La sicurezza informatica sta diventando sempre più fondamentale in un mondo in cui l'accesso alla rete permette di fare danni potenzialmente incalcolabili. Anche l'Ue sta correndo ai ripari e cerca di incentivare un livello minimo di solidarietà tra gli Stati membri nel dominio cibernetico.
La luce verde è arrivata nella notte tra martedì 5 e mercoledì 6 marzo, quando i negoziatori dell'Europarlamento e del Consiglio hanno trovato un accordo provvisorio sulle nuove norme proposte lo scorso aprile dalla Commissione in materia di "cyber-solidaritetà" e sulla revisione del Cyber security act (Csa), la storica legge del blocco sulla sicurezza digitale approvata nel 2019. Perché entrino in vigore, questi provvedimenti dovranno essere adottati in via definitiva dai co-legislatori, dopodiché andranno ad arricchire la strategia Ue per la cybersicurezza, adottata da Bruxelles a fine 2020.
Preparazione e resilienza
Ma cosa s'intende con solidarietà informatica? Nella sostanza, l'intesa raggiunta dai co-legislatori stabilisce nuove norme volte a rafforzare la capacità dei Ventisette di prevenire le minacce informatiche, di farvi fronte prontamente e di riprendersi rapidamente nel caso di attacchi o incidenti, anche su larga scala (come le interruzioni repentine dei servizi essenziali degli Stati membri). A tale scopo è prevista la creazione di un meccanismo di emergenza ad hoc, tramite il quale verranno condotte azioni di preparazione (inclusa la verifica delle vulnerabilità dei settori più critici, come i trasporti, i servizi sanitari o quelli energetici) e che andrà a costituire una sorta di "riserva di sicurezza informatica" grazie anche al contributo dell'industria privata, che dovrebbe operare in maggiore sinergia con i governi nazionali e le istituzioni comunitarie.
Dalla preparazione alla resilienza, dunque: Bruxelles punta ad aumentare l'efficacia degli sforzi degli Stati membri su tutta la linea della sicurezza, con un'enfasi tanto maggiore quanto più si avvicinano le elezioni europee, sulle quali continua a incombere l'ombra cupa di cyber-attacchi e operazioni ibride ad opera di attori malevoli, statali e non.
Cooperazione paneuropea
E nell'ottica della solidarietà la parola d'ordine è la cooperazione tra le cancellerie del Vecchio continente: non solo scambio di buone pratiche ma, soprattutto, gestione concertata delle crisi e delle risposte agli attacchi esterni. Con tanto di previsione di assistenza reciproca anche in termini finanziari, sempre nell'ambito del meccanismo di emergenza già citato. Complessivamente, verranno destinati al rafforzamento della solidarietà informatica 1,1 miliardi di euro, due terzi dei quali dovrebbero essere finanziati attraverso il programma "Europa digitale" della Commissione.
Le nuove regole prevedono inoltre la possibilità di certificare i servizi di sicurezza secondo standard comuni a tutti i Paesi Ue, per garantire un livello minimo di sicurezza e facilitare la fornitura informatica transfrontaliera per cittadini e imprese (oltre naturalmente ai governi e agli enti pubblici), che devono difendersi da malware e minacce di vario genere. Per individuare in anticipo le minacce, il regolamento istituirà anche un sistema di allerta paneuropeo, la cui ossatura sarà composta da centri informatici nazionali affiancati da corrispettivi transfrontalieri attraverso tutta l'Unione, il cui compito sarà quello di rilevare tempestivamente le minacce e di condividere le informazioni raccolte con gli altri gangli dell'infrastruttura.
Aggiornamento del Csa
Infine, nel pacchetto legislativo approvato in via provvisoria dai co-legislatori ha trovato posto anche un emendamento mirato ad alcune parti della legge Ue sulla cybersecurity (il Csa del 2019). Si tratta principalmente delle disposizioni che riguardano la cyber-resilienza del blocco, che sono state aggiornate per consentire la futura adozione di certificazioni europee per i cosiddetti servizi di sicurezza gestiti, quei prodotti forniti da aziende specializzate (come i test di penetrazione, gli audit di sicurezza e varie forme di consulenza tecnica) che sono fondamentali per la prevenzione, l'individuazione, la risposta e la ripresa dagli incidenti informatici.
L'emendamento (che arriva qualche mese della revisione periodica del Csa, in calendario per fine giugno) punta anch'esso a creare una dimensione comunitaria della sicurezza informatica, promuovendo la comparabilità e, in prospettiva, l'interoperabilità dei sistemi di cybersecurity impiegati nei Paesi membri, per evitare la frammentazione del mercato interno e le duplicazioni inutili di modelli e sistemi, con tutti i costi annessi.