei dati personali da parte della Commissione nel suo ruolo di responsabile del trattamento sostengono lo scambio di dati tra i punti di contatto nazionali per la sanità digitale, che è un compito di interesse pubblico affidato loro dal regolamento (UE) 2025/327.

(22) A LaMiaSalute@UE (MyHealth@EU) si applicano le norme in materia di sicurezza informatica di cui alla decisione (UE, Euratom) 2017/46 ⁵ della Commissione.

(23) Poiché LaMiaSalute@UE (MyHealth@EU) rappresenta un’evoluzione dell’infrastruttura di servizi digitali di eHealth per i servizi informativi transfrontalieri per l’assistenza sanitaria online istituita dalla decisione di esecuzione (UE) 2019/1765, è opportuno tenere conto degli insegnamenti tratti da tale infrastruttura. In particolare, dato che le prescrizioni tecniche dettagliate per lo scambio di dati sono sostanzialmente equivalenti, è opportuno che, qualora un punto di contatto nazionale per l’eHealth sia già collegato, in un contesto di utilizzo in produzione, all’infrastruttura di servizi digitali di eHealth per i servizi informativi transfrontalieri per l’assistenza sanitaria online e lo stesso punto di contatto sia designato come punto di contatto nazionale per la sanità digitale dello Stato membro interessato, tale punto di contatto non sia tenuto a ripetere il controllo di conformità iniziale per i servizi che già utilizza in produzione, in quanto ha già dimostrato la propria capacità di collegarsi alla piattaforma centrale.

(24) Il regolamento (UE) 2025/327 diventerà applicabile in modo graduale. L’obbligo di scambiare dati tramite LaMiaSalute@UE (MyHealth@EU) diventerà applicabile il 26 marzo 2029 per lo scambio dei profili sanitari sintetici dei pazienti, delle prescrizioni elettroniche e delle dispensazioni elettroniche e il 26 marzo 2031 per lo scambio degli esami diagnostici per immagini e relativi referti di immagini, dei risultati di esami medici, compresi risultati di laboratorio e altri risultati diagnostici e relativi referti, e delle lettere di dimissione. Il presente regolamento stabilisce le norme dettagliate relative alle modalità di funzionamento di LaMiaSalute@UE (MyHealth@EU); l’obbligo per i punti di contatto nazionali per la sanità digitale degli Stati membri di scambiare le categorie prioritarie di dati sanitari elettronici personali tramite LaMiaSalute@UE (MyHealth@EU) diventerà applicabile conformemente all’articolo 105 del regolamento (UE) 2025/327.

(25) A norma dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 18 maggio 2026 ⁶ .

(26) Il presente regolamento di esecuzione introduce requisiti vincolanti per i servizi pubblici digitali transfrontalieri ai sensi del regolamento (UE) 2024/903 del Parlamento europeo e del Consiglio ⁷ . Di conseguenza è stata effettuata una valutazione dell’interoperabilità e la relazione risultante sarà pubblicata sul portale «Europa interoperabile» al momento dell’adozione dell’atto giuridico.

(27) Le misure di cui al presente regolamento sono conformi al parere del comitato istituito dall’articolo 98, paragrafo 1, del regolamento (UE) 2025/327,

HA ADOTTATO IL PRESENTE REGOLAMENTO:

CAPO 1 DISPOSIZIONI GENERALI Articolo 1 Oggetto e ambito di applicazione 1. Il presente regolamento stabilisce le norme relative ai requisiti di cibersicurezza, interoperabilità tecnica, interoperabilità semantica, gestione delle operazioni e dei servizi in relazione al trattamento da parte della Commissione in qualità di responsabile del trattamento per LaMiaSalute@UE (MyHealth@EU) e alle sue responsabilità nei confronti dei contitolari del trattamento. Definisce le misure necessarie per lo sviluppo tecnico di LaMiaSalute@UE (MyHealth@EU), norme dettagliate riguardanti la sicurezza, la riservatezza e la protezione dei dati sanitari elettronici personali, nonché le condizioni per i controlli di conformità necessari per aderire e rimanere collegati a LaMiaSalute@UE (MyHealth@EU). 2. L’articolo 7, ad eccezione del paragrafo 1, lettera a), e gli articoli da 8 a 13 si applicano mutatis mutandis ai partecipanti autorizzati di cui all’articolo 24, paragrafi 2 e 3, del regolamento (UE) 2025/327. I controlli di conformità e le prove tecniche per tali partecipanti autorizzati possono riguardare anche requisiti aggiuntivi pertinenti per tali soggetti. Articolo 2 Definizioni Ai fini del presente regolamento si applicano le definizioni seguenti: 1) «gruppo direttivo»: il gruppo direttivo LaMiaSalute@UE (MyHealth@EU) istituito dall’articolo 95, paragrafo 1, del regolamento (UE) 2025/327 per l’infrastruttura transfrontaliera di cui all’articolo 23 di tale regolamento; 2) «versione principale»: una versione del catalogo dei requisiti e delle specifiche tecniche che non è retrocompatibile con la versione precedente o ha un impatto sostanziale sullo scambio di dati sanitari elettronici personali tramite LaMiaSalute@UE (MyHealth@EU); 3) «versione minore»: una versione del catalogo dei requisiti e delle specifiche tecniche e della relativa implementazione diversa da una versione principale; 4) la definizione di «incidente» di cui all’articolo 6, punto 6), della direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio ⁸ ; 5) «incidente significativo»: un incidente quale definito all’articolo 23, paragrafo 3, della direttiva (UE) 2022/2555.

