Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union
Date: 2016-07-06

num: Articolo 1
title: Oggetto e ambito di applicazione
paragraphs: 1. La presente direttiva stabilisce misure volte a conseguire un livello comune elevato di sicurezza della rete e dei sistemi informativi nell'Unione così da migliorare il funzionamento del mercato interno.
2. A tal fine la presente direttiva:
a)
fa obbligo a tutti gli Stati membri di adottare una strategia nazionale in materia di sicurezza della rete e dei sistemi informativi;
b)
istituisce un gruppo di cooperazione al fine di sostenere e agevolare la cooperazione strategica e lo scambio di informazioni tra Stati membri e di sviluppare la fiducia tra di essi;
c)
crea una rete di gruppi di intervento per la sicurezza informatica in caso di incidente («rete CSIRT») per contribuire allo sviluppo della fiducia tra Stati membri e promuovere una cooperazione operativa rapida ed efficace;
d)
stabilisce obblighi di sicurezza e di notifica per gli operatori di servizi essenziali e per i fornitori di servizi digitali;
e)
fa obbligo agli Stati membri di designare autorità nazionali competenti, punti di contatto unici e CSIRT con compiti connessi alla sicurezza della rete e dei sistemi informativi.
3. Gli obblighi di sicurezza e di notifica di cui alla presente direttiva non si applicano alle imprese che sono soggette agli obblighi di cui agli articoli 13 bis e 13 ter della direttiva 2002/21/CE, né ai prestatori di servizi fiduciari che sono soggetti agli obblighi di cui all'articolo 19 del regolamento (UE) n. 910/2014.
4. La presente direttiva si applica fatte salve la direttiva 2008/114/CE del Consiglio (14) e le direttive 2011/93/UE (15) e 2013/40/UE (16) del Parlamento europeo e del Consiglio.
5. Fatto salvo l'articolo 346 TFUE, le informazioni riservate ai sensi della normativa dell'Unione e nazionale, quale quella sulla riservatezza degli affari, sono scambiate con la Commissione e con altre autorità competenti solo nella misura in cui tale scambio sia necessario ai fini dell'applicazione della presente direttiva. Le informazioni scambiate sono limitate alle informazioni pertinenti e commisurate allo scopo. Tale scambio di informazioni tutela la riservatezza di dette informazioni e protegge la sicurezza e gli interessi commerciali degli operatori di servizi essenziali e dei fornitori di servizi digitali.
6. La presente direttiva lascia impregiudicate le misure adottate dagli Stati membri per salvaguardare le funzioni essenziali dello Stato, in particolare di tutela della sicurezza nazionale, comprese le misure volte a tutelare le informazioni, la cui divulgazione sia dagli Stati membri considerata contraria agli interessi essenziali della loro sicurezza, e di mantenimento dell'ordine pubblico, in particolare a fini di indagine, accertamento e perseguimento di reati.
7. Qualora un atto giuridico settoriale dell'Unione faccia obbligo agli operatori di servizi essenziali o ai fornitori di servizi digitali di assicurare la sicurezza delle loro reti e dei loro sistemi informativi o di notificare gli incidenti, nella misura in cui gli effetti di tali obblighi siano almeno equivalenti a quelli degli obblighi di cui alla presente direttiva, si applicano le disposizioni di detto atto giuridico settoriale dell'Unione.
num: Articolo 2
title: Trattamento di dati personali
paragraphs: 1. Il trattamento di dati personali ai sensi della presente direttiva è effettuato ai sensi della direttiva 95/46/CE.
2. Il trattamento di dati personali da parte di istituzioni e organismi dell'Unione ai sensi della presente direttiva è effettuato a norma del regolamento (CE) n. 45/2001.
num: Articolo 3
title: Armonizzazione minima
paragraphs: Fatto salvo l'articolo 16, paragrafo 10, e gli obblighi loro imposti dal diritto dell'Unione, gli Stati membri possono adottare o mantenere in vigore disposizioni atte a conseguire un livello di sicurezza più elevato della rete e dei sistemi informativi.
