1.   El presente Reglamento se aplica a los ciberataques con un efecto significativo, incluidas las tentativas de ciberataque con un efecto significativo potencial, que constituyan una amenaza externa para la Unión o para sus Estados miembros.

2.   Entre los ciberataques que constituyen una amenaza externa se incluyen aquellos que:

3.   A tal fin, los ciberataques son acciones que implican cualesquiera de los siguientes elementos:

cuando dichas acciones no estén debidamente autorizadas por el propietario o por otro titular de derechos del sistema o de los datos, o de parte de los mismos, o no estén permitidas por el Derecho de la Unión o de un Estado miembro.

4.   Entre los ciberataques que constituyen una amenaza para los Estados miembros se incluyen los que afecten a los sistemas de información relacionados, entre otras aspectos, con:

5.   Los ciberataques que constituyen una amenaza para la Unión incluirán los cometidos contra sus instituciones, órganos y organismos, sus delegaciones en terceros países o ante organizaciones internacionales, sus operaciones y misiones de la política común de seguridad y defensa (PCSD) y sus representantes especiales.

6.   Cuando se estimen necesarias para el cumplimiento de los objetivos de la política exterior y de seguridad común (PESC) en las disposiciones pertinentes del artículo 21 del Tratado de la Unión Europea, también podrán aplicarse medidas restrictivas con arreglo al presente Reglamento en respuesta a ciberataques que tengan un efecto significativo contra terceros Estados u organizaciones internacionales.

7.   A efectos del presente Reglamento, se entenderá por:

a)   «Sistemas de información»: todo aparato o grupo de aparatos interconectados o relacionados entre sí, uno o varios de los cuales realizan, mediante un programa, el tratamiento automático de datos digitales, así como los datos digitales almacenados, tratados, recuperados o transmitidos por dicho aparato o grupo de aparatos para su funcionamiento, utilización, protección y mantenimiento.

b)   «Intromisión en sistemas de información»: obstaculización o interrupción del funcionamiento de un sistema de información introduciendo datos digitales, transmitiendo, dañando, borrando, deteriorando, alterando o suprimiendo tales datos, o haciéndolos inaccesibles.

c)   «Intromisión en datos»: borrado, dañado, deterioro, alteración o supresión de los datos digitales en un sistema de información, o inutilización del acceso a estos datos. También incluirá el robo de datos, fondos, recursos económicos o derechos de propiedad intelectual.

d)   «Interceptación de datos»: interceptación, por medios técnicos, de transmisiones no públicas de datos digitales hacia, desde o dentro de un sistema de información, incluidas las emisiones electromagnéticas de un sistema de información que contenga dichos datos digitales.

8.   A efectos del presente Reglamento, se aplicarán las siguientes definiciones suplementarias:

a)   «Demanda»: toda reclamación, con independencia de que se haya realizado por la vía judicial, antes o después de la fecha de entrada en vigor del presente Reglamento, formulada en virtud de un contrato o transacción o en relación con estos, y que incluirá en particular:

b)   «Contrato o transacción»: cualquier transacción con independencia de la forma que adopte y de la legislación aplicable, comprenda uno o más contratos u obligaciones similares entre partes idénticas o entre partes diferentes; a tal efecto, el término «contrato» incluirá cualquier fianza, garantía o indemnización, en particular garantías financieras o indemnizaciones financieras, y crédito, jurídicamente independientes o no, así como cualquier disposición conexa derivada de la transacción o en relación con ella.

c)   «Autoridades competentes»: las autoridades competentes de los Estados miembros tal como se mencionan en los sitios web enumerados en el anexo II.

d)   «Recursos económicos»: los activos de todo tipo, tangibles o intangibles, mobiliarios o inmobiliarios, que no sean fondos, pero que puedan utilizarse para obtener fondos, bienes o servicios.

e)   «Inmovilización de recursos económicos»: toda actuación con la que se pretenda impedir el uso de recursos económicos para obtener fondos, bienes o servicios de cualquier manera, incluidos la venta, el alquiler o la constitución de una hipoteca.

f)   «Inmovilización de fondos»: el hecho de impedir cualquier movimiento, transferencia, alteración, utilización, negociación de fondos o acceso a estos, cuyo resultado sea un cambio de volumen, importe, localización, titularidad, posesión, naturaleza o destino de esos fondos, o cualquier otro cambio que permita la utilización de dichos fondos, incluida la gestión de cartera.

g)   «Fondos»: los activos y beneficios financieros de cualquier naturaleza incluidos en la siguiente relación no exhaustiva:

h)   «Territorio de la Unión»: los territorios de los Estados miembros en los que es aplicable el Tratado, y en las condiciones establecidas en el mismo, incluido su espacio aéreo,.

