L’Unione Europea ha identificato negli ultimi anni la cybersicurezza come una priorità per la propria agenda digitale. La Commissione Europea porta avanti tale priorità con investimenti specifici e proposte legislative, definendo standard e principi per la cybersicurezza di prodotti e infrastrutture digitali di cittadini e imprese in Europa e nel mondo.
Nel dicembre 2020, la Commissione Europea ha proposto una strategia pluriennale per la cybersicurezza dell’UE come componente essenziale della più ampia agenda digitale dell’UE, del piano per la ripresa dell’Europa e della politica dell’UE per l’Unione della sicurezza.
Cybersecurity, Commissione europea: “Ecco la nostra risposta coordinata”
Gli obiettivi della strategia Ue
L’obiettivo della strategia di cybersicurezza dell’UE è di rafforzare la resilienza collettiva dell’Europa facendo affidamento su servizi e dispositivi digitali affidabili e infrastrutture critiche resilienti. La strategia si articola su tre aree principali: resilienza e sovranità tecnologica, sviluppo di capacità operativa di prevenzione, deterrenza e risposta e collaborazione internazionale.
In quanto resilienza e sovranità tecnologica, la Commissione intende creare una rete di Security Operation Centres (SOCs) in grado di rilevare i segnali di un attacco informatico e condividere informazioni (CTI) con settore pubblico e privato per mitigarne i rischi. Questa rete dovrebbe essere la prima linea di difesa dell’UE, il cosiddetto European Cyber Shield. A questo proposito, la Commissione ha programmato l’investimento di 110 milioni di euro, a cui verranno aggiunti almeno altri 80 milioni dal settore pubblico e/o privato.
La capacità operativa di prevenzione, deterrenza e risposta
Per quanto riguarda la capacità operativa di prevenzione, deterrenza e risposta, la Commissione intende creare una nuova unità congiunta per la cybersicurezza (Joint Cyber Unit) per rafforzare la collaborazione tra autorità nazionali, Europol, l’Agenzia Europea per la cybersicurezza (Enisa) e la comunità civile, diplomatica e di difesa. La Commissione vuole poi investire in cyber difesa attraverso l’Agenzia Europea per la Difesa (EDA) e il Fondo Europeo per la Difesa (EDF). Per aumentare la collaborazione tra il settore pubblico e privato costruendo ponti tra ricerca e mercato, la Commissione è attualmente in procinto di creare un centro di competenza sulla cybersicurezza (ECCC) con sede a Bucarest in Romania. Questo centro coordinerà la collaborazione tra una rete di centri di competenza nazionali (NCC) e la comunità, intesa come ecosistema di aziende, università e istituti di ricerca, che contribuisce alla cybersicurezza dell’Unione Europea e dei suoi cittadini.
L’ultimo punto della strategia per la cybersicurezza europea comprende la collaborazione internazionale per promuovere un ordine globale basato su valori e regole comuni per garantire sicurezza, stabilità e la protezione di diritti umani nel cyberspazio. Grazie ad accordi internazionali e alla cyber diplomazia l’UE, avrà capacità di deterrenza e di reazione verso paesi digitalmente aggressivi come Russia, Cina, Iran e Corea del Nord. Quest’ultima dimensione consente all’UE di utilizzare sanzioni economiche e pressioni internazionali per prevenire e rispondere ad attacchi informatici identificando pubblicamente gli stati che usano armi digitali come strumento di guerra ibrida e non dichiarata.
Il fronte legislativo
Da un punto di vista legislativo, invece, la Commissione è stata molto attiva nel proporre direttive e regolamenti per diversi prodotti e servizi. La direttiva sulle misure per un elevato livello comune di cybersicurezza nell’Unione (direttiva NIS rivisitata o “NIS 2”) e la direttiva sulla resilienza dei soggetti critici (CER) sono proposte essenziali per rafforzare la resilienza delle infrastrutture critiche come acquedotti, centrali elettriche e catene di approvvigionamento alimentare. Altre legislazioni per rendere l’Unione Europea più sicura a livello digitale includono il regolamento per la cybersicurezza delle stesse istituzioni UE e il regolamento per cyber resilienza (Cyber Resilience Act o CRA) che proporrà requisiti minimi di cybersicurezza per tutti i prodotti e servizi digitali in maniera trasversale a tutti i settori. Il CRA sarà un punto di svolta per la cybersicurezza europea negli anni a venire e avrà un impatto in diversi settori, come accadde nel 2016 con la normativa sulla protezione dei dati personali (GDPR). Come per il GDPR, il CRA rappresenterà un’opportunità per le aziende europee per differenziarsi sul mercato internazionale e vendere prodotti certificati con i più stringenti requisiti di cybersicurezza e, di conseguenza, accettati non solo in Europa, ma nel mondo intero.