num: Articolo 4
title: Definizioni
paragraphs: Ai fini della presente direttiva si intende per:
1)
«rete e sistema informativo»:
a)
una rete di comunicazione elettronica ai sensi dell'articolo 2, lettera a), della direttiva 2002/21/CE;
b)
qualsiasi dispositivo o gruppo di dispositivi interconnessi o collegati, uno o più dei quali eseguono, in base ad un programma, un trattamento automatico di dati digitali; o
c)
i dati digitali conservati, trattati, estratti o trasmessi per mezzo di reti o dispositivi di cui alle lettere a) e b), per il loro funzionamento, uso, protezione e manutenzione;
2)
«sicurezza della rete e dei sistemi informativi», la capacità di una rete e dei sistemi informativi di resistere, a un determinato livello di riservatezza, a ogni azione che comprometta la disponibilità, l'autenticità, l'integrità o la riservatezza dei dati conservati o trasmessi o trattati e dei relativi servizi offerti o accessibili tramite tale rete o sistemi informativi;
3)
«strategia nazionale per la sicurezza della rete e dei sistemi informativi», un quadro che prevede obiettivi e priorità strategici in materia di sicurezza della rete e dei sistemi informativi a livello nazionale;
4)
«operatore di servizi essenziali», soggetto pubblico o privato, di un tipo di cui all'allegato II, che soddisfa i criteri di cui all'articolo 5, paragrafo 2;
5)
«servizio digitale», un servizio ai sensi dell'articolo 1, paragrafo 1, lettera b), della direttiva (UE) 2015/1535 del Parlamento europeo e del Consiglio (17) di un tipo elencato nell'allegato III;
6)
«fornitore di servizio digitale», qualsiasi persona giuridica che fornisce un servizio digitale;
7)
«incidente», ogni evento con un reale effetto pregiudizievole per la sicurezza della rete e dei sistemi informativi;
8)
«trattamento dell'incidente», tutte le procedure necessarie per l'identificazione, l'analisi e il contenimento di un incidente e l'intervento in caso di incidente;
9)
«rischio», ogni circostanza o evento ragionevolmente individuabile con potenziali effetti pregiudizievoli per la sicurezza della rete e dei sistemi informativi;
10)
«rappresentante», la persona fisica o giuridica stabilita nell'Unione espressamente designata ad agire per conto di un fornitore di servizi che non è stabilito nell'Unione, a cui l'autorità nazionale competente o un CSIRT può rivolgersi in luogo del fornitore di servizi digitali, per quanto riguarda gli obblighi di quest'ultimo ai sensi della presente direttiva;
11)
«norma», una norma ai sensi dell'articolo 2, punto 1, del regolamento (UE) n. 1025/2012;
12)
«specifica», una specifica tecnica ai sensi dell'articolo 2, punto 4, del regolamento (UE) n. 1025/2012;
13)
«punto di interscambio internet (IXP)», una infrastruttura di rete che consente l'interconnessione di più di due sistemi autonomi indipendenti, principalmente al fine di agevolare lo scambio del traffico internet; un IXP fornisce interconnessione soltanto ai sistemi autonomi; un IXP non richiede che il traffico internet che passa tra qualsiasi coppia di sistemi autonomi partecipanti passi attraverso un terzo sistema autonomo, né altera o interferisce altrimenti con tale traffico;
14)
«Sistema dei nomi di dominio» (DNS), è un sistema distribuito e gerarchico di naming in una rete che inoltra le richieste dei nomi di dominio;
15)
«fornitore di servizi DNS», un soggetto che fornisce servizi DNS sul internet;
16)
«registro dei nomi di dominio di primo livello», un soggetto che amministra e opera la registrazione di nomi di dominio internet nell'ambito di uno specifico dominio di primo livello (TLD);
17)
«mercato online», un servizio digitale che consente ai consumatori e/o ai professionisti, come definiti rispettivamente all'articolo 4, paragrafo 1, lettera a) e all'articolo 4, paragrafo 1, lettera b), della direttiva 2013/11/UE del Parlamento europeo e del Consiglio (18), di concludere contratti di vendita o di servizi online con i professionisti sia sul sito web del mercato online sia sul sito web di un professionista che utilizza i servizi informatici forniti dal mercato online;
18)
«motore di ricerca online», un servizio digitale che consente all'utente di effettuare ricerche, in linea di principio, su tutti i siti web o su siti web in una lingua particolare sulla base di un'interrogazione su qualsiasi tema sotto forma di parola chiave, frase o di altra immissione, e fornisce i link in cui possono essere trovate le informazioni relative al contenuto richiesto;
19)
«servizio nella nuvola (cloud computing)», un servizio digitale che consente l'accesso a un insieme scalabile e elastico di risorse informatiche condivisibili;
num: Articolo 5
title: Identificazione degli operatori di servizi essenziali
paragraphs: 1. Entro il 9 novembre 2018, gli Stati membri identificano, per ciascun settore e sottosettore di cui all'allegato II, gli operatori di servizi essenziali con una sede nel loro territorio.
2. I criteri per l'identificazione degli operatori di servizi essenziali di cui all'articolo 4, punto 4, sono i seguenti:
a)
un soggetto fornisce un servizio che è essenziale per il mantenimento di attività sociali e/o economiche fondamentali;
b)
la fornitura di tale servizio dipende dalla rete e dai sistemi informativi; e
c)
un incidente avrebbe effetti negativi rilevanti sulla fornitura di tale servizio.
3. Ai fini del paragrafo 1, ciascuno Stato membro istituisce un elenco dei servizi di cui al paragrafo 2, lettera a).
4. Ai fini del paragrafo 1, qualora un soggetto fornisca un servizio di cui al paragrafo 2, lettera a), in due o più Stati membri, questi ultimi avviano consultazioni reciproche. Tale consultazione si svolge prima che sia presa una decisione sull'identificazione.
5. Gli Stati membri riesaminano e, se del caso, aggiornano su base regolare, ed almeno ogni due anni dopo il 9 maggio 2018, l'elenco di operatori di servizi essenziali identificati.
6. In conformità ai compiti di cui all'articolo 11, il gruppo di cooperazione ha il ruolo di favorire un approccio coerente degli Stati membri nel processo di identificazione degli operatori di servizi essenziali.
7. Ai fini del riesame di cui all'articolo 23 ed entro il 9 novembre 2018, e in seguito ogni due anni, gli Stati membri trasmettono alla Commissione le informazioni che le sono necessarie per consentirle di valutare l'attuazione della presente direttiva, in particolare la coerenza degli approcci degli Stati membri in merito all'identificazione degli operatori di servizi essenziali. Tali informazioni comprendono come minimo:
a)
le misure nazionali che consentono l'identificazione degli operatori di servizi essenziali;
b)
l'elenco dei servizi di cui al paragrafo 3;
c)
il numero degli operatori di servizi essenziali identificati per ciascun settore di cui all'allegato II ed un'indicazione della loro importanza in relazione a tale settore;
d)
le soglie, ove esistono, per determinare il pertinente livello di fornitura con riferimento al numero di utenti che dipendono da tale servizio di cui all'articolo 6, paragrafo 1, lettera a), o all'importanza di tale particolare operatore di servizi essenziali di cui all'articolo 6, paragrafo 1, lettera f).
