COMMISSIONE EUROPEA Bruxelles, 4.10.2017 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO relativo all’ENISA, l’agenzia dell’Unione europea per la cibersicurezza, che abroga il regolamento (UE) n. 526/2013, e relativo alla certificazione della cibersicurezza per le tecnologie dell’informazione e della comunicazione ("regolamento sulla cibersicurezza") (Testo rilevante ai fini del SEE) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



RELAZIONE 1.CONTESTO DELLA PROPOSTA •Motivi e obiettivi della proposta L’Unione europea ha adottato una serie di provvedimenti per diventare più resiliente e migliorare la sua preparazione in materia di cibersicurezza. La prima strategia dell’Unione europea per la cibersicurezza, adottata nel 2013, definisce obiettivi strategici e azioni concrete per raggiungere la resilienza, ridurre la criminalità informatica, sviluppare una politica e le capacità di ciberdifesa, sviluppare le risorse industriali e tecnologiche in materia e instaurare una politica internazionale coerente dell’Unione europea sul ciberspazio. In tale contesto, sono stati conseguiti da allora importanti sviluppi, compreso in particolare l’avvio del secondo mandato dell’Agenzia dell’Unione europea per la sicurezza delle reti e dei sistemi informativi (ENISA) e l’adozione della direttiva sulla sicurezza delle reti e dei sistemi informativi ("direttiva NIS"), che costituiscono la base della presente proposta. Inoltre, nel 2016 la Commissione ha adottato una comunicazione intitolata "Rafforzare il sistema di resilienza informatica dell’Europa e promuovere la competitività e l’innovazione nel settore della cibersicurezza", in cui annunciava ulteriori misure per intensificare la cooperazione, lo scambio di informazioni e di conoscenze e aumentare la resilienza e la preparazione dell’UE, prendendo anche in considerazione l’eventualità di possibili incidenti informatici su vasta scala e di una crisi della cibersicurezza a livello paneuropeo. In tale contesto, la Commissione aveva annunciato che avrebbe effettuato una valutazione e una revisione del regolamento (UE) n. 526/2013 del Parlamento europeo e del Consiglio relativo all’ENISA e che abroga il regolamento (CE) n. 460/2004 ("regolamento ENISA"). Il processo di valutazione avrebbe potuto sfociare in un’eventuale riforma dell’Agenzia e in un rafforzamento delle sue competenze e capacità per assistere gli Stati membri in modo sostenibile. La riforma avrebbe pertanto dato un taglio più operativo e un ruolo centrale per quanto riguarda la resilienza in materia di cibersicurezza e il nuovo mandato dell’Agenzia avrebbe rispecchiato le sue nuove responsabilità in forza della direttiva NIS. La direttiva NIS costituisce un primo passo fondamentale per promuovere una cultura della gestione del rischio, introducendo requisiti di sicurezza obbligatori per i principali operatori economici, in particolare gli operatori che forniscono servizi essenziali (operatori di servizi essenziali — OES) e i fornitori di alcuni dei principali servizi digitali (fornitori di servizi digitali — DSP). Considerando fondamentali i requisiti di sicurezza per salvaguardare i benefici della crescente digitalizzazione della società, e data la rapida proliferazione di dispositivi connessi (internet degli oggetti - IoT), la comunicazione del 2016 avanza anche l’idea di instaurare un quadro per la certificazione della sicurezza di prodotti e servizi TIC, al fine di accrescere la fiducia e la sicurezza nel mercato unico digitale. La certificazione della cibersicurezza delle TIC è particolarmente importante alla luce del maggiore utilizzo delle tecnologie che richiedono un livello elevato di sicurezza informatica, come le automobili connesse e automatizzate, la sanità elettronica e i sistemi di controllo per l’automazione industriale (IACS). Tali misure e annunci di natura strategica sono stati ulteriormente rafforzati dalle conclusioni del Consiglio del 2016, che riconoscevano che "le vulnerabilità e le minacce informatiche continuano a evolversi e a intensificarsi. Ciò richiederà una cooperazione costante e più stretta, in particolare nella gestione degli incidenti transfrontalieri e su vasta scala in materia di cibersicurezza". Le conclusioni ribadivano che il regolamento ENISA costituisce uno degli "elementi centrali di un quadro dell’UE in materia di resilienza informatica" e invitavano la Commissione a prendere ulteriori iniziative per affrontare la questione della certificazione a livello europeo. L’introduzione di un sistema di certificazione richiederebbe l’istituzione di un adeguato sistema di governance a livello di UE, che dovrebbe anche comprendere una solida competenza fornita da un’agenzia dell’UE indipendente. A questo proposito, la presente proposta individua in ENISA il naturale organismo a livello dell’UE competente in materia di cibersicurezza, che dovrebbe assumere il ruolo di riunire le autorità nazionali competenti in materia di certificazione e coordinarne il lavoro. Nella sua comunicazione sulla revisione intermedia della strategia per il mercato unico digitale del maggio 2017, la Commissione ha ulteriormente precisato che avrebbe rivisto il mandato dell’ENISA entro settembre 2017, per definirne il ruolo nel mutato ecosistema della cibersicurezza ed elaborare misure relative a norme tecniche, certificazioni ed etichettature in materia di sicurezza informatica, per rendere più sicuri i sistemi basati sulle TIC, oggetti connessi inclusi. Le conclusioni del Consiglio europeo del giugno 2017 hanno accolto con favore l’intenzione della Commissione di riesaminare la strategia per la cibersicurezza nel mese di settembre e di proporre ulteriori azioni mirate entro la fine dell’anno. La proposta di regolamento prevede una serie completa di misure che costituiscono lo sviluppo di precedenti azioni e promuove obiettivi specifici che si rafforzano reciprocamente: ·accrescere le capacità e la preparazione degli Stati membri e delle imprese; ·migliorare la cooperazione e il coordinamento tra gli Stati membri e le istituzioni, gli organismi e le agenzie dell’UE; ·aumentare le capacità a livello dell’UE per integrare l’azione degli Stati membri, in particolare in caso di crisi informatiche transfrontaliere. ·intensificare la consapevolezza di cittadini e imprese sulle questioni riguardanti la cibersicurezza; ·migliorare, in generale, la trasparenza dell’affidabilità in termini di cibersicurezza dei prodotti e dei servizi TIC, al fine di rafforzare la fiducia nel mercato unico digitale e nell’innovazione digitale; e ·evitare la frammentazione dei sistemi di certificazione nell’UE e i relativi requisiti di sicurezza e criteri di valutazione nei vari Stati membri e settori di attività. La seguente parte della relazione espone in modo più dettagliato le motivazioni dell’iniziativa per quanto riguarda le azioni proposte per l’ENISA e la certificazione della cibersicurezza.