CAPO 2 SCAMBIO TRANSFRONTALIERO DI DATI E PIATTAFORMA CENTRALE DI INTEROPERABILITÀ PER LA SANITÀ DIGITALE Articolo 3 Piattaforma centrale di interoperabilità per la sanità digitale 1. La Commissione fornisce i servizi seguenti della piattaforma centrale di interoperabilità per la sanità digitale di cui all’articolo 23, paragrafo 1, del regolamento (UE) 2025/327: a) un software di implementazione di riferimento per i punti di contatto nazionali per la sanità digitale; b) un servizio terminologico centrale; c) una rete di comunicazione sicura; d) un servizio di configurazione centrale. 2. La Commissione fornisce i servizi di cui al paragrafo 1 conformemente al catalogo dei requisiti di cui all’articolo 4, paragrafo 2, e alle specifiche tecniche di cui all’articolo 4, paragrafo 3. 3. I punti di contatto nazionali per la sanità digitale possono utilizzare l’implementazione di riferimento di cui al paragrafo 1, lettera a), per sostenere lo scambio di dati sanitari elettronici personali in LaMiaSalute@UE (MyHealth@EU). Qualora un punto di contatto nazionale per la sanità digitale scelga di avvalersi di soluzioni alternative, queste ultime sono conformi al catalogo dei requisiti di cui all’articolo 4, paragrafo 2, e alle specifiche tecniche di cui all’articolo 4, paragrafo 3. 4. I punti di contatto nazionali per la sanità digitale possono avvalersi del servizio terminologico centrale di cui al paragrafo 1, lettera b), per sostenere la traduzione e la mappatura dei sistemi e dei valori di codifica da utilizzare nelle serie di dati contenenti dati sanitari elettronici personali di cui all’articolo 15, paragrafo 1, primo comma, lettera b), del regolamento (UE) 2025/327. 5. Gli Stati membri sono responsabili della traduzione e della mappatura dei sistemi e delle serie di valori di codifica per lo scambio di dati sanitari elettronici personali nel formato europeo di scambio delle cartelle cliniche elettroniche di cui all’articolo 15, paragrafo 1, del regolamento (UE) 2025/327. Gli Stati membri tengono aggiornate le traduzioni e le mappature. 6. I punti di contatto nazionali per la sanità digitale utilizzano la rete di comunicazione sicura di cui al paragrafo 1, lettera c), per sostenere lo scambio di dati sanitari elettronici personali tra i punti di contatto nazionali per la sanità digitale. Il funzionamento delle infrastrutture nazionali e dei servizi nazionali a sostegno della rete di comunicazione sicura rimane di competenza dei punti di contatto nazionali per la sanità digitale. 7. I punti di contatto nazionali per la sanità digitale utilizzano il servizio di configurazione centrale di cui al paragrafo 1, lettera d), per mettere le loro caratteristiche di configurazione a disposizione della Commissione e di tutti gli altri punti di contatto nazionali per la sanità digitale. Articolo 4 Catalogo dei requisiti e specifiche tecniche 1. Qualora procedano a scambi transfrontalieri di dati sanitari elettronici personali di cui all’articolo 23, paragrafo 3, del regolamento (UE) 2025/327, i punti di contatto nazionali per la sanità digitale li effettuano conformemente al catalogo dei requisiti di cui al paragrafo 2 e alle specifiche tecniche di cui al paragrafo 3. 2. La Commissione, in collaborazione con il gruppo direttivo, elabora e mantiene il catalogo dei requisiti per lo scambio transfrontaliero di dati sanitari elettronici personali in LaMiaSalute@UE (MyHealth@EU). Tale catalogo dei requisiti comprende almeno: a) una descrizione dei casi d’uso implementati per lo scambio di dati sanitari elettronici personali; b) i requisiti per l’implementazione dello scambio di dati sanitari elettronici personali; c) i quadri e le procedure per le prove, i controlli di conformità, il funzionamento e il monitoraggio degli incidenti per lo scambio di dati sanitari elettronici personali. 3. La Commissione, in collaborazione con il gruppo direttivo, propone le specifiche tecniche sulla base del catalogo dei requisiti di cui al paragrafo 2. 