Regolamento (UE, Euratom) 2023/2841 del Parlamento europeo e del Consiglio del 13 dicembre 2023 che stabilisce misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e negli organismi dell'Unione

visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 298,

visto il trattato che istituisce la Comunità europea dell'energia atomica, in particolare l'articolo 106 bis,

vista la proposta della Commissione europea,

previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,

deliberando secondo la procedura legislativa ordinaria¹,

Nell'era digitale, le tecnologie dell'informazione e della comunicazione sono fondamentali per un'amministrazione europea aperta, efficace ed indipendente. L'evoluzione della tecnologia e la maggiore complessità e interconnessione dei sistemi digitali amplificano i rischi per la cibersicurezza, rendendo i soggetti dell'Unione più vulnerabili alle minacce e agli incidenti informatici, il che rappresenta un pericolo per la loro continuità operativa e per la loro capacità di protezione dei dati. Se il maggior ricorso ai servizi cloud, l'uso generalizzato delle tecnologie dell'informazione e della comunicazione (TIC), l'elevato livello di digitalizzazione, il lavoro a distanza e l'evoluzione delle tecnologie e della connettività sono caratteristiche fondamentali di tutte le attività dei soggetti dell'Unione, la resilienza digitale non è ancora sufficientemente integrata.

Il panorama delle minacce informatiche che pesano sui soggetti dell'Unione è in costante divenire. Gli autori delle minacce impiegano tattiche, tecniche e procedure in continua evoluzione, mentre i moventi più usuali per questi attacchi cambiano di poco: dal furto di importanti informazioni riservate al profitto finanziario, alla manipolazione dell'opinione pubblica o all'indebolimento delle infrastrutture digitali. Il ritmo di perpetrazione degli attacchi informatici da parte degli autori delle minacce continua a intensificarsi, con campagne sempre più sofisticate e automatizzate che prendono di mira le superfici di attacco esposte, che continuano ad ampliarsi, sfruttando rapidamente le vulnerabilità.

Gli ambienti TIC dei soggetti dell'Unione sono interdipendenti, utilizzano flussi di dati integrati e sono caratterizzati da una stretta collaborazione fra i loro utenti. Tale interconnessione significa che qualsiasi perturbazione, anche se inizialmente limitata a un solo soggetto dell'Unione, può avere effetti a cascata più ampi, con potenziali ripercussioni negative di ampia portata e di lunga durata su altri soggetti dell'Unione. Inoltre, alcuni ambienti TIC dei soggetti dell'Unione sono connessi con gli ambienti TIC degli Stati membri, e un incidente in un soggetto dell'Unione può rappresentare un rischio per la cibersicurezza degli ambienti TIC degli Stati membri e viceversa. La condivisione di informazioni specifiche su un incidente può facilitare il rilevamento di minacce informatiche o incidenti analoghi che interessano gli Stati membri.

I soggetti dell'Unione sono obiettivi interessanti, che si trovano ad affrontare sia autori di minacce molto esperti e dotati di risorse adeguate, sia altri tipi di minacce. Al tempo stesso, fra tali soggetti il livello e la maturità della ciberresilienza e la capacità di individuare e contrastare attività informatiche dolose variano in modo significativo. Ai fini del loro funzionamento, è quindi necessario che i soggetti dell'Unione raggiungano un livello comune elevato di cibersicurezza attraverso l'attuazione di misure di gestione dei rischi di cibersicurezza commisurate ai rischi per la cibersicurezza individuati, lo scambio di informazioni e la collaborazione.

La direttiva (EU) 2022/2555 del Parlamento europeo e del Consiglio² è volta a migliorare ulteriormente le ciberresilienza e la capacità di risposta agli incidenti di soggetti pubblici e privati, delle autorità e degli organi competenti così come dell'Unione nel suo complesso. È pertanto necessario che i soggetti dell'Unione agiscano in tal senso prevedendo norme che siano coerenti con la direttiva (UE) 2022/2555 e rispecchino il suo livello di ambizione.

Per raggiungere un livello comune elevato di cibersicurezza, è necessario che ogni soggetto dell'Unione istituisca un quadro interno di gestione, governance e controllo dei rischi per la cibersicurezza («quadro»), che garantisca una gestione efficace e prudente di tutti i rischi per la cibersicurezza e tenga conto della continuità operativa e della gestione delle crisi. Il quadro dovrebbe stabilire politiche in materia di cibersicurezza, comprensive di obiettivi e priorità, per la sicurezza dei sistemi informativi e di rete che costituiscono la totalità dell'ambiente TIC non riservato. Il quadro dovrebbe basarsi su un approccio multirischio che miri a proteggere i sistemi informativi e di rete e il loro ambiente fisico da eventi quali furti, incendi, inondazioni, problemi di telecomunicazione o interruzioni di corrente, o da qualsiasi accesso fisico non autorizzato nonché dai danni alle informazioni detenute dai soggetti dell'Unione e ai loro impianti di trattamento delle informazioni e dalle interferenze con tali informazioni o impianti che possano compromettere la disponibilità, l'autenticità, l'integrità o la riservatezza dei dati conservati, trasmessi, trattati o accessibili tramite i sistemi informativi e di rete.