ENISA

L’ENISA è un centro di competenze incaricato di migliorare la sicurezza delle reti e dell’informazione nell’Unione e di sostenere lo sviluppo delle capacità degli Stati membri. L’ENISA è stata istituita nel 2004 per contribuire all’obiettivo generale di garantire un livello elevato di sicurezza delle reti e dell’informazione nell’ambito dell’UE. Nel 2013 il regolamento (UE) n. 526/2013 ha definito il nuovo mandato dell’Agenzia per un periodo di sette anni, fino al 2020. L’Agenzia ha sede in Grecia, e segnatamente la sede amministrativa a Heraklion (Creta) e il centro operativo ad Atene. Rispetto alle altre agenzie dell’UE, l’ENISA è un’agenzia piccola, dotata di bilancio modesto e un organico poco numeroso e il cui mandato è a tempo determinato. L’ENISA sostiene le istituzioni europee, gli Stati membri e le imprese nell’affrontare, risolvere e in particolare prevenire i problemi di sicurezza delle reti e dell’informazione. A tal fine effettua una serie di attività nei cinque settori individuati nella sua strategia: ·Competenza: fornire informazioni e competenze sulle principali questioni relative alla sicurezza delle reti e dell’informazione. ·Politica: sostenere l’elaborazione e l’attuazione delle politiche dell’Unione. ·Capacità: contribuire allo sviluppo delle capacità in tutta l’Unione (ad esempio attraverso attività di formazione, raccomandazioni, attività di sensibilizzazione). ·Comunità: promuovere la comunità della sicurezza delle reti e delle informazioni (ad esempio sostegno alle squadre di pronto intervento informatico delle istituzioni, degli organi e delle agenzie europee (Computer Emergency Response Teams - CERT), coordinamento delle esercitazioni paneuropee di cibersicurezza). ·Facilitazione: ad esempio collaborazione con i portatori d’interessi e avvio di relazioni internazionali. Nel corso dei negoziati relativi alla direttiva NIS, i colegislatori dell’UE hanno deciso di attribuire importanti funzioni all’ENISA nell’applicazione della presente direttiva. In particolare, l’Agenzia assicura le funzioni di segretariato della rete di CSIRT (istituita per promuovere una collaborazione operativa rapida ed efficace tra Stati membri in relazione a specifici incidenti connessi alla cibersicurezza e alla condivisione delle informazioni sui rischi), ed è inoltre chiamata ad assistere il gruppo di cooperazione nell’esecuzione dei suoi compiti. Inoltre, la direttiva dispone che l’ENISA assista gli Stati membri e la Commissione mettendo loro a disposizione le proprie competenze e consulenze e agevolando lo scambio di migliori pratiche. Conformemente al regolamento che istituisce l’ENISA, la Commissione ha proceduto a una valutazione dell’Agenzia, comprendente uno studio indipendente e una consultazione pubblica. La valutazione ha riguardato la pertinenza, l’impatto, l’efficacia, l’efficienza, la coerenza e il valore aggiunto UE dell’Agenzia sotto il profilo delle sue prestazioni, della sua governance, dell’organizzazione interna e dei nuovi metodi di lavoro, nel corso del periodo 2013-2016. Le prestazioni complessive dell’ENISA sono state valutate positivamente dalla maggioranza degli intervistati (74%) che hanno partecipato alla consultazione pubblica. Una maggioranza di intervistati ritiene, inoltre, che l’ENISA stia realizzando i suoi diversi obiettivi (almeno il 63% per ciascuno degli obiettivi). I servizi e i prodotti dell’ENISA sono periodicamente (a cadenza mensile o più frequente) utilizzati da quasi la metà degli intervistati (46%) e sono apprezzati per la loro provenienza da un organismo a livello dell’UE (83%) e per la loro qualità (62%). Tuttavia, la grande maggioranza (88%) degli intervistati ritiene che gli attuali strumenti e meccanismi disponibili a livello dell’UE siano insufficienti o solo parzialmente adeguati per affrontare le attuali sfide in materia di cibersicurezza. La grande maggioranza dei partecipanti (98%) è del parere che un organismo dell’UE dovrebbe tenere conto di queste esigenze, e il 99% pensa che l’ENISA sia l’organizzazione adatta a tal proposito. Inoltre, il 67,5% dei partecipanti ha espresso l’opinione che l’ENISA potesse svolgere un ruolo nella creazione di un quadro armonizzato per la certificazione della sicurezza di prodotti e servizi informatici. La valutazione complessiva (basata non solo sulla consultazione pubblica, ma anche su una serie di interviste individuali, altre indagini mirate e seminari) ha raggiunto le seguenti conclusioni: ·gli obiettivi dell’ENISA continuano ad essere pertinenti. In un contesto di rapida evoluzione tecnologica e minacce in costante evoluzione e alla luce dei crescenti rischi di sicurezza informatica a livello mondiale, vi è una chiara necessità nell’UE di promuovere e rafforzare ulteriormente le competenze tecniche di alto livello nelle questioni riguardanti la cibersicurezza. È necessario rafforzare la capacità degli Stati membri di capire e di rispondere alle minacce e i portatori d’interessi dovranno cooperare nei vari settori tematici e a livello interistituzionale. ·Nonostante la dotazione di bilancio limitata, l’Agenzia è stata efficiente dal punto di vista operativo nell’uso delle sue risorse e nell’esecuzione dei suoi compiti. L’ubicazione suddivisa tra Atene e Heraklion, tuttavia, ha anche generato costi amministrativi supplementari. ·In termini di efficacia, l’ENISA ha parzialmente raggiunto i suoi obiettivi. L’Agenzia ha contribuito positivamente a migliorare la sicurezza delle reti e dell’informazione in Europa, sostenendo la creazione di capacità in 28 Stati membri, rafforzando la cooperazione fra gli Stati membri e i portatori d’interessi in materia di sicurezza delle reti e dell’informazione e fornendo consulenza, facilitando la creazione di comunità e sostenendo lo sviluppo delle politiche. Complessivamente, l’ENISA si è diligentemente concentrata sull’attuazione del suo programma di lavoro e ha agito da partner affidabile per i suoi portatori d’interessi, in un settore di cui solo recentemente è stata riconosciuta la forte rilevanza transfrontaliera. ·L’ENISA ha certamente influito positivamente - almeno in certa misura - sulla sicurezza delle reti e dell’informazione, ma non è pienamente riuscita ad acquisire una reputazione solida né una visibilità sufficiente per essere riconosciuta come "il" centro di competenza in Europa. La spiegazione va trovata nell’ampio mandato dell’ENISA, che non è stata dotata di risorse sufficienti in relazione ai suoi compiti. Inoltre, l’ENISA rimane l’unica agenzia dell’Unione europea con un mandato a tempo determinato, il che ne limita la capacità di elaborare una visione a lungo termine e assistere i portatori d’interessi in modo sostenibile. Tale situazione non è conforme alle disposizioni della direttiva NIS che affida a ENISA compiti senza alcuna data di scadenza. Infine, dalla valutazione emerge che tale efficacia limitata può essere in parte spiegata con la forte dipendenza dalle competenze esterne rispetto a quelle interne e con le difficoltà incontrate nel reclutare e trattenere personale specializzato. ·Da ultimo, ma non meno importante, la valutazione ha concluso che il valore aggiunto dell’ENISA risiede principalmente nella capacità dell’Agenzia di intensificare la cooperazione soprattutto tra gli Stati membri, e in particolare con le pertinenti comunità della sicurezza delle reti e dell’informazione (in particolare tra i CSIRT). Nessun altro organismo sostiene - a livello dell’UE - una comunità così ampia di portatori d’interessi nel settore della sicurezza delle reti e dell’informazione. Tuttavia, dovendo dare rigide priorità alle sue attività, il programma di lavoro dell’ENISA è per lo più orientato alle esigenze degli Stati membri. Di conseguenza, non si occupa adeguatamente delle esigenze di altri operatori, in particolare dell’industria. Il mandato ha inoltre indotto l’Agenzia a rispondere alle esigenze dei suoi principali portatori d’interessi, impedendole in tal modo di conseguire un impatto più ampio. Pertanto, il valore aggiunto fornito dall’Agenzia varia a seconda delle esigenze divergenti dei suoi portatori d’interessi e della misura in cui l’Agenzia è stata in grado di soddisfarle (ad esempio, gli Stati membri grandi vs i piccoli Stati membri, gli Stati membri vs le imprese). In sintesi, i risultati delle consultazioni e la valutazione dei portatori d’interessi suggeriscono che le risorse e il mandato dell’ENISA devono essere adattati affinché l’Agenzia possa svolgere un ruolo adeguato per rispondere alle sfide presenti e future.