1.   Se inmovilizarán todos los fondos y recursos económicos que pertenezcan a cualquier persona física o jurídica, entidad u organismo que figure en el anexo I, al igual que todos los fondos y recursos económicos que esas personas físicas o jurídicas, entidades u organismos posean, detengan o controlen.

2.   No se pondrá a disposición directa ni indirecta de las personas físicas o jurídicas, entidades u organismos que figuren en el anexo I ni se utilizará en su beneficio ningún tipo de fondos o recursos económicos.

3.   El anexo I incluirá, tal y como estén definidas por el Consejo de conformidad con el artículo 5, apartado 1, de la Decisión (PESC) 2019/797, a:

1.   No obstante lo dispuesto en el artículo 3, las autoridades competentes de los Estados miembros podrán autorizar la liberación de determinados fondos o recursos económicos inmovilizados o la puesta a disposición de determinados fondos o recursos económicos, en las condiciones que consideren oportunas, tras haberse cerciorado de que dichos fondos o recursos económicos:

2.   El Estado miembro de que se trate informará a los demás Estados miembros y a la Comisión de cualquier autorización concedida en virtud del apartado 1 en el plazo de dos semanas tras la autorización.

1.   Como excepción a lo dispuesto en el artículo 3, apartado 1, las autoridades competentes de los Estados miembros podrán autorizar la liberación de determinados fondos o recursos económicos inmovilizados siempre que concurran las siguientes condiciones:

2.   El Estado miembro de que se trate informará a los demás Estados miembros y a la Comisión de cualquier autorización concedida en virtud del apartado 1 en el plazo de dos semanas tras la autorización.

1.   Como excepción a lo dispuesto en el artículo 3, apartado 1, y siempre que un pago sea debido por una persona física o jurídica, entidad u organismo que figure en el anexo I en virtud de un contrato o acuerdo celebrado por la persona física o jurídica, entidad u organismo en cuestión, o de una obligación que le fuera aplicable, antes de la fecha en que se haya incluido en el anexo I a dicha persona física o jurídica, entidad u organismo, las autoridades competentes de los Estados miembros podrán autorizar, en las condiciones que consideren oportunas, la liberación de determinados fondos o recursos económicos inmovilizados, siempre que la autoridad competente en cuestión haya considerado que:

2.   El Estado miembro de que se trate informará a los demás Estados miembros y a la Comisión de cualquier autorización concedida en virtud del apartado 1 en el plazo de dos semanas tras la autorización.

1.   El artículo 3, apartado 2, no impedirá el abono en las cuentas inmovilizadas por instituciones financieras o crediticias que reciban fondos transferidos por terceros a la cuenta de una persona física o jurídica, entidad u organismo que figure en la lista, siempre que los abonos a dichas cuentas también se inmovilicen. Las entidades financieras o de crédito informarán sin demora a la autoridad competente pertinente sobre cualquier operación de ese tipo.

2.   El artículo 3, apartado 2, no se aplicará al abono en cuentas inmovilizadas de:

siempre que dichos intereses, otros beneficios y pagos permanezcan sujetos a las medidas establecidas en el artículo 3, apartado 1.

1.   Sin perjuicio de las normas aplicables en materia de comunicación de información, confidencialidad y secreto profesional, las personas físicas y jurídicas, entidades y organismos:

2.   Toda información adicional recibida directamente por la Comisión se pondrá a disposición de los Estados miembros.

3.   Toda información facilitada o recibida de conformidad con el presente artículo se utilizará exclusivamente para los fines para los cuales se haya facilitado o recibido.

