Nel quadro legislativo dell’Unione europea per l’economia e la società digitali avanza l’iter del Cyber solidarity act, su cui i rappresentanti degli Stati membri (Coreper) hanno raggiunto una posizione comune, confermando alcuni aspetti e modificandone altri rispetto alla proposta della Commissione europea.
Il regolamento sulla solidarietà cibernetica mira a rafforzare le capacità dell’Ue di rilevare, fronteggiare e rispondere alle minacce e agli incidenti di sicurezza informatica e crea strumenti per rendere l’Europa più resiliente e reattiva grazie a più efficaci meccanismi di cooperazione.
Al centro della legge c’è l’istituzione di uno scudo informatico europeo (European cyber shield), un’infrastruttura paneuropea composta dai Soc di tutta l’Ue. Ci sarà anche un meccanismo cyber-emergenza, nonché una cybersecurity reserve dell’Ue, costituita da servizi di risposta agli incidenti da parte di fornitori di fiducia del settore privato sotto contratto e pronti a intervenire, su richiesta di uno Stato membro o delle istituzioni Ue, in caso di attacchi di vasta scala. È stato, inoltre, rafforzato il ruolo dell’Enisa, in particolare per lo studio a posteriori degli attacchi.
Per il ministro spagnolo per la trasformazione digitale, José Luis Escrivá, l’accordo “è un altro passo per migliorare la resilienza informatica in Europa. Rafforzerà certamente le capacità dell’Ue e degli Stati membri di prepararsi, prevenire, rispondere e riprendersi dalle minacce e dagli attacchi informatici su larga scala in modo più efficiente ed efficace”.
Cyber solidarity act: i Soc e lo scudo informatico
La proposta della Commissione mira principalmente a: supportare il rilevamento e la consapevolezza di minacce e incidenti di sicurezza informatica significativi o su larga scala; rafforzare la preparazione e proteggere le entità critiche e i servizi essenziali, come gli ospedali e i servizi pubblici; rafforzare la solidarietà a livello dell’Ue, la gestione concertata delle crisi e le capacità di risposta tra gli Stati membri; contribuire a garantire un ambiente digitale sicuro e protetto per i cittadini e le imprese.
Per rilevare le principali minacce informatiche in modo rapido ed efficace, il progetto di regolamento istituisce uno scudo informatico europeo (European cyber shield), che è un’infrastruttura paneuropea composta da centri operativi di sicurezza nazionali e transfrontalieri (Soc) in tutta l’Ue. Queste entità sono incaricate della condivisione delle informazioni e di rilevare e agire sulle minacce informatiche. Utilizzeranno tecnologie all’avanguardia, come l’intelligenza artificiale e l’analisi avanzata dei dati, per rilevare e condividere avvisi tempestivi su minacce informatiche e incidenti transfrontalieri. A loro volta, le autorità e le entità competenti saranno in grado di rispondere in modo più efficiente ed efficace ai gravi incidenti.
Meccanismo di cyber emergenza: il ruolo dei fornitori privati
Il progetto di regolamento prevede anche la creazione di un meccanismo di emergenza informatica (Cyber emergency mechanism) per aumentare la preparazione e migliorare le capacità di risposta agli incidenti nell’Ue.
Questo meccanismo supporterà: azioni di preparazione, comprese le entità di test in settori altamente critici (assistenza sanitaria, trasporti, energia, ecc.) per potenziali vulnerabilità, sulla base di scenari e metodologie di rischio comuni; una nuova cybersecurity reserve dell’Ue costituita da servizi di risposta agli incidenti da parte di fornitori di fiducia del settore privato pre-contrattati e quindi pronti a intervenire, su richiesta di uno Stato membro o di istituzioni, organismi e agenzie dell’Ue, in caso di incidente di sicurezza informatica significativo o su larga scala; assistenza reciproca in termini finanziari, qualora uno Stato membro possa offrire sostegno a un altro Stato membro.
La revisione degli incidenti informatici da parte dell’Enisa
Infine, il regolamento proposto stabilisce il meccanismo di revisione degli incidenti di sicurezza informatica (cybersecurity incident review mechanism) per migliorare la resilienza dell’Ue rivedendo e valutando gli incidenti di sicurezza informatica significativi o su larga scala dopo che hanno avuto luogo, in modo da trarne le dovute lezioni e, se del caso, emettendo raccomandazioni per migliorare la postura cyber dell’Ue.
A tal fine, su richiesta della Commissione o delle autorità nazionali, l’agenzia dell’Ue per la sicurezza informatica Enisa esaminerebbe alcuni incidenti di sicurezza informatica e consegnerebbe una relazione con le lezioni apprese e le raccomandazioni.
Gli emendamenti del Consiglio
La posizione del Consiglio mantiene l’orientamento generale della proposta della Commissione, ma modifica il progetto di regolamento nei seguenti aspetti:
- chiarisce la terminologia e adatta il testo alle specificità degli Stati membri, in particolare per quanto riguarda i Soc e il cyber shield;
- nell’oggetto e nell’ambito di applicazione, è stato migliorato il linguaggio sulle misure di risposta e sul recupero, nonché sulle disposizioni relative alla sicurezza nazionale;
- le definizioni sono state modificate e allineate con altre legislazioni, principalmente la direttiva recentemente rivista sui sistemi di rete e di informazione (Nis 2);
- la natura volontaria del coinvolgimento degli Stati membri nei meccanismi stabiliti dalla proposta della Commissione è stata sottolineata in tutto il testo e le interazioni tra gli enti esistenti e quelli definiti dal progetto di regolamento sono state chiarite;
- il ruolo dell’agenzia dell’Ue per la sicurezza informatica (Enisa) è stato rafforzato e chiarito in tutto il testo;
- sono stati introdotti miglioramenti in materia di appalti, finanziamenti, condivisione delle informazioni e meccanismo di revisione degli incidenti.
Il prossimo passo sono i triloghi
L’accordo sulla posizione comune del Consiglio (“mandato negoziale”) consentirà alla presidenza entrante di avviare negoziati con il Parlamento europeo (“triloghi“) sulla versione finale della legislazione proposta.
La Commissione ha adottato la proposta di regolamento del Cyber solidarity act il 18 aprile 2023, aggiornando la strategia per la cybersicurezza europea, in particolare dopo la riunione del Consiglio del maggio 2022 sulla postura informatica dell’Ue, che ha evidenziato la necessità di colmare le lacune in termini di risposta e preparazione agli attacchi informatici.
Di qui la proposta della Commissione con l’introduzione di uno “scudo informatico europeo”, composto da centri operativi (Soc), riuniti in diverse piattaforme Soc multinazionali finanziate dal programma Digital Europe. Il bilancio totale per tutte le azioni nell’ambito dell’atto di solidarietà informatica dell’Ue è di 1,1 miliardi di euro, di cui circa due terzi saranno finanziati dall’Ue attraverso Digital Europe.