Al fine di contribuire alla comunicazione di informazioni comparabili, la Commissione, tenendo nella massima considerazione il parere dell'ENISA, può adottare opportuni orientamenti tecnici sui parametri relativi alle informazioni di cui al presente paragrafo.
num: Articolo 6
title: Effetti negativi rilevanti
paragraphs: 1. Nella determinazione della rilevanza degli effetti negativi di cui all'articolo 5, paragrafo 2, lettera c), gli Stati membri tengono conto almeno dei seguenti fattori intersettoriali:
a)
il numero di utenti che dipendono dal servizio fornito dal soggetto interessato;
b)
la dipendenza di altri settori di cui all'allegato II dal servizio fornito da tale soggetto;
c)
l'impatto che gli incidenti potrebbero avere, in termini di entità e di durata, sulle attività economiche e sociali o sulla pubblica sicurezza;
d)
la quota di mercato di detto soggetto;
e)
la diffusione geografica relativamente all'area che potrebbe essere interessata da un incidente;
f)
l'importanza del soggetto per il mantenimento di un livello sufficiente del servizio, tenendo conto della disponibilità di strumenti alternativi per la fornitura di tale servizio.
2. Al fine di determinare se un incidente avrebbe effetti negativi rilevanti, gli Stati membri tengono altresì conto, ove opportuno, di fattori settoriali.
CAPO II
QUADRI NAZIONALI PER LA SICUREZZA DELLA RETE E DEI SISTEMI INFORMATIVI
num: Articolo 7
title: Strategia nazionale in materia di sicurezza della rete e dei sistemi informativi
paragraphs: 1. Ogni Stato membro adotta una strategia nazionale in materia di sicurezza della rete e dei sistemi informativi che definisce gli obiettivi strategici e le opportune misure strategiche e regolamentari al fine di conseguire e mantenere un livello elevato di sicurezza delle reti e dei sistemi informativi e contempla almeno i settori di cui all'allegato II e i servizi di cui all'allegato III. La strategia nazionale in materia di sicurezza delle reti e dei sistemi informativi affronta in particolare i seguenti aspetti:
a)
gli obiettivi e le priorità della strategia nazionale in materia di sicurezza delle reti e dei sistemi informativi;
b)
un quadro di governance per conseguire gli obiettivi e le priorità della strategia nazionale in materia di sicurezza delle reti e dei sistemi informativi, inclusi i ruoli e le responsabilità degli organismi pubblici e degli altri attori pertinenti;
c)
l'individuazione delle misure di preparazione, risposta e recupero, inclusa la collaborazione tra settore pubblico e settore privato;
d)
un'indicazione di programmi di formazione, sensibilizzazione e istruzione relativi alla strategia in materia di sicurezza delle reti e dei sistemi informativi;
e)
un'indicazione di piani di ricerca e sviluppo relativi alla strategia in materia di sicurezza delle reti e dei sistemi informativi;
f)
un piano di valutazione dei rischi per individuare i rischi;
g)
un elenco dei vari attori coinvolti nell'attuazione della strategia nazionale in materia di sicurezza delle reti e dei sistemi informativi.
2. Gli Stati membri possono chiedere l'assistenza dell'ENISA nello sviluppo delle strategie nazionali in materia di sicurezza delle reti e dei sistemi informativi.
3. Gli Stati membri comunicano le loro strategie nazionali in materia di sicurezza della rete e dei sistemi informativi alla Commissione entro tre mesi dalla loro adozione. A tal fine gli Stati membri possono escludere elementi della strategia riguardanti la sicurezza nazionale.
num: Articolo 8
title: Autorità nazionali competenti e punto di contatto unico
paragraphs: 1. Ogni Stato membro designa una o più autorità nazionali competenti in materia di sicurezza delle reti e dei sistemi informativi («autorità competente»), che si occupino almeno dei settori di cui all'allegato II e i servizi di cui all'allegato III. Gli Stati membri possono affidare questo ruolo a una o più autorità esistenti.
2. Le autorità competenti controllano l'applicazione della presente direttiva a livello nazionale.
3. Ogni Stato membro designa un punto di contatto unico nazionale in materia di sicurezza delle reti e dei sistemi informativi («punto di contatto unico»). Gli Stati membri possono affidare questo ruolo a un'autorità esistente. Se uno Stato membro designa soltanto un'autorità competente, quest'ultima è anche il punto di contatto unico.
4. Il punto di contatto unico svolge una funzione di collegamento per garantire la cooperazione transfrontaliera delle autorità degli Stati membri con le autorità competenti negli altri Stati membri e con il gruppo di cooperazione di cui all'articolo 11 e la rete di CSIRT di cui all'articolo 12.
5. Gli Stati membri garantiscono che le autorità competenti e i punti di contatto unici siano dotati di risorse adeguate per svolgere in modo efficiente ed efficace i compiti loro assegnati e conseguire in questo modo gli obiettivi della presente direttiva. Gli Stati membri garantiscono la collaborazione effettiva, efficiente e sicura dei rappresentanti designati nel gruppo di cooperazione.
6. Ove opportuno e conformemente al diritto nazionale, le autorità competenti e il punto di contatto unico consultano le autorità di contrasto e le autorità per la protezione dei dati nazionali competenti e collaborano con esse.