La cybersicurezza per settori specifici e verticali
Oltre a leggi con approccio trasversale, ci sono anche proposte legislative per regolare la cybersicurezza per settori specifici e verticali, come il pacchetto DORA (Digital Operational Resilience for the financial sector) che regolamenterà la cybersicurezza del settore bancario, finanziario e assicurativo. Per quanto concerne il settore del cloud (EUCS), un atto implementato del Cybersecurity Act è attualmente in fase di preparazione presso l’Enisa, l’agenzia per la cybersicurezza dell’UE, e prevede un sistema di certificazione facoltativa a tre livelli, dove il livello più alto sarà garantito solo ad aziende controllate da investitori europei, con infrastrutture cloud fisicamente presenti in uno stato membro dell’UE. Quest’ultima proposta, anche se parte di uno schema di certificazione facoltativo, potrebbe penalizzare le grandi aziende americane del cloud (AWS, Azure e Google Cloud) volendo incoraggiare lo sviluppo di infrastrutture cloud Europee.
La cybersicurezza di prodotti specifici
La Commissione Europea ha anche proposto regole puntuali per la cybersicurezza di prodotti specifici come nel caso dell’atto delegato della direttiva sui dispositivi radiocontrollati (RED) con disposizioni per la protezione di dati personali contro frode relativa alla connessione di dispositivi wireless; oppure il regolamento sui macchinari per la protezione contro manomissione, il regolamento sull’Intelligenza Artificiale (AI Act) e il regolamento per dispositivi medici che definisce un livello minimo di sicurezza per pacemakers e simili apparecchiature.
Questo sistema di regole specifiche ed iniziative operative, che a prima vista può parere complesso, è in realtà essenziale per far sì che i cittadini europei continuino a godere di prodotti e servizi digitali sicuri e affidabili. Qui di seguito vengono spiegate in dettaglio alcune delle proposte di legge a livello europeo che più influenzeranno il panorama europeo della cybersicurezza.
Le proposte e il ruolo di ECSO
In ECSO stiamo sostenendo dal 2016 il partenariato pubblico privato con la Commissione e gli Stati Membri per lo sviluppo del mercato, dei vari ecosistemi e delle comunità legate alla cybersecurity in tutta Europa. Grazie alla sua posizione indipendente da obbiettivi di lobby settoriali, ECSO gioca un ruolo fondamentale nell’unire i diversi attori europei per ridurre la sua dipendenza da soluzioni e servizi esterni e sostenere una trasformazione digitale della società più consona ai valori europei, in linea con la strategia delle Istituzioni Europee.
Cyber Resilience Act
Il Cyber Resilience Act (CRA) è attualmente in fase di scrittura in Commissione Europea nel Direttorato Generale di reti di comunicazione, contenuti e tecnologie (DG CNECT, unità H.2) e la proposta ufficiale è in programma per il 21 settembre 2022.
Stato avanzamento lavori
Dopo un mese di consultazioni pubbliche e dialogo con rappresentanti di categoria e parti interessate, la Commissione si trova ora a cercare il giusto equilibrio per migliorare il livello di cybersicurezza senza creare troppi oneri per le aziende tecnologiche europee. Una volta che la Commissione Europea avrà fatto la proposta di regolamento, questa verrà discussa e negoziata dal Parlamento Europeo e dal Consiglio, verosimilmente prima di giugno 2023. Il CRA prevederà inoltre un periodo di adattamento e transizione che potrà durare fino a 24 mesi; i produttori avranno quindi ampio preavviso per adeguarsi alle nuove regole. L’entrata in vigore del CRA renderà obsoleto l’atto delegato della direttiva sui dispositivi radiocontrollati (RED).
