1.   Le présent règlement s'applique aux cyberattaques ayant des effets importants, y compris les tentatives de cyberattaques ayant des effets potentiels importants, qui constituent une menace extérieure pour l'Union ou ses États membres.

2.   Les cyberattaques constituant une menace extérieure sont notamment celles qui:

3.   À cette fin, les cyberattaques sont des actions faisant intervenir l'un ou l'autre des éléments suivants:

lorsque ces actions ne sont pas dûment autorisées par le propriétaire du système ou des données ou d'une partie du système ou des données ou par une autre personne détenant des droits sur le système ou les données ou une partie du système ou des données, ou sont en contravention avec le droit de l'Union ou de l'État membre concerné.

4.   Les cyberattaques constituant une menace pour les États membres sont notamment celles qui portent atteinte aux systèmes d'information en ce qui concerne, notamment:

5.   Les cyberattaques constituant une menace pour l'Union sont notamment celles qui sont dirigées contre ses institutions, organes et organismes, ses délégations auprès de pays tiers ou d'organisations internationales, ses opérations et missions organisées dans le cadre de la politique de sécurité et de défense commune (PSDC) et ses représentants spéciaux.

6.   Lorsque cela est jugé nécessaire pour réaliser les objectifs de la politique étrangère et de sécurité commune (PESC) figurant dans les dispositions pertinentes de l'article 21 du traité sur l'Union européenne, des mesures restrictives au titre du présent règlement peuvent également être appliquées en réponse à des cyberattaques ayant des effets importants dirigées contre des pays tiers ou des organisations internationales.

7.   Aux fins du présent règlement, on entend par:

a)   «système d'information»: un dispositif isolé ou un ensemble de dispositifs interconnectés ou apparentés, qui assure ou dont un ou plusieurs éléments assurent, en exécution d'un programme, un traitement automatisé de données numériques, ainsi que les données informatiques stockées, traitées, récupérées ou transmises par ce dispositif ou cet ensemble de dispositifs en vue du fonctionnement, de l'utilisation, de la protection et de la maintenance de celui-ci;

b)   «atteinte à l'intégrité d'un système d'information»: le fait d'entraver ou d'interrompre le fonctionnement d'un système d'information en introduisant, en transmettant, en endommageant, en effaçant, en détériorant, en altérant ou en supprimant des données numériques, ou en les rendant inaccessibles;

c)   «atteinte à l'intégrité des données»: l'effacement, l'endommagement, la détérioration, l'altération ou la suppression de données numériques dans un système d'information, ou le fait de rendre ces données inaccessibles; cette notion couvre également le vol de données, de fonds, de ressources économiques ou de droits de propriété intellectuelle;

d)   «interception de données»: le fait d'intercepter, par des moyens techniques, des transmissions privées de données numériques à destination, à partir ou au sein d'un système d'information, y compris les émissions électromagnétiques provenant d'un système d'information transportant de telles données numériques

8.   Aux fins du présent règlement, les définitions supplémentaires suivantes s'appliquent:

a)   «demande»: toute demande, sous forme contentieuse ou non, introduite antérieurement ou postérieurement à la date d'entrée en vigueur du présent règlement résultant d'un contrat ou liée à l'exécution d'un contrat ou d'une opération, et notamment:

b)   «contrat ou opération»: toute opération, quelle qu'en soit la forme et quel que soit le droit qui lui est applicable, comportant un ou plusieurs contrats ou obligations similaires établis entre des parties identiques ou non; à cet effet, le terme «contrat» inclut toute obligation, toute garantie ou toute contre-garantie, notamment financières, et tout crédit, juridiquement indépendants ou non, ainsi que toute disposition y relative qui trouve son origine dans une telle opération ou qui lui est liée;

c)   «autorités compétentes»: les autorités compétentes des États membres indiquées sur les sites internet dont la liste figure à l'annexe II;

d)   «ressources économiques»: les actifs de toute nature, corporels ou incorporels, mobiliers ou immobiliers, qui ne sont pas des fonds, mais qui peuvent être utilisés pour obtenir des fonds, des biens ou des services;

e)   «gel des ressources économiques»: toute action visant à empêcher l'utilisation de ressources économiques afin d'obtenir des fonds, des biens ou des services de quelque manière que ce soit, et notamment, mais pas exclusivement, leur vente, leur location ou leur mise sous hypothèque;

f)   «gel des fonds»: toute action visant à empêcher tout mouvement, transfert, modification, utilisation, manipulation de fonds ou accès à des fonds qui aurait pour conséquence un changement de leur volume, de leur montant, de leur localisation, de leur propriété, de leur possession, de leur nature ou de leur destination ou toute autre modification qui pourrait en permettre l'utilisation, y compris la gestion de portefeuille;

g)   «fonds»: des actifs financiers et des avantages économiques de toute nature, et notamment, mais pas exclusivement:

h)   «territoire de l'Union»: les territoires des États membres auxquels le traité est applicable, dans les conditions fixées par celui-ci, y compris leur espace aérien.