7. Ogni Stato membro comunica senza indugio alla Commissione la designazione dell'autorità competente e del punto di contatto unico, i loro compiti e qualsiasi ulteriore modifica dei medesimi. Ogni Stato membro rende pubblica la designazione dell'autorità competente e del punto di contatto unico. La Commissione pubblica l'elenco dei punti di contatto unici designati.
num: Articolo 9
title: Gruppi di intervento per la sicurezza informatica in caso di incidente (CSIRT)
paragraphs: 1. Ogni Stato membro designa uno o più CSIRT che sia conforme ai requisiti di cui all'allegato I, punto 1, che si occupi almeno dei settori di cui all'allegato II e dei servizi di cui all'allegato III e abbia il compito di trattare gli incidenti e i rischi secondo una procedura ben definita. È possibile creare un CSIRT all'interno dell'autorità competente.
2. Gli Stati membri provvedono a che i CSIRT siano dotati di risorse adeguate per svolgere in modo efficace i loro compiti, precisati nell'allegato I, punto 2.
Gli Stati membri garantiscono la collaborazione effettiva, efficiente e sicura dei loro CSIRT nella rete di CSIRT di cui all'articolo 12.
3. Gli Stati membri garantiscono che i suoi CSIRT abbiano accesso a un'infrastruttura di informazione e comunicazione appropriata, sicura e resiliente a livello nazionale.
4. Gli Stati membri comunicano alla Commissione il mandato dei loro CSIRT e gli elementi principali della procedura di trattamento degli incidenti loro affidata.
5. Gli Stati membri possono chiedere l'assistenza dell'ENISA nello sviluppo di CSIRT nazionali.
num: Articolo 10
title: Cooperazione a livello nazionale
paragraphs: 1. Se sono separati, l'autorità competente, il punto di contatto unico e i CSIRT dello stesso Stato membro collaborano per quanto concerne l'adempimento degli obblighi di cui alla presente direttiva.
2. Gli Stati membri garantiscono che le autorità competenti o i CSIRT ricevano le notifiche di incidenti trasmesse ai sensi della presente direttiva. Ove uno Stato membro decida che i CSIRT non ricevano le notifiche, questi ultimi hanno accesso, nella misura necessaria per l'esecuzione dei loro compiti, ai dati sugli incidenti notificati dagli operatori di servizi essenziali ai sensi dell'articolo 14, paragrafi 3 e 5, o dai fornitori di servizi digitali ai sensi dell'articolo 16, paragrafi 3 e 6.
3. Gli Stati membri garantiscono che le autorità competenti o i CSIRT informano i punti di contatti unici in merito alle notifiche di incidenti trasmesse ai sensi della presente direttiva.
Entro il 9 agosto 2018 e in seguito ogni anno, una volta all'anno il punto di contatto unico trasmette una relazione sintetica al gruppo di cooperazione in merito alle notifiche ricevute, compresi il numero di notifiche e la natura degli incidenti notificati, e alle azioni intraprese a norma dell'articolo 14, paragrafi 3 e 5, e dell'articolo 16, paragrafi 3 e 6.
CAPO III
COOPERAZIONE
num: Articolo 11
title: Gruppo di cooperazione
paragraphs: 1. Al fine di sostenere e agevolare la cooperazione strategica e lo scambio di informazioni fra Stati membri, di sviluppare la fiducia e nell'ottica di conseguire un livello comune elevato di sicurezza delle reti e dei servizi informativi nell'Unione, è istituito un gruppo di cooperazione.
Il gruppo di cooperazione svolge i suoi compiti sulla base di programmi di lavoro biennali, come indicato al paragrafo 3, secondo comma.
2. Il gruppo di cooperazione è composto da rappresentanti degli Stati membri, della Commissione e dell'ENISA.
Ove opportuno, il gruppo di cooperazione può invitare a partecipare ai suoi lavori i rappresentanti delle parti interessate.
La Commissione ne assicura il segretariato.
3. Il gruppo di cooperazione ha i seguenti compiti:
a)
fornire orientamento strategico per le attività della rete di CSIRT istituita ai sensi dell'articolo 12;
b)
scambiare buone pratiche sullo scambio di informazioni relative alla notifica di incidenti di cui all'articolo 14, paragrafi 3 e 5, e all'articolo 16, paragrafi 3 e 6;
c)
scambiare migliori pratiche fra gli Stati membri e, in collaborazione con l'ENISA, fornire loro assistenza per la creazione di capacità in materia di sicurezza delle reti e dei sistemi informativi;
d)
discutere le capacità e lo stato di preparazione degli Stati membri e valutare, su base volontaria, le strategie nazionali in materia di sicurezza delle reti e dei sistemi informativi e l'efficacia dei CSIRT e individuare le migliori pratiche;
e)
scambiare informazioni e migliori pratiche in materia di sensibilizzazione e formazione;
f)
scambiare informazioni e migliori pratiche in materia di ricerca e sviluppo riguardo alla sicurezza delle reti e dei sistemi informativi;
g)
ove opportuno, scambiare esperienze in materia di sicurezza delle reti e dei sistemi informativi con le istituzioni, gli organi e gli organismi pertinenti dell'Unione;
h)
discutere le norme e le specifiche di cui all'articolo 19 con i rappresentanti delle pertinenti organizzazioni di normalizzazione europee;
i)
raccogliere informazioni sulle migliori pratiche in relazione ai rischi e agli incidenti;
j)
esaminare, su base annuale, le relazioni sintetiche di cui all'articolo 10, paragrafo 3, secondo comma;
k)
discutere il lavoro svolto riguardo a esercitazioni in materia di sicurezza delle reti e dei sistemi informativi, programmi di istruzione e formazione, comprese le attività svolte dall'ENISA;
l)
con l'assistenza dell'ENISA, scambiare migliori pratiche connesse all'identificazione degli operatori di servizi essenziali da parte degli Stati membri, anche in relazione alle dipendenze transfrontaliere riguardo a rischi e incidenti;
m)
discutere modalità per la comunicazione di notifiche di incidenti di cui agli articoli 14 e 16.