Obiettivo della norma
L’obiettivo del CRA è quello di stabilire un livello minimo di cybersicurezza per tutti i dispositivi digitali (sia a livello di software sia a livello di hardware) venduti nel mercato interno dell’UE. Ci si aspetta che con il CRA i produttori di dispositivi e servizi digitali saranno tenuti a fornire aggiornamenti di sicurezza e sanamento delle vulnerabilità per tutto il ciclo di vita del prodotto o almeno per un periodo di cinque anni. L’impatto più significativo dovrebbe ricadere sui prodotti IoT, sia di uso domestico sia per applicazioni industriali, con un basso livello di sicurezza o con limitata capacità di ricevere aggiornamenti per sanare le vulnerabilità. Una ricaduta significativa si avrà anche su prodotti hardware per infrastrutture di reti e sul software opensource destinato alla vendita.
La proposta di legge europea cercherà anche di risolvere il problema della sicurezza delle catene di fornitura. Gli attacchi informatici più sofisticati degli ultimi anni hanno infatti preso di mira componenti di software e hardware che venivano poi utilizzati da moltissime aziende a valle nella catena di fornitura, basti pensare al caso di Log4J, dove una vulnerabilità di un componente di software opensource utilizzato in moltissimi prodotti è stata sfruttata dagli hacker per attaccare migliaia di aziende e servizi.
Punti chiave della proposta
I punti chiave del CRA vertono prima di tutto sul perimetro di applicazione. Le grandi aziende americane stanno facendo pressione sulla Commissione Europea per far sì che la proposta si concentri solo su prodotti fisici e non software e servizi digitali, escludendo tra le altre cose anche lo standalone software che viene usato per applicazioni specifiche. Associazioni a tutela dei consumatori chiedono invece alla Commissione Europea di allargare il campo di applicazione della proposta in modo da includere il maggior numero di prodotti e servizi digitali possibile e obbligare i produttori a fornire aggiornamenti di sicurezza per tutto il ciclo di vita dei prodotti. La Commissione, per il momento, sembra decisa ad avere un perimetro di applicazione vasto in modo da includere prodotti di software e hardware.
Un altro punto chiave del CRA sarà la compatibilità con altre legislazioni europee e schemi di certificazione. La Commissione, per aiutare le imprese ad essere conformi alle diverse richieste imposte dal legislatore, suggerirà di avere un riconoscimento automatico della conformità al CRA per tutti quei prodotti che sono già allineati a schemi di certificazione volontari proposti da Enisa sotto il Cyber Security Act.
Il CRA avrà dei requisiti di cybersicurezza comuni a tutti i prodotti, indipendentemente dal settore o dal campo di applicazione, ma prevederà anche tre categorie di rischio, di tipo minimo, medio e alto. Per le prime due, un’autodichiarazione di conformità da parte del produttore sarà sufficiente, mentre per la categoria ad alto rischio sarà necessario un controllo esterno di conformità.
NIS2
La direttiva NIS2 è stata proposta dalla Commissione Europea nel dicembre 2020, come miglioramento della precedente direttiva NIS, ed è stata successivamente negoziata in un trilogo tra Commissione, Parlamento Europeo e Consiglio.
NIS 2.0, ci serve per contare sullo scacchiere geopolitico: le mosse della Ue
Stato avanzamento lavori
Un accordo politico è stato raggiunto dai co-legislatori nel maggio 2022 e gli ultimi dettagli tecnici sono stati aggiunti a giugno. La bozza finale è stata approvata dal comitato dei rappresentati permanenti (COREPER I) e dev’essere ora approvata dalla Commissione Industria (ITRE) del Parlamento Europeo e poi in sessione plenaria prima di essere pubblicata sulla gazzetta ufficiale dell’Unione Europea. I membri del Parlamento Europeo prima di far avanzare la proposta di direttiva, vogliono assicurarsi che questa sia allineata con il pacchetto DORA e la direttiva CER. La proposta passerà in commissione ITRE il 13-14 luglio e in plenaria ad ottobre. Gli Stati membri avranno 21 mesi di tempo dall’entrata in vigore della direttiva per recepirne le disposizioni nei rispettivi diritti nazionali.
