2023-06-26 17:55:28

Lunedì 18:22:47

Giugno 26 2023

Cybersecurity presso le istituzioni dell'UE: Consiglio e Parlamento raggiungono un accordo provvisorio

words 2.2K read in 10 minutes, 46 Seconds

La presidenza del Consiglio e i negoziatori del Parlamento europeo hanno raggiunto oggi un accordo provvisorio su un regolamento volto a garantire un elevato livello comune di sicurezza informatica presso le istituzioni, gli organismi, gli uffici e le agenzie dell'UE.

Le misure sono state proposte dalla Commissione nel marzo 2022 a seguito di un significativo aumento del numero di sofisticati attacchi informatici che hanno colpito l'amministrazione pubblica dell'UE negli ultimi anni.

Il nuovo regolamento creerà un quadro comune per tutte le entità dell'UE nel campo della sicurezza informatica e migliorerà la loro capacità di resilienza e risposta agli incidenti.

La trasformazione digitale può avere successo solo se siamo in grado di garantire un'amministrazione pubblica e istituzioni democratiche sicure e resilienti in questo processo. Le nuove regole aiuteranno le entità dell'UE a prevenire e contrastare gli attacchi informatici, che sono diventati sempre più frequenti negli ultimi anni. / Jessika Roswall, Ministro per gli Affari dell'UE della Svezia a nome della presidenza del Consiglio

Misure per un elevato livello comune di sicurezza informatica

Per garantire elevati standard comuni presso le istituzioni, gli organismi, gli uffici e le agenzie dell'UE, le nuove regole richiedono loro di istituire un quadro di governance, gestione dei rischi e controllo nel campo della sicurezza informatica.

Tutte le entità dell'UE dovranno inoltre attuare misure di sicurezza informatica volte a rispondere ai rischi identificati, condurre regolari valutazioni della maturità della sicurezza informatica e predisporre un piano di sicurezza informatica.

Un CERT-EU più forte e una maggiore coordinazione

Con il nuovo regolamento, sarà rafforzato il mandato del Team di risposta agli incidenti informatici dell'UE (CERT-EU) e verrà rinominato "Servizio di sicurezza informatica per le istituzioni, gli organismi, gli uffici e le agenzie dell'Unione", mantenendo l'attuale acronimo.

Il CERT-EU fornirà consulenza a tutte le istituzioni, gli organismi, gli uffici e le agenzie dell'UE e li aiuterà a prevenire, individuare e rispondere agli incidenti. Sarà anche un punto di scambio di informazioni e coordinamento sulla sicurezza informatica e sulla risposta agli incidenti. Tutte le entità dell'UE saranno tenute a condividere con il CERT-EU, senza indugio ingiustificato, informazioni non classificate relative agli incidenti.

Un nuovo Consiglio interistituzionale per la sicurezza informatica

Inoltre, il nuovo regolamento istituirà un Consiglio interistituzionale per la sicurezza informatica per promuovere e monitorare l'attuazione del regolamento da parte delle istituzioni, degli organismi, degli uffici e delle agenzie dell'UE.

Il nuovo consiglio supervisionerà anche l'attuazione delle priorità e degli obiettivi generali da parte del CERT-EU e fornirà a quest'ultimo direzioni strategiche.

Il consiglio sarà composto da rappresentanti di tutte le istituzioni dell'UE e degli organi consultivi, della Banca europea per gli investimenti, del Centro europeo di competenza per la sicurezza informatica, dell'Agenzia dell'Unione europea per la sicurezza informatica (ENISA), del Sovrintendente europeo per la protezione dei dati, dell'Agenzia dell'UE per il programma spaziale, nonché da rappresentanti della Rete delle agenzie dell'UE.

La Segreteria del consiglio sarà fornita dalla Commissione europea.

Prossimi passi

L'accordo provvisorio sarà ora finalizzato a livello tecnico, dopodiché sarà sottoposto agli ambasciatori dell'UE degli Stati membri per la conferma.

Una volta confermato sia dal Consiglio che dal Parlamento, sarà formalmente adottato da entrambe le istituzioni.