Entro il 9 febbraio 2018 e in seguito ogni due anni, il gruppo di cooperazione stabilisce un programma di lavoro, coerente con gli obiettivi della presente direttiva, sulle azioni da intraprendere per attuarne gli obiettivi e i compiti.
4. Ai fini del riesame di cui all'articolo 23 ed entro il 9 agosto 2018 e, successivamente, ogni 18 mesi, il gruppo di cooperazione elabora una relazione in cui valuta l'esperienza acquisita riguardo alla cooperazione strategica realizzata ai sensi del presente articolo.
5. La Commissione adotta atti di esecuzione che prevedono le modalità procedurali necessarie per il funzionamento del gruppo di cooperazione. Tali atti di esecuzione sono adottati secondo la procedura di esame di cui all'articolo 22, paragrafo 2.
Ai fini del primo comma, la Commissione trasmette il primo progetto di atto di esecuzione al comitato di cui all'articolo 22, paragrafo 1, entro il 9 febbraio 2017.
num: Articolo 12
title: Rete di CSIRT
paragraphs: 1. Al fine di contribuire allo sviluppo della fiducia fra gli Stati membri e di promuovere una cooperazione operativa rapida ed efficace, è istituita una rete di CSIRT.
2. La rete di CSIRT è composta da rappresentanti dei CSIRT degli Stati membri e del CERT-UE. La Commissione partecipa alla rete dei CSIRT in qualità di osservatore. L'ENISA assicura il segretariato e sostiene attivamente la cooperazione fra i CSIRT.
3. La rete di CSIRT ha i seguenti compiti:
a)
scambiare informazioni sui servizi, sulle operazioni e sulle capacità di cooperazione dei CSIRT;
b)
su richiesta del rappresentante di un CSIRT di uno Stato membro potenzialmente interessato da un incidente, scambiare e discutere informazioni non sensibili sul piano commerciale connesse a tale incidente e i rischi associati; tuttavia, qualsiasi CSIRT di uno Stato membro può rifiutare di contribuire a tale discussione se ciò rischia di compromettere l'indagine sull'incidente;
c)
scambiare e mettere a disposizione su base volontaria informazioni non riservate su singoli incidenti;
d)
su richiesta di un rappresentante di un CSIRT di uno Stato membro, discutere e, ove possibile, individuare un intervento coordinato per un incidente rilevato nella giurisdizione di quello stesso Stato membro;
e)
fornire sostegno agli Stati membri nel far fronte a incidenti transfrontalieri sulla base dell'assistenza reciproca volontaria;
f)
discutere, esaminare e individuare ulteriori forme di cooperazione operativa, anche in relazione a:
i)
categorie di rischi e di incidenti;
ii)
preallarmi;
iii)
assistenza reciproca;
iv)
principi e modalità di coordinamento, quando gli Stati membri intervengono a proposito di rischi e incidenti transfrontalieri;
g)
informare il gruppo di cooperazione in merito alle proprie attività e a ulteriori forme di cooperazione operativa discusse sulla scorta della lettera f) e chiedere orientamenti in merito;
h)
discutere gli insegnamenti appresi dalle esercitazioni in materia di sicurezza delle reti e dei sistemi informativi, comprese quelle organizzate dall'ENISA;
i)
discutere, su richiesta di un singolo CSIRT, le capacità e lo stato di preparazione di tale CSIRT;
j)
formulare orientamenti volti ad agevolare la convergenza delle pratiche operative in relazione all'applicazione delle disposizioni del presente articolo in materia di cooperazione operativa.
4. Ai fini del riesame di cui all'articolo 23 ed entro il 9 agosto 2018 e, successivamente, ogni 18 mesi, la rete di CSIRT elabora una relazione in cui valuta l'esperienza acquisita riguardo alla cooperazione operativa, comprese conclusioni e raccomandazioni, realizzata ai sensi del presente articolo. Tale relazione è trasmessa anche al gruppo di cooperazione.
5. La rete di CSIRT definisce il proprio regolamento interno.
num: Articolo 13
title: Cooperazione internazionale
paragraphs: L'Unione può concludere accordi internazionali ai sensi dell'articolo 218 TFUE con paesi terzi o organizzazioni internazionali che consentono e organizzano la loro partecipazione a talune delle attività del gruppo di cooperazione. Tali accordi tengono conto della necessità di garantire la protezione adeguata dei dati.
CAPO IV
SICUREZZA DELLA RETE E DEI SISTEMI INFORMATIVI DEGLI OPERATORI DI SERVIZI ESSENZIALI
num: Articolo 14
title: Obblighi in materia di sicurezza e notifica degli incidenti
paragraphs: 1. Gli Stati membri provvedono affinché gli operatori di servizi essenziali adottino misure tecniche e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza delle reti e dei sistemi informativi che usano nelle loro operazioni. Tenuto conto delle conoscenze più aggiornate in materia, dette misure assicurano un livello di sicurezza della rete e dei sistemi informativi adeguato al rischio esistente.
2. Gli Stati membri provvedono affinché gli operatori di servizi essenziali adottino misure adeguate per prevenire e minimizzare l'impatto di incidenti a carico della sicurezza della rete e dei sistemi informativi utilizzati per la fornitura di tali servizi essenziali, al fine di assicurare la continuità di tali servizi.
