Prime norme a livello dell'UE per migliorare la cibersicurezza: accordo con il PE

Il 7 dicembre 2015 la presidenza lussemburghese del Consiglio ha raggiunto un accordo informale con il Parlamento europeo su norme comuni volte a rafforzare la sicurezza delle reti e dell'informazione (SRI) nell'UE.

La nuova direttiva definirà gli obblighi in materia di cibersicurezza per gli operatori di servizi essenziali e i fornitori di servizi digitali. Tali operatori saranno tenuti ad adottare misure per gestire i rischi cibernetici e segnalare gravi incidenti di sicurezza, ma le due categorie saranno soggette a regimi differenti.

Xavier Bettel, primo ministro del Lussemburgo, ministro delle comunicazioni e dei mezzi di comunicazione e presidente del Consiglio, ha affermato: "Si tratta di un importante passo verso un approccio più coordinato alla cibersicurezza in Europa. Tutti gli attori, pubblici e privati, dovranno intensificare i loro sforzi, in particolare mediante una maggiore cooperazione tra gli Stati membri e obblighi di sicurezza più rigorosi per gli operatori di infrastrutture e i servizi digitali."

Norme più rigorose per gli operatori essenziali

La direttiva elenca una serie di settori critici in cui sono attivi gli operatori di servizi essenziali, come l'energia, i trasporti, la finanza e la sanità. In questi settori gli Stati membri identificheranno gli operatori che forniscono servizi essenziali, sulla base di criteri precisi stabiliti nella direttiva. Gli obblighi e la supervisione saranno maggiori per questi operatori rispetto ai fornitori di servizi digitali, il che rispecchia il livello di rischio che eventuali perturbazioni dei loro servizi possono porre per la società e l'economia.

Un regime più uniforme per i fornitori di servizi digitali

I seguenti servizi digitali rientreranno nel campo di applicazione della direttiva: piattaforme di commercio elettronico, motori di ricerca e servizi nella nuvola.

I fornitori di servizi digitali operano solitamente in più Stati membri. Per garantire che siano trattati in modo analogo in tutta l'UE, le norme si applicheranno a tutti gli operatori che offrono tali servizi, con l'esclusione delle piccole imprese.

Quadri nazionali e a livello dell'UE per contrastare le minacce cibernetiche

Ogni paese dell'UE sarà tenuto a designare una o più autorità nazionali, nonché a elaborare una strategia per affrontare le questioni di cibersicurezza.

Gli Stati membri, inoltre, intensificheranno la cooperazione in materia di cibersicurezza. Un gruppo di cooperazione a livello dell'UE verrà creato per sostenere la cooperazione strategica e lo scambio di migliori prassi tra Stati membri. Sarà istituita una rete nazionale di gruppi di intervento per la sicurezza informatica in caso di incidente (CSIRT) per promuovere la cooperazione operativa. Entrambi dovrebbero anche contribuire a rafforzare la fiducia tra Stati membri.

Termini

Gli Stati membri disporranno di 21 mesi dall'entrata in vigore della direttiva per adottare le disposizioni nazionali necessarie. Dopo questo periodo avranno a disposizione altri 6 mesi per identificare i loro operatori di servizi essenziali.

In che modo diventerà legge?

Per il Consiglio l'accordo deve ancora essere confermato dagli Stati membri. La presidenza presenterà il testo convenuto affinché gli ambasciatori degli Stati membri lo approvino in occasione della riunione del Comitato dei rappresentanti permanenti (Coreper) del 18 dicembre. Per concludere la procedura è necessaria l'adozione formale sia del Consiglio che del Parlamento.

• Strategia dell'UE per la cibersicurezza