Alla luce di tali risultati, la presente proposta esamina l’attuale mandato dell’ENISA e stabilisce una serie rinnovata di compiti e funzioni al fine di sostenere, in modo efficace ed efficiente, gli sforzi degli Stati membri, delle istituzioni dell’UE e degli altri portatori d’interessi volti a garantire un ciberspazio sicuro all’interno dell’Unione europea. Il nuovo mandato proposto intende conferire all’Agenzia un ruolo più forte e centrale, in particolare anche aiutando gli Stati membri ad attuare la direttiva NIS e contrastare più attivamente le particolari minacce (capacità operativa) e diventando un centro specializzato volto a sostenere gli Stati membri e la Commissione in materia di certificazione della cibersicurezza. Nel quadro della presente proposta: ·all’ENISA sarebbe conferito un mandato permanente e l’Agenzia disporrebbe in tal modo di una base stabile per il futuro. Il mandato, gli obiettivi e i compiti continueranno ad essere oggetto di revisione periodica. ·Il mandato proposto definisce più precisamente il ruolo dell’ENISA in quanto agenzia dell’UE per la sicurezza informatica e come punto di riferimento nell’ecosistema della cibersicurezza dell’UE, in stretta collaborazione con tutti gli altri organismi pertinenti di tale ecosistema. ·L’organizzazione e la governance dell’Agenzia, che sono state giudicate positivamente nel corso della valutazione, sarebbero leggermente rivedute, in particolare al fine di garantire che le esigenze della più ampia comunità dei portatori d’interessi siano rispecchiate più adeguatamente nei lavori dell’Agenzia. ·Il campo di applicazione proposto per il mandato è ben delineato, sono rafforzati quei settori in cui l’Agenzia ha dimostrato un chiaro valore aggiunto e sono integrati nuovi settori in cui è necessario un sostegno alla luce delle nuove priorità politiche e dei nuovi strumenti, in particolare la direttiva NIS, il riesame della strategia dell’UE per la cibersicurezza, il prossimo programma di cibersicurezza dell’UE per la cooperazione in caso di crisi informatica e la certificazione della sicurezza delle TIC: ·sviluppo e attuazione delle politiche dell’UE: l’ENISA avrebbe il compito di contribuire attivamente alla formulazione della politica in materia di sicurezza delle reti e dell’informazione, nonché allo sviluppo di altre iniziative politiche che presentano elementi di cibersicurezza in diversi settori (ad esempio, energia, trasporti, finanza). A tal fine, avrebbe un forte ruolo consultivo che potrà svolgere fornendo pareri indipendenti e lavori preparatori per l’elaborazione e l’aggiornamento delle politiche e della legislazione. L’ENISA potrebbe sostenere anche la politica e la normativa dell’UE in materia di comunicazioni elettroniche, identità elettronica e servizi fiduciari, al fine di promuovere un livello più elevato di sicurezza informatica. In fase di attuazione, in particolare nel contesto del gruppo di collaborazione NIS, l’ENISA assisterebbe gli Stati membri nel conseguire un approccio coerente per l’attuazione transfrontaliera e transettoriale della direttiva NIS, nonché di altre pertinenti normative e politiche. Al fine di sostenere il riesame periodico delle politiche e delle leggi in materia di sicurezza informatica, l’ENISA appronterebbe anche relazioni periodiche sullo stato di attuazione del quadro giuridico dell’UE. ·Rafforzamento delle capacità: l’ENISA contribuirebbe a migliorare le capacità e le competenze delle autorità pubbliche nazionali e dell’UE, anche in materia di risposta agli incidenti e di vigilanza delle relative misure di regolamentazione della sicurezza informatica. L’Agenzia dovrebbe inoltre contribuire alla creazione di centri di condivisione e di analisi delle informazioni (ISAC) in vari settori proponendo migliori pratiche e orientamenti sugli strumenti e le procedure disponibili, nonché affrontando in maniera adeguata le questioni regolamentari relative alla condivisione di informazioni. ·Condivisione di conoscenze e informazioni, sensibilizzazione: l’ENISA diventerebbe il polo d’informazione dell’UE. Ciò implicherebbe la promozione e la condivisione delle migliori pratiche e di iniziative in tutta l’UE, mettendo in comune le informazioni in materia di cibersicurezza provenienti dalle istituzioni, agenzie e organismi dell’UE e nazionali. L’Agenzia dovrebbe inoltre fornire consulenza, orientamenti e migliori pratiche sulla sicurezza delle infrastrutture critiche. Dopo il verificarsi di significativi incidenti informatici transfrontalieri di sicurezza, l’ENISA dovrebbe inoltre elaborare relazioni al fine di fornire orientamenti alle imprese e ai cittadini in tutta l’UE. Questo compito comporterebbe anche l’organizzazione periodica di attività di sensibilizzazione, di concerto con le autorità degli Stati membri. ·Compiti connessi al mercato (normazione, certificazione della cibersicurezza): l’ENISA dovrebbe svolgere una serie di compiti, segnatamente a sostegno del mercato interno e costituire un "osservatorio del mercato della cibersicurezza", analizzando le tendenze pertinenti nel mercato della sicurezza informatica per migliorare l’incontro tra domanda e offerta, e sostenendo lo sviluppo delle politiche dell’UE nei settori della normazione e della certificazione della cibersicurezza delle TIC. Per quanto riguarda la normazione, faciliterebbe la definizione e l’adozione di norme tecniche in materia di sicurezza informatica. L’ENISA dovrebbe inoltre eseguire i compiti previsti nel contesto del futuro quadro per la certificazione (cfr. infra). ·Ricerca e innovazione: l’ENISA dovrebbe apportare le sue conoscenze consigliando le autorità nazionali e dell’UE sulla definizione delle priorità in materia di ricerca e sviluppo, anche nel contesto dell’accordo di partenariato pubblico-privato contrattuale sulla cibersicurezza (cPPP). La consulenza dell’ENISA sulla ricerca sarebbe di sostegno al nuovo Centro europeo di ricerca e di competenza sulla cibersicurezza nell’ambito del prossimo quadro finanziario pluriennale. L’ENISA potrebbe anche essere coinvolta, su richiesta della Commissione, nell’attuazione di programmi di finanziamento dell’UE in materia di ricerca e innovazione. ·Cooperazione operativa e gestione delle crisi: questo filone di lavoro consisterebbe nel rafforzare le esistenti capacità operative di prevenzione, in particolare aggiornando le esercitazioni paneuropee in questo settore (Cyber Europe), che sarebbero organizzate su base annuale, e nell’assumere un ruolo di sostegno alla cooperazione operativa in veste di segretariato della rete di CSIRT (come da disposizioni della direttiva NIS), garantendo, tra l’altro, il buon funzionamento delle infrastrutture informatiche e dei canali di comunicazione della rete di CSIRT. In tale contesto, sarebbe necessario instaurare una cooperazione strutturata con la CERT-UE, il Centro europeo per la lotta alla criminalità informatica (EC3) e altri organi competenti dell’UE. Inoltre, una cooperazione strutturata con la CERT-UE, che comporti una stretta vicinanza geografica, dovrebbe tradursi in una funzione di assistenza tecnica in caso di incidenti rilevanti e di sostegno all’analisi degli incidenti. Su loro richiesta, gli Stati membri riceverebbero assistenza nel trattamento degli incidenti e sostegno all’analisi delle vulnerabilità, degli artefatti e degli incidenti al fine di rafforzare la loro capacità di risposta e di prevenzione. ·L’ENISA svolgerebbe un ruolo anche nel programma di cibersicurezza dell’UE, presentato come elemento del presente pacchetto legislativo, che formula la raccomandazione della Commissione agli Stati membri per una risposta coordinata a livello dell’UE agli incidenti e alle crisi di cibersicurezza transfrontalieri su vasta scala. L’ENISA avrebbe il compito di facilitare la cooperazione tra i singoli Stati membri che affrontano interventi di emergenza mediante l’analisi e l’aggregazione delle relazioni nazionali sulla situazione basate su informazioni messe a disposizione dell’Agenzia, su base volontaria, dagli Stati membri e da altri soggetti. ·Certificazione della cibersicurezza di prodotti e servizi TIC Per creare e preservare la fiducia e la sicurezza, i prodotti e i servizi TIC devono incorporare direttamente gli elementi di sicurezza fin dagli stadi iniziali della loro progettazione e sviluppo tecnico (sicurezza fin dalla progettazione). Inoltre, clienti e utenti devono poter conoscere il livello di affidabilità della sicurezza dei prodotti e dei servizi che utilizzano o acquistano. La certificazione, che consiste nella valutazione formale dei prodotti, servizi e processi da parte di un organismo indipendente e accreditato rispetto a una serie definita di criteri standard e nel rilascio di un certificato di conformità, svolge un ruolo importante nel rafforzare la fiducia e la sicurezza di prodotti e servizi. Mentre le valutazioni della sicurezza riguardano gli aspetti tecnici, la certificazione