3. Gli Stati membri provvedono affinché gli operatori di servizi essenziali notifichino senza indebito ritardo all'autorità competente o al CSIRT gli incidenti aventi un impatto rilevante sulla continuità dei servizi essenziali prestati. Le notifiche includono le informazioni che consentono all'autorità competente o al CSIRT di determinare qualsiasi impatto transfrontaliero dell'incidente. La notifica non espone la parte che la effettua a una maggiore responsabilità.
4. Per determinare la rilevanza dell'impatto di un incidente si tiene conto in particolare dei seguenti parametri:
a)
il numero di utenti interessati dalla perturbazione del servizio essenziale;
b)
la durata dell'incidente;
c)
la diffusione geografica relativamente all'area interessata dall'incidente.
5. Sulla base delle informazioni fornite nella notifica da parte dell'operatore di servizi essenziali, l'autorità competente o il CSIRT informa l'altro o gli altri Stati membri interessati se l'incidente ha un impatto rilevante sulla continuità dei servizi essenziali in quello Stato membro. A tal fine l'autorità competente o il CSIRT preserva, conformemente al diritto dell'Unione o alla legislazione nazionale conforme al diritto dell'Unione, la sicurezza e gli interessi commerciali dell'operatore di servizi essenziali, nonché la riservatezza delle informazioni fornite nella sua notifica.
Ove le circostanze lo consentano, l'autorità competente o il CSIRT fornisce all'operatore di servizi essenziali che effettua la notifica di incidente le pertinenti informazioni relative al seguito della notifica stessa, come le informazioni che possano facilitare un trattamento efficace dell'incidente.
Su richiesta dell'autorità competente o del CSIRT, il punto di contatto unico trasmette le notifiche di cui al primo comma ai punti di contatto unici degli altri Stati membri interessati.
6. Dopo aver consultato l'operatore notificante dei servizi essenziali, l'autorità competente o il CSIRT può informare il pubblico in merito ai singoli incidenti, qualora sia necessaria la sensibilizzazione del pubblico per evitare un incidente o gestire un incidente in corso.
7. Le autorità competenti, agendo unitamente nell'ambito del gruppo di cooperazione, possono elaborare e adottare orientamenti sulle circostanze in cui gli operatori di servizi essenziali sono tenuti a notificare gli incidenti, compresi i parametri per determinare la rilevanza dell'impatto di un incidente di cui al paragrafo 4.
num: Articolo 15
title: Attuazione e controllo
paragraphs: 1. Gli Stati membri provvedono affinché le autorità competenti siano dotate dei poteri e dei mezzi necessari per valutare la conformità degli operatori di servizi essenziali agli obblighi loro imposti dall'articolo 14 e i relativi effetti sulla sicurezza della rete e dei sistemi informativi.
2. Gli Stati membri provvedono affinché le autorità competenti siano dotate dei poteri e dei mezzi per richiedere agli operatori di servizi essenziali di fornire:
a)
le informazioni necessarie per valutare la sicurezza della loro rete e dei loro sistemi informativi, compresi i documenti relativi alle politiche di sicurezza;
b)
la prova dell'effettiva attuazione delle politiche di sicurezza, come i risultati di un audit sulla sicurezza svolto dall'autorità competente o da un revisore abilitato e, in quest'ultimo caso, metterne a disposizione dell'autorità competente i risultati, inclusi gli elementi di prova.
Quando richiede tali informazioni o prove, l'autorità competente indica lo scopo della stessa specificando il tipo di informazioni da fornire.
3. A seguito della valutazione delle informazioni o dei risultati degli audit sulla sicurezza di cui al paragrafo 2, l'autorità competente può emanare istruzioni vincolanti per gli operatori di servizi essenziali al fine di porre rimedio alle carenze individuate.
4. L'autorità competente opera in stretta cooperazione con le autorità responsabili della protezione dei dati nei casi di incidenti che comportano violazioni di dati personali.
CAPO V
SICUREZZA DELLA RETE E DEI SISTEMI INFORMATIVI DEI FORNITORI DI SERVIZI DIGITALI
num: Articolo 16
title: Obblighi in materia di sicurezza e notifica degli incidenti
paragraphs: 1. Gli Stati membri provvedono affinché i fornitori di servizi digitali identifichino e adottino misure tecniche e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza della rete e dei sistemi informativi che utilizzano nel contesto dell'offerta di servizi di cui all'allegato III all'interno dell'Unione. Tenuto conto delle conoscenze più aggiornate in materia, tali misure assicurano un livello di sicurezza della rete e dei sistemi informativi adeguato al rischio esistente e tengono conto dei seguenti elementi:
a)
la sicurezza dei sistemi e degli impianti;
b)
trattamento degli incidenti;
c)
gestione della continuità operativa;
d)
monitoraggio, audit e test;
e)
conformità con le norme internazionali.
2. Gli Stati membri provvedono affinché i fornitori di servizi digitali adottino misure per prevenire e minimizzare l'impatto di incidenti a carico della sicurezza della rete e dei sistemi informativi del fornitore di servizi digitali sui servizi di cui all'allegato III offerti all'interno dell'Unione, al fine di assicurare la continuità di tali servizi.
3. Gli Stati membri provvedono affinché i fornitori di servizi digitali notifichino senza indebito ritardo all'autorità competente o al CSIRT qualsiasi incidente avente un impatto rilevante sulla fornitura di un servizio di cui all'allegato III che essi offrono all'interno dell'Unione. Le notifiche includono le informazioni che consentono all'autorità competente o al CSIRT di determinare la rilevanza di qualsiasi impatto transfrontaliero. La notifica non espone la parte che la effettua a una maggiore responsabilità.