Per gestire i rischi per la cibersicurezza individuati nell'ambito del quadro, ciascun soggetto dell'Unione dovrebbe adottare misure tecniche, operative e organizzative adeguate e proporzionate. Tali misure dovrebbero riguardare i settori e le misure di gestione dei rischi per la cibersicurezza previsti dal presente regolamento per rafforzare la cibersicurezza di ciascun soggetto dell'Unione.

Le risorse e i rischi per la cibersicurezza individuati nel quadro nonché le conclusioni tratte dalle valutazioni di maturità periodiche della cibersicurezza dovrebbero essere rispecchiate in un piano di cibersicurezza stabilito da ciascun soggetto dell'Unione. Il piano di cibersicurezza dovrebbe includere le misure di gestione dei rischi per la cibersicurezza adottate.

Poiché garantire la cibersicurezza è un processo continuo, l'adeguatezza e l'efficacia delle misure adottate a norma del presente regolamento dovrebbero essere riviste periodicamente alla luce dell'evoluzione dei rischi per la cibersicurezza, delle risorse e della maturità in materia di cibersicurezza dei soggetti dell'Unione. Il quadro dovrebbe essere riesaminato periodicamente e almeno ogni quattro anni, mentre il piano di cibersicurezza dovrebbe essere rivisto ogni due anni o più spesso, se necessario, a seguito delle valutazioni della maturità in materia di cibersicurezza o di ciascun riesame sostanziale del quadro.

Le misure di gestione dei rischi per la cibersicurezza messe in atto dai soggetti dell'Unione dovrebbero prevedere politiche volte, ove possibile, a rendere trasparente il codice sorgente, tenendo conto delle garanzie per i diritti di terzi o dei soggetti dell'Unione. Tali politiche dovrebbero essere proporzionate al rischio per la cibersicurezza e sono intese a facilitare l'analisi delle minacce informatiche, senza creare obblighi di comunicazione o diritti di accesso al codice di terzi oltre i termini contrattuali applicabili.

Gli strumenti e le applicazioni di cibersicurezza open source possono contribuire a un livello più elevato di apertura. Gli standard aperti facilitano l'interoperabilità tra gli strumenti di sicurezza, a vantaggio della sicurezza dei portatori di interessi. Gli strumenti e le applicazioni open source in materia di cibersicurezza possono mobilitare la più ampia comunità di sviluppatori, consentendo la diversificazione dei fornitori. Una fonte aperta può portare a un processo di verifica più trasparente degli strumenti connessi alla cibersicurezza e a un processo di individuazione delle vulnerabilità guidato dalla comunità. I soggetti dell'Unione dovrebbero pertanto poter promuovere l'utilizzo di software open source e standard aperti, perseguendo politiche relative all'uso di dati aperti e open source come parte della sicurezza attraverso la trasparenza.

Le differenze esistenti fra i soggetti dell'Unione richiedono flessibilità nell'attuazione del presente regolamento. Le misure per un livello comune elevato di cibersicurezza previste dal presente regolamento non dovrebbero comportare alcun obbligo che interferisca direttamente con l'esercizio delle missioni dei soggetti dell'Unione o che ne intacchi l'autonomia istituzionale. Tali soggetti dovrebbero pertanto istituire i propri quadri e dovrebbero adottare le proprie misure di gestione dei rischi per la cibersicurezza e i propri piani di cibersicurezza. Nell'attuare tali misure si dovrebbe tenere debitamente conto delle sinergie esistenti tra i soggetti dell'Unione, ai fini di una corretta gestione delle risorse e dell'ottimizzazione dei costi. È inoltre opportuno tenere debitamente conto del fatto che le misure non incidono negativamente sull'efficienza dello scambio di informazioni e della cooperazione tra i soggetti dell'Unione e tra i soggetti dell'Unione e le controparti degli Stati membri.

Al fine di ottimizzare l'uso delle risorse, il presente regolamento dovrebbe prevedere la possibilità che due o più soggetti dell'Unione con strutture simili cooperino nell'esecuzione delle valutazioni della maturità in materia di cibersicurezza per i loro rispettivi soggetti.

Per evitare di imporre un onere finanziario e amministrativo sproporzionato ai soggetti dell'Unione, gli obblighi di gestione dei rischi per la cibersicurezza dovrebbero essere proporzionati al rischio per la cibersicurezza corso dal sistema informativo e di rete interessato, tenendo conto delle misure più avanzate nel settore. Ogni soggetto dell'Unione dovrebbe mirare a stanziare un'adeguata percentuale del suo bilancio relativo alle TIC per migliorare il livello di cibersicurezza. A lungo termine dovrebbe essere perseguito un obiettivo indicativo dell'ordine di almeno il 10 %. La valutazione della maturità in materia di cibersicurezza dovrebbe determinare se la spesa per la cibersicurezza del soggetto dell'Unione sia proporzionata ai rischi per la cibersicurezza cui quest'ultimo è esposto. Fatte salve le norme relative al bilancio annuale dell'Unione a norma dei trattati, nella proposta per il primo bilancio annuale da adottare dopo l'entrata in vigore del presente regolamento la Commissione dovrebbe tenere conto degli obblighi derivanti dal presente regolamento nel valutare il fabbisogno di bilancio e di personale dei soggetti dell'Unione risultante dai loro stati di previsione delle spese.