4. Il catalogo dei requisiti di cui al paragrafo 2 e le specifiche tecniche di cui al paragrafo 3 sono approvati dal gruppo direttivo. Articolo 5 Funzionamento e gestione di LaMiaSalute@UE (MyHealth@EU) 1. La Commissione, in collaborazione con il gruppo direttivo, svolge le attività seguenti per il funzionamento e la gestione di LaMiaSalute@UE (MyHealth@EU): a) raccolta, analisi e gestione dei requisiti e delle specifiche tecniche; b) coordinamento dello sviluppo, delle prove e della diffusione; c) modifiche al catalogo dei requisiti; d) gestione degli incidenti; e) garanzia della continuità operativa della piattaforma. 2. La Commissione svolge i compiti seguenti: a) condurre prove tecniche per lo scambio transfrontaliero di dati sanitari elettronici personali; b) fornire assistenza agli sportelli di servizio dei punti di contatto nazionali per la sanità digitale o ai partecipanti autorizzati. 3. La Commissione, in cooperazione con il gruppo direttivo, propone un piano di lavoro annuale per le attività di cui ai paragrafi 1 e 2, da sottoporre all’approvazione del gruppo direttivo. Articolo 6 Modifiche al catalogo dei requisiti 1. Su richiesta di cinque o più membri del gruppo direttivo o di propria iniziativa, la Commissione può presentare al gruppo direttivo una proposta di modifica sostanziale al catalogo dei requisiti. La proposta di modifica contiene almeno gli elementi seguenti: a) una descrizione delle modifiche; b) una giustificazione delle modifiche; c) un calendario per l’implementazione delle modifiche; d) una versione principale per integrare le modifiche proposte. 2. Il gruppo direttivo è responsabile dell’approvazione delle modifiche al catalogo dei requisiti di cui all’articolo 4, paragrafo 2, del calendario per l’implementazione delle modifiche e della versione principale. 3. Una volta approvate, la Commissione, i punti di contatto nazionali per la sanità digitale e i partecipanti autorizzati implementano le modifiche di cui al paragrafo 2 conformemente al calendario di implementazione e alla versione principale approvati. 4. Una versione minore non richiede la presentazione di una proposta di modifica. La Commissione può presentare una modifica per una versione minore al gruppo direttivo. Se è presentata una simile modifica, il gruppo direttivo, una volta ricevuta, è responsabile dell’approvazione della proposta di una versione minore, compreso il relativo calendario di implementazione. Una volta approvata, la Commissione, i punti di contatto nazionali per la sanità digitale e i partecipanti autorizzati implementano la versione minore conformemente al calendario di implementazione approvato. Articolo 7 Gestione delle autorizzazioni per lo scambio transfrontaliero di dati sanitari elettronici personali 1. La Commissione, per conto del gruppo direttivo, è responsabile della gestione delle procedure per autorizzare lo scambio di dati sanitari elettronici personali. Tali procedure sono le seguenti: a) autorizzazione di un punto di contatto nazionale per la sanità digitale ad avviare lo scambio di dati sanitari elettronici personali; b) autorizzazione di un punto di contatto nazionale per la sanità digitale o di un partecipante autorizzato a proseguire lo scambio di dati sanitari elettronici personali dopo un aggiornamento all’ultima versione principale; c) autorizzazione di un punto di contatto nazionale per la sanità digitale o di un partecipante autorizzato a proseguire lo scambio di dati sanitari elettronici personali dopo un controllo della conformità operativa di cui all’articolo 9, lettera b); d) risoluzione degli incidenti significativi nello scambio di dati sanitari elettronici personali. 2. La Commissione, in collaborazione con il gruppo direttivo, propone la metodologia per le procedure relative alle autorizzazioni di cui al paragrafo 1, da sottoporre all’approvazione del gruppo direttivo. 3. Il gruppo direttivo decide se concedere o meno un’autorizzazione di cui al paragrafo 1, lettera a), b) o c), sulla base dei requisiti di cui agli articoli da 10 a 12. 