SCHEDA DI SINTESI

Analisi di impatto sulla sicurezza delle informazioni nelle istituzioni, negli organi e negli organismi dell'Unione

A. Contesto politico

L'agenda strategica del Consiglio europeo per il periodo 2019-2024 invita le istituzioni a proteggere le reti di informazione e comunicazione dell'UE e i suoi processi decisionali da qualsiasi attività dolosa, comprese le minacce informatiche e ibride. Di conseguenza il Consiglio "Affari generali" del dicembre 2019 è giunto alla conclusione che le istituzioni e gli organi dell'UE dovrebbero elaborare e mettere in pratica un insieme completo di misure destinate a garantire la sicurezza delle loro informazioni. Nel luglio 2020 la Commissione ha adottato la strategia dell'UE per l'Unione della sicurezza, con la quale si è impegnata a integrare gli sforzi nazionali nel settore della sicurezza. Nell'ambito di tale strategia, la Commissione ha proposto di creare un insieme minimo di norme di sicurezza delle informazioni e di cibersicurezza in tutte le istituzioni e tutti gli organi dell'Unione.

B. Qual è il problema?

I principali problemi sono: i) differenza significativa tra il livello di sicurezza delle istituzioni e degli organi dell'Unione in funzione delle loro norme interne di sicurezza delle informazioni e ii) mancanza di coordinamento tra le istituzioni e gli organi dell'Unione nello svolgimento dei loro compiti in materia di sicurezza. Le istituzioni e gli organi dell'Unione hanno attualmente le proprie norme di sicurezza delle informazioni oppure non ne hanno affatto. La frammentazione del quadro giuridico applicabile ha portato a categorie di informazioni non classificate, contrassegni e istruzioni di trattamento diversi a livello generale. Per quanto riguarda le informazioni classificate UE, l'interoperabilità dei sistemi pertinenti rimane limitata, impedendo un trasferimento fluido delle informazioni tra istituzioni e organi dell'Unione e con gli Stati membri. Questa situazione aumenta il rischio che potenziali aggressori violino la sicurezza dell'anello più debole e utilizzino tale situazione come punto di partenza per ulteriori attacchi contro altre istituzioni o altri organi.

C. Che cosa si dovrebbe conseguire?

L'obiettivo generale dell'iniziativa è stabilire norme di sicurezza delle informazioni per tutte le istituzioni e tutti gli organi dell'Unione allo scopo di assicurare una protezione rafforzata e continua dalle minacce in evoluzione che incombono sulle loro informazioni. L'obiettivo generale si traduce in quattro obiettivi specifici: ·stabilire categorie di informazioni armonizzate e complete; ·individuare le lacune in materia di sicurezza e attuare le misure necessarie; ·instaurare una cooperazione snella in materia di sicurezza delle informazioni tra le istituzioni e gli organi dell'Unione; ·modernizzare le politiche in materia di sicurezza delle informazioni, tenendo conto della trasformazione digitale e del telelavoro.

D. Quali sono le opinioni dei diversi portatori di interessi?

I portatori di interessi consultati (istituzioni e organi dell'Unione, autorità di sicurezza nazionali degli Stati membri ed esperti del JRC nel campo della ricerca) hanno convenuto sulla necessità di norme comuni in materia di sicurezza delle informazioni per tutte le istituzioni e gli organi dell'Unione, concentrandosi sui seguenti punti: ·è opportuno tenere conto della diversità e del diverso ambiente operativo di ogni istituzione e organo dell'Unione e consentire soluzioni locali; ·sebbene sia pronta a cooperare con gli omologhi delle entità comuni ai fini della sicurezza delle informazioni, la maggior parte delle istituzioni e degli organi non è disposta a delegare i propri poteri decisionali; ·il progetto di regolamento dovrebbe essere redatto nel rispetto dell'accordo intergovernativo degli Stati membri sulla protezione delle informazioni classificate.

E. Qual è l'impatto della proposta?

Benefici

Creando una base di riferimento per le norme di sicurezza delle informazioni in tutte le istituzioni e tutti gli organi dell'Unione, il progetto di regolamento aumenterà i livelli generali di sicurezza delle informazioni riducendo nel contempo le attuali discrepanze. Dovrebbe inoltre contribuire a eliminare potenziali anelli deboli, proteggendo nel contempo le informazioni condivise all'interno dell'amministrazione europea. Dal punto di vista dell'efficienza, il progetto di regolamento dovrebbe comportare vantaggi derivanti dall'esecuzione coordinata di compiti comuni in materia di sicurezza delle informazioni (ad esempio nulla osta, accreditamento dei sistemi di comunicazione e informazione) e dalla creazione di entità di governance comuni (ad esempio il gruppo di coordinamento interistituzionale, i sottogruppi tecnici).

Impatto economico

Per le istituzioni e gli organi dell'Unione, gli sforzi necessari per attuare la nuova legislazione dovrebbero essere compensati da miglioramenti in termini di efficienza, mentre i costi aggiuntivi possono essere coperti dagli attuali programmi di miglioramento della sicurezza delle informazioni di ciascuna organizzazione. A lungo termine le istituzioni e gli organi dell'Unione trarranno vantaggio dall'approccio coerente nell'affrontare le minacce in costante evoluzione che incombono sulla sicurezza delle informazioni. La Commissione europea dovrebbe assicurare il segretariato permanente del gruppo di coordinamento interistituzionale e assegnare le risorse umane per questo compito (un funzionario AD e un funzionario AST). Non si prevedono impatti economici a livello delle amministrazioni degli Stati membri e del settore privato.

F. Tappe successive

Quando saranno riesaminate le misure proposte?