Un livello comune elevato di cibersicurezza richiede che tale aspetto sia soggetto alla sorveglianza del livello di dirigenza più elevato di ogni soggetto dell'Unione. Il livello di dirigenza più elevato del soggetto dell'Unione dovrebbe essere responsabile dell'attuazione del presente regolamento, anche per quanto riguarda l'istituzione del quadro, l'adozione delle misure di gestione dei rischi di cibersicurezza e l'approvazione del piano di cibersicurezza. Occuparsi della cultura della cibersicurezza, ossia della pratica quotidiana della cibersicurezza, è parte integrante del quadro e delle corrispondenti misure di gestione dei rischi per la cibersicurezza in tutti i soggetti dell'Unione.

La sicurezza dei sistemi informativi e di rete che trattano informazioni classificate UE (ICUE) è essenziale. I soggetti dell'Unione che trattano ICUE sono tenuti ad applicare i quadri normativi completi in vigore per la protezione di tali informazioni, compresi specifici meccanismi di governance, politiche e procedure di gestione dei rischi. È necessario che i sistemi informativi e di rete che trattano ICUE rispettino norme di sicurezza più rigorose rispetto ai sistemi d'informazione e di rete non classificati. Pertanto, i sistemi informativi e di rete che trattano ICUE sono più resilienti alle minacce e agli incidenti informatici. Di conseguenza, pur riconoscendo la necessità di un quadro comune al riguardo, il presente regolamento non dovrebbe applicarsi ai sistemi informativi e di rete che trattano ICUE. Tuttavia, se esplicitamente richiesto da un soggetto dell'Unione, la squadra di pronto intervento informatico delle istituzioni, degli organi e delle agenzie dell'UE (CERT-UE) dovrebbe poter fornire assistenza a tale soggetto dell'Unione in relazione a incidenti in ambienti TIC classificati.

I soggetti dell'Unione dovrebbero valutare i rischi per la cibersicurezza legati alle relazioni con i fornitori e i prestatori di servizi, compresi i prestatori di servizi di conservazione ed elaborazione dei dati o di servizi di sicurezza gestiti, e dovrebbero adottare misure adeguate per affrontarli. Le misure di cibersicurezza dovrebbero essere ulteriormente specificate in indirizzi o raccomandazioni emanati dal CERT-UE. Nel definire le misure e gli indirizzi dovrebbero essere presi in debita considerazione lo stato delle conoscenze e, se del caso, le pertinenti norme europee e internazionali nonché le normative e politiche rilevanti dell'Unione, comprese le valutazioni dei rischi per la cibersicurezza e le raccomandazioni emanate dal gruppo di cooperazione istituito a norma dell'articolo 14 della direttiva (UE) 2022/2555, come la valutazione dei rischi della cibersicurezza delle reti 5G coordinata a livello dell'UE e il pacchetto di strumenti dell'UE per la cibersicurezza del 5G. Tenuto conto del panorama delle minacce e dell'importanza di consolidare la ciberresilienza per i soggetti dell'Unione, potrebbe essere inoltre richiesta la certificazione di prodotti, servizi e processi TIC nell'ambito di specifici sistemi europei di certificazione della cibersicurezza adottati conformemente all'articolo 49 del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio³.

Nel maggio 2011 i segretari generali delle istituzioni e degli organi dell'Unione hanno deciso di istituire un gruppo per la preconfigurazione del CERT-UE, posto sotto la supervisione di un comitato direttivo interistituzionale. Nel luglio 2012 i segretari generali hanno confermato le modalità pratiche e convenuto di mantenere il CERT-UE quale entità permanente per continuare a contribuire a migliorare il livello generale di sicurezza informatica delle istituzioni, degli organi e delle agenzie dell'Unione come esempio di cooperazione interistituzionale visibile in materia di cibersicurezza. Nel settembre 2012 il CERT-UE è stato istituito come task force della Commissione con un mandato interistituzionale. Nel dicembre 2017 le istituzioni e gli organi dell'Unione hanno concluso un accordo interistituzionale sull'organizzazione e il funzionamento del CERT-UE⁴. Il presente regolamento dovrebbe fornire una serie completa di norme sull'organizzazione, il funzionamento e l'operatività del CERT-UE. Le disposizioni del presente regolamento prevalgono sulle disposizioni dell'accordo interistituzionale sull'organizzazione e il funzionamento del CERT-UE concluso nel dicembre 2017.