4. Qualora il gruppo direttivo decida di non concedere un’autorizzazione di cui al paragrafo 1, il punto di contatto nazionale per la sanità digitale può chiedere al gruppo direttivo di rivedere la sua decisione. Articolo 8 Condizioni per aderire e rimanere collegati a LaMiaSalute@UE (MyHealth@EU), controlli di conformità e prove tecniche 1. La Commissione conduce controlli di conformità e facilita lo svolgimento di prove tecniche per valutare la conformità dello scambio di dati sanitari elettronici personali tra i punti di contatto nazionali per la sanità digitale al catalogo dei requisiti di cui all’articolo 4, paragrafo 2, e alle specifiche tecniche di cui all’articolo 4, paragrafo 3. 2. Un controllo di conformità individua le carenze in fatto di sicurezza, riservatezza e protezione dello scambio di dati sanitari elettronici personali tramite LaMiaSalute@UE (MyHealth@EU). Le carenze sono classificate come «lievi», «medie» o «critiche» a seconda dei livelli di conformità definiti nel quadro per i controlli di conformità di cui all’articolo 4, paragrafo 2, lettera c). 3. Una prova tecnica valuta lo scambio transfrontaliero di dati sanitari elettronici personali tra i punti di contatto nazionali per la sanità digitale tramite LaMiaSalute@UE (MyHealth@EU) e la relativa conformità alle specifiche tecniche di cui all’articolo 4, paragrafo 3. Le carenze sono classificate come «lievi», «medie» o «critiche» a seconda dei livelli di conformità definiti nel quadro per le prove di cui all’articolo 4, paragrafo 2, lettera c). 4. La Commissione informa i punti di contatto nazionali per la sanità digitale degli esiti dei controlli di conformità e delle prove tecniche di cui al paragrafo 1. Tali informazioni comprendono, come minimo, carenze, osservazioni e raccomandazioni, sulla base degli esiti dei controlli di conformità e delle prove tecniche. 5. Qualora un controllo di conformità o una prova tecnica abbia individuato delle carenze, indipendentemente dal relativo livello, dopo aver ricevuto le informazioni sull’esito del controllo di conformità o della prova tecnica dalla Commissione, il punto di contatto nazionale per la sanità digitale interessato adotta misure per ovviare alle carenze individuate. Un piano d’azione contenente misure volte a ovviare alle carenze individuate è presentato alla Commissione entro 15 giorni lavorativi dal ricevimento delle informazioni sulle carenze. 6. Dopo che un piano d’azione è stato attuato, il punto di contatto nazionale per la sanità digitale ne informa la Commissione. La Commissione valuta quindi gli elementi di prova pertinenti e decide se considerare risolte le carenze affrontate. 7. La Commissione comunica periodicamente al gruppo direttivo le carenze individuate dai controlli di conformità e dalle prove tecniche rimaste in sospeso. Articolo 9 Frequenza dei controlli di conformità La Commissione valuta la conformità dello scambio di dati sanitari elettronici personali al catalogo dei requisiti di cui all’articolo 4, paragrafo 2, e alle specifiche tecniche di cui all’articolo 4, paragrafo 3: a) prima dell’avvio dello scambio di dati sanitari elettronici personali; b) ogni cinque anni dopo l’ultimo controllo di conformità; c) ogniqualvolta la Commissione ritenga che sussista un rischio critico per la sicurezza, la riservatezza o la protezione dei dati sanitari elettronici personali. Articolo 10 Autorizzazione ad avviare lo scambio di dati sanitari elettronici personali Un punto di contatto nazionale per la sanità digitale ottiene l’autorizzazione di cui all’articolo 7, paragrafo 1, lettera a), prima di avviare lo scambio di dati sanitari elettronici personali. L’autorizzazione si basa: a) su un esito di una prova che non evidenzia carenze critiche a norma dell’articolo 8, paragrafo 4; b) su un esito di un controllo di conformità che non evidenzia carenze critiche a norma dell’articolo 8, paragrafo 4; c) sui piani d’azione di cui all’articolo 8, paragrafo 5. Articolo 11 Autorizzazione a procedere all’aggiornamento e a proseguire lo scambio di dati sanitari elettronici personali dopo un aggiornamento 1. Ciascun punto di contatto nazionale per la sanità digitale ottiene l’autorizzazione di cui all’articolo 7, paragrafo 1, lettera b), entro un mese prima della scadenza del termine di cui all’articolo 6, paragrafo 3. L’autorizzazione si basa su un esito di una prova tecnica che non evidenzia carenze critiche a norma dell’articolo 8, paragrafo 4. 