La futura legge, frutto di un accordo informale raggiunto tra il Parlamento europeo e il Consiglio il 7 dicembre, deve ancora essere approvata dalla sessione plenaria del Parlamento europeo e dal Consiglio.
La nuova direttiva per il raggiungimento di un livello di sicurezza comune più elevato per le reti e i sistemi informativi in tutta l'Unione europea (nota come NIS) mira a porre fine all'attuale frammentazione dei 28 sistemi nazionali di cybersicurezza, istituendo un elenco di settori o aziende di servizi critici che saranno tenuti ad adottare misure speciali per resistere a futuri attacchi informatici. Saranno inoltre obbligati a segnalare alle autorità nazionali qualsiasi grave violazione della sicurezza di cui vengano a conoscenza.
"Il Parlamento si è impegnato a fondo per l'identificazione armonizzata dei settori critici come l'energia, i trasporti, la sanità e il settore bancario, che dovranno conformarsi alle nuove norme e segnalare i principali incidenti informatici. Gli Stati membri dovranno inoltre cooperare maggiormente in materia di cybersicurezza, misure che assumono un'importanza ancora maggiore alla luce dei recenti attacchi informatici in Europa", ha spiegato il portavoce tedesco Andreas Schwab (PPE) dopo aver raggiunto un accordo il mese scorso sulla direttiva NIS.
Elenco dei "servizi essenziali"
Gli Stati membri dell'UE dovranno identificare gli "operatori di servizi essenziali" in ciascuno dei settori menzionati utilizzando gli stessi criteri: se il servizio è fondamentale per la società e l'economia, se dipende da altre reti e sistemi informativi, o se un incidente potrebbe avere effetti negativi significativi sull'erogazione del servizio o sulla sicurezza pubblica.
Alcuni fornitori di servizi digitali, come noti rivenditori online quali eBay e Amazon, motori di ricerca (ad esempio Google) e fornitori di servizi di cloud storage, dovranno adottare misure per garantire la sicurezza delle proprie infrastrutture e saranno tenuti a segnalare gli incidenti gravi alle autorità nazionali. Le PMI digitali saranno escluse dalla direttiva.
Meccanismi di cooperazione a livello UE
: per garantire un livello di sicurezza più elevato in tutta l'UE e per rafforzare la fiducia tra gli Stati membri, il progetto di legge prevede un "gruppo di cooperazione" strategico dedicato allo scambio di informazioni e buone prassi, allo sviluppo di linee guida e al supporto dei paesi per accrescere le proprie capacità in materia di cybersicurezza. Ciascuno Stato membro sarà tenuto ad adottare la propria strategia nazionale in materia di sistemi informativi nazionali (NIS).
Ciascuno Stato membro dell'UE dovrà inoltre istituire una rete di "squadre di risposta agli incidenti di sicurezza informatica (CSIRT)" per gestire incidenti e rischi, discutere questioni di sicurezza transfrontaliere e individuare potenziali risposte coordinate. Anche l'Agenzia dell'Unione europea per la cibersicurezza (ENISA) svolgerà un ruolo chiave nell'attuazione della direttiva.
La necessità di rispettare la protezione dei dati personali è un tema affrontato ripetutamente nella bozza di legge.
Prossimi passi:
il progetto di direttiva NIS sarà ora esaminato da linguisti giuridici prima di essere approvato dal Consiglio e dal Parlamento europeo. Sarà quindi pubblicato nella Gazzetta ufficiale dell'UE ed entrerà in vigore venti giorni dopo la pubblicazione. Gli Stati membri avranno ulteriori 21 mesi per recepire la direttiva nel proprio ordinamento nazionale e altri sei mesi per individuare i fornitori di servizi essenziali.
Nota: i sistemi informativi, le reti e i servizi critici, come l'online banking, le reti elettriche o la sicurezza aeroportuale, possono essere colpiti da incidenti di sicurezza causati da errori umani, guasti tecnici o attacchi malevoli. L'ENISA stima che tali incidenti comportino perdite annuali comprese tra 260 e 340 miliardi di euro.