1.   La inmovilización de fondos y recursos económicos o la negativa a facilitarlos, llevadas a cabo de buena fe con la convicción de que dicha acción se atiene al presente Reglamento, no dará origen a ningún tipo de responsabilidad por parte de la persona física o jurídica, entidad u organismo que la ejecute, ni de sus directores o empleados, a menos que se pruebe que los fondos o recursos económicos han sido inmovilizados o retenidos por motivo de negligencia.

2.   Las acciones emprendidas por personas físicas o jurídicas, entidades u organismos no generarán responsabilidad de ninguna clase por su parte si no sabían, y no tenían ningún motivo razonable para sospechar, que sus acciones infringirían las medidas establecidas en el presente Reglamento.

1.   No se satisfará demanda alguna relacionada con un contrato o transacción cuya ejecución se haya visto afectada, directa o indirectamente, total o parcialmente, por las medidas impuestas por el presente Reglamento, incluidas las demandas de indemnización o cualquier otra demanda de este tipo, tales como una demanda de compensación o una demanda a título de garantía, en particular cualquier demanda que tenga por objeto la prórroga o el pago de una fianza, una garantía o una indemnización, especialmente garantías o indemnizaciones financieras, con independencia de la forma que adopte, si la presentan:

2.   En cualquier procedimiento de demanda, la carga de la prueba de que el apartado 1 no prohíbe estimar la demanda recaerá en la persona física o jurídica, entidad u organismo que la formula.

3.   El presente artículo se entenderá sin perjuicio del derecho de las personas físicas o jurídicas, entidades y organismos mencionados en el apartado 1 a recurrir por la vía judicial la legalidad del incumplimiento de obligaciones contractuales de conformidad con el presente Reglamento.

1.   La Comisión y los Estados miembros se comunicarán mutuamente las medidas adoptadas en aplicación del presente Reglamento y compartirán toda la información pertinente de que dispongan relacionada con el presente Reglamento, en particular la información con respecto a:

2.   Los Estados miembros se comunicarán mutua e inmediatamente y comunicarán a la Comisión cualquier otra información pertinente de que tengan conocimiento y que pueda afectar a la aplicación efectiva del presente Reglamento.

1.   Cuando el Consejo decida someter a una persona física o jurídica, entidad u organismo a las medidas a las que se refiere el artículo 3, modificará el anexo I en consecuencia.

2.   El Consejo comunicará la decisión a que se refiere el apartado 1, junto con los motivos de inclusión en la lista, a la persona física o jurídica, entidad u organismo de que se trate, bien directamente si se conoce su dirección, o mediante la publicación de un anuncio, ofreciendo a dicha persona física o jurídica, entidad u organismo la oportunidad de presentar observaciones.

3.   En caso de que se formulen observaciones o se presenten nuevas pruebas sustanciales, el Consejo reconsiderará la decisión a que se refiere el apartado 1 e informará a la persona física o jurídica, entidad u organismo de que se trate en consecuencia.

4.   La lista del anexo I se revisará periódicamente y como mínimo cada doce meses.

5.   La Comisión estará facultada para modificar el anexo II, atendiendo a la información facilitada por los Estados miembros.

1.   En el anexo I se expondrán los motivos de la inclusión en la lista de las personas físicas o jurídicas, entidades u organismos afectados.

2.   El anexo I contendrá, cuando esté disponible, la información necesaria para identificar a las personas físicas o jurídicas, entidades u organismos de que se trate. Por lo que respecta a las personas físicas, esa información podrá incluir el nombre, los apellidos y los alias, el lugar y fecha de nacimiento, la nacionalidad, el número de pasaporte o de documento de identidad, el sexo, la dirección postal, si se conoce, y el cargo o la profesión. Respecto de las personas jurídicas, entidades u organismos, dicha información podrá incluir el nombre, la fecha y el lugar de registro, el número de registro y el domicilio social.

1.   Los Estados miembros establecerán las normas sobre las sanciones aplicables a las infracciones de las disposiciones del presente Reglamento y adoptarán todas las medidas necesarias para garantizar su aplicación. Las sanciones establecidas deberán ser efectivas, proporcionadas y disuasorias.

2.   Los Estados miembros notificarán a la Comisión las normas mencionadas en el apartado 1 sin demora tras la entrada en vigor del presente Reglamento, así como cualquier modificación posterior.