2. Qualora a un punto di contatto nazionale per la sanità digitale non sia concessa l’autorizzazione di cui al paragrafo 1, il gruppo direttivo adotta misure di attenuazione, che possono prevedere la sospensione temporanea dello scambio di dati sanitari elettronici personali. 3. Qualora lo scambio di dati sanitari elettronici personali sia sospeso conformemente al paragrafo 2, il punto di contatto nazionale per la sanità digitale adotta le misure seguenti: a) ovvia alle carenze che hanno causato la sospensione; b) ottiene l’autorizzazione di cui all’articolo 7, paragrafo 1, lettera b); c) implementa un aggiornamento all’ultima versione principale e ripristina lo scambio di dati sanitari elettronici personali. Articolo 12 Prosecuzione dello scambio di dati sanitari elettronici personali dopo un controllo della conformità operativa 1. Ciascun punto di contatto nazionale per la sanità digitale ottiene l’autorizzazione di cui all’articolo 7, paragrafo 1, lettera c), entro due mesi dal ricevimento dell’esito di un controllo di conformità di cui all’articolo 8, paragrafo 4. L’autorizzazione si basa su un esito di un controllo di conformità che non evidenzia carenze critiche. 2. Qualora a un punto di contatto nazionale per la sanità digitale non sia concessa l’autorizzazione di cui al paragrafo 1, il gruppo direttivo adotta misure di attenuazione, che possono prevedere la sospensione temporanea dello scambio di dati sanitari elettronici personali. 3. Qualora lo scambio di dati sanitari elettronici personali sia sospeso conformemente al paragrafo 2, il punto di contatto nazionale per la sanità digitale adotta le misure seguenti: a) ovvia alle carenze che hanno causato la sospensione; b) ottiene l’autorizzazione di cui all’articolo 7, paragrafo 1, lettera c); c) ripristina lo scambio di dati sanitari elettronici personali. Articolo 13 Incidenti significativi 1. Un punto di contatto nazionale per la sanità digitale o la Commissione, a seconda dei casi, notifica un incidente significativo al presidente del gruppo direttivo, alla Commissione e a qualsiasi punto di contatto nazionale per la sanità digitale interessato pertinente quanto prima, e in ogni caso entro 24 ore dal momento in cui ne viene a conoscenza. 2. A seguito della notifica di cui al paragrafo 1, o di propria iniziativa, la Commissione, d’intesa con il presidente del gruppo direttivo, affronta l’incidente significativo. 3. Il punto di contatto nazionale per la sanità digitale il cui scambio transfrontaliero di dati sanitari elettronici personali è interessato dall’incidente significativo, e il gruppo direttivo ove necessario, adottano le misure necessarie per attenuare tale incidente. Tali misure possono prevedere la sospensione temporanea dello scambio di dati sanitari elettronici personali. 4. Il punto di contatto nazionale per la sanità digitale interessato, previa approvazione del gruppo direttivo, ripristina lo scambio transfrontaliero di dati sanitari elettronici personali sospeso quanto prima dopo la risoluzione dell’incidente significativo. 5. Il punto di contatto nazionale per la sanità digitale il cui scambio transfrontaliero di dati sanitari elettronici personali è stato interessato dall’incidente significativo o la Commissione, se un servizio di cui all’articolo 3, paragrafo 1, è stato interessato dall’incidente significativo, riferisce al gruppo direttivo entro un mese dalla presentazione della notifica di cui al paragrafo 1. La relazione contiene almeno quanto segue: a) una descrizione dettagliata dell’incidente significativo, comprensiva della sua gravità e del suo impatto; b) il tipo di minaccia o la causa di fondo che ha probabilmente innescato l’incidente significativo; c) le misure di attenuazione già adottate e in corso di adozione.