serve a informare e rassicurare gli acquirenti e gli utenti in merito alle caratteristiche di sicurezza dei prodotti e servizi TIC che acquistano o utilizzano. Come già indicato, ciò è particolarmente significativo per i nuovi sistemi che fanno ampio uso delle tecnologie digitali e richiedono un livello elevato di sicurezza, come ad esempio le automobili connesse e automatizzate, la sanità elettronica, i sistemi di controllo per l’automazione industriale (IACS) o le reti elettriche intelligenti. Attualmente, il panorama della certificazione della cibersicurezza dei prodotti e dei servizi TIC nell’UE è piuttosto frammentato. Esistono diverse iniziative internazionali, quali i cosiddetti criteri comuni (CC) per la valutazione della sicurezza delle tecnologie d’informazione (ISO 15408), che costituiscono una norma tecnica internazionale per la valutazione della sicurezza informatica. Essa si basa sulla valutazione da parte di terzi e prevede sette livelli di valutazione dell’affidabilità (Evaluation Assurance Level - EAL). I CC e l’associata Metodologia comune per la valutazione della sicurezza delle tecnologie d’informazione (CEM) costituiscono la base tecnica per un accordo internazionale, l’Accordo di riconoscimento dei criteri comuni (CCRA), che garantisce che i certificati basati sui CC sono riconosciuti da tutti i firmatari del CCRA. Tuttavia, nell’attuale versione del CCRA godono di reciproco riconoscimento solo valutazioni fino all’EAL 2. Inoltre, solo 13 Stati membri hanno firmato l’accordo. Le autorità di certificazione di 12 Stati membri hanno concluso un accordo di reciproco riconoscimento dei certificati rilasciati in conformità con l’accordo sulla base dei criteri comuni. Inoltre, negli Stati membri esistono o sono in corso di introduzione svariate iniziative di certificazione delle TIC. Sebbene importanti, c’è il rischio che tali iniziative provochino la frammentazione del mercato unico e problemi di interoperabilità. Di conseguenza, per poter offrire il suo prodotto in più mercati, una società può essere costretta a sottoporsi a diverse procedure di certificazione in vari Stati membri. Per esempio, il fabbricante di un contatore intelligente che intenda vendere i propri prodotti in tre Stati membri, ad esempio Germania, Francia e Regno Unito, deve attualmente conformarsi a tre diversi sistemi di certificazione: la Commercial Product Assurance (CPA) nel Regno Unito, la Certification de Sécurité de Premier Niveau in Francia (CSPN) e uno specifico profilo di protezione sulla base di criteri comuni in Germania. Tale situazione comporta un aumento dei costi e rappresenta un considerevole onere amministrativo per le imprese che operano in più Stati membri. Benché possano variare sensibilmente a seconda del prodotto/servizio interessato, del livello di affidabilità richiesto e/o di altri componenti, i costi di certificazione tendono in generale, ad essere piuttosto elevati per le imprese. Ad esempio, per il certificato Smart Meter Gateway del BSI, l’istituto federale tedesco per la sicurezza informatica, il costo è superiore a 1 milione di EUR (il certificato attesta il livello più elevato di prova e di affidabilità e riguarda non solo il prodotto, ma tutta la relativa infrastruttura), mentre i costi per la certificazione dei contatori intelligenti nel Regno Unito e in Francia ammontano a circa 150 000 EUR. I principali portatori d’interessi del settore pubblico e privato riconoscono che, in assenza di un sistema di certificazione della cibersicurezza a livello di UE, in molti casi, le imprese devono essere certificate in ciascuno Stato membro, il che genera una frammentazione del mercato. Ancor più importante è il fatto che, in mancanza di una legislazione volta all’armonizzazione nell’Unione per i prodotti e i servizi TIC, le differenze tra gli Stati membri in termini di norme tecniche e prassi per la certificazione della cibersicurezza potrebbero creare in pratica 28 distinti mercati della sicurezza nell’UE, ciascuno con propri requisiti tecnici, metodi di prova e procedure di certificazione della cibersicurezza. Tali approcci divergenti a livello nazionale sono tali da provocare — in mancanza di misure adeguate a livello UE — un notevole passo indietro nella realizzazione del mercato unico digitale, rallentando o prevenendo gli effetti positivi connessi in termini di crescita e di occupazione. Sulla base di quanto precede, la proposta di regolamento istituisce un quadro europeo di certificazione della cibersicurezza (il "quadro") per i prodotti e i servizi TIC e precisa le funzioni essenziali e i compiti dell’ENISA nel settore della certificazione della cibersicurezza. La presente proposta introduce un quadro complessivo di regole che disciplinano i sistemi europei di certificazione della cibersicurezza. La proposta non istituisce sistemi di certificazione direttamente operativi, ma crea piuttosto un "quadro" per l’istituzione di specifici sistemi di certificazione per determinati prodotti/servizi TIC ("sistemi europei di certificazione della cibersicurezza"). La creazione di sistemi di certificazione della cibersicurezza conformi al quadro generale significherà che i certificati rilasciati nell’ambito di tali sistemi saranno validi e riconosciuti in tutti gli Stati membri e permetterà di affrontare l’attuale frammentazione del mercato.

L’obiettivo generale di un sistema europeo di certificazione della cibersicurezza è di attestare che i prodotti e servizi TIC certificati sulla base di tale sistema rispettano precisi requisiti di sicurezza informatica. Si potrebbe trattare, ad esempio, della loro capacità di protezione dei dati (dati memorizzati, trasmessi o altrimenti trattati) dall’archiviazione, dal trattamento, dall’accesso o dalla divulgazione accidentali o non autorizzati e dalla distruzione e dalla perdita accidentale o dall’alterazione. I sistemi di certificazione della cibersicurezza dell’UE farebbero riferimento alle norme tecniche esistenti in relazione ai requisiti tecnici e alle procedure di valutazione che i prodotti devono rispettare e non svilupperebbero proprie norme tecniche. Ad esempio, una certificazione a livello UE per i prodotti quali le "smart card", che attualmente viene verificata rispetto alle norme tecniche internazionali in materia di CC nell’ambito del sistema multilaterale SOG-IS (sopra descritto), renderebbe tale regime valido in tutta l’UE. Oltre a definire una serie specifica di obiettivi di sicurezza da prendere in considerazione all’atto della progettazione di uno specifico sistema europeo di certificazione della cibersicurezza, la proposta dispone quale debba essere il contenuto minimo di tali sistemi. Essi dovranno definire, tra l’altro, una serie di elementi specifici che stabiliscono il campo di applicazione e l’oggetto della certificazione della cibersicurezza. Ciò include l’identificazione delle categorie di prodotti e servizi contemplati, l’indicazione dettagliata dei requisiti di sicurezza informatica (ad esempio con riferimento alle pertinenti norme o specifiche tecniche), i criteri e i metodi di valutazione specifici e il livello di affidabilità che intendono assicurare (ossia: di base, significativo o elevato). I sistemi europei di certificazione della cibersicurezza saranno preparati dall’ENISA, con l’assistenza, la consulenza e la stretta collaborazione del Gruppo europeo per la certificazione della cibersicurezza (cfr. infra) e adottati dalla Commissione mediante atti di esecuzione. Quando sia rilevata la necessità di un sistema di certificazione della cibersicurezza, la Commissione chiederà all’ENISA di predisporre un sistema per specifici prodotti o servizi TIC. L’ENISA lavorerà a tal fine di concerto con le autorità nazionali di controllo della certificazione rappresentate in seno al gruppo. Gli Stati membri e il gruppo possono suggerire alla Commissione di chiedere all’ENISA di preparare un sistema particolare. La certificazione può rivelarsi un processo molto costoso, con un possibile conseguente aumento dei prezzi per i clienti e i consumatori. La necessità di certificazione può anche variare significativamente a seconda del contesto specifico di uso dei prodotti e dei servizi e del rapido ritmo dell’evoluzione tecnologica. Il ricorso alla certificazione europea della cibersicurezza dovrebbe pertanto avere carattere facoltativo, salvo se altrimenti previsto nella legislazione dell’Unione che stabilisce requisiti di sicurezza dei prodotti e servizi TIC. Al fine di garantire l’armonizzazione ed evitare la frammentazione, le procedure o i sistemi nazionali di certificazione della cibersicurezza per i prodotti e i servizi TIC contemplati da un sistema europeo di certificazione della cibersicurezza cesseranno di applicarsi a decorrere dalla data stabilita nell’atto di esecuzione che adotta il sistema. Gli Stati membri dovrebbero inoltre astenersi dall’introdurre nuovi sistemi nazionali di certificazione della