IT Gazzetta ufficiale dell'Unione europea C 352/4

PARERE DELLA BANCA CENTRALE EUROPEA

del 25 luglio 2014

relativa a una proposta di direttiva del Parlamento europeo e del Consiglio recante misure volte a garantire un livello comune elevato di sicurezza delle reti e dell’informazione nell’Unione

(CON/2014/58)

2014/C 352/04

Introduzione e base giuridica

Il 7 febbraio 2013 la Commissione europea ha pubblicato una proposta di direttiva recante misure volte a garantire un livello comune elevato di sicurezza delle reti e dell’informazione nell’Unione (1) (di seguito la «proposta di direttiva»).

La Banca centrale europea (BCE), in assenza di una formale consultazione da parte dei legislatori, ha deciso di formulare di propria iniziativa un parere sulla proposta di direttiva. La BCE è competente a formulare un parere in virtù degli articoli 127, paragrafo 4, e 282, paragrafo 5, del Trattato sul funzionamento dell’Unione europea in quanto la proposta di regolamento contiene disposizioni che incidono sul compito del Sistema europeo di banche centrali (SEBC) di promuovere il regolare funzionamento dei sistemi di pagamento di cui all’articolo 127, paragrafo 2, del Trattato. Inoltre, l'articolo 22 dello Statuto del Sistema europeo di banche centrali e della Banca centrale europea (di seguito, lo «Statuto della Banca centrale europea») dispone che la BCE e le banche centrali nazionali (BCN) possano accordare facilitazioni e che la BCE possa stabilire regolamenti al fine di assicurare sistemi di compensazione efficienti e affidabili all'interno dell'Unione. In conformità al primo periodo dell'articolo 17.5 del regolamento interno della Banca centrale europea, il Consiglio direttivo ha adottato il presente parere.

1. Scopo della proposta di direttiva

1.1 La proposta di direttiva mira ad assicurare un livello comune elevato di sicurezza delle reti e delle informazioni (SRI) migliorando la sicurezza di internet e delle reti e dell'informazione che sostengono la nostra società e l'economia. La presente proposta costituisce la misura principale della strategia europea per la cibersicurezza (2).

1.2 I sistemi informativi e le reti svolgono un ruolo essenziale per agevolare i movimenti transnazionali di beni, servizi e persone. Tenendo conto di questa dimensione transnazionale intrinseca, un’eventuale perturbazione in uno Stato membro può ripercuotersi sugli altri Stati membri e avere conseguenze in tutta l’UE. Inoltre, la probabilità e la frequenza degli incidenti e l’incapacità di garantire una protezione sufficiente compromettono la fiducia del pubblico nella SRI. La resilienza e la stabilità della SRI sono quindi essenziali per l'armonioso funzionamento del mercato interno.

1.3 La proposta di direttiva si basa su precedenti iniziative in questo settore. In questo contesto, la proposta di direttiva riconosce la necessità di armonizzare le regole in materia di SRI e di creare meccanismi di cooperazione efficaci tra gli Stati membri (3).

1.4 La proposta di direttiva istituisce un quadro giuridico comune nell'Unione per la SRI relativo alle capacità degli Stati membri, ai meccanismi per la collaborazione a livello dell’Unione e agli obblighi di pubbliche amministrazioni e soggetti del settore privato in specifici settori critici. Ciò dovrebbe garantire un adeguato livello di preparazione a livello nazionale e contribuire a creare quel clima di fiducia reciproca che costituisce un prerequisito per l'effettiva collaborazione a livello dell'UE. La creazione di un meccanismo di cooperazione in rete a livello dell'UE costituirà lo strumento per prevenire e reagire in maniera coerente e coordinata agli incidenti e ai rischi transfrontalieri relativi alla SRI.