Il CERT-UE dovrebbe essere rinominato servizio per la cibersicurezza delle istituzioni, degli organi e degli organismi dell'Unione, ma dovrebbe mantenere il nome abbreviato CERT-UE a fini di riconoscibilità del nome.

Oltre a conferire maggiori compiti e un ruolo più ampio al CERT-UE, il presente regolamento istituisce il comitato interistituzionale per la cibersicurezza (Interinstitutional Cybersecurity Board – IICB) al fine di contribuire all'instaurarsi di un livello comune elevato di cibersicurezza tra i soggetti dell'Unione. L'IICB dovrebbe svolgere un ruolo esclusivo nel vigilare e sostenere l’attuazione del presente regolamento da parte dei soggetti dell’Unione e nel vigilare sull’attuazione delle priorità e degli obiettivi generali da parte del CERT-UE nonché nel fornire a tale centro di una direzione strategica. L’IICB dovrebbe pertanto garantire la rappresentanza delle istituzioni dell’Unione e includere rappresentanti degli organi e degli organismi dell’Unione attraverso la rete delle agenzie dell’Unione europea (EU Agencies Network – EUAN). L’organizzazione e il funzionamento dell’IICB dovrebbero essere ulteriormente disciplinati da un regolamento interno, che può comprendere un’ulteriore precisazione delle riunioni periodiche dell’IICB, compresi raduni annuali a livello politico in cui i rappresentanti del livello di dirigenza più elevato di ciascun membro dell’IICB consentirebbero all’IICB di tenere discussioni strategiche e gli fornirebbero orientamenti strategici. Inoltre, l’IICB dovrebbe poter istituire un comitato esecutivo incaricato di assisterlo nei suoi lavori e di delegargli alcuni dei suoi compiti e poteri, in particolare in termini di compiti che richiedono competenze specifiche dei suoi membri, ad esempio l’approvazione del catalogo dei servizi e dei successivi aggiornamenti, le modalità degli accordi sul livello dei servizi, le valutazioni dei documenti e delle relazioni presentati dai soggetti dell’Unione all’IICB a norma del presente regolamento o i compiti relativi alla preparazione delle decisioni sulle misure di conformità emanate dall’IICB e al controllo della loro attuazione. L’IICB dovrebbe stabilire il regolamento interno del comitato esecutivo, compresi i suoi compiti e i suoi poteri.

L’IICB mira a sostenere i soggetti dell’Unione nell’incrementare le rispettive posizioni di cibersicurezza mediante l’attuazione del presente regolamento. Al fine di sostenere i soggetti dell’Unione, l’IICB dovrebbe fornire orientamenti al direttore del CERT-UE, adottare una strategia pluriennale per innalzare il livello di cibersicurezza nei soggetti dell’Unione, stabilire la metodologia e altri aspetti delle valutazioni inter pares volontarie e facilitare l’istituzione di un gruppo informale di responsabili locali della cibersicurezza, con il sostegno dell’Agenzia dell’Unione europea per la cibersicurezza (ENISA), al fine di scambiare migliori pratiche e informazioni in relazione all’attuazione del presente regolamento.

Al fine di conseguire un livello elevato di cibersicurezza in tutti i soggetti dell’Unione, gli interessi degli organi e degli organismi dell’Unione che gestiscono il proprio ambiente TIC dovrebbero essere rappresentati nell’IICB da tre rappresentanti designati dall’EUAN. La sicurezza del trattamento dei dati personali, e quindi anche la loro cibersicurezza, è un elemento fondamentale della protezione dei dati. Alla luce delle sinergie tra la protezione dei dati e la cibersicurezza, il garante europeo della protezione dei dati dovrebbe essere rappresentato in seno all’IICB in qualità di soggetto dell’Unione assoggettato al presente regolamento, con competenze specifiche nel settore della protezione dei dati, compresa la sicurezza delle reti di comunicazione elettronica. Data l’importanza dell’innovazione e della competitività nella cibersicurezza, il Centro europeo di competenza industriale, tecnologica e di ricerca sulla cibersicurezza dovrebbe essere rappresentato in seno all’IICB. In considerazione del ruolo dell’ENISA quale centro di competenze in materia di cibersicurezza e del sostegno fornito dall’ENISA, e in considerazione dell’importanza della cibersicurezza delle infrastrutture e dei servizi spaziali dell’Unione, l’ENISA e l’Agenzia dell’Unione europea per il programma spaziale dovrebbero essere rappresentate in seno all’IICB. Alla luce del ruolo assegnato al CERT-UE a norma del presente regolamento, il direttore del CERT-UE dovrebbe essere invitato dal presidente dell’IICB a tutte le riunioni dell’IICB, tranne quando l’IICB discute di questioni direttamente connesse al direttore del CERT-UE.