Obiettivo della norma
La direttiva NIS 2 stabilirà una serie di requisiti per la gestione del rischio relativo alla cybersicurezza di entità critiche, in particolare quelle relative all’energia, la salute, i trasporti e le infrastrutture digitali.
La direttiva mira a eliminare le divergenze tra gli stati membri per quanto riguarda gli obblighi di cybersicurezza e di segnalazione all’autorità pubblica. A tal fine, stabilisce norme minime e istituisce meccanismi per una cooperazione efficace tra le autorità competenti di ciascuno Stato dell’UE. Rispetto alla prima NIS, la NIS2 aggiorna l’elenco dei settori soggetti agli obblighi in materia di cybersicurezza e prevede sanzioni pesanti per garantirne l’applicazione.
La direttiva creerà la rete europea EU-CyCLONe per le organizzazioni nazionali di riferimento per le crisi informatiche. Questa reta sosterrà la gestione coordinata degli incidenti di cybersicurezza su vasta scala.
Punti chiave della proposta
NIS2 si applicherà alle infrastrutture critiche identificate dalla prima NIS e a tutti i soggetti di medie e grandi dimensioni che operano in settori critici come i social media, la gestione delle acque di scarico, lo spazio, la produzione di materiale sanitario, i servizi postali, l’alimentare e la pubblica amministrazione a livello centrale e regionale. Sono esclusi dall’applicazione della norma i soggetti operanti nei settori di difesa, pubblica sicurezza e giustizia.
I requisiti di reporting all’autorità pubblica di incidenti informatici rappresentano un altro punto chiave della norma. Sarà infatti obbligatorio segnalare senza indugio, e comunque entro le prime 24 ore, all’autorità pubblica di competenza e ai soggetti che usufruiscono del servizio, l’impatto di un attacco informatico che compromette il funzionamento del servizio o la divulgazione di dati sensibili e le azioni che si intende intraprendere per mitigare il danno. Sarà poi necessario inviare, entro le 72 dalla scoperta dell’attacco, un report dettagliato all’autorità pubblica di competenza per indicare la severità dell’impatto, gli indicatori di compromissione (IOC) e altri dettagli tecnici.
La NIS2 dà inoltre mandato ad Enisa di stabilire una base-dati europea di vulnerabilità conosciute, sul modello del National Vulnerability Database (NVD) americano.
Le multe in caso di inadempimento sono severe ed arrivano fino ad un massimo di 10 milioni di euro o di 2% dei ricavi a livello globale per entità essenziali, e ad un massimo di 7 milioni e 1.4% di ricavi a livello mondiale per entità importanti. Queste multe equivalgono a quanto i criminali informatici chiedono di solito per un ransomware, il messaggio è quindi chiaro: chi non rispetta la norma dovrà pagare due volte, una per il “riscatto” che pagherà ai criminali informatici e una per la multa.
La direttiva per la protezione di infrastrutture critiche (CER)
La direttiva per la protezione di infrastrutture critiche (CER) è stata proposta dalla Commissione Europea insieme alla direttiva NIS2 nel dicembre 2020, con l’idea di abbinare la sicurezza fisica delle
infrastrutture critiche alla loro sicurezza informatica.
Stato avanzamento lavori
Le due proposte hanno infatti una struttura molto simile, ma mentre la NIS2 ha già ricevuto un accordo politico da parte dei co-legislatori, la CER è ancora in fase di negoziazione. Questo significa che Parlamento Europeo, Commissione e Consiglio sono impegnati in un trilogo e per trovare un accordo a livello politico. La CER, che già aveva accumulato un leggero ritardo sulla NIS2, rischia ora subire un rallentamento ulteriore con il cambio di presidenza del Consiglio dell’Unione Europea.
Obiettivo della norma
L’obiettivo della direttiva CER è quello di sostenere gli sforzi degli Stati Membri creando un quadro normativo per la mitigazione di tutti i rischi che possono colpire le entità critiche in modo che queste siano in grado di prevenire, resistere, assorbire e riprendersi da incidenti dirompenti, indipendentemente dal fatto che siano causati da disastri naturali, incidenti, terrorismo, minacce interne o emergenze di salute pubblica, comprese pandemie.