1.   Sont gelés tous les fonds et ressources économiques appartenant aux personnes physiques ou morales, entités ou organismes inscrits sur la liste qui figure à l'annexe I, de même que tous les fonds et ressources économiques que ces personnes physiques ou morales, entités ou organismes possèdent, détiennent ou contrôlent.

2.   Aucun fonds ni aucune ressource économique n'est mis à la disposition, directement ou indirectement, des personnes physiques ou morales, des entités ou des organismes dont la liste figure à l'annexe I, ni n'est débloqué à leur profit.

3.   Figurent à l'annexe I, tels qu'ils ont été définis par le Conseil conformément à l'article 5, paragraphe 1, de la décision (PESC) 2019/797:

1.   Par dérogation à l'article 3, les autorités compétentes des États membres peuvent autoriser le déblocage de certains fonds ou ressources économiques gelés ou la mise à disposition de certains fonds ou ressources économiques gelés, dans les conditions qu'elles jugent appropriées, après avoir établi que les fonds ou ressources économiques concernés sont:

2.   L'État membre concerné informe les autres États membres et la Commission de toute autorisation accordée en vertu du paragraphe 1 dans un délai de deux semaines suivant l'autorisation.

1.   Par dérogation à l'article 3, paragraphe 1, les autorités compétentes des États membres peuvent autoriser le déblocage de certains fonds ou ressources économiques gelés, pour autant que les conditions suivantes soient réunies:

2.   L'État membre concerné informe les autres États membres et la Commission de toute autorisation accordée en vertu du paragraphe 1 dans un délai de deux semaines suivant l'autorisation.

1.   Par dérogation à l'article 3, paragraphe 1, et pour autant qu'un paiement soit dû par une personne physique ou morale, une entité ou un organisme figurant sur la liste de l'annexe I au titre d'un contrat ou d'un accord conclu ou d'une obligation contractée par la personne physique ou morale, l'entité ou l'organisme concerné avant la date à laquelle cette personne physique ou morale, cette entité ou cet organisme a été inscrit à l'annexe I, les autorités compétentes des États membres peuvent autoriser, dans les conditions qu'elles jugent appropriées, le déblocage de certains fonds ou ressources économiques gelés, pour autant que l'autorité compétente concernée ait établi que:

2.   L'État membre concerné informe les autres États membres et la Commission de toute autorisation accordée en vertu du paragraphe 1 dans un délai de deux semaines suivant l'autorisation.

1.   L'article 3, paragraphe 2, n'empêche pas les établissements financiers ou de crédit de créditer les comptes gelés lorsqu'ils reçoivent des fonds versés par des tiers sur le compte d'une personne physique ou morale, d'une entité ou d'un organisme figurant sur la liste, à condition que toute somme supplémentaire versée sur ces comptes soit également gelée. L'établissement financier ou de crédit informe sans tarder l'autorité compétente concernée de toute opération de ce type.

2.   L'article 3, paragraphe 2, ne s'applique pas au versement sur les comptes gelés:

à condition que ces intérêts, autres revenus et paiements continuent de faire l'objet des mesures prévues à l'article 3, paragraphe 1.

1.   Sans préjudice des règles applicables en matière de communication d'informations, de confidentialité et de secret professionnel, les personnes physiques ou morales, les entités et les organismes:

2.   Toute information supplémentaire reçue directement par la Commission est mise à la disposition des États membres.

3.   Toute information fournie ou reçue conformément au présent article est utilisée aux seules fins pour lesquelles elle a été fournie ou reçue.

1.   Le gel des fonds et des ressources économiques ou le refus d'en autoriser la mise à disposition, pour autant qu'ils soient décidés de bonne foi au motif qu'une telle action est conforme au présent règlement, n'entraînent, pour la personne physique ou morale, l'entité ou l'organisme qui y procède, sa direction ou ses employés, aucune responsabilité de quelque nature que ce soit, à moins qu'il ne soit établi que le gel ou la rétention de ces fonds et ressources économiques résulte d'une négligence.

2.   Les actions entreprises par des personnes physiques ou morales, des entités ou des organismes n'entraînent pour eux aucune responsabilité de quelque nature que ce soit, dès lors qu'ils ne savaient ni ne pouvaient raisonnablement soupçonner que leurs actions enfreindraient les mesures énoncées dans le présent règlement.