L’IICB dovrebbe controllare l’osservanza del presente regolamento come pure l’attuazione degli indirizzi e delle raccomandazioni nonché degli inviti a intervenire. L’IICB dovrebbe essere coadiuvato sulle questioni tecniche da gruppi di consulenza tecnica composti come da esso ritenuto utile. I gruppi di consulenza tecnica dovrebbero lavorare in stretta collaborazione con il CERT-UE, con i soggetti dell'Unione e con altri portatori di interessi a seconda delle necessità.

Qualora constati che un soggetto dell'Unione non ha attuato efficacemente il presente regolamento o gli indirizzi, le raccomandazioni o gli inviti a intervenire emanati in base ad esso, l'IICB, ferme restando le procedure interne del soggetto dell'Unione interessato, dovrebbe poter procedere con le misure di conformità. L'IICB dovrebbe applicare le misure di conformità progressivamente, vale a dire che dovrebbe innanzitutto adottare la misura meno severa, vale a dire un parere motivato, e solo se necessario adottare misure sempre più severe, culminando nella misura più grave, vale a dire una raccomandazione di sospensione temporanea dei flussi di dati verso il soggetto dell'Unione interessato. Tale raccomandazione dovrebbe essere applicata solo in casi eccezionali di violazioni ripetute nel tempo, deliberate, ripetute o gravi del presente regolamento da parte del soggetto dell'Unione interessato.

Il parere motivato rappresenta la misura di conformità meno severa per colmare le lacune osservate nell'attuazione del presente regolamento. L'IICB dovrebbe essere in grado di dare seguito a un parere motivato con orientamenti che aiutino il soggetto dell'Unione a garantire che il suo quadro, le sue misure di gestione dei rischi di cibersicurezza, il suo piano di cibersicurezza e le sue segnalazioni siano conformi al presente regolamento e successivamente emanando un avvertimento per affrontare le carenze individuate del soggetto dell'Unione entro un periodo specificato. Se le carenze individuate nell'avvertimento non sono state affrontate in misura sufficiente, l'IICB dovrebbe essere in grado di emanare una notifica motivata.

L'IICB dovrebbe essere in grado di raccomandare lo svolgimento di un audit di un soggetto dell'Unione. A tal fine, il soggetto dell'Unione dovrebbe poter utilizzare la propria funzione di audit interno. L'IICB dovrebbe inoltre essere in grado di richiedere lo svolgimento di un audit a cura di un servizio di audit di terzi, compreso un prestatore di servizi del settore privato concordato di comune accordo.

In casi eccezionali di inosservanza a lungo termine, deliberata, ripetuta o grave del presente regolamento da parte di un soggetto dell'Unione, l'IICB dovrebbe essere in grado di raccomandare a tutti gli Stati membri e ai soggetti dell'Unione, come misura di ultima istanza, una sospensione temporanea dei flussi di dati verso il soggetto dell'Unione fino alla cessazione dell’inosservanza da parte del soggetto interessato. Tale raccomandazione dovrebbe essere comunicata tramite canali di comunicazione adeguati e sicuri.

Per garantire la corretta attuazione del presente regolamento, qualora ritenga che una violazione persistente del presente regolamento da parte di un soggetto dell'Unione sia direttamente imputabile ad azioni od omissioni di un membro del personale, anche al livello di dirigenza più elevato, l'IICB dovrebbe chiedere al soggetto dell'Unione interessato di adottare misure adeguate, compresa la richiesta di prendere in considerazione l'adozione di misure di natura disciplinare, conformemente alle norme e alle procedure previste dallo statuto dei funzionari dell'Unione europea e dal regime applicabile agli altri agenti dell'Unione, stabilito dal regolamento (CEE, Euratom, CECA) n. 259/685 del Consiglio («statuto dei funzionari»), nonché a qualsiasi altra norma e procedura applicabile.

Il CERT-UE dovrebbe contribuire alla sicurezza dell'ambiente TIC di tutti i soggetti dell'Unione. Nel valutare se fornire consulenza o contributi tecnici su importanti questioni strategiche su richiesta di un soggetto dell'Unione, il CERT-UE dovrebbe garantire che ciò non ostacoli l'adempimento degli altri compiti che gli sono attribuiti a norma del presente regolamento. Il CERT-UE dovrebbe fungere, per i soggetti dell'Unione, da equivalente del coordinatore designato ai fini della divulgazione coordinata delle vulnerabilità di cui all'articolo 12, paragrafo 1, della direttiva (UE) 2022/2555.

Il CERT-UE dovrebbe sostenere l'attuazione delle misure per un livello comune elevato di cibersicurezza proponendo all'IICB indirizzi e raccomandazioni ed emanando inviti a intervenire. Tali indirizzi e raccomandazioni dovrebbero essere approvati dall'IICB. Ove necessario, il CERT-UE dovrebbe emanare inviti a intervenire che descrivano le misure di sicurezza urgenti che i soggetti dell'Unione sono esortati ad adottare entro un termine stabilito. L'IICB dovrebbe chiedere al CERT-UE di emanare, ritirare o modificare una proposta di indirizzi o raccomandazioni o un invito a intervenire.

