- Perché la Commissione Europea ha proposto una nuova legge sulla sicurezza informatica
Dall’adozione della legge sulla sicurezza informatica nel 2019, il panorama geopolitico è cambiato, con un significativo peggioramento del panorama delle minacce informatiche, che colpisce settori critici dell’Unione europea. I progressi tecnologici hanno dato origine a minacce informatiche sempre più sofisticate, con attori tra cui attori statali che sviluppano capacità per interrompere i settori economici critici e le funzioni sociali in Europa.
Per affrontare queste nuove preoccupazioni, la Commissione ha proposto di rivedere la legge sulla sicurezza informatica per rendere il quadro e le capacità di sicurezza informatica dell’UE più agili ed efficienti, rafforzando la preparazione generale dell’Europa.
- Quali sono gli elementi chiave del Cybersecurity Act
La nuova legge sulla sicurezza informatica rafforzerà il quadro di sicurezza informatica con 4 elementi chiave:
- Sviluppare un quadro per affrontare le sfide della sicurezza della catena di approvvigionamento ICT nelle infrastrutture critiche.
- Semplificare e migliorare il quadro europeo di certificazione della sicurezza informatica.
- Introdurre misure di semplificazione per ridurre l’onere amministrativo non necessario legato all’attuazione della direttiva NIS2.
- Rafforzato l’Agenzia dell’Unione europea per la sicurezza informatica (ENISA) per renderlo adatto allo scopo.
- In che modo la legge sulla sicurezza informatica rafforzerà la sicurezza informatica nell’UE?
Un approccio europeo condiviso alla sicurezza informatica è essenziale per proteggere la sicurezza generale dell’Europa. La proposta migliorerà la resilienza alla sicurezza informatica delle infrastrutture critiche europee istituendo un quadro orizzontale per la sicurezza affidabile della catena di approvvigionamento ICT. Ciò consentirà all’UE e agli Stati membri di agire insieme per affrontare i rischi strategici di indebito interferenza straniera e dipendenze critiche nelle catene di approvvigionamento ICT critiche con misure mirate e proporzionate. Garantirà inoltre che gli operatori delle reti di comunicazione elettronica non facciano affidamento su fornitori ad alto rischio per le loro risorse critiche.
- Chi beneficerà della legge sulla sicurezza informatica rivista?
La legge rivista sulla sicurezza informatica rafforzerà la posizione di sicurezza informatica dell’UE, a beneficio dell’economia più ampia, dei cittadini, delle imprese e delle autorità pubbliche. Fornirà alle aziende modi semplificati per dimostrare la loro conformità alle norme di sicurezza informatica dell’Unione, riducendo i loro costi amministrativi. La legge aiuterà anche le aziende a reclutare e formare professionisti della sicurezza informatica.
- In che modo questa iniziativa interagisce cn le altre politiche dell’UE?
La proposta per la legge sulla sicurezza informatica rivista è complementare al prossimo Cloud and AI Development Act (CADA) e al Digital Omnibus. Il CADA garantirà che i casi d’uso altamente critici nel settore pubblico siano alimentati da servizi di cloud e di intelligenza artificiale sicuri basati sull’UE. Il Digital Omnibus mira a semplificare l’attuazione delle norme UE sulla sicurezza informatica.
- Come sarà rafforzata la sicurezza delle catene di approvvigionamento ICT?
La legge sulla sicurezza informatica mira a ridurre i rischi nella catena di approvvigionamento ICT dell’UE da parte di fornitori di paesi terzi con problemi di sicurezza informatica. Stabilisce un quadro di sicurezza della catena di approvvigionamento ICT affidabile utilizzando un approccio armonizzato, proporzionato e basato sul rischio. Recenti incidenti di sicurezza informatica hanno evidenziato i principali rischi di vulnerabilità nelle catene di approvvigionamento ICT, che sono essenziali per i servizi e le infrastrutture critiche. Nel panorama geopolitico di oggi, la sicurezza della catena di approvvigionamento non è più solo una questione di sicurezza tecnica del prodotto e del servizio. È anche una questione di rischi legati a un fornitore, in particolare relativi alle dipendenze e alle interferenze straniere.
- Come viene rafforzata l’Agenzia per la sicurezza informatica?
La proposta rafforza il ruolo di ENISA nella cooperazione operativa, nella consapevolezza situazionale condivisa delle minacce e degli incidenti informatici, degli standard e della certificazione, nonché del supporto con le misure di mitigazione degli attacchi ransomware e l’implementazione della Cybersecurity Skills Academy.
La proposta mira a garantire che ENISA abbia le risorse per svolgere i suoi compiti aumentando il suo budget di oltre il 75%.
Gli Stati membri contribuirebbero a questo aumento designando due funzionari di collegamento per Stato membro, facilitando la cooperazione operativa e lo scambio di informazioni tra gli Stati membri.
- Quale sarà il ruolo di ENISA sulla standardizzazione?
Gli standard e le specifiche tecniche svolgono un ruolo essenziale nel facilitare gli sforzi di attuazione per le imprese e le autorità pubbliche e garantiscono un’applicazione uniforme delle norme di sicurezza informatica in tutto il mercato interno, in particolare quelle derivanti dal Cyber Resilience Act.
A livello internazionale, modellano le pratiche di sicurezza informatica all’avanguardia e il modo in cui le tecnologie sono progettate e mantenute. In linea con il regolamento europeo di standardizzazione, il ruolo di ENISA sarà rafforzato per essere coinvolto in modo più efficace nell’e-making di standard di sicurezza informatica a livello europeo e internazionale in conformità con i valori dell’UE. Garantirà che i risultati di standardizzazione soddisfino le esigenze legali nel settore della sicurezza informatica, ad esempio sostenendo la Commissione nella valutazione delle norme armonizzate. Laddove non siano disponibili standard per soddisfare le esigenze legislative, l’ENISA svilupperà specifiche tecniche, in particolare per i regimi europei di sicurezza informatica.