cibersicurezza per i prodotti e i servizi TIC contemplati da un sistema europeo di certificazione della cibersicurezza. Una volta adottato un sistema europeo di certificazione della cibersicurezza, i fabbricanti di prodotti TIC o i prestatori di servizi TIC potranno presentare domanda di certificazione per i rispettivi prodotti o servizi a un organismo di valutazione della conformità di propria scelta. Detti organismi di valutazione della conformità dovranno essere accreditati da un organismo di accreditamento se soddisfano determinati requisiti. L’accreditamento è concesso per un periodo massimo di cinque anni e può essere rinnovato alle stesse condizioni purché l’organismo di valutazione della conformità soddisfi i requisiti. Gli organismi di accreditamento revocano l’accreditamento di un organismo di valutazione della conformità se le condizioni per l’accreditamento non sono, o non sono più, rispettate o se le misure adottate da un organismo di valutazione della conformità sono contrarie alle disposizioni del presente regolamento. In base alla proposta, i compiti di controllo, di vigilanza e di esecuzione spettano agli Stati membri. Gli Stati membri dovranno prevedere un’autorità di controllo della certificazione. L’autorità in questione è incaricata di vigilare sulla conformità degli organismi di valutazione della conformità, così come dei certificati rilasciati da organismi di valutazione della conformità stabiliti nel loro territorio, rispetto ai requisiti stabiliti dal presente regolamento e ai pertinenti sistemi europei di certificazione della cibersicurezza. Le autorità nazionali di controllo della certificazione saranno competenti a trattare i reclami presentati da persone fisiche o giuridiche in relazione ai certificati rilasciati da organismi di valutazione della conformità stabiliti nel loro territorio. Esse esamineranno - nella misura opportuna - l’oggetto del reclamo e informeranno il reclamante dei progressi e dell’esito del loro esame entro un periodo di tempo ragionevole. Inoltre, coopereranno con altre autorità di controllo della certificazione o altre autorità pubbliche, ad esempio mediante lo scambio di informazioni su eventuali casi di non conformità dei prodotti e dei servizi TIC con le disposizioni del presente regolamento o con specifici sistemi europei di certificazione della cibersicurezza. Infine, la proposta istituisce il Gruppo europeo per la certificazione della cibersicurezza (in seguito: il "gruppo"), che sarà composto da autorità nazionali di controllo della certificazione di tutti gli Stati membri. Il principale compito del gruppo è consigliare la Commissione sulle questioni concernenti la politica di certificazione della cibersicurezza e collaborare con l’ENISA per lo sviluppo di progetti di sistemi europei di certificazione della cibersicurezza. L’ENISA assisterà la Commissione assicurando il segretariato del gruppo e tenendo aggiornato un inventario pubblico dei sistemi approvati nell’ambito del quadro europeo di certificazione della cibersicurezza. L’ENISA manterrà contatti con gli organismi di normazione per garantire che le norme tecniche applicate nell’ambito dei sistemi approvati siano adeguate e per individuare le aree che necessitano di norme tecniche in materia di sicurezza informatica. Il quadro europeo di certificazione della cibersicurezza ("quadro") offrirà diversi vantaggi ai cittadini e alle imprese. In particolare: ·La creazione di sistemi di certificazione della cibersicurezza di specifici prodotti o servizi a livello dell’UE fornirà uno "sportello unico" alle imprese per la certificazione della cibersicurezza nell’UE. Tali imprese potranno certificare i loro prodotti una sola volta e ottenere un certificato valido in tutti gli Stati membri. Non saranno tenuti a certificare nuovamente i loro prodotti presso diversi organismi nazionali di certificazione. Ciò consentirà di ridurre notevolmente i costi per le imprese, facilitare le operazioni transfrontaliere e, in ultima analisi, ridurre ed evitare la frammentazione del mercato interno per quanto riguarda i prodotti in questione. ·Il quadro stabilisce che i sistemi europei di certificazione della cibersicurezza prevalgono sui sistemi nazionali: in base a tale norma, l’adozione di un sistema europeo di certificazione della cibersicurezza sostituisce tutti gli attuali sistemi nazionali paralleli per gli stessi prodotti o servizi TIC a un dato livello di affidabilità. Ciò apporterà maggiore chiarezza, riducendo l’attuale proliferazione di sistemi nazionali di certificazione della cibersicurezza che si sovrappongono e sono a volte contradittori. ·La proposta sostiene e integra l’attuazione della direttiva NIS, dotando le imprese che ne sono soggette di uno strumento molto utile per dimostrare la conformità con le disposizioni di detta direttiva in tutta l’Unione. Nello sviluppo di nuovi sistemi di certificazione della cibersicurezza, l’ENISA e la Commissione continueranno a prestare particolare attenzione alla necessità di garantire che le disposizioni della direttiva NIS trovino riscontro nei sistemi di certificazione della cibersicurezza. ·La proposta mira a sostenere e agevolare lo sviluppo di una politica europea in materia di sicurezza informatica, armonizzando le condizioni e i requisiti sostanziali per la certificazione della cibersicurezza dei prodotti e dei servizi TIC nell’UE. I sistemi europei di certificazione della cibersicurezza faranno riferimento a norme tecniche o criteri di valutazione e metodologie di prova comuni. Ciò contribuirà in misura significativa, sia pure indiretta, all’adozione di soluzioni comuni in materia di sicurezza nell’UE, contribuendo altresì a rimuovere gli ostacoli al mercato interno. ·Il quadro è concepito in modo tale da assicurare la necessaria flessibilità per la cibersicurezza dei sistemi di certificazione. A seconda delle specifiche necessità di cibersicurezza, un prodotto o un servizio può essere certificato ad un livello più o meno elevato di sicurezza. I sistemi europei di certificazione della cibersicurezza saranno progettati tenendo in mente tale flessibilità e garantiranno quindi diversi livelli di affidabilità (ossia di base, sostanziale o elevato), in modo da poter essere utilizzati per scopi differenti o in contesti diversi. ·Tutti questi elementi renderanno più attraente la certificazione della cibersicurezza per le imprese come efficace strumento per comunicare il livello di affidabilità della cibersicurezza di prodotti o servizi TIC. Man mano che la certificazione della cibersicurezza diventerà meno costosa, più efficace e più interessante dal punto di vista commerciale, le imprese avranno maggiori incentivi a certificare i loro prodotti contro i rischi relativi alla cibersicurezza, contribuendo in tal modo alla diffusione delle migliori pratiche in materia di sicurezza informatica nella progettazione di prodotti e servizi TIC (cibersicurezza fin dalla progettazione). •Coerenza con le disposizioni vigenti nel settore normativo interessato A norma della direttiva NIS, gli operatori dei settori che sono fondamentali per la nostra economia e la nostra società, quali l’energia, i trasporti, l’acqua, i servizi bancari, le infrastrutture dei mercati finanziari, l’assistenza sanitaria e le infrastrutture digitali, così come i fornitori di servizi digitali (ad esempio, i motori di ricerca, i servizi di cloud computing e i mercati online) sono tenuti a prendere misure per gestire adeguatamente i rischi di sicurezza. Le nuove disposizioni della presente proposta integrano - assicurandone la coerenza - le disposizioni della direttiva NIS, al fine di conseguire una maggiore resilienza informatica dell’UE attraverso un più alto livello di capacità, cooperazione, sensibilizzazione e gestione dei rischi informatici. Inoltre, le norme in materia di certificazione della cibersicurezza costituiscono uno strumento essenziale per le imprese soggette alla direttiva NIS, che potranno certificare i loro prodotti e servizi TIC contro i rischi relativi alla cibersicurezza sulla base di sistemi di certificazione della cibersicurezza validi e riconosciuti in tutta l’UE. Esse saranno inoltre complementari ai requisiti di sicurezza di cui al regolamento eIDAS e alla direttiva sulle apparecchiature radio. •Coerenza con le altre normative dell’Unione Il regolamento (UE) 2016/679 (il regolamento generale sulla protezione dei dati, "RGPD") stabilisce le disposizioni volte a predisporre meccanismi di certificazione e sigilli e marchi di protezione dei dati allo scopo di dimostrare la conformità al presente regolamento dei trattamenti dei dati da parte di responsabili del trattamento e incaricati del trattamento. Il presente regolamento si applica fatta salva la certificazione delle operazioni di trattamento dei dati, anche nel caso in cui tali operazioni siano incorporate nei prodotti e servizi, a norma del regolamento generale sulla protezione dei dati.