1.   La Comisión llevará a cabo el tratamiento de datos personales en el ejercicio de sus funciones conforme al presente Reglamento. Dichas funciones incluyen:

2.   A efectos del presente Reglamento, queda designado el servicio de la Comisión citado en el anexo II como «responsable del tratamiento» en la Comisión a efectos del artículo 3, apartado 8, del Reglamento (UE) n.o 2018/1725, para garantizar que las personas físicas afectadas puedan ejercer sus derechos conforme a dicho Reglamento.

1.   Los Estados miembros designarán a las autoridades competentes a que se refiere el presente Reglamento y las mencionarán en los sitios web que figuran en el anexo II. Los Estados miembros notificarán a la Comisión todo cambio de las direcciones de sus sitios web enumerados en el anexo II.

2.   Los Estados miembros notificarán a la Comisión, inmediatamente después de la entrada en vigor del presente Reglamento, cuáles son sus respectivas autoridades competentes, incluidos los datos de contacto de dichas autoridades, así como toda modificación posterior.

3.   Cuando el presente Reglamento requiera notificar, informar o establecer cualquier otra forma de comunicación con la Comisión, la dirección y otros datos de contacto que se utilizarán para dicha comunicación serán los indicados en el anexo II.

1.   La presente Decisión se aplica a los ciberataques con un efecto significativo, incluidas las tentativas de ciberataque con un efecto significativo potencial, que constituyan una amenaza externa para la Unión o para sus Estados miembros.

2.   Entre los ciberataques que constituyen una amenaza externa se incluyen aquellos que:

3.   A tal fin, los ciberataques son acciones que implican cualesquiera de los siguientes elementos:

cuando dichas acciones no estén debidamente autorizadas por el propietario o por otro titular de derechos del sistema o de datos o de parte del mismo, o no estén permitidas por el Derecho de la Unión o de un Estado miembro.

4.   Entre los ciberataques que constituyen una amenaza para los Estados miembros se incluyen los que afecten a los sistemas de información relacionados, entre otros aspectos, con:

5.   Los ciberataques que constituyen una amenaza para la Unión incluirán los cometidos contra sus instituciones, órganos y organismos, sus delegaciones en terceros países o ante organizaciones internacionales, sus operaciones y misiones de la política común de seguridad y defensa (PCSD) y sus representantes especiales.

6.   Cuando se estimen necesarias para el cumplimiento de los objetivos de la PESC en las disposiciones pertinentes del artículo 21 del Tratado de la Unión Europea, también podrán aplicarse medidas restrictivas con arreglo a la presente Decisión en respuesta a ciberataques que tengan un efecto significativo contra terceros Estados u organizaciones internacionales.

1.   Los Estados miembros adoptarán las medidas necesarias para impedir la entrada o tránsito por sus territorios de las personas físicas:

y que se enumeran en el anexo.

2.   El apartado 1 no obliga a los Estados miembros a denegar la entrada en su territorio a sus propios nacionales.

3.   El apartado 1 se entiende sin perjuicio de aquellos casos en los que un Estado miembro esté obligado por una disposición de Derecho internacional, a saber:

4.   El apartado 3 también se considerará aplicable cuando un Estado miembro sea país anfitrión de la Organización para la Seguridad y la Cooperación en Europa (OSCE).

5.   Se informará debidamente al Consejo en todos los casos en que un Estado miembro conceda una exención de conformidad con los apartados 3 o 4.

6.   Los Estados miembros podrán conceder exenciones de las medidas impuestas en el apartado 1 cuando el viaje esté justificado por razones humanitarias urgentes o en razón de la asistencia a reuniones intergubernamentales, a reuniones promovidas u organizadas por la Unión, u organizadas por un Estado miembro que ejerza la Presidencia de la OSCE, en las que se mantenga un diálogo político que fomente directamente los objetivos políticos de las medidas restrictivas, incluidas la seguridad y la estabilidad del ciberespacio.

7.   Los Estados miembros también podrán conceder exenciones respecto de las medidas impuestas en virtud del apartado 1 cuando la entrada o el tránsito sean necesarios para el desarrollo de un proceso judicial.