- Quali sono i principali cambiamenti introdotti nel quadro europei di certificazione della sicurezza informatica (ECCF)?
Il nuovo ECCF introdurrà tre cambiamenti principali:
a) L’ambito dei quadri è chiarito ed esteso per garantire la certezza del diritto e soddisfare le esigenze del mercato.
La certificazione è un mezzo di garanzia tecnica della sicurezza informatica che sarà integrato dal meccanismo di sicurezza della catena di approvvigionamento ICT.
Le entità saranno in grado di certificare la loro posizione informatica, accanto a prodotti, servizi, processi e servizi di sicurezza gestiti ICT, ciò significa che le entità saranno in grado di utilizzare tali certificati per dimostrare la conformità e ottenere la presunzione di conformità con NIS2 e altre legislazioni dell’Unione.
b) Scadenze e risultati chiari, nonché un quadro di governance più efficiente ed efficace per sviluppare e mantenere gli schemi.
ENISA, in qualità di gestore dello schema, sarà responsabile della manutenzione degli schemi. Definisce le tempistiche legali per lo sviluppo di schemi.
A seguito della richiesta della Commissione, l’ENISA svilupperà un programma di candidati entro un anno come regola.
c) Gli schemi dovrebbero servire come strumenti di conformità per le imprese. Qualsiasi schema deve essere allineato con la legislazione esistente sulla sicurezza informatica. Coerenza e maggiore armonizzazione tra i regimi significheranno un minore onere di conformità per le imprese.
- Qual è lo stato di gioco degli schemi attuali?
Nel 2024, l’UE ha adottato come primo schema l’EUCC (schema europeo di certificazione della sicurezza informatica basato su criteri comuni). Attualmente, ci sono due schemi in fase di sviluppo, rispettivamente per la certificazione dei portafogli di identità digitale (EUID) e per i servizi di sicurezza gestiti (EUMSS) che potrebbero essere adottati presto.
Inoltre, si prevede che il lavoro relativo agli schemi per i servizi cloud (EUCS) e al 5G (EU5G) riprenderà. Per quanto riguarda il 5G, la nuova legge sulla sicurezza informatica prevede un’eliminazione graduale dei fornitori ad alto rischio dalle reti mobili, il che significa che gli organismi di valutazione della conformità non possono certificare prodotti o servizi di tali fornitori. Sul cloud, il nuovo Cybersecurity Act integrato dal prossimo CADA colmerà le lacune relative agli aspetti di sovranità e ai rischi non tecnici. Ancorato in questo contesto legislativo, l’EUCS riprenderà ed è pronto per una conclusione di successo.
Infine, a seguito dell’entrata in vigore della nuova legge sulla sicurezza informatica, la Commissione intende richiedere uno schema di certificazione per la posizione informatica delle entità.
- In che modo le nuove misure faciliteranno il rispetto delle regole di sicurezza informatica?
Il nuovo pacchetto della legge sulla sicurezza informatica introduce anche misure di chiarimento e semplificazione per facilitare il rispetto delle norme esistenti in materia di sicurezza informatica e dei requisiti di gestione del rischio per le imprese che operano nell’UE.
Questo integra il punto di ingresso singolo per la segnalazione degli incidenti proposto nel Digital Omnibus.
Il pacchetto propone anche emendamenti mirati alla Direttiva NIS 2:
- Chiarire alcuni aspetti riguardanti l’ambito e le definizioni, aumentando la chiarezza giuridica e rimuovendo l’onere della conformità per 28.700 imprese, tra cui 6.200 micro e piccole imprese;
- Introdurre una nuova categoria di piccole imprese a media capitalizzazione che ridurrà i costi di conformità per 22.500 aziende;
- Aggiungere misure che semplificano le regole giurisdizionali, semplificano la raccolta di dati sugli attacchi ransomware e facilitano la supervisione delle entità transfrontaliere con il ruolo di coordinamento rafforzato di ENISA.
- Perché la Commissione Europea propone di modificare il campo di applicazione della Direttiva NIS2?
Gli emendamenti mirati alla Direttiva NIS2 sono informati dall’esperienza acquisita durante il recepimento e l’attuazione della direttiva, nonché dalle minacce emergenti alla sicurezza e dai nuovi sviluppi politici dell’UE.
Ad esempio, gli emendamenti mirano a garantire la proporzionalità nell’attuazione della Direttiva NIS2 in settori come l’elettricità o i prodotti chimici, laddove sia necessaria una redazione giuridica più precisa per definire adeguatamente l’ambito della direttiva. Allo stesso tempo, assicurano che l’infrastruttura del cavo dati sottomarino, come tipo di infrastruttura sempre più critico, sia coperta in modo più completo dall’ambito di applicazione della direttiva. Inoltre, gli emendamenti alla direttiva garantiscono coerenza con la recente proposta legislativa di regolamento che istituisce un quadro di misure per facilitare il trasporto di attrezzature militari, merci e personale in tutta l’Unione.
L’agenzia dell’UE per la sicurezza informatica è ben posizionata per mantenere una panoramica dei rischi transfrontalieri di sicurezza informatica ai sensi della Direttiva NIS2. Definendo il suo ruolo nell’assistenza reciproca ai sensi della Direttiva NIS2, la proposta sfrutta le capacità dell’ENISA per sostenere meglio le autorità competenti degli Stati membri nell’applicazione delle norme sulla Direttiva NIS2.