Il regolamento proposto garantirà la compatibilità con il regolamento (CE) n. 765/2008 relativo all’accreditamento e alla vigilanza del mercato, facendo riferimento alle norme di tale quadro normativo per gli organismi nazionali di accreditamento e gli organismi di valutazione della conformità. Per quanto riguarda le autorità di controllo, il regolamento proposto impone agli Stati membri di designare autorità nazionali di controllo della certificazione con responsabilità in materia di vigilanza, monitoraggio e applicazione delle norme. Tali organismi continueranno a essere distinti dagli organismi di valutazione della conformità, secondo quanto prescritto dal regolamento (CE) n. 765/2008. 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ •Base giuridica La base giuridica per l’azione dell’UE è l’articolo 114 del trattato sul funzionamento dell’Unione europea (TFUE), che concerne il ravvicinamento delle legislazioni degli Stati membri al fine di conseguire gli obiettivi dell’articolo 26 TFUE, ossia il corretto funzionamento del mercato interno. La base giuridica del mercato interno, su cui si fonda l’istituzione dell’ENISA, è stata confermata dalla Corte di giustizia nella causa C-217/04 (Regno Unito/Parlamento europeo e Consiglio) ed è stata ulteriormente confermata dal regolamento del 2013 che stabilisce il mandato attuale dell’Agenzia. Inoltre, le attività intese a conseguire gli obiettivi di intensificare la cooperazione e il coordinamento tra gli Stati membri e quelli che aggiungono capacità a livello dell’UE per integrare l’azione degli Stati membri rientrano nella categoria della "cooperazione operativa". Questo aspetto è specificamente individuato dalla direttiva NIS (la cui base giuridica è l’articolo 114 del TFUE) come obiettivo da perseguire nel quadro della rete di CSIRT di cui "l’ENISA assicura il segretariato e sostiene attivamente la cooperazione" (articolo 12, paragrafo 2). In particolare, l’articolo 12, paragrafo 3, lettera f), individua ulteriori forme di cooperazione operativa come compito della rete di CSIRT, anche in relazione a: i) categorie di rischi e di incidenti; ii) preallarmi; iii) assistenza reciproca; e iv) principi e modalità di coordinamento, quando gli Stati membri intervengono a proposito di rischi e incidenti transfrontalieri. ·L’attuale frammentazione dei sistemi di certificazione per i prodotti e i servizi TIC risulta anche dall’assenza di un quadro comune giuridicamente vincolante e di un efficace processo applicabile a tutti gli Stati membri. Ciò impedisce la creazione di un mercato interno per i prodotti e i servizi TIC e ostacola la competitività dell’industria europea in questo settore. La presente proposta mira ad affrontare l’attuale frammentazione e i relativi ostacoli al mercato interno creando un quadro comune per la creazione di sistemi di certificazione della cibersicurezza, validi in tutta l’UE. Sussidiarietà (per la competenza non esclusiva) Il principio di sussidiarietà impone di valutare la necessità e il valore aggiunto dell’azione dell’UE. Il rispetto del principio di sussidiarietà in questo settore è già stato riconosciuto all’atto dell’adozione dell’attuale regolamento ENISA. La sicurezza informatica è una questione di interesse comune dell’Unione. Le interdipendenze tra le reti e i sistemi di informazione sono tali che i singoli soggetti (pubblici e privati, compresi i cittadini) molto spesso non possono affrontare le minacce, la gestione dei rischi e le possibili conseguenze degli incidenti informatici in modo isolato. Da un lato, le interdipendenze in tutti gli Stati membri, anche per quanto riguarda il funzionamento delle infrastrutture critiche (energia, trasporti, risorse idriche, solo per citarne alcune) rendono l’intervento pubblico a livello europeo non soltanto utile, ma anche necessario. Dall’altro, l’intervento dell’UE può apportare un positivo effetto di ricaduta dovuto alla condivisione di buone pratiche tra gli Stati membri, il che può tradursi in una maggiore sicurezza informatica dell’Unione. In sintesi, nel contesto attuale e guardando al futuro, sembra che per aumentare la ciberresilienza collettiva dell’Unione non saranno sufficienti le azioni individuali da parte degli Stati membri dell’UE e un approccio frammentario alla sicurezza informatica. L’azione dell’UE è ritenuta necessaria anche per affrontare la frammentazione degli attuali sistemi di certificazione della cibersicurezza. Ciò consentirebbe ai fabbricanti di beneficiare pienamente di un mercato interno, con significativi risparmi per quanto riguarda le prove e i costi di riprogettazione. L’attuale accordo sul reciproco riconoscimento (ARR) del gruppo di alti funzionari competente in materia di sicurezza dei sistemi d’informazione (SOG-IS) ha, ad esempio, conseguito risultati importanti in questo senso, ma ha anche messo in evidenza importanti limiti che ne ostacolano la capacità di fornire soluzioni sostenibili a lungo termine per realizzare il pieno potenziale del mercato interno. Il valore aggiunto dell’azione a livello dell’Unione, in particolare al fine di migliorare la cooperazione tra gli Stati membri, ma anche tra le comunità della sicurezza delle reti e dell’informazione, è stato riconosciuto nelle conclusioni del Consiglio del 2016 e si evince anche chiaramente dalla valutazione dell’ENISA. •Proporzionalità La misura proposta non va al di là di quanto è strettamente necessario per raggiungere i suoi obiettivi politici. Inoltre, la portata dell’intervento dell’UE non osta a ulteriori azioni nazionali in materia di questioni di sicurezza nazionale. L’azione dell’UE è pertanto giustificata in termini di sussidiarietà e proporzionalità. •Scelta dell’atto giuridico La presente proposta rivede il regolamento (UE) n. 526/2013 che stabilisce l’attuale mandato e i compiti dell’ENISA. Inoltre, dato il ruolo importante dell’ENISA nella creazione e gestione di un quadro di certificazione della cibersicurezza dell’UE, è opportuno che il suo nuovo mandato e il citato quadro siano istituiti nell’ambito di un unico strumento giuridico, segnatamente lo strumento del regolamento. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D’IMPATTO Valutazioni ex post/Vaglio di adeguatezza della legislazione vigente Sulla base della tabella di marcia per la valutazione, la Commissione ha esaminato la pertinenza, l’impatto, l’efficacia, l’efficienza, la coerenza e il valore aggiunto dell’Agenzia sotto il profilo delle sue prestazioni, della governance, dell’organizzazione interna e dei nuovi metodi di lavoro, nel corso del periodo 2013-2016. I risultati principali possono essere riassunti come segue (per maggiori informazioni cfr. il pertinente documento di lavoro dei servizi della Commissione, che accompagna la valutazione d’impatto). ·Pertinenza: in un contesto di sviluppi tecnologici e di evoluzione delle minacce e tenendo conto del forte bisogno di maggiore sicurezza informatica nell’UE, gli obiettivi dell’ENISA si rivelano pertinenti. In effetti, gli Stati membri e gli organismi dell’UE si affidano alla sua notevole competenza in materia di cibersicurezza. È necessario inoltre rafforzare la capacità degli Stati membri di capire e di rispondere meglio alle minacce e i portatori d’interessi dovranno cooperare nei vari settori tematici e a livello interistituzionale. La sicurezza informatica continua ad essere una priorità politica fondamentale dell’UE alla quale l’ENISA dovrebbe far fronte; tuttavia, l’istituzione dell’ENISA come agenzia dell’Unione europea con un mandato a tempo determinato: i) non consente una pianificazione sostenibile e a lungo termine dell’assistenza da fornire agli Stati membri e alle istituzioni dell’UE; ii) può portare a una situazione di vuoto giuridico, in quanto le disposizioni della direttiva NIS affidano all’ENISA compiti di natura permanente; iii) non è coerente con una concezione che colleghi l’ENISA a un ecosistema di cibersicurezza dell’UE.