1.   Il n'est fait droit à aucune demande liée à tout contrat ou à toute opération dont l'exécution a été affectée, directement ou indirectement, en totalité ou en partie, par les mesures instituées en vertu du présent règlement, y compris à des demandes d'indemnisation ou à toute autre demande de ce type, telle qu'une demande de compensation ou une demande à titre de garantie, en particulier une demande visant à obtenir la prorogation ou le paiement d'une obligation, d'une garantie ou d'une contre-garantie, notamment financières, quelle qu'en soit la forme, présentée par:

2.   Dans toute procédure visant à donner effet à une demande, la charge de la preuve que la satisfaction de la demande n'est pas interdite par le paragraphe 1 incombe à la personne physique ou morale, à l'entité ou à l'organisme cherchant à donner effet à cette demande.

3.   Le présent article s'applique sans préjudice du droit des personnes physiques ou morales, des entités et des organismes visés au paragraphe 1 au contrôle juridictionnel de la légalité du non-respect des obligations contractuelles conformément au présent règlement.

1.   La Commission et les États membres s'informent mutuellement des mesures prises en vertu du présent règlement et se communiquent toute autre information utile dont ils disposent en rapport avec le présent règlement, concernant en particulier:

2.   Les États membres se communiquent mutuellement et immédiatement tout autre élément utile dont ils disposent et qui serait susceptible d'entraver la mise en œuvre effective du présent règlement; de même, ils en informent immédiatement la Commission.

1.   Lorsque le Conseil décide de soumettre une personne physique ou morale, une entité ou un organisme aux mesures visées à l'article 3, il modifie l'annexe I en conséquence.

2.   Le Conseil communique la décision visée au paragraphe 1, y compris les motifs de son inscription sur la liste, à la personne physique ou morale, à l'entité ou à l'organisme concerné, soit directement, si son adresse est connue, soit par la publication d'un avis, en donnant à cette personne physique ou morale, cette entité ou cet organisme la possibilité de présenter des observations.

3.   Lorsque des observations sont formulées ou lorsque de nouveaux éléments de preuve substantiels sont présentés, le Conseil revoit la décision visée au paragraphe 1 et en informe la personne physique ou morale, l'entité ou l'organisme concerné en conséquence.

4.   La liste figurant à l'annexe I est révisée à intervalles réguliers et au moins tous les douze mois.

5.   La Commission est habilitée à modifier l'annexe II sur la base des informations fournies par les États membres.

1.   L'annexe I contient les motifs de l'inscription sur la liste des personnes physiques ou morales, des entités ou des organismes concernés.

2.   L'annexe I contient, si elles sont disponibles, les informations nécessaires à l'identification des personnes physiques ou morales, des entités ou des organismes concernés. En ce qui concerne les personnes physiques, ces informations peuvent comprendre les noms, prénoms et pseudonymes, la date et le lieu de naissance, la nationalité, les numéros de passeport et de carte d'identité, le sexe, l'adresse, si elle est connue, ainsi que la fonction ou la profession. En ce qui concerne les personnes morales, les entités ou les organismes, ces informations peuvent comprendre les dénominations, le lieu et la date d'enregistrement, le numéro d'enregistrement et l'adresse professionnelle.

1.   Les États membres arrêtent le régime des sanctions applicables en cas d'infraction aux dispositions du présent règlement et prennent toutes les mesures nécessaires pour en garantir l'exécution. Les sanctions prévues doivent être effectives, proportionnées et dissuasives.

2.   Les États membres notifient à la Commission le régime visé au paragraphe 1 sans tarder après l'entrée en vigueur du présent règlement et lui notifient également toute modification ultérieure dudit régime.

1.   Pour mener à bien les tâches qui lui incombent au titre du présent règlement, la Commission traite des données à caractère personnel. Ces tâches comprennent notamment:

2.   Aux fins du présent règlement, le service de la Commission indiqué à l'annexe II est désigné «responsable du traitement» pour la Commission au sens de l'article 3, paragraphe 8, du règlement (UE) 2018/1725, afin de garantir que les personnes physiques concernées peuvent exercer leurs droits en vertu dudit règlement.

1.   Les États membres désignent les autorités compétentes visées dans le présent règlement et les mentionnent sur les sites internet énumérés à l'annexe II. Ils notifient à la Commission toute modification relative aux adresses de leurs sites internet énumérés à l'annexe II.

2.   Les États membres notifient à la Commission leurs autorités compétentes, ainsi que les coordonnées de ces dernières sans tarder après l'entrée en vigueur du présent règlement, ainsi que toute modification ultérieure.

3.   Lorsque le présent règlement prévoit une obligation de notification ou d'information de la Commission ou de toute autre forme de communication avec la Commission, l'adresse et les autres coordonnées à utiliser à cet effet sont celles qui sont indiquées à l'annexe II.