Il CERT-UE dovrebbe inoltre svolgere il ruolo ad esso assegnato nella direttiva (UE) 2022/2555 per quanto riguarda la cooperazione e lo scambio di informazioni con la rete dei gruppi di intervento per la sicurezza informatica in caso di incidente (the computer security incident response teams – CSIRT) istituita a norma dell'articolo 15 di tale direttiva. Inoltre, in linea con la raccomandazione (EU) 2017/1584 della Commissione⁶ il CERT-UE dovrebbe cooperare e coordinare una risposta con i portatori di interessi. Per contribuire a un livello comune elevato di cibersicurezza nell'Unione, il CERT-UE dovrebbe condividere con gli omologhi degli Stati membri informazioni specifiche sugli incidenti. Il CERT-UE dovrebbe inoltre collaborare con altri omologhi pubblici e privati, anche in seno all'Organizzazione del trattato del Nord Atlantico, previa approvazione da parte dell'IICB.

Nel sostenere la cibersicurezza operativa, il CERT-UE dovrebbe avvalersi delle competenze disponibili dell'ENISA attraverso la cooperazione strutturata di cui al regolamento (UE) 2019/881. Se del caso, dovrebbero essere conclusi appositi accordi tra le due entità per definire l'attuazione pratica di tale cooperazione ed evitare la duplicazione delle attività. Il CERT-UE dovrebbe cooperare con l'ENISA per quanto riguarda l'analisi delle minacce e dovrebbe condividere periodicamente con l'ENISA la sua relazione sul panorama delle minacce.

Il CERT-UE dovrebbe essere in grado di cooperare e scambiare informazioni con le pertinenti comunità della cibersicurezza nell'Unione e nei suoi Stati membri per promuovere la cooperazione operativa e consentire alle reti esistenti di realizzare appieno il loro potenziale di protezione dell'Unione.

Poiché i servizi e i compiti del CERT-UE sono svolti nell'interesse dei soggetti dell'Unione, ogni soggetto dell'Unione che sostenga spese per le TIC dovrebbe contribuire con una quota equa a tali servizi e compiti. Tali contributi non pregiudicano l'autonomia di bilancio dei soggetti dell'Unione.

Molti attacchi informatici fanno parte di campagne più ampie rivolte contro gruppi di soggetti dell'Unione o comunità di interesse che comprendono i soggetti dell'Unione. Per consentire l'adozione di misure proattive di rilevamento, risposta agli incidenti o attenuazione e di ripresa dopo eventuali incidenti, i soggetti dell'Unione dovrebbero poter notificare al CERT-UE gli incidenti, le minacce informatiche, le vulnerabilità e i quasi incidenti e condividere adeguati dettagli tecnici che consentano di rilevare o attenuare e di rispondere a incidenti, minacce informatiche, vulnerabilità e quasi incidenti analoghi in altri soggetti dell'Unione. Seguendo lo stesso approccio della direttiva (UE) 2022/2555, i soggetti dell'Unione dovrebbero essere tenuti a presentare un preallarme al CERT-UE entro 24 ore dal momento in cui vengono a conoscenza di un incidente significativo. Un tale scambio di informazioni dovrebbe consentire al CERT-UE di diffondere le informazioni agli altri soggetti dell'Unione come pure agli omologhi rilevanti, per aiutare a proteggere gli ambienti TIC dei soggetti dell'Unione e quelli degli omologhi dei soggetti dell'Unione contro incidenti analoghi.

Il presente regolamento stabilisce un approccio in più fasi alla segnalazione degli incidenti significativi al fine di trovare il giusto equilibrio tra, da un lato, una segnalazione rapida che contribuisca ad attenuare la potenziale diffusione di incidenti significativi e consenta ai soggetti dell'Unione di chiedere assistenza e, dall'altro, una segnalazione approfondita che tragga insegnamenti preziosi dai singoli incidenti e migliori nel tempo la ciberresilienza dei singoli soggetti dell'Unione e contribuisca ad aumentare la loro posizione di cibersicurezza complessiva. A tale proposito, il presente regolamento dovrebbe includere la segnalazione di incidenti che, sulla base di una valutazione iniziale condotta dal soggetto dell'Unione interessato, potrebbero causare gravi perturbazioni operative per il funzionamento del soggetto dell'Unione interessato o perdite finanziarie per il soggetto dell'Unione interessato o interessare altre persone fisiche o giuridiche causando considerevoli danni materiali o immateriali. Detta valutazione iniziale dovrebbe tenere conto, tra l'altro, dei sistemi informativi e di rete interessati, in particolare della loro importanza per il funzionamento del soggetto dell'Unione, della gravità e delle caratteristiche tecniche di una minaccia informatica e delle eventuali vulnerabilità sottostanti che vengono sfruttate, nonché dell'esperienza del soggetto dell'Unione in caso di incidenti simili. Indicatori quali la misura in cui il funzionamento del soggetto dell'Unione è interessato, la durata di un incidente o il numero di persone fisiche o giuridiche interessate potrebbero svolgere un ruolo importante nel determinare se la perturbazione operativa sia grave o meno.