CAPO 3 TRATTAMENTO, SICUREZZA, RISERVATEZZA E PROTEZIONE DEI DATI PERSONALI Articolo 14 Trattamento dei dati personali in LaMiaSalute@UE (MyHealth@EU) Il trattamento dei dati personali in LaMiaSalute@UE (MyHealth@EU) è limitato: a) alle categorie prioritarie di dati sanitari elettronici personali per uso primario di cui all’articolo 14, paragrafo 1, primo comma, del regolamento (UE) 2025/327; b) alle categorie aggiuntive di dati sanitari elettronici personali per uso primario di cui all’articolo 14, paragrafo 1, terzo comma, del regolamento (UE) 2025/327; c) ai dati personali necessari per gestire LaMiaSalute@UE (MyHealth@EU), compresa la gestione dell’helpdesk. Articolo 15 Responsabilità dei punti di contatto nazionali per la sanità digitale in qualità di contitolari del trattamento 1. In qualità di contitolari del trattamento, i punti di contatto nazionali per la sanità digitale hanno le responsabilità elencate di seguito. a) Istituiscono un punto di contatto con una casella di posta elettronica funzionale per la comunicazione tra i contitolari del trattamento e tra questi ultimi e il responsabile del trattamento. b) Si coordinano tra loro in seno al gruppo direttivo per fornire istruzioni coordinate alla Commissione in qualità di responsabile del trattamento. c) Inviano tutte le istruzioni necessarie alla Commissione, in qualità di responsabile del trattamento, attraverso il gruppo direttivo, come concordate con gli altri contitolari del trattamento all’interno del gruppo. d) Informano gli interessati in merito al trattamento dei dati personali in LaMiaSalute@UE (MyHealth@EU) conformemente agli articoli 13 e 14 del regolamento (UE) 2016/679. e) Trattano le richieste degli interessati relative all’esercizio dei loro diritti di cui al regolamento (UE) 2016/679. Qualora riceva una richiesta che esula dalle sue responsabilità nell’ambito di LaMiaSalute@UE (MyHealth@EU), un contitolare del trattamento trasmette la richiesta al contitolare del trattamento pertinente e informa l’interessato. f) Adottano tutte le opportune misure di sicurezza organizzative, fisiche e logiche per garantire che ciascun punto di contatto nazionale per la sanità digitale funzioni in modo sicuro e documentano tali misure. Tali misure garantiscono che: i) le persone autorizzate a trattare i dati personali scambiati tramite LaMiaSalute@UE (MyHealth@EU) siano soggette a un adeguato obbligo legale di riservatezza o si siano impegnate alla riservatezza; ii) gli scambi di dati personali tramite LaMiaSalute@UE (MyHealth@EU) siano registrati sistematicamente al fine di tenere un registro degli scambi di dati personali, comprensivo dell’identità dei soggetti coinvolti, delle categorie di dati personali e delle finalità per le quali i dati sono stati scambiati. g) Si assistono reciprocamente nell’individuare e nel gestire eventuali incidenti, comprese le violazioni dei dati personali, connessi al trattamento in LaMiaSalute@UE (MyHealth@EU). I contitolari del trattamento, in particolare, si notificano reciprocamente e notificano alla Commissione: i) eventuali rischi per la sicurezza dei dati personali trattati in LaMiaSalute@UE (MyHealth@EU); ii) eventuali incidenti di sicurezza legati alle operazioni di trattamento dei dati personali in LaMiaSalute@UE (MyHealth@EU); iii) eventuali violazioni dei dati personali, le probabili conseguenze delle violazioni e la valutazione del rischio per i diritti e le libertà delle persone fisiche, nonché le misure adottate per porre rimedio alle violazioni e per attenuare il rischio per tali diritti e libertà; iv) eventuali violazioni delle garanzie tecniche o organizzative delle operazioni di trattamento in LaMiaSalute@UE (MyHealth@EU). h) Comunicano alle competenti autorità di controllo in materia di protezione dei dati e, ove prescritto, agli interessati eventuali violazioni dei dati personali in relazione alle operazioni di trattamento in LaMiaSalute@UE (MyHealth@EU) in conformità degli articoli 33 e 34 del regolamento (UE) 2016/679. i) Collaborano nel condurre le valutazioni dell’impatto delle operazioni di trattamento previste, in conformità dell’articolo 35 del regolamento (UE) 2016/679, ove necessario. 2. Se un contitolare del trattamento, per rispettare gli obblighi di cui agli articoli 33 e 34 del regolamento (UE) 2016/679, ha bisogno di informazioni da un altro contitolare del trattamento, invia una richiesta specifica alla pertinente casella di posta elettronica funzionale di cui al paragrafo 1, lettera a). L’altro contitolare del trattamento si adopera al meglio per fornire tali informazioni. Articolo 16 Responsabilità della Commissione in qualità di responsabile del trattamento In qualità di responsabile del trattamento, la Commissione ha le responsabilità elencate di seguito. La Commissione può ricorrere a terzi come sotto-responsabili del trattamento per adempiere tali responsabilità. a) Istituisce e mantiene un servizio di comunicazione sicura e affidabile per i punti di contatto nazionali per la sanità digitale che partecipano a LaMiaSalute@UE (MyHealth@EU) («servizio di comunicazione sicura centrale»). b) Configura