1.5 Le principali disposizioni riguardano: a) l'obbligo per tutti gli Stati membri di disporre di capacità minime a livello nazionale, attraverso la nomina di autorità competenti per la SRI, la creazione di squadre di pronto intervento informatico (Computer Emergency Response Teams, CERT), e l'adozione di strategie e piani nazionali di collaborazione in materia di SRI; b) lo scambio di informazioni in rete obbligatorio tra Stati membri, nonché la creazione di un piano paneuropeo di collaborazione in materia di SRI e preallarmi coordinati relativi a incidenti in materia di cibersicurezza; c) rifacendosi al modello della direttiva 2002/21/CE del Parlamento europeo e del Consiglio (4), la garanzia che si sviluppi una cultura della gestione dei rischi e dello scambio di informazioni tra i settori pubblico e privato. Alle imprese attive nei settori critici specifici e alle pubbliche amministrazioni sarà chiesto di valutare i rischi che corrono e di adottare misure adeguate e proporzionate per garantire la SRI. Questi soggetti dovranno altresì segnalare alle autorità competenti gli incidenti che compromettano gravemente le loro reti e sistemi informativi e aventi un impatto significativo sulla continuità di servizi critici e sulla fornitura di beni.

2. Osservazioni di carattere generale

2.1 La BCE appoggia le finalità della proposta di direttiva di assicurare un livello comune elevato di SRI nell'Unione e di adottare in questa materia un approccio coerente nei diversi settori economici e negli Stati membri. È importante garantire che il mercato interno costituisca un luogo sicuro dove fare affari e che tutti gli Stati membri dispongano di un minimo livello di preparazione in caso di incidenti in materia di cibersicurezza.

2.2 Tuttavia, la BCE ritiene che la proposta di direttiva dovrebbe far salvo il regime esistente per la sorveglianza dell'Eurosistema sui sistemi di pagamento e di regolamento (5), che include meccanismi adeguati, tra l'altro, nel settore della SRI. È opportuno rilevare che la BCE è particolarmente interessata ad aumentare la sicurezza dei sistemi di pagamento e di regolamento (6) al fine di promuovere il regolare funzionamento dei sistemi di pagamento e contribuire a mantenere la fiducia nell'euro e nel funzionamento dell'economia nell'Unione.

2.3 Inoltre la valutazione dei meccanismi di sicurezza e delle notifiche di incidente per i sistemi di pagamento e regolamento e per i prestatori di servizi di pagamento (PSP) è una delle competenze chiave delle autorità incaricate della vigilanza prudenziale e delle banche centrali. L’elaborazione dei requisiti di sorveglianza nei settori summenzionati dovrebbe rimanere di competenza di tali autorità e sarebbe opportuno evitare che le altre autorità nazionali impongano ai sistemi di pagamento e di regolamento e ai PSP obblighi potenzialmente confliggenti. Inoltre, la gestione del rischio, compresi i requisiti di sicurezza relativi ai sistemi di pagamento e regolamento e ad altre infrastrutture di mercato nell'area dell'euro, è regolata dall'Eurosistema che comprende la BCE e le BCN degli Stati membri che hanno adottato l'euro. Per mezzo di tale funzione di sorveglianza l'Eurosistema punta a garantire il regolare funzionamento dei sistemi di pagamento e di regolamento mediante l'applicazione, tra l'altro, di standard di sorveglianza adeguati e requisiti minimi. La proposta di direttiva dovrebbe tenere conto del quadro di sorveglianza attualmente operante e garantire la coerenza della regolamentazione nell'UE.

3. Osservazioni specifiche

3.1 Il considerando 5 e l'articolo 1 della proposta di direttiva dispongono che i relativi obblighi, i meccanismi di cooperazione e i requisiti di sicurezza si applicheranno a tutte le pubbliche amministrazioni e operatori di mercato. L'attuale formulazione del considerando 5 e dell'articolo 1 non tiene conto del mandato conferito all’Eurosistema, sancito dal Trattato, di sorvegliare i sistemi di pagamento e regolamento. La proposta di direttiva dovrebbe pertanto essere modificata al fine di rispecchiare adeguatamente i compiti dell'Eurosistema in questo campo.