Punti chiave della proposta
Gli Stati membri saranno tenuti ad adottare una strategia nazionale per garantire la resilienza delle entità critiche e ad effettuare valutazioni periodiche del rischio al fine di individuare le entità critiche. Queste saranno tenute ad effettuare valutazioni del rischio e adottare misure tecniche e organizzative per garantire la loro resilienza, nonché segnalare incidenti. Un gruppo per la resilienza delle entità critiche, che riunisce gli Stati membri e la Commissione, valuterà le strategie nazionali e faciliterà la cooperazione e lo scambio delle migliori prassi.
Per far rispettare le norme, gli Stati membri dovranno, attraverso le autorità nazionali, effettuare ispezioni in loco di soggetti critici e introdurre sanzioni in caso di non conformità. La Commissione fornirà sostegno agli Stati membri e alle entità critiche, ad esempio sviluppando una panoramica a livello dell’Unione dei rischi transfrontalieri e intersettoriali, delle migliori prassi, delle metodologie, delle attività di formazione transfrontaliere e delle esercitazioni per testare la resilienza dei soggetti critici.
Il pacchetto Digital Operational Resilience Act (DORA)
Il pacchetto Digital Operational Resilience Act (DORA) include un regolamento per migliorare e snellire la gestione del rischio relativo all’uso di infrastrutture digitali da parte di enti finanziari e una direttiva per armonizzare i requisiti di gestione del rischio identificati in legislazioni precedenti.
Stato avanzamento lavori
La proposta è stata avanzata dalla Commissione Europea a settembre 2020 ed è successivamente stata negoziata da Consiglio, Parlamento Europeo e Commissione. Un accordo politico è stato raggiunto a maggio 2022 e ora la proposta di legge dovrà essere approvata dalla commissione ECON del Parlamento Europeo, dal COREPER I, e poi dalla plenaria del Parlamento (probabilmente in ottobre) e dal Consiglio in formazione Ecofin prima di essere pubblicata in gazzetta ufficiale.
Obiettivo della norma
L’obiettivo è quello di stabilire una serie di principi e requisiti di gestione di infrastrutture informatiche in linea con i consigli tecnici delle tre autorità competenti a livello europeo che sono la EBA (European Banking Authority), l’ESMA (European Securities and Markets Authority) e l’EIOPA (European Insurance and Occupational Pensions Authority).
Punti chiave della proposta
Per garantire la coerenza dei requisiti di gestione del rischio TIC applicabili al settore finanziario, la proposta riguarda una serie di soggetti finanziari regolamentati a livello dell’Unione come istituti di credito, istituti di pagamento, istituti di moneta elettronica, imprese di investimento, prestatori di servizi cripto, agenzie di rating del credito, fornitori di servizi di crowdfunding.
DORA creerà un meccanismo di reporting per informare le autorità pubbliche competenti in caso di compromissione dei sistemi informatici. La proposta darà inoltre la possibilità alle entità coinvolte di scambiare informazioni (CTI) per esaminare le tecniche di attacco e migliorare le proprie difese.
I requisiti per le entità finanziare includeranno strategie di mitigazione del rischio per le tecnologie di informazione e comunicazione (ICT), meccanismi di reporting di incidenti IT, meccanismi di reporting per incidenti relativi alle transazioni di pagamento, test di resilienza per le infrastrutture digitali e misure per gestione di rischio per l’utilizzo di infrastrutture informatiche fornite da terze parti come nel caso del cloud.
Conclusioni
In conclusione, l’Unione Europea dimostra, sia tramite progetti, sia con proposte concrete, di considerare la cybersicurezza una priorità ineludibile. Molte delle iniziative spiegate in precedenza entreranno in vigore tra diversi mesi, il cambiamento sarà quindi graduale e pienamente gestibile.
Ci si aspetta ora che l’anno prossimo la Commissione Europea proponga un piano d’azione per affrontare il problema della grave mancanza di esperti nel settore. C’è infatti un grande bisogno di facilitare l’inserimento delle donne esperte in questo campo e fornire corsi specifici per formare la nuova generazione di esperti di cybersicurezza in Europa.
Per ottenere ulteriori aggiornamenti sulle politiche di cybersicurezza dell’UE, contattare ECSO.
