Il Consiglio europeo ha adottato il 02 dicembre 2024 due regolamenti che fanno parte del “pacchetto” legislativo sulla cybersicurezza, ovvero il c.d. “cyber solidarity act” e una modifica mirata della legge sulla cybersicurezza (cybersecurity act – CSA).
Più nel dettaglio, trattasi:
- della proposta di Regolamento del Parlamento UE e del Consiglio che stabilisce misure intese a rafforzare la solidarietà e le capacità dell’Unione di rilevamento delle minacce e degli incidenti informatici e di preparazione e risposta agli stessi, e che modifica il Regolamento (UE) 2021/694 (Regolamento sulla “cibersolidarietà”)
- della proposta di Regolamento del Parlamento UE e del Consiglio che modifica il Regolamento (UE) 2019/881 per quanto riguarda i servizi di sicurezza gestiti
I due atti legislativi sono volti, nell’auspicio dei legislatori UE, a rafforzare la solidarietà e le capacità dell’Unione di individuare preventivamente e rispondere alle minacce e agli incidenti di cybersicurezza.
Il 18 aprile 2023 la Commissione ha adottato la proposta di regolamento (cyber solidarity act) che stabilisce misure per rafforzare la solidarietà e le capacità dell’UE di individuare, prepararsi e rispondere alle minacce e agli incidenti di cibersicurezza, insieme a una proposta di modifica mirata della legge sulla cibersicurezza (CSA).
Il CSA invece, adottato nel 2019, ha istituito il primo quadro di certificazione della cybersecurity per tutti gli Stati membri.
La prima proposta della Commissione aveva introdotto uno “scudo informatico europeo”, composto da centri operativi (SOC), riuniti in diverse piattaforme SOC multinazionali, finanziate dal programma Europa digitale.
La seconda proposta ha poi modificato l’ambito di applicazione del CSA, consentendo alla Commissione di adottare atti di esecuzione sui sistemi europei di certificazione della cybersicurezza per i servizi di sicurezza gestiti, oltre ai prodotti informatici e tecnologici (TIC), ai servizi TIC e ai processi TIC.
Il 6 marzo 2024, i co legislatori (Parlamento e Consiglio UE) hanno raggiunto un accordo provvisorio su entrambe le proposte, modificando le nozioni di “scudo informatico europeo” e “SOC” rispetto alla proposta iniziale della Commissione.
Dopo la firma dei presidenti del Consiglio e del Parlamento europeo, entrambi gli atti legislativi saranno pubblicati nella Gazzetta ufficiale dell’UE nelle prossime settimane ed entreranno in vigore 20 giorni dopo la pubblicazione.
Il cyber solidarity act
Il Regolamento, in estrema sintesi:
- rafforza i meccanismi di cooperazione
- istituisce un “sistema di allerta per la sicurezza informatica”: un’infrastruttura paneuropea composta da hub informatici nazionali e transfrontalieri in tutta l’UE, incaricati di condividere le informazioni e di rilevare e agire sulle minacce informatiche; i cyber hub utilizzeranno tecnologie all’avanguardia, come l’intelligenza artificiale (AI) e l’analisi avanzata dei dati, per rilevare e condividere avvisi tempestivi su minacce e incidenti informatici a livello transfrontaliero.
- prevede la creazione di un meccanismo di emergenza per la cybersecurity, per aumentare la preparazione e migliorare le capacità di risposta agli incidenti nell’UE: il meccanismo sosterrà azioni di preparazione, tra cui la verifica di potenziali vulnerabilità di entità in settori altamente critici (sanità, trasporti, energia, ecc.), sulla base di scenari di rischio e metodologie comuni
- prevede l’istituzione di una nuova riserva di sicurezza informatica dell’UE, costituita da servizi di risposta agli incidenti del settore privato, pronti a intervenire su richiesta di uno Stato membro o di istituzioni, organi e agenzie dell’UE, nonché di Paesi terzi associati, in caso di incidente di sicurezza informatica significativo o su vasta scala
- istituisce un meccanismo di revisione degli incidenti per valutare l’efficacia delle azioni nell’ambito del meccanismo di emergenza informatica e l’uso della riserva di sicurezza informatica, nonché il contributo di questa normativa al rafforzamento della posizione competitiva dell’industria e dei settori dei servizi.
Le modifiche al Cybersecurity Act
Le modifiche, sono volte a a migliorare la resilienza informatica dell’UE, consentendo la futura adozione di schemi di certificazione europei per i c.d. “servizi di sicurezza gestiti”; in particolare, le modifiche approvate dal Consiglio UE:
- riconoscono la crescente importanza dei servizi di sicurezza gestiti nella prevenzione, nel rilevamento, nella risposta e nel ripristino degli incidenti di cybersecurity, che possono consistere, ad esempio, nella gestione degli incidenti, nei test di penetrazione, negli audit di sicurezza e nella consulenza relativa al supporto tecnico
- consentiranno di istituire schemi di certificazione europei per i servizi di sicurezza gestiti
- contribuiranno ad aumentarne la qualità e la comparabilità, a favorire l’emergere di fornitori di servizi di cybersecurity affidabili e a evitare la frammentazione del mercato interno, dato che alcuni Stati membri hanno già avviato l’adozione di schemi di certificazione nazionali per i servizi di sicurezza gestiti.