8.   Todo Estado miembro que desee conceder las exenciones a que se refiere el apartado 6 o 7 lo notificará por escrito al Consejo. Se considerarán concedidas las exenciones a menos que uno o varios miembros del Consejo presenten objeciones por escrito antes de transcurridos dos días hábiles desde la recepción de la notificación de la exención propuesta. En caso de que algún miembro del Consejo formule una objeción, el Consejo, por mayoría cualificada, podrá decidir la concesión de la exención propuesta.

9.   Cuando, en virtud de los apartados 3, 4, 6, 7 u 8, un Estado miembro autorice la entrada en su territorio o el tránsito por él de alguna de las personas enumeradas en el anexo, la autorización quedará estrictamente limitada a la finalidad para la cual fue concedida y a las personas a las que atañe directamente.

1.   Serán inmovilizados todos los fondos y recursos económicos cuya propiedad, titularidad, tenencia o control correspondan a:

y que se enumeran en el anexo.

2.   En ningún caso se pondrán fondos o recursos económicos a disposición directa o indirecta de las personas físicas o jurídicas, entidades u organismos enumerados en el anexo, ni se utilizarán en su beneficio.

3.   Como excepción a lo dispuesto en los apartados 1 y 2, las autoridades competentes del Estado miembro podrán autorizar la liberación de ciertos fondos o recursos económicos inmovilizados, o la puesta a disposición de ciertos fondos o recursos económicos, en las condiciones que estimen oportunas, tras haber constatado que dichos fondos o recursos económicos:

El Estado miembro de que se trate informará a los demás Estados miembros y a la Comisión de cualquier autorización concedida con arreglo al presente apartado.

4.   Como excepción a lo dispuesto en el apartado 1, las autoridades competentes del Estado miembro podrán autorizar la liberación de determinados fondos o recursos económicos inmovilizados siempre que concurran las condiciones siguientes:

El Estado miembro de que se trate informará a los demás Estados miembros y a la Comisión de cualquier autorización concedida con arreglo al presente apartado.

5.   El apartado 1 no impedirá que una persona física o jurídica, entidad u organismo incluido en el anexo pueda efectuar pagos adeudados en virtud de contratos suscritos antes de la fecha en que se haya incluido en el anexo a dicha persona física o jurídica, entidad u organismo, siempre y cuando el Estado miembro correspondiente haya considerado que el pago no es percibido directa ni indirectamente por una de las personas físicas o jurídicas, entidades u organismos a que se refiere el apartado 1.

6.   El apartado 2 no se aplicará al ingreso en las cuentas inmovilizadas de:

siempre que las medidas establecidas en el apartado 1 sigan siendo de aplicación a cualquiera de dichos intereses, otros beneficios y pagos.

1.   El Consejo, por unanimidad y a propuesta de un Estado miembro o de la Alta Representante de la Unión para Asuntos Exteriores y Política de Seguridad, establecerá y modificará la lista que figura en el anexo.

2.   El Consejo comunicará la decisión a que se refiere el apartado 1, y los motivos de la inclusión en la lista, a la persona física o jurídica, entidad u organismo afectados, bien directamente, si se conoce su domicilio, o mediante la publicación de un anuncio, y ofrecerá a dicha persona física o jurídica, entidad u organismo la oportunidad de presentar observaciones al respecto.

3.   Cuando se presenten observaciones o nuevas pruebas sustanciales, el Consejo reconsiderará la decisión a que se refiere el apartado 1 e informará en consecuencia a la persona física o jurídica, entidad u organismo afectados.

1.   El anexo incluirá los motivos de la inscripción en la lista de las personas físicas o jurídicas, entidades u organismos a que se refieren los artículos 4 y 5.

2.   El anexo contendrá, cuando se disponga de ella, la información necesaria para identificar a las personas físicas o jurídicas, entidades u organismos de que se trate. Respecto de las personas físicas, esa información podrá incluir el nombre, apellidos y los alias, el lugar y fecha de nacimiento, la nacionalidad, el número de pasaporte o de documento de identidad, el sexo, la dirección, si se conoce, y el cargo o la profesión. En el caso de las personas jurídicas, entidades u organismos, la información podrá incluir el nombre, el lugar y la fecha de registro, el número de registro y el domicilio social.