Contesto

Nelle sue conclusioni del 20 giugno 2019, il Consiglio europeo ha invitato le istituzioni dell'UE, insieme agli Stati membri, a lavorare su misure per migliorare la resilienza e la cultura della sicurezza dell'UE contro le minacce cibernetiche e ibride provenienti dall'esterno dell'UE e per proteggere meglio le reti di informazione e comunicazione dell'UE e i processi decisionali dalle attività dannose di ogni genere.

Il regolamento che istituisce un quadro comune per la sicurezza informatica delle istituzioni, degli organismi, degli uffici e delle agenzie dell'UE è una delle misure previste nella Strategia europea per la sicurezza informatica per il decennio digitale, presentata dalla Commissione e dall'Alto rappresentante dell'Unione per gli affari esteri e la politica di sicurezza nel dicembre 2020 per rafforzare la resilienza collettiva dell'UE contro le minacce cibernetiche.

Nelle sue conclusioni del 22 marzo 2021 su tale strategia, il Consiglio ha sottolineato che la sicurezza informatica è fondamentale per il funzionamento dell'amministrazione pubblica e delle istituzioni a livello nazionale e dell'UE, nonché per la nostra società e l'economia nel suo complesso.

Sicurezza informatica: come l'UE affronta le minacce cibernetiche

L'UE sta lavorando su vari fronti per promuovere la resilienza cibernetica, combattere la criminalità informatica e potenziare la diplomazia e la difesa cibernetica.

Risposta dell'UE alle sfide della sicurezza informatica

Settori critici come trasporti, energia, salute e finanza sono diventati sempre più dipendenti dalle tecnologie digitali per svolgere le loro attività principali. Sebbene la digitalizzazione offra enormi opportunità e fornisca soluzioni per molte delle sfide che l'Europa sta affrontando, in particolare durante la crisi COVID-19, espone anche l'economia e la società a minacce informatiche.

Cronologia

23/05/2023: Il Consiglio adotta conclusioni sulla politica dell'UE in materia di difesa cibernetica

18/11/2022: Sicurezza informatica delle istituzioni, degli organismi, degli uffici e delle agenzie dell'UE: il Consiglio adotta la sua posizione

17/10/2022: Il Consiglio adotta conclusioni sulla sicurezza delle catene di fornitura ICT

21/06/2022: Il Consiglio adotta conclusioni su un quadro per una risposta coordinata dell'UE alle campagne ibride

23/05/2022: Spazio cibernetico - il Consiglio accoglie con favore il rafforzamento della sicurezza informatica dell'UE e la prevenzione degli attacchi informatici

Gli attacchi informatici e la criminalità informatica stanno aumentando in numero e complessità in tutta Europa. Questa tendenza è destinata a crescere ulteriormente in futuro, considerando che entro il 2025 si prevede che 41 miliardi di dispositivi in tutto il mondo saranno collegati a Internet delle cose.

Una risposta più forte in materia di sicurezza informatica per costruire uno spazio cibernetico aperto e sicuro può creare una maggiore fiducia tra i cittadini nei confronti degli strumenti e dei servizi digitali.

Nell'ottobre 2020, i leader dell'UE hanno chiesto di potenziare la capacità dell'UE di:

proteggersi dalle minacce informatiche
fornire un ambiente di comunicazione sicuro, soprattutto attraverso la crittografia quantistica
garantire l'accesso ai dati per fini giudiziari e di applicazione della legge

Un'Europa resiliente dal punto di vista informatico

Strategia europea per la sicurezza informatica

Nel dicembre 2020, la Commissione europea e il Servizio europeo per l'azione esterna (SEAE) hanno presentato una nuova strategia europea per la sicurezza informatica. L'obiettivo di questa strategia è rafforzare la resilienza dell'Europa contro le minacce informatiche e garantire che tutti i cittadini e le imprese possano beneficiare appieno di servizi e strumenti digitali affidabili e sicuri. La nuova strategia contiene proposte concrete per l'attuazione di strumenti normativi, di investimento e politici.