il servizio di comunicazione sicura centrale in modo tale che i punti di contatto nazionali per la sanità digitale possano scambiarsi informazioni in maniera sicura, affidabile ed efficiente. c) Adotta misure volte a facilitare l’interoperabilità e la comunicazione tra il servizio di comunicazione sicura centrale e i contitolari del trattamento di LaMiaSalute@UE (MyHealth@EU). d) Tratta i dati personali solo su istruzione dei contitolari del trattamento di LaMiaSalute@UE (MyHealth@EU), salvo che lo richieda la legislazione cui è tenuta a conformarsi. In tal caso, la Commissione informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che tale legislazione lo vieti per rilevanti motivi di interesse pubblico. La Commissione informa immediatamente i contitolari del trattamento qualora, a suo parere, le istruzioni impartite violino le disposizioni applicabili in materia di protezione dei dati. e) Mette in atto le misure necessarie per garantire un livello di sicurezza dei dati personali trattati nell’ambito del servizio di comunicazione sicura che sia adeguato ai rischi. Tali misure sono documentate in un piano di sicurezza che è tenuto aggiornato. Le misure comprendono: i) elaborare una procedura di valutazione del rischio finalizzata a individuare e stimare potenziali minacce al sistema; ii) garantire che le persone autorizzate al trattamento dei dati personali siano soggette a un adeguato obbligo legale di riservatezza, come quello di cui all’articolo 17 dello statuto dei funzionari delle Comunità europee, stabilito dal regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio ⁹ , o si siano impegnate alla riservatezza; iii) adottare misure adeguate per garantire che il suo personale e i contraenti comprendano le proprie responsabilità in materia di sicurezza delle informazioni e di protezione delle informazioni sensibili non classificate; iv) applicare misure tecniche e organizzative di sicurezza per impedire l’accesso non autorizzato ai dati personali; v) assicurare l’integrità delle informazioni trasmesse attraverso il servizio di comunicazione sicura; vi) applicare, ove necessario, misure per bloccare l’accesso non autorizzato al servizio di comunicazione sicura dal dominio dei punti di contatto nazionali per la sanità digitale; vii) assicurare che i dati trasportati all’interno del servizio di comunicazione sicura centrale siano criptati; viii) adottare adeguate misure di sicurezza fisiche, tra cui: 1) controllare l’accesso alle strutture e tenere un registro dei visitatori a fini di tracciabilità; 2) assicurare che le persone esterne cui è consentito l’accesso ai locali siano scortate da personale debitamente autorizzato. f) Applica una procedura di gestione delle modifiche e tiene informati i contitolari del trattamento in merito a eventuali modifiche in grado di avere effetti sulla comunicazione con altre infrastrutture nazionali o sulla sicurezza di queste ultime. g) Monitora in tempo reale l’efficienza di tutte le componenti del suo servizio di comunicazione sicura, produce statistiche periodiche e conserva le informazioni. h) Applica procedure di audit e riesame al fine di: i) verificare la corrispondenza tra le misure di sicurezza applicate e il piano di sicurezza di cui alla lettera e); ii) controllare periodicamente l’integrità dei file di sistema, dei parametri di sicurezza e delle autorizzazioni concesse; iii) effettuare controlli allo scopo di rilevare violazioni della sicurezza; iv) apportare modifiche per ridurre le lacune esistenti in materia di sicurezza; v) elaborare una procedura di gestione degli incidenti di sicurezza che definisca il sistema di segnalazione e successione; vi) informare i contitolari del trattamento pertinenti. i) Pubblica sul proprio sito web informative per i pazienti sul trattamento dei dati personali in LaMiaSalute@UE (MyHealth@EU), dopo averne concordato il contenuto con i contitolari del trattamento. j) Assiste i contitolari del trattamento fornendo informazioni relative al servizio di comunicazione sicura di LaMiaSalute@UE (MyHealth@EU), ai fini dell’adempimento degli obblighi di cui agli articoli da 32 a 36 del regolamento (UE) 2016/679. k) Al termine dello scambio di dati cancella tutti i dati personali trattati per conto del titolare del trattamento e certifica a quest’ultimo di averlo fatto, a meno che la legislazione applicabile non richieda la conservazione dei dati personali. l) Fornisce ai contitolari del trattamento tutte le informazioni necessarie per dimostrare il rispetto dei suoi obblighi in qualità di responsabile del trattamento, consente, anche su richiesta dei titolari del trattamento, revisioni indipendenti, comprese ispezioni, e revisioni delle misure di sicurezza e contribuisce all’esecuzione di tali revisioni e ispezioni, fatto salvo il rispetto del protocollo (n. 7) del trattato sul funzionamento dell’Unione europea sui privilegi e sulle immunità dell’Unione europea. Articolo 17 Sicurezza di LaMiaSalute@UE (MyHealth@EU) La Commissione garantisce la sicurezza di LaMiaSalute@UE (MyHealth@EU), conformemente alla decisione (UE, Euratom) 2017/46.