3.2 I meccanismi e le procedure con le quali le banche centrali e le altre autorità competenti esercitano la sorveglianza sui sistemi di pagamento e di regolamento titoli sono contenuti in una serie di direttive e regolamenti dell’Unione tra cui, in particolare: a) la direttiva 98/26/CE del Parlamento europeo e del Consiglio (di seguito la «direttiva sul carattere definitivo del regolamento») (7) che consente alle autorità competenti degli Stati membri di sottoporre a meccanismi di sorveglianza i sistemi di pagamento e di regolamento soggetti alla loro giurisdizione (8); b) il regolamento (UE) n. 648/2012 del Parlamento europeo e del Consiglio (9) (di seguito il «regolamento sulle infrastrutture del mercato europeo [European Market Infrastructure Regulation, EMIR]») che riconosce i ruoli dell'Autorità europea degli strumenti finanziari e dei mercati (AESFEM), dell'Autorità bancaria europea (ABE) e del SEBC nella fissazione di standard di regolamentazione e nella sorveglianza delle controparti centrali; e c) la proposta di regolamento relativo al miglioramento del regolamento titoli nell'Unione europea e ai depositari centrali di titoli (central securities depositories, CSD) e recante modifica della direttiva 98/26/CE (10) (di seguito il «regolamento sui depositari centrali [central securities depositories regulation, CSDR]»), che impone di conferire alle autorità competenti poteri di vigilanza e di indagine e in particolare l'articolo 45 di detto regolamento che introduce requisiti prudenziali per i CSD, ivi incluse importanti disposizioni sull'attenuazione del rischio operativo.

3.3 Inoltre, è opportuno osservare che, il 3 giugno 2013 il Consiglio direttivo della BCE ha adottato i Principles for financial market infrastructures (principi per le infrastrutture dei mercati finanziari), introdotti nell'aprile 2012 dal Comitato sui sistemi di pagamento e di regolamento (Committee on Payment and Settlement Systems, CPSS) della Banca dei regolamenti internazionali e dal Comitato tecnico dell’Organizzazione internazionale delle commissioni dei valori immobiliari (International Organization of Securities Commissions, IOSCO) (11), per l'esercizio della sorveglianza da parte dell'Eurosistema in relazione a tutti i tipi di infrastrutture dei mercati finanziari. A ciò ha fatto seguito una consultazione pubblica relativa a un progetto di regolamento sugli obblighi di sorveglianza relativi a sistemi di pagamento di importanza sistemica (di seguito, il «regolamento sugli SPIS») (12). Il regolamento sugli SPIS dà attuazione ai principi CPSS-IOSCO attribuendogli efficacia vincolante e riguarda i sistemi di pagamento di pagamento di importanza sistemica sia di importo rilevante sia al dettaglio, gestiti da BCN dell'Eurosistema o da soggetti privati.

3.4 I meccanismi di sorveglianza sui sistemi di pagamento e PSP attualmente operanti (13) già includono procedure di preallarme (14) e risposte coordinate (15) dentro e fuori l'Eurosistema per fronteggiare possibili minacce alla cibersicurezza, equivalenti a quelle stabilite agli articoli 10 e 11 della proposta di direttiva.

3.5 Il SEBC ha dettato norme relative a obblighi di segnalazione e di gestione del rischio per i sistemi di pagamento. Inoltre la BCE sottopone periodicamente a verifica i sistemi di regolamento titoli al fine di stabilirne l'idoneità all'uso nelle operazioni di finanziamento dell'Eurosistema. Pertanto la BCE ritiene necessario che i requisiti previsti dalla proposta di direttiva riguardanti infrastrutture di mercato di importanza critica e i rispettivi gestori (16) non pregiudichino gli standard di cui al regolamento sugli SPIS, il quadro di riferimento per le politiche di sorveglianza dell’Eurosistema e in particolare l'EMIR e il futuro CSDR. Inoltre essi non dovrebbero interferire con i compiti dell'ABE e dell'AESFEM e di altre autorità incaricate della vigilanza prudenziale (17).

3.6 A prescindere dalle considerazioni di cui sopra, la BCE ritiene che vi siano validi argomenti affinché l'Eurosistema scambi le informazioni con il Comitato per la SRI istituto ai sensi dell'articolo 19 della proposta di direttiva. Ai fini di un efficace scambio di informazioni, che potrebbe rendersi necessario, la BCE, l'ABE e l'AESFEM dovrebbero essere invitate a inviare rappresentati alle riunioni del Comitato per SRI per argomenti all'ordine del giorno che possano essere d'interesse per l'assolvimento dei rispettivi compiti.

Fatto a Francoforte sul Meno, il 25 luglio 2014 Il Presidente della BCE Mario DRAGHI

(1) COM(2013) 48 final.

(2) Cfr. la Comunicazione congiunta al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle Regioni «Strategia dell'Unione europea per la cibersicurezza: un ciberspazio aperto e sicuro», JOIN(2013) 1 final.