Il 22 marzo 2021, il Consiglio ha adottato conclusioni sulla strategia per la sicurezza informatica, sottolineando che la sicurezza informatica è essenziale per costruire un'Europa resiliente, verde e digitale. I ministri dell'UE hanno stabilito come obiettivo principale il raggiungimento dell'autonomia strategica pur preservando un'economia aperta. Ciò include il rafforzamento della capacità di effettuare scelte autonome nel campo della sicurezza informatica, al fine di proteggere i diritti fondamentali, la democrazia e la sovranità dell'UE.

Agenzia dell'UE per la sicurezza informatica (ENISA)

L'ENISA è un'agenzia dell'UE con sede a Atene, in Grecia, che svolge un ruolo chiave nel migliorare la sicurezza informatica in tutta Europa. L'agenzia collabora con gli Stati membri, la Commissione europea e altre parti interessate per sviluppare e promuovere le migliori pratiche in materia di sicurezza informatica, fornendo consulenza tecnica e supporto agli Stati membri. L'ENISA svolge anche un ruolo importante nel coordinamento delle risposte alle emergenze informatiche a livello europeo.

Direttiva sulla sicurezza delle reti e dei sistemi informativi

La direttiva sulla sicurezza delle reti e dei sistemi informativi (NIS) è stata introdotta nel 2016 come la prima misura legislativa a livello dell'UE con l'obiettivo di aumentare la cooperazione tra gli Stati membri sulla delicata questione della cybersecurity. La direttiva stabilisce obblighi di sicurezza per gli operatori dei servizi essenziali (nei settori critici come energia, trasporti, salute e finanza) e per i fornitori di servizi digitali (marketplace online, motori di ricerca e servizi cloud).

Nel dicembre 2020, la Commissione europea ha proposto una direttiva NIS riveduta (NIS2) per sostituire quella del 2016. La nuova proposta risponde al mutato scenario delle minacce e tiene conto della trasformazione digitale, accelerata dalla crisi COVID-19.

Il Consiglio e il Parlamento europeo hanno raggiunto un accordo provvisorio sulle nuove misure nel maggio 2022. La nuova legislazione mirerà a:

Garantire una gestione e una cooperazione più solide in materia di rischi e incidenti
Ampliare la portata delle regole

La tua vita online: come l'UE sta facilitando e rendendo più sicuro il tuo utilizzo della rete?
L'UE sta lavorando attivamente per migliorare l'ambiente digitale a vantaggio di tutti i cittadini europei. La nostra vita digitale deve essere sicura, facile e rispettosa delle libertà fondamentali.

Leggi il nostro articolo per scoprire come l'UE protegge gli utenti online, garantisce la cybersecurity e facilita lo scambio di informazioni tra i sistemi di giustizia elettronica degli Stati membri dell'UE.

Lotta dell'UE contro la cybercriminalità
La cybercriminalità assume varie forme e molti reati comuni sono facilitati dal cyberspazio. Ad esempio, i criminali possono:

Ottenere il controllo di dispositivi personali tramite malware
Rubare o compromettere dati personali e proprietà intellettuale per commettere frodi online
Utilizzare internet e piattaforme di social media per distribuire contenuti illegali
Utilizzare il "darknet" per vendere beni illeciti e servizi di hacking

Alcune forme di cybercriminalità, come lo sfruttamento sessuale dei minori online, causano gravi danni alle vittime.

Il costo globale annuo della cybercriminalità è stimato in €5,5 trilioni.

È stato creato un centro europeo specializzato nella lotta alla cybercriminalità all'interno di Europol per aiutare i paesi dell'UE a investigare sui crimini online e smantellare le reti criminali.

Rete europea di sicurezza informatica

La Rete europea di sicurezza informatica (CSIRTs Network) è una rete di team di risposta agli incidenti informatici (CSIRT) degli Stati membri dell'UE. La rete facilita la cooperazione e lo scambio di informazioni tra i CSIRT nazionali per affrontare le minacce informatiche transfrontaliere. I CSIRT nazionali sono responsabili di rilevare, rispondere e mitigare gli incidenti informatici nei rispettivi paesi.