CAPO 4 TRANSIZIONE Articolo 18 Misure transitorie I punti di contatto nazionali per l’eHealth che hanno scambiato dati sanitari elettronici personali attraverso l’infrastruttura di servizi digitali di eHealth per i servizi informativi transfrontalieri per l’assistenza sanitaria online a norma della decisione di esecuzione (UE) 2019/1765 prima del 26 marzo 2029 e che sono stati designati come punti di contatto nazionali per la sanità digitale a norma dell’articolo 23, paragrafo 2, del regolamento (UE) 2025/327 possono continuare a scambiare tali dati nel quadro di LaMiaSalute@UE (MyHealth@EU) e sono considerati conformi ai requisiti per l’autorizzazione ad avviare lo scambio di dati sanitari elettronici personali di cui al presente regolamento.

CAPO 5 DISPOSIZIONI FINALI Articolo 19 Entrata in vigore e data di applicazione Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea . Esso si applica a decorrere dal 26 marzo 2027.

Final provisions

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri. Fatto a Bruxelles, il 18 settembre 2026 Per la Commissione La presidente Ursula VON DER LEYEN

¹ GU L, 2025/327, 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj .

² Decisione di esecuzione (UE) 2019/1765 della Commissione, del 22 ottobre 2019, che stabilisce le norme per l’istituzione, la gestione e il funzionamento della rete di autorità nazionali responsabili dell’assistenza sanitaria online e che abroga la decisione di esecuzione 2011/890/UE ( GU L 270 del 24.10.2019, pag. 83 , ELI: http://data.europa.eu/eli/dec_impl/2019/1765/oj ).

³ Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU L 119 del 4.5.2016, pag. 1 , ELI: http://data.europa.eu/eli/reg/2016/679/oj ).

⁴ Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( GU L 295 del 21.11.2018, pag. 39 , ELI: http://data.europa.eu/eli/reg/2018/1725/oj ).

⁵ Decisione (UE, Euratom) 2017/46 della Commissione, del 10 gennaio 2017, sulla sicurezza dei sistemi di comunicazione e informazione della Commissione europea ( GU L 6 dell’11.1.2017, pag. 40 , ELI: http://data.europa.eu/eli/dec/2017/46/oj ).

⁶ EDPS Formal comments on the draft Commission Implementing Regulation on MyHealth@EU .

⁷ Regolamento (UE) 2024/903 del Parlamento europeo e del Consiglio, del 13 marzo 2024, che stabilisce misure per un livello elevato di interoperabilità del settore pubblico nell’Unione (regolamento su un’Europa interoperabile) ( GU L, 2024/903, 22.3.2024, ELI: http://data.europa.eu/eli/reg/2024/903/oj ).

⁸ Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148 (direttiva NIS 2) ( GU L 333 del 27.12.2022, pag. 80 , ELI: http://data.europa.eu/eli/dir/2022/2555/oj ).

⁹ Regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio, del 29 febbraio 1968, che definisce lo statuto dei funzionari delle Comunità europee nonché il regime applicabile agli altri agenti di tali Comunità, ed istituisce speciali misure applicabili temporaneamente ai funzionari della Commissione ( GU L 56 del 4.3.1968, pag. 1 , ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj ).

Footnotes

1. . ↩ ↩²

2. Decisione di esecuzione (UE) 2019/1765 della Commissione, del 22 ottobre 2019, che stabilisce le norme per l’istituzione, la gestione e il funzionamento della rete di autorità nazionali responsabili dell’assistenza sanitaria online e che abroga la decisione di esecuzione 2011/890/UE (, ELI: ). ↩ ↩²

3. Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (, ELI: ). ↩ ↩²

4. Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (, ELI: ). ↩ ↩²

5. Decisione (UE, Euratom) 2017/46 della Commissione, del 10 gennaio 2017, sulla sicurezza dei sistemi di comunicazione e informazione della Commissione europea (, ELI: ). ↩ ↩²

6. . ↩ ↩²

7. Regolamento (UE) 2024/903 del Parlamento europeo e del Consiglio, del 13 marzo 2024, che stabilisce misure per un livello elevato di interoperabilità del settore pubblico nell’Unione (regolamento su un’Europa interoperabile) (). ↩ ↩²

8. Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148 (direttiva NIS 2) (, ELI: ). ↩ ↩²

9. Regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio, del 29 febbraio 1968, che definisce lo statuto dei funzionari delle Comunità europee nonché il regime applicabile agli altri agenti di tali Comunità, ed istituisce speciali misure applicabili temporaneamente ai funzionari della Commissione (, ELI: ). ↩ ↩²