Artykuł 12

1. Działania prowadzone w ramach Programu są zgodne z mającymi zastosowanie przepisami bezpieczeństwa, w tym z przepisami prawa Unii i prawa krajowego, a w szczególności przepisami regulującymi ochronę informacji niejawnych przed nieuprawnionym ujawnieniem. W przypadku działań prowadzonych poza Unią z wykorzystaniem lub generowaniem informacji niejawnych oprócz zapewnienia zgodności z powyższymi wymaganiami takie działania są przedmiotem porozumienia w sprawie bezpieczeństwa zawartego między Unią a państwem trzecim, w którym prowadzone jest dane działanie.

2. W stosownych przypadkach wnioski i oferty składane przez wnioskodawców zawierają samoocenę z zakresu bezpieczeństwa, w której określa się wszelkie problemy związane z bezpieczeństwem oraz podaje, w jaki sposób problemy te mają być rozwiązane, aby zapewnić zgodność z przepisami prawa Unii i prawa krajowego.

3. W stosownych przypadkach Komisja lub organ, któremu powierzono realizację Programu przeprowadza kontrolę bezpieczeństwa w odniesieniu do wniosków, które mają otrzymać finansowanie przedłożonych przez wnioskodawców, które budzą zastrzeżenia pod względem bezpieczeństwa.

4. W stosownych przypadkach działania prowadzone w ramach Programu prowadzi się zgodnie z decyzją Komisji (UE, Euratom) 2015/444 (

6

) i przepisami wykonawczymi do tej decyzji.

5. Program prac może również przewidywać, że podmioty prawne mające siedzibę w państwach stowarzyszonych i podmioty prawne, które mają siedzibę w Unii, lecz są kontrolowane z państwa trzeciego, nie kwalifikują się do uczestnictwa we wszystkich lub w niektórych działaniach w ramach celu szczegółowego nr 3 oraz w działaniach skupionych na technologiach o potencjale podwójnego zastosowania w ramach dowolnego celu szczegółowego, jeśli istnieją należycie uzasadnione względy bezpieczeństwa. W takich przypadkach zaproszenia do składania wniosków i zaproszenia do składania ofert ogranicza się do grona podmiotów prawnych mających siedzibę lub uznanych za mające siedzibę w państwach członkowskich i kontrolowanych przez państwa członkowskie lub obywateli państw członkowskich. Takie ograniczenia można stosować w odniesieniu do dostępu do zdolności wdrażanych w ramach tych zaproszeń. Ograniczenia te muszą być proporcjonalne i stosowane tylko wtedy, gdy jest to absolutnie konieczne.

5a. Ustęp 5 nie ma zastosowania – w zakresie, w jakim dotyczy podmiotów prawnych, które mają siedzibę w Unii, ale są kontrolowane z państw trzecich – do wszelkich działań wdrażających europejski system ostrzeżeń dotyczących cyberbezpieczeństwa w przypadku gdy w odniesieniu do danego działania spełnione są oba poniższe warunki:

a) istnieje realne ryzyko, biorąc pod uwagę wyniki zestawienia sporządzonego zgodnie z art. 9 ust. 4 rozporządzenia (UE) 2025/38, że niezbędne narzędzia, infrastruktura lub usługi wystarczające do tego, aby działanie to odpowiednio przyczyniło się do osiągnięcia celu, jakim jest europejski system ostrzeżeń dotyczących cyberbezpieczeństwa, nie będą dostępne ze strony podmiotów prawnych mających siedzibę lub uznanych za mające siedzibę w państwach członkowskich i kontrolowanych przez państwa członkowskie lub obywateli państw członkowskich;

b) ryzyko dla bezpieczeństwa związane z zamówieniami od takich podmiotów prawnych w ramach europejskiego systemu ostrzeżeń dotyczących cyberbezpieczeństwa jest proporcjonalne do korzyści i nie narusza podstawowych interesów bezpieczeństwa Unii i jej państw członkowskich.

5b. Ustęp 5 nie ma zastosowania – w zakresie, w jakim dotyczy podmiotów prawnych, które mają siedzibę w Unii, ale są kontrolowane z państw trzecich – do działań wdrażających rezerwę cyberbezpieczeństwa UE w przypadku gdy w odniesieniu do danego działania spełnione są oba poniższe warunki:

a) istnieje realne ryzyko, biorąc pod uwagę wyniki zestawienia sporządzonego zgodnie z art. 14 ust. 6 rozporządzenia (UE) 2025/38, że technologia, wiedza specjalistyczna lub zdolności niezbędne i wystarczające do tego, aby rezerwa cyberbezpieczeństwa UE mogła odpowiednio wykonywać swoje funkcje, nie będą dostępne ze strony podmiotów prawnych mających siedzibę lub uznanych za mające siedzibę w państwach członkowskich i kontrolowanych przez państwa członkowskie lub obywateli państw członkowskich;

b) ryzyko dla bezpieczeństwa związane z włączeniem takich podmiotów prawnych do rezerwy cyberbezpieczeństwa UE jest proporcjonalne do korzyści i nie narusza podstawowych interesów bezpieczeństwa Unii i jej państw członkowskich.

6. Jeśli istnieją należycie uzasadnione względy bezpieczeństwa, w programie prac można również przewidzieć, że podmioty prawne z siedzibą w państwach stowarzyszonych i podmioty prawne z siedzibą w Unii, lecz kontrolowane z państwa trzeciego, mogą kwalifikować się do uczestnictwa we wszystkich lub niektórych działaniach w ramach celów szczegółowych nr 1, 2 i 6 tylko wówczas, jeżeli spełniają wymogi, które te podmioty prawne powinny spełniać, aby zagwarantować ochronę podstawowych interesów Unii i jej państw członkowskich w zakresie bezpieczeństwa oraz zapewnić ochronę informacji zawartych w dokumentach niejawnych. Wymogi te określa się w programie prac.

Akapit pierwszy ma także zastosowanie – w zakresie, w jakim dotyczy podmiotów prawnych, które mają siedzibę w Unii, ale są kontrolowane z państw trzecich – do działań w ramach celu szczegółowego nr 3:

a) wdrażania europejskiego systemu ostrzeżeń dotyczących cyberbezpieczeństwa w przypadku gdy zastosowanie ma ust. 5a; oraz

b) wdrażania rezerwy cyberbezpieczeństwa UE w przypadku gdy zastosowanie ma ust. 5b.

7. W stosownych przypadkach Komisja lub organ, któremu powierzono realizację Programu przeprowadza kontrolę bezpieczeństwa. Wypłata środków na rzecz działań, które nie spełniają warunków związanych z bezpieczeństwem, o których mowa w niniejszym artykule może zostać w dowolnym momencie zawieszona, zakończona lub ograniczona zgodnie z rozporządzeniem finansowym.