Diplomazia cibernetica

L'UE sta anche impegnandosi attivamente nella diplomazia cibernetica per promuovere un comportamento responsabile e norme di comportamento appropriate nello spazio cibernetico. L'obiettivo è quello di sviluppare un consenso internazionale sulle regole di comportamento nello spazio cibernetico, compresi gli aspetti di sicurezza, rispetto dei diritti umani, protezione dei dati e stabilità dell'infrastruttura critica. L'UE svolge un ruolo attivo nelle discussioni internazionali, come quelle delle Nazioni Unite, per promuovere una governance efficace dello spazio cibernetico a livello globale.

Conclusioni

La sicurezza informatica è una priorità strategica per l'UE. L'Europa sta affrontando una crescente sfida da parte degli attacchi informatici, che richiede un'azione coordinata e una maggiore resilienza cibernetica. Le istituzioni dell'UE stanno lavorando insieme per sviluppare norme, politiche e strumenti per garantire una sicurezza informatica solida e un ambiente digitale affidabile.

Ecco un glossario degli acronimi utilizzati:

CERT-EU: Computer Emergency Response Team for the Union institutions, bodies, offices, and agencies
ENISA: European Union Agency for Cybersecurity
EU: European Union
ICT: Information and Communication Technology
NIS: Network and Information Systems
NIS2: Revised Network and Information Systems Directive
EU: European Union
EEAS: European External Action Service
EU-wide: European Union-wide
ENISA: European Union Agency for Cybersecurity
ICT: Information and Communication Technology
CSIRTs: Computer Security Incident Response Teams

Ecco una lista dei termini citati, con una breve descrizione di ciascuno:

Consiglio dell'Unione Europea: È una delle istituzioni dell'Unione Europea ed è responsabile dell'adozione di decisioni legislative e di politica comune.
Sicurezza informatica: È un insieme di misure, strumenti e politiche volte a proteggere i sistemi informatici e i dati da accessi non autorizzati, danni o attacchi informatici.
Crisi COVID-19: Riferimento alla pandemia di COVID-19 che ha avuto un impatto significativo in Europa e nel resto del mondo.
Minacce informatiche: Sono azioni o eventi che mirano a compromettere la sicurezza dei sistemi informatici, inclusi attacchi informatici, malware, phishing e altre attività malevole.
Internet delle cose (IoT): Rappresenta la rete di dispositivi fisici (come sensori, veicoli, elettrodomestici, etc.) che sono collegati a Internet e possono scambiare dati tra di loro.
Crittografia quantistica: È un campo della crittografia che si basa su principi della fisica quantistica per garantire una sicurezza delle comunicazioni superiore rispetto ai metodi tradizionali di crittografia.
Strategia europea per la sicurezza informatica: È un documento che definisce le priorità e le azioni per rafforzare la sicurezza informatica in Europa, promuovendo la resilienza e la protezione dei cittadini e delle imprese.
Commissione europea: È una delle istituzioni dell'Unione Europea ed è responsabile dell'elaborazione e dell'attuazione delle politiche dell'UE.
Servizio europeo per l'azione esterna (SEAE): È un servizio diplomatico dell'Unione Europea responsabile della gestione delle relazioni esterne dell'UE e della politica estera e di sicurezza comune.
Autonomia strategica: Rappresenta la capacità di un'organizzazione o un'entità di prendere decisioni e perseguire gli obiettivi in modo indipendente, senza dipendere eccessivamente da attori esterni.
Agenzia dell'UE per la sicurezza informatica (ENISA): È un'agenzia dell'Unione Europea che svolge un ruolo chiave nel migliorare la sicurezza informatica in Europa, fornendo consulenza tecnica e promuovendo le migliori pratiche.
Rete europea di sicurezza informatica (CSIRTs Network): È una rete di team di risposta agli incidenti informatici degli Stati membri dell'UE che facilita la cooperazione e lo scambio di informazioni per affrontare le minacce informatiche transfrontaliere.
Diplomazia cibernetica: Rappresenta gli sforzi diplomatici volti a promuovere comportamenti responsabili e norme di comportamento appropriato nello spazio cibernetico, al fine di garantire la sicurezza e la stabilità.