(3) Tali meccanismi includono le seguenti comunicazioni: Sicurezza delle reti e sicurezza dell'informazione: proposta di un approccio strategico europeo COM(2001) 298 final; Una strategia per una società dell'informazione sicura: dialogo partnerariato e responsabilizzazione COM(2006) 251 final; Proteggere le infrastrutture critiche informatizzate «Rafforzare la preparazione, la sicurezza e la resilienza per proteggere l’Europa dai ciberattacchi e dalle ciberperturbazioni» COM(2009) 149 final; Un’agenda digitale europea COM(2010) 245 final; e Protezione delle infrastrutture critiche informatizzate (CIIP) «Realizzazioni e prossime tappe: verso una sicurezza informatica mondiale» COM(2011) 163 final.

(4) Direttiva 2002/21/CE del Parlamento europeo e del Consiglio, del 7 marzo 2002, concernente il carattere definitivo del regolamento nei sistemi di pagamento e nei sistemi di regolamento titoli (GU L 108 del 24.4.2002, pag. 33).

(5) Le funzioni di sorveglianza di alcuni membri del SEBC sono svolte sulla base di leggi e regolamenti nazionali, che integrano, e in alcuni casi si sovrappongono alla competenza dell'Eurosistema.

(6) Il termine «regolamento», per come utilizzato nel presente parere, include la funzione di compensazione.

(7) Direttiva 98/26/CE del Parlamento europeo e del Consiglio, del 19 maggio 1998, concernente il carattere definitivo del regolamento nei sistemi di pagamento e nei sistemi di regolamento titoli (GU L 166 dell’11.6.1998, pag. 45).

(8) Cfr. il terzo comma dell'articolo 10, paragrafo 1, della direttiva sul carattere definitivo del regolamento.

(9) Regolamento (UE) n. 648/2012 del Parlamento europeo e del Consiglio, del 4 luglio 2012, sugli strumenti derivati OTC, le controparti centrali e i repertori di dati sulle negoziazioni (GU L 201 del 27.7.2012, pag. 1).

(10) COM(2012) 73 final.

(11) Disponibile sul sito internet della Banca dei regolamenti internazionali all’indirizzo: https://www.bis.org/publ/cpss94.pdf

(12) Disponibile sul sito della BCE all’indirizzo http://www.ecb.europa.eu

(13) Si veda il Comunicato stampa della BCE relativo in particolare, al Memorandum of Understanding on high-level principles of co-operation between the banking supervisors and central banks of the European Union in crisis management situations (protocollo d'intesa sui principi superiori di cooperazione tra le autorità bancarie di vigilanza e le banche centrali dell'Unione europea in situazioni di gestione delle crisi, di seguito il protocollo d'intesa) (2003) disponibile sul sito della BCE all'indirizzo www.ecb.europa.eu

(14) Si veda la Recommendation 3: incident monitoring and reporting in Recommendations for the security of internet payments-final version after public consultation, ad opera del consesso europeo sulla sicurezza dei pagamenti al dettaglio (European Forum on the Security of Retail Payments [SecuRe Pay]), del gennaio 2013 disponibili sul sito Internet della BCE www.ecb.europa.eu

(15) Sulla base dei principi per la sorveglianza cooperativa internazionale, ribaditi dal rapporto sulla sorveglianza del CPSS del 2005, in diversi casi le banche centrali dell'Eurosistema hanno partecipato con successo ad accordi di sorveglianza cooperativa, come nel quadro degli accordi per la sorveglianza su SWIFT (Society for Worldwide Interbank Financial Telecommunications) e CLS (Continuous Linked Settlement).

(16) Ad esempio, l'obbligo degli operatori di mercato di ottemperare alle misure tecniche e organizzative di cui agli articoli 14, paragrafi 3 e 4, e il potere di impartire istruzioni vincolanti nei confronti di operatori di mercato di cui all'articolo 15, paragrafo 3 della proposta di direttiva.

(17) Si veda il paragrafo 2.12 del parere CON/2014/9 su una proposta di direttiva del Parlamento europeo e del Consiglio relativa ai servizi di pagamento nel mercato interno, recante modifica delle direttive 2002/65/CE, 2013/36/UE e 2009/110/CE e che abroga la direttiva 2007/64/CE (GU C 224 del 15.7.2014, pag. 1). Tutti i pareri della BCE sono pubblicati sul sito internet della BCE all’indirizzo www.ecb.europa.eu