·Efficacia: l’ENISA ha complessivamente raggiunto i propri obiettivi e attuato i propri compiti. L’Agenzia ha contribuito alla maggiore sicurezza delle reti e dell’informazione in Europa svolgendo le sue attività principali (sviluppo delle capacità, messa a disposizione di competenze, creazione di comunità e sostegno alle politiche). Tuttavia, in ciascuna di tali attività si sono ravvisati margini di miglioramento. Dalla valutazione emerge che l’ENISA ha di fatto creato forti relazioni basate sulla fiducia con alcuni dei portatori d’interessi, in particolare con gli Stati membri e le comunità di CSIRT. Gli interventi nell’ambito del potenziamento delle capacità sono stati considerati efficaci, in particolare per gli Stati membri dotati di minori risorse. Le azioni volte a stimolare un’ampia cooperazione sono state uno dei punti salienti, e i portatori d’interessi concordano maggioritariamente sul ruolo positivo che l’ENISA svolge nel mettere in contatto le persone. Tuttavia, l’ENISA ha incontrato difficoltà a conseguire un impatto significativo nel vasto campo della sicurezza delle reti e dell’informazione, anche a causa della disponibilità alquanto limitata di risorse umane e finanziarie a fronte di un mandato molto ampio. La valutazione ha inoltre concluso che l’ENISA ha parzialmente soddisfatto l’obiettivo di apportare competenze specializzate, risultato collegato alla difficoltà di reclutare esperti (cfr. anche il paragrafo relativo all’efficienza). ·Efficienza: nonostante la sua limitata dotazione di bilancio — tra le più modeste se confrontata ad altre agenzie dell’UE - l’Agenzia è riuscita a contribuire a obiettivi mirati, dimostrando un’efficienza generale nell’uso delle sue risorse. La valutazione ha concluso che i processi erano complessivamente efficienti e una chiara definizione delle responsabilità all’interno dell’organizzazione ha portato a una buona esecuzione dei lavori. Una delle sfide principali sotto il profilo dell’efficacia dell’Agenzia riguarda la difficoltà dell’ENISA a reclutare e trattenere esperti altamente qualificati. Secondo le conclusioni, ciò può essere spiegato con una combinazione di fattori, tra cui la difficoltà di ordine generale in tutto il settore pubblico a competere con il settore privato nel tentativo di assumere esperti altamente specializzati, il tipo di contratto (a tempo determinato) che l’Agenzia poteva per lo più offrire e il livello piuttosto modesto di attrattiva collegato alla sede dell’ENISA, ad esempio a motivo della difficoltà di trovare lavoro dei coniugi. Una sede suddivisa tra Atene e Heraklion ha richiesto sforzi supplementari di coordinamento e ha generato costi aggiuntivi, ma il trasferimento ad Atene, nel 2013, del centro operativo ha aumentato l’efficienza operativa dell’Agenzia. ·Coerenza: le attività dell’ENISA sono state generalmente coerenti con le politiche e le attività dei suoi portatori d’interessi, a livello nazionale e dell’Unione europea, ma è necessario adottare un approccio più coordinato alla sicurezza informatica a livello dell’UE. Il potenziale di cooperazione tra l’ENISA e gli altri organismi dell’Unione europea non è stato interamente sfruttato. L’evoluzione del quadro giuridico e dello scenario politico dell’UE rende oggi l’attuale mandato meno coerente. ·Valore aggiunto europeo: il valore aggiunto dell’ENISA consiste principalmente nella capacità dell’Agenzia di rafforzare la cooperazione, soprattutto tra gli Stati membri, ma anche con le comunità della sicurezza delle reti e dell’informazione. Nessun altro organismo sostiene - a livello dell’UE - la cooperazione di una comunità così ampia di portatori d’interessi nel settore della sicurezza delle reti e dell’informazione. Il valore aggiunto offerto dall’Agenzia varia in funzione delle diverse esigenze e risorse dei suoi portatori d’interessi (ad esempio, grandi e piccoli Stati membri; Stati membri e imprese) e della necessità dell’Agenzia di dare priorità alle sue attività in base al programma di lavoro. La valutazione ha concluso che un’eventuale chiusura dell’ENISA sarebbe un’occasione persa per tutti gli Stati membri, poiché non sarebbe più possibile garantire il medesimo livello di creazione di comunità e di cooperazione tra gli Stati membri nel settore della sicurezza informatica. Senza un’agenzia dell’UE centralizzata, il quadro sarebbe più frammentato e il vuoto lasciato dall’ENISA sarebbe progressivamente colmato da forme di cooperazione bilaterale o regionale. Per quanto riguarda specificamente le azioni passate e future dell’ENISA, le principali tendenze che emergono dalla consultazione del 2017 sono le seguenti: ·Le prestazioni complessive dell’ENISA nel periodo dal 2013 al 2016 sono state valutate positivamente dalla maggioranza degli intervistati (74%). Una maggioranza di intervistati ritiene, inoltre, che l’ENISA stia realizzando i suoi diversi obiettivi (almeno il 63% per ciascuno degli obiettivi). I servizi e i prodotti dell’ENISA sono periodicamente (a cadenza mensile o più frequente) utilizzati da quasi la metà degli intervistati (46%) e sono apprezzati per il fatto che provengono da un organismo a livello dell’UE (83%) e per la loro qualità (62%). ·Gli intervistati hanno messo in luce una serie di carenze e sfide per il futuro della sicurezza informatica nell’UE, in particolare le cinque principali (in un elenco che ne comprendeva 16) sono state le seguenti: la cooperazione tra gli Stati membri; la capacità di prevenire, individuare e risolvere gli attacchi informatici su larga scala; la cooperazione tra gli Stati membri nelle questioni relative alla sicurezza informatica; la cooperazione e lo scambio di informazioni tra i diversi portatori d’interessi, compresa la cooperazione pubblico-privato; la protezione delle infrastrutture critiche dagli attacchi informatici. ·La grande maggioranza (88%) degli intervistati ritiene che gli attuali strumenti e meccanismi disponibili a livello dell’UE siano insufficienti o solo parzialmente adeguati per affrontare tali sfide. Il 98% dei partecipanti ritiene che un organismo dell’UE dovrebbe soddisfare queste esigenze, e il 99% reputa che l’ENISA sia l’organizzazione giusta a tale proposito. Consultazioni dei portatori di interessi ·La Commissione ha organizzato una consultazione pubblica per la revisione dell’ENISA tra il 12 aprile e il 5 luglio 2016 e ha ricevuto 421 risposte. In base ai risultati, il 67,5% dei partecipanti ha espresso l’opinione che l’ENISA potesse svolgere un ruolo nella creazione di un quadro armonizzato per la certificazione della sicurezza di prodotti e servizi informatici. I risultati della consultazione sul cPPP sulla cibersicurezza del 2016 concernente la sezione sulla certificazione mostrano che: ·il 50,4% (121 su 240) dei partecipanti ha risposto di non sapere se i sistemi di certificazione nazionali sono reciprocamente riconosciuti in tutti gli Stati membri dell’UE. Il 25,8% (62 su 240) ha risposto "No", mentre il 23,8% (57 su 240) ha risposto "Sì". ·Il 37,9% dei partecipanti (91 su 240) ritiene che i sistemi di certificazione esistenti non soddisfano le esigenze dell’industria europea. Per contro, il 17,5% (42 su 240) — soprattutto imprese globali che operano sul mercato europeo — ha espresso parere opposto. ·Il 49,6% (119 su 240) degli intervistati afferma che non è facile dimostrare l’equivalenza tra le norme tecniche, i sistemi di certificazione e le etichette. Il 37,9% (91 su 240) ha risposto "Non so", mentre il 12,5% (30 su 240) ha risposto "Sì". Assunzione e uso di perizie La Commissione si è basata sulle seguenti consulenze. ·Studio sulla valutazione dell’ENISA (Ramboll/Carsa 2017; n. SMART 2016/0077); ·Studio sulla certificazione della sicurezza ed etichettatura delle TIC — Raccolta di elementi di prova e valutazione d’impatto (PriceWaterhouseCoopers 2017; n. SMART 2016/0029).

Valutazione d’impatto ·La relazione sulla valutazione d’impatto di questa iniziativa ha individuato i seguenti principali problemi: ·frammentazione delle politiche e degli approcci alla cibersicurezza in tutti gli Stati membri; ·dispersione di risorse e frammentazione degli approcci alla cibersicurezza tra istituzioni, agenzie e organismi dell’UE; e ·insufficiente consapevolezza e informazione dei cittadini e delle imprese, insieme con la crescente diffusione di molteplici sistemi di certificazione nazionali e settoriali. La relazione ha valutato le seguenti opzioni per quanto riguarda il mandato dell’ENISA: ·il mantenimento dello status quo, vale a dire la proroga di un mandato ancora limitato nel tempo (opzione di base); ·il termine dell’attuale mandato dell’ENISA senza rinnovo e la chiusura dell’ENISA (nessun intervento); ·una "ENISA riformata"; e ·un’agenzia per la sicurezza informatica dell’UE dotata di piena capacità operativa. La relazione ha valutato le seguenti opzioni per quanto riguarda la certificazione della cibersicurezza: ·nessun intervento (opzione di base); ·misure non legislative (non vincolanti); ·un atto legislativo dell’UE volto a instaurare un sistema obbligatorio per tutti gli Stati membri sulla base del sistema SOG-IS; e ·un quadro generale di certificazione della cibersicurezza delle TIC. L’analisi ha portato alla conclusione che una "ENISA riformata" in combinazione con un quadro generale di certificazione della cibersicurezza dell’UE nel settore delle TIC è l’opzione prescelta. L’opzione prescelta è stata considerata la più efficace per raggiungere gli obiettivi individuati dall’UE: aumentare le capacità di cibersicurezza, la preparazione, la cooperazione, la consapevolezza e la trasparenza ed evitare la frammentazione del mercato. È stata anche ritenuta l’opzione più coerente con le priorità della strategia dell’Unione europea per la cibersicurezza e le relative politiche (ad esempio la direttiva NIS) e la strategia per il mercato unico digitale. Inoltre, dal processo di consultazione è emerso che l’opzione prescelta gode del sostegno della maggioranza dei portatori d’interessi. L’analisi svolta nella valutazione d’impatto ha anche dimostrato che l’opzione prescelta permetterebbe di conseguire gli obiettivi con un impiego ragionevole di risorse. Il comitato per il controllo normativo della Commissione aveva inizialmente espresso parere negativo il 24 luglio, e poi un parere positivo il 25 agosto 2017 a seguito della presentazione di una nuova valutazione. La relazione sulla valutazione d’impatto riportava ulteriori prove a sostegno, le conclusioni finali della valutazione dell’ENISA e precisazioni supplementari sulle opzioni politiche e il loro impatto. L’allegato 1 della relazione finale sulla valutazione d’impatto riassume in che modo sono state affrontate le osservazioni espresse dal consiglio di amministrazione nel secondo parere. In particolare, la relazione è stata aggiornata per presentare in modo più dettagliato il contesto della cibersicurezza dell’UE, comprese le misure che figurano nella comunicazione congiunta dal titolo "Resilienza, difesa e deterrenza: verso una cibersicurezza forte per l’UE" (JOIN(2017) 450), e che hanno un ruolo importante per l’ENISA: il programma di cibersicurezza dell’UE e il centro europeo di ricerca e di competenza sulla cibersicurezza, al quale l’Agenzia fornirebbe consulenza circa le esigenze di ricerca dell’UE. La relazione illustra in che modo la riforma dell’Agenzia, compresi i nuovi compiti, le migliori condizioni di lavoro e la struttura di cooperazione con gli organismi dell’UE nel settore, potrebbe migliorare la propria attrattiva come datore di lavoro e contribuirebbe ad affrontare i problemi connessi all’assunzione di esperti. L’allegato 6 della relazione presenta inoltre una nuova stima dei costi connessi alle opzioni strategiche per l’ENISA. Per quanto riguarda il tema della certificazione, la relazione è stata modificata per fornire una spiegazione più dettagliata, compresa la presentazione grafica, dell’opzione prescelta, così come stime dei costi sostenuti dagli Stati membri e dalla Commissione in relazione al nuovo quadro di certificazione. Le motivazioni per la scelta dell’ENISA come soggetto fondamentale nel quadro sono state ulteriormente spiegate sulla base della sua competenza nel settore e del fatto che è la sola agenzia a livello dell’UE in materia di sicurezza informatica. Infine, le sezioni riguardanti la certificazione sono state rivedute per chiarire gli aspetti relativi alla differenza tra l’attuale sistema SOG-IS e i benefici connessi alle diverse opzioni e per precisare che il tipo di prodotti e servizi TIC contemplati da un sistema europeo di certificazione sarà definito dal sistema stesso.