4. Al fine di determinare se l'impatto di un incidente sia sostanziale, sono tenuti in considerazione, in particolare, i seguenti parametri:
a)
il numero di utenti interessati dall'incidente, in particolare gli utenti che dipendono dal servizio per la fornitura dei propri servizi;
b)
la durata dell'incidente;
c)
la diffusione geografica relativamente all'area interessata dall'incidente;
d)
la portata della perturbazione del funzionamento del servizio;
e)
la portata dell'impatto sulle attività economiche e sociali.
L'obbligo di notificare un incidente si applica soltanto qualora il fornitore di servizi digitali abbia accesso alle informazioni necessarie per valutare l'impatto di un incidente nei confronti dei parametri di cui al primo comma.
5. Qualora un operatore di servizi essenziali dipenda da una terza parte fornitrice di servizi digitali per la fornitura di un servizio che è indispensabile per il mantenimento di attività economiche e sociali fondamentali, l'operatore stesso notifica qualsiasi impatto rilevante per la continuità di servizi essenziali dovuto ad un incidente a carico di tale operatore.
6. Se del caso, e in particolare se l'incidente di cui al paragrafo 3 riguarda due o più Stati membri, l'autorità competente o il CSIRT informa gli altri Stati membri coinvolti. A tal fine le autorità competenti, i CSIRT e i punti di contatto unici tutelano, nel rispetto del diritto dell'Unione o della legislazione nazionale conforme al diritto dell'Unione, la sicurezza e gli interessi commerciali del fornitore del servizio digitale nonché la riservatezza delle informazioni fornite.
7. Dopo aver consultato il fornitore di servizi digitali interessato, l'autorità competente o il CSIRT e, se del caso, le autorità o i CSIRT degli altri Stati membri interessati, possono informare il pubblico riguardo ai singoli incidenti o chiedere al fornitore di servizi digitali di provvedervi, qualora sia necessaria la sensibilizzazione del pubblico per evitare un incidente o gestirne uno in corso, o qualora la divulgazione dell'incidente sia altrimenti nell'interesse pubblico.
8. La Commissione adotta atti di esecuzione che specifichino ulteriormente gli elementi di cui al paragrafo 1 e i parametri elencati nel paragrafo 4 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura di esame di cui all'articolo 22, paragrafo 2, entro il 9 agosto 2017.
9. La Commissione può adottare atti di esecuzione che stabiliscono i formati e le procedure applicabili agli obblighi di notifica. Tali atti di esecuzione sono adottati secondo la procedura di esame di cui all'articolo 22, paragrafo 2.
10. Fatto salvo l'articolo 1, paragrafo 6, gli Stati membri non impongono ulteriori obblighi in materia di sicurezza o di notifica ai fornitori di servizi digitali.
11. Il capo V non si applica alle microimprese e alle piccole imprese quali definite nella raccomandazione 2003/361/CE della Commissione (19).
num: Articolo 17
title: Attuazione e controllo
paragraphs: 1. Gli Stati membri provvedono affinché le autorità competenti adottino provvedimenti, se necessario, mediante misure di vigilanza ex post, quando ottengono la prova che un fornitore di servizi digitali non rispetta gli obblighi di cui all'articolo 16. Tale prova può essere presentata dall'autorità competente di un altro Stato membro in cui è fornito il servizio.
2. Ai fini del paragrafo 1, le autorità competenti sono dotate dei poteri e dei mezzi necessari per imporre ai prestatori di servizi digitali di:
a)
fornire le informazioni necessarie per valutare la sicurezza della loro rete e dei loro sistemi informativi, compresi i documenti relativi alle politiche di sicurezza;
b)
rimediare a qualsiasi mancato adempimento degli obblighi di cui all'articolo 16.
3. Se un fornitore di servizi digitali ha lo stabilimento principale o un rappresentante in uno Stato membro, ma la sua rete o i suoi sistemi informativi sono ubicati in uno o più altri Stati membri, l'autorità competente dello Stato membro dello stabilimento principale o del rappresentante e le autorità competenti dei suddetti altri Stati membri cooperano e si assistono reciprocamente in funzione delle necessità. Tale assistenza e cooperazione può comprendere scambi di informazioni tra le autorità competenti interessate e richieste di adottare le misure di vigilanza di cui al paragrafo 2.
num: Articolo 18
title: Giurisdizione e territorialità
paragraphs: 1. Ai fini della presente direttiva, un fornitore di servizi digitali è considerato soggetto alla giurisdizione dello Stato membro in cui ha lo stabilimento principale. Un fornitore di servizi digitali è considerato avere il suo stabilimento principale in uno Stato membro quando ha la sua sede sociale in tale Stato membro.
2. Un fornitore di servizi digitali che non è stabilito nell'Unione, ma offre servizi di cui all'allegato III all'interno dell'Unione, designa un rappresentate nell'Unione. Il rappresentante è stabilito in uno di quegli Stati membri in cui sono offerti i servizi. Il fornitore di servizi digitali è considerato soggetto alla giurisdizione dello Stato membro in cui è stabilito il suo rappresentante.
3. La designazione di un rappresentante da parte di un fornitore di servizi digitali fa salve le azioni legali che potrebbero essere avviate nei confronti del fornitore stesso di servizi digitali.