Poiché l'infrastruttura e i sistemi informativi e di rete del pertinente soggetto dell'Unione e dello Stato membro in cui è situato tale soggetto dell'Unione sono interconnessi, è fondamentale che detto Stato membro sia informato senza indebito ritardo di un incidente significativo all'interno di tale soggetto dell'Unione. A tal fine, il soggetto dell'Unione interessato dovrebbe informare gli omologhi pertinenti dello Stato membro, designati o istituiti a norma degli articoli 8 e 10 della direttiva (UE) 2022/2555, del verificarsi di un incidente significativo in merito al quale effettua una segnalazione al CERT-UE. Quando viene a conoscenza di un incidente significativo all'interno di uno Stato membro, il CERT-UE ne dovrebbe informare gli omologhi pertinenti in quello Stato membro.

È opportuno attuare un meccanismo per garantire l'efficacia dello scambio di informazioni, del coordinamento e della cooperazione dei soggetti dell'Unione in caso di incidenti gravi, compresa una chiara individuazione dei ruoli e delle responsabilità dei soggetti dell'Unione coinvolti. Il rappresentante della Commissione in seno all’IICB dovrebbe, subordinatamente al piano di gestione delle crisi informatiche, fungere da punto di contatto per facilitare la condivisione da parte dell'IICB delle pertinenti informazioni riguardanti gli incidenti gravi con la rete europea delle organizzazioni di collegamento per le crisi informatiche (European cyber crisis liaison organisation network – EU-CyCLONe), quale contributo alla condivisione della conoscenza situazionale. Il ruolo del rappresentante della Commissione in seno all'IICB quale punto di contatto non dovrebbe pregiudicare il ruolo separato e distinto della Commissione nell'ambito di EU-CyCLONe a norma dell'articolo 16, paragrafo 2, della direttiva (UE) 2022/2555.

Il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio⁷ si applica a qualunque trattamento dei dati personali a norma del presente regolamento. Il trattamento dei dati personali potrebbe riguardare le misure adottate nell'ambito della gestione dei rischi di cibersicurezza, della gestione della vulnerabilità e degli incidenti, della condivisione di informazioni sugli incidenti, delle minacce informatiche e delle vulnerabilità, nonché del coordinamento e della cooperazione in materia di risposta agli incidenti. Tali misure potrebbero richiedere il trattamento di determinate categorie di dati personali, quali gli indirizzi IP, i localizzatori uniformi di risorse (URL), i nomi di dominio, gli indirizzi di posta elettronica, i ruoli organizzativi dell'interessato, le marcature temporali, gli oggetti delle e-mail o i nomi dei file. Tutte le misure adottate a norma del presente regolamento dovrebbero essere conformi al quadro in materia di protezione dei dati e tutela della vita privata. I soggetti dell'Unione, il CERT-UE e, se del caso, l'IICB dovrebbero adottare tutte le pertinenti misure tecniche e organizzative di salvaguardia per garantire tale conformità in modo responsabile.

Il presente regolamento stabilisce la base giuridica per il trattamento dei dati personali da parte dei soggetti dell'Unione, del CERT-UE e, se del caso, dell'IICB, ai fini dello svolgimento dei loro compiti e dell'adempimento dei loro obblighi a norma del presente regolamento, conformemente all'articolo 5, paragrafo 1, lettera b), del regolamento (UE) 2018/1725. Il CERT-UE può agire in qualità di responsabile del trattamento o titolare del trattamento a seconda dei compiti svolti a norma del regolamento (UE) 2018/1725.

In alcuni casi, per adempiere ai loro obblighi previsti dal presente regolamento di garantire un livello elevato di cibersicurezza, in particolare nel contesto della gestione delle vulnerabilità e degli incidenti, può essere necessario che i soggetti dell'Unione e il CERT-UE trattino categorie particolari di dati personali di cui all'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725. Il presente regolamento stabilisce la base giuridica per il trattamento di categorie particolari di dati personali da parte dei soggetti dell'Unione e del CERT-UE conformemente all'articolo 10, paragrafo 2, lettera g), del regolamento (UE) 2018/1725. Il trattamento di categorie particolari di dati personali a norma del presente regolamento dovrebbe essere rigorosamente proporzionato all'obiettivo perseguito. Fatte salve le condizioni di cui all'articolo 10, paragrafo 2, lettera g), di tale regolamento, i soggetti dell'Unione e il CERT-UE dovrebbero essere in grado di trattare tali dati solo nella misura necessaria e ove esplicitamente previsto dal presente regolamento. Nel trattare categorie particolari di dati personali, i soggetti dell'Unione e il CERT-UE dovrebbero rispettare l'essenza del diritto alla protezione dei dati e prevedere misure adeguate e specifiche per tutelare i diritti fondamentali e gli interessi degli interessati.