Efficienza normativa e semplificazione Non applicabile Impatto sui diritti fondamentali La sicurezza informatica svolge un ruolo fondamentale nel proteggere la vita privata e i dati personali dei cittadini conformemente agli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea. In caso di incidenti informatici la vita privata e la protezione dei dati personali sono chiaramente esposti. La sicurezza informatica è pertanto una condizione necessaria per il rispetto della vita privata e della riservatezza dei dati personali. In tale prospettiva, nell’obiettivo di rafforzare la sicurezza informatica in Europa, la proposta prevede un importante complemento della legislazione vigente a tutela del diritto fondamentale al rispetto della vita privata e dei dati personali. La sicurezza informatica è anche fondamentale per tutelare la riservatezza delle nostre comunicazioni elettroniche e, pertanto, per l’esercizio della libertà di espressione e di informazione, e di altri diritti correlati, quali la libertà di pensiero, di coscienza e di religione. 4.INCIDENZA SUL BILANCIO Cfr. scheda finanziaria 5.ALTRI ELEMENTI •Piani attuativi e modalità di monitoraggio, valutazione e informazione La Commissione monitorerà l’applicazione del regolamento e ogni cinque anni presenterà una relazione di valutazione al Parlamento europeo, al Consiglio e al Comitato economico e sociale. Queste relazioni saranno rese pubbliche e illustreranno in dettaglio l’effettiva applicazione del regolamento. •Illustrazione dettagliata delle singole disposizioni della proposta Il titolo I del regolamento contiene le disposizioni generali: l’oggetto (articolo 1), le definizioni (articolo 2), compresi i riferimenti alle pertinenti definizioni provenienti da altri strumenti dell’UE, come la direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione (direttiva NIS), il regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio che pone norme in materia di accreditamento e vigilanza del mercato per quanto riguarda la commercializzazione dei prodotti e che abroga il regolamento (CEE) n. 339/93, e il regolamento (UE) n. 1025/2012 del Parlamento europeo e del Consiglio sulla normazione europea. Il titolo II del regolamento contiene le disposizioni fondamentali relative all’ENISA, l’Agenzia dell’UE per la cibersicurezza. Il capo I di tale titolo illustra il mandato (articolo 3), gli obiettivi (articolo 4) e i compiti dell’Agenzia (articoli da 5 a 11). Il capo II illustra l’organizzazione dell’ENISA e comprende disposizioni fondamentali sulla sua struttura (articolo 12). Esso tratta la composizione, le modalità di voto e le funzioni del consiglio di amministrazione (sezione 1, articoli da 13 a 17), del comitato esecutivo (sezione 2, articolo 18) e del direttore esecutivo (sezione 3, articolo 19). Contiene inoltre disposizioni sulla composizione e il ruolo del gruppo permanente dei portatori d’interessi (sezione 4, articolo 20). Per ultimo, ma non meno importante, la sezione 5 di tale capo stabilisce in dettaglio le norme operative per l’Agenzia, anche in relazione alla programmazione delle sue operazioni, al conflitto di interessi, alla trasparenza, alla riservatezza e all’accesso ai documenti (articoli da 21 a 25). Il capo III riguarda la formazione e la struttura del bilancio dell’Agenzia (articoli 26 e 27), nonché le regole che ne disciplinano l’esecuzione (articoli 28 e 29). Esso contiene anche le disposizioni per facilitare la lotta contro la frode, la corruzione e altre attività illecite (articolo 30). Il capo IV verte sul personale dell’Agenzia e comprende disposizioni generali relative allo statuto dei funzionari e al regime applicabile agli altri agenti e le regole che disciplinano i privilegi e le immunità (articolo 31 e 32). Esso illustra altresì le regole di reclutamento e nomina del direttore esecutivo dell’agenzia (articolo 33). Da ultimo, ma non meno importante, include le disposizioni per l’impiego di esperti nazionali distaccati o di altro personale non assunto dall’Agenzia (articolo 34). Infine, il capo V contiene le disposizioni generali relative all’Agenzia. Esso delinea lo status giuridico (articolo 35) e include disposizioni che disciplinano le questioni di responsabilità, il regime linguistico, la protezione dei dati personali (articoli da 36 a 38), nonché le norme di sicurezza in materia di protezione delle informazioni classificate e delle informazioni sensibili non classificate (articolo 40). Esso descrive le regole che disciplinano la cooperazione dell’Agenzia con i paesi terzi e le organizzazioni internazionali (articolo 39). Da ultimo, ma non meno importante, contiene anche disposizioni concernenti la sede dell’Agenzia e le condizioni di esercizio, nonché il controllo amministrativo da parte del Mediatore (articoli 41 e 42). Il titolo III del regolamento istituisce il quadro europeo di certificazione della cibersicurezza (il "quadro") per i prodotti e i servizi TIC in quanto lex generalis (articolo 1). Esso definisce l’obiettivo generale dei sistemi europei di certificazione della cibersicurezza, vale a dire attestare che i prodotti e i servizi TIC sono conformi a determinati requisiti di sicurezza informatica per quanto riguarda la loro capacità di resistere, a un determinato livello di affidabilità, ad azioni volte a compromettere la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati conservati, trasmessi o trattati o le relative funzioni e servizi (articolo 43). Inoltre, esso elenca gli obiettivi di sicurezza che i sistemi europei di certificazione della cibersicurezza si prefiggono (articolo 45), come, tra l’altro, la capacità di proteggere i dati dall’accesso o dalla divulgazione, dalla distruzione o dall’alterazione accidentali o non autorizzati, nonché il contenuto (cioè gli elementi) dei sistemi europei di certificazione della cibersicurezza, quali, ad esempio, la definizione del loro ambito di applicazione, gli obiettivi in materia di sicurezza, i criteri di valutazione, ecc. (articolo 47).

Il titolo III stabilisce inoltre i principali effetti giuridici dei sistemi europei di certificazione della cibersicurezza, vale a dire: i) l’obbligo di attuare il sistema a livello nazionale e il carattere volontario della certificazione; ii) l’effetto invalidante dei sistemi europei di certificazione della cibersicurezza sui sistemi nazionali per gli stessi prodotti o servizi (articoli 48 e 49). Il titolo stabilisce inoltre la procedura per l’adozione dei sistemi europei di certificazione della cibersicurezza e i rispettivi ruoli della Commissione, dell’ENISA e del gruppo europeo per la certificazione della cibersicurezza — (il "gruppo") (articolo 44). Infine, il titolo stabilisce le disposizioni che disciplinano gli organismi di valutazione della conformità, compresi i loro requisiti, le competenze e i compiti