CAPO VI
NORMAZIONE E NOTIFICA VOLONTARIA
num: Articolo 19
title: Normazione
paragraphs: 1. Per promuovere l'attuazione convergente dell'articolo 14, paragrafi 1 e 2, e dell'articolo 16, paragrafi 1 e 2, gli Stati membri, senza fare imposizioni o discriminazioni a favore dell'uso di un particolare tipo di tecnologia, incoraggiano l'uso di norme e specifiche europee o accettate a livello internazionale relative alla sicurezza della rete e dei sistemi informativi.
2. L'ENISA, in collaborazione con gli Stati membri, redige pareri e linee guida riguardanti tanto i settori tecnici da prendere in considerazione in relazione al paragrafo 1, quanto le norme già esistenti, comprese le norme nazionali degli Stati membri, che potrebbero essere applicate a tali settori.
num: Articolo 20
title: Notifica volontaria
paragraphs: 1. Fatto salvo l'articolo 3, i soggetti che non sono stati identificati come operatori di servizi essenziali e non sono fornitori di servizi digitali possono notificare, su base volontaria, gli incidenti aventi un impatto rilevante sulla continuità dei servizi da loro prestati.
2. Nel trattamento delle notifiche, gli Stati membri agiscono secondo la procedura di cui all'articolo 14. Gli Stati membri possono trattare le notifiche obbligatorie prioritariamente rispetto alle notifiche volontarie. Le notifiche volontarie sono trattate soltanto qualora tale trattamento non costituisca un onere sproporzionato o eccessivo per gli Stati membri interessati.
La notifica volontaria non può avere l'effetto di imporre al soggetto notificante alcun obbligo a cui non sarebbe stato sottoposto se non avesse effettuato tale notifica.
CAPO VII
DISPOSIZIONI FINALI
num: Articolo 21
title: Sanzioni
paragraphs: Gli Stati membri stabiliscono le norme relative alle sanzioni da irrogare in caso di violazione delle disposizioni nazionali di attuazione della presente direttiva e adottano tutti i provvedimenti necessari per la loro applicazione. Le sanzioni previste sono effettive, proporzionate e dissuasive. Gli Stati membri notificano tali norme e provvedimenti alla Commissione entro il 9 maggio 2018 e provvedono a darle immediata notifica di ogni successiva modifica.
num: Articolo 22
title: Procedura di comitato
paragraphs: 1. La Commissione è assistita dal comitato per la sicurezza delle reti e dei sistemi informativi. Tale comitato è un comitato ai sensi del regolamento (UE) n. 182/2011.
2. Nei casi in cui è fatto riferimento al presente paragrafo, si applica l'articolo 5 del regolamento (UE) n. 182/2011.
num: Articolo 23
title: Riesame
paragraphs: 1. Entro il 9 maggio 2019, la Commissione presenta al Parlamento europeo e al Consiglio una relazione di valutazione della coerenza dell'approccio adottato dagli Stati membri nell'identificazione degli operatori di servizi essenziali.
2. La Commissione riesamina periodicamente il funzionamento della presente direttiva e presenta una relazione in proposito al Parlamento europeo e al Consiglio. A tal fine e allo scopo di intensificare ulteriormente la cooperazione strategica e operativa, la Commissione tiene conto delle relazioni del gruppo di cooperazione e della rete dei CSIRT sull'esperienza acquisita a livello strategico e operativo. Nell'ambito del riesame, la Commissione valuta anche l'elenco di cui agli allegati II e III e la coerenza nell'identificazione degli operatori di servizi essenziali e dei servizi nei settori di cui all'allegato II. La prima relazione è presentata entro il 9 maggio 2021.
num: Articolo 24
title: Misure transitorie
paragraphs: 1. Fatto salvo l'articolo 25 e al fine di fornire agli Stati membri ulteriori possibilità di un'adeguata cooperazione durante il periodo di recepimento, il gruppo di cooperazione e la rete di CSIRT iniziano a svolgere i compiti di cui all'articolo 11, paragrafo 3, e all'articolo 12, paragrafo 3, rispettivamente entro il 9 febbraio 2017.
2. Per il periodo compreso dal 9 febbraio 2017 al 9 novembre 2018 e al fine di sostenere gli Stati membri nell'adottare un approccio coerente nel processo di identificazione degli operatori di servizi essenziali, il gruppo di cooperazione esamina la procedura, la sostanza e il tipo delle misure nazionali che consentono l'identificazione degli operatori di servizi essenziali in un settore specifico conformemente ai criteri di cui agli articoli 5 e 6. Il gruppo di cooperazione esamina altresì, su richiesta di uno Stato membro, specifici progetti di misure nazionali di tale Stato membro volte a consentire l'identificazione degli operatori di servizi essenziali in un settore specifico conformemente ai criteri di cui agli articoli 5 e 6.
3. Entro il 9 febbraio 2017 e ai fini del presente articolo, gli Stati membri assicurano un'adeguata rappresentanza in seno al gruppo di cooperazione e alla rete di CSIRT.
num: Articolo 25
title: Recepimento
paragraphs: 1. Gli Stati membri adottano e pubblicano, entro il 9 maggio 2018, le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla presente direttiva. Essi ne informano immediatamente la Commissione.
Essi applicano tali disposizioni a decorrere dal 10 maggio 2018.
Le disposizioni adottate dagli Stati membri contengono un riferimento alla presente direttiva o sono corredate di tale riferimento all'atto della pubblicazione ufficiale. Le modalità del riferimento sono stabilite dagli Stati membri.
2. Gli Stati membri comunicano alla Commissione il testo delle disposizioni fondamentali di diritto interno che adottano nel settore disciplinato dalla presente direttiva.
num: Articolo 26
title: Entrata in vigore
paragraphs: La presente direttiva entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.