A norma dell'articolo 33 del regolamento (UE) 2018/1725, i soggetti dell'Unione e il CERT-UE, tenendo conto dello stato delle conoscenze e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche dei rischi di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, dovrebbero mettere in atto misure tecniche e organizzative adeguate per garantire un adeguato livello di sicurezza dei dati personali, tra cui la concessione di diritti di accesso limitati in base al principio della necessità di conoscere, l'applicazione dei principi della traccia di audit, l'adozione della catena di custodia, la conservazione dei dati a riposo in un ambiente controllato e verificabile, procedure operative standardizzate e misure di tutela della vita privata quali la pseudonimizzazione o la cifratura. Tali misure non dovrebbero essere attuate in modo tale da compromettere le finalità di gestione degli incidenti e l'integrità delle prove. Qualora un soggetto dell'Unione o il CERT-UE trasferisca dati personali relativi a un incidente, comprese categorie particolari di dati personali, a una controparte o a un partner ai fini del presente regolamento, tali trasferimenti dovrebbero essere conformi al regolamento (UE) 2018/1725. In caso di trasferimento a terzi di categorie particolari di dati personali, i soggetti dell'Unione e il CERT-UE dovrebbero garantire che il terzo applichi misure di protezione dei dati personali di livello equivalente a quello previsto dal regolamento (UE) 2018/1725.

I dati personali trattati ai fini del presente regolamento dovrebbero essere conservati solo per il periodo di tempo necessario, conformemente al regolamento (UE) 2018/1725. I soggetti dell'Unione e, se del caso, il CERT-UE che agisce in qualità di titolare del trattamento dovrebbero fissare periodi di conservazione limitati a quanto necessario per conseguire le finalità specificate. Per quanto riguarda, in particolare, i dati personali raccolti per il trattamento degli incidenti, i soggetti dell'Unione e il CERT-UE dovrebbero distinguere tra i dati personali raccolti per individuare una minaccia informatica nei loro ambienti TIC al fine di prevenire un incidente e i dati personali raccolti ai fini della mitigazione, della risposta e del recupero in caso di incidente. Per l'individuazione di una minaccia informatica, è importante tenere conto del periodo di tempo durante il quale il responsabile di una minaccia può passare inosservato all'interno di un sistema. Ai fini della mitigazione, della risposta e del recupero in caso di incidente, è importante valutare se i dati personali siano necessari per rintracciare e gestire un incidente ricorrente o un incidente di natura analoga per il quale possa essere dimostrata una correlazione.

Il trattamento delle informazioni da parte dei soggetti dell'Unione e del CERT-UE dovrebbe essere conforme alle norme applicabili sulla sicurezza delle informazioni. L'inclusione della sicurezza delle risorse umane come misura di gestione dei rischi di cibersicurezza dovrebbe essere anch'essa conforme alle norme applicabili.

Ai fini della condivisione delle informazioni, sono utilizzati contrassegni visibili per indicare che i destinatari delle informazioni devono applicare limiti di condivisione sulla base, in particolare, di accordi di non divulgazione o di accordi di non divulgazione informali quali il protocollo TLP (Traffic Light Protocol) o altre indicazioni chiare da parte della fonte. Il protocollo TLP deve essere inteso come strumento per fornire informazioni su eventuali limitazioni per quanto riguarda l'ulteriore diffusione delle informazioni. È utilizzato in quasi tutti i CSIRT e in alcuni centri di analisi e condivisione delle informazioni.

Il presente regolamento dovrebbe essere oggetto di una valutazione periodica alla luce dei futuri negoziati dei quadri finanziari pluriennali, in modo da consentire l'adozione di ulteriori decisioni in relazione al funzionamento e al ruolo istituzionale del CERT-UE, inclusa la possibile istituzione del CERT-UE come organismo dell'Unione.

L'IICB, coadiuvato dal CERT-UE, dovrebbe esaminare e valutare l'attuazione del presente regolamento e riferire le proprie conclusioni alla Commissione. Su tale base la Commissione dovrebbe riferire al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni. La relativa relazione, con il contributo dell'IICB, dovrebbe valutare l'opportunità di includere i sistemi informativi e di rete che trattano ICUE nell'ambito di applicazione del presente regolamento, in particolare in assenza di norme in materia di sicurezza delle informazioni comuni ai soggetti dell'Unione.

In ottemperanza al principio di proporzionalità, per realizzare l'obiettivo fondamentale del raggiungimento di un livello comune elevato di cibersicurezza nei soggetti dell'Unione, è necessario e opportuno istituire norme sulla cibersicurezza per i soggetti dell'Unione. Il presente regolamento si limita a quanto è necessario per conseguire tale obiettivo, in conformità dell'articolo 5, paragrafo 4, del trattato sull'Unione europea.

Il presente regolamento riflette il fatto che i soggetti dell'Unione differiscono per dimensioni e capacità, anche in termini di risorse finanziarie e umane.

Conformemente all'articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 17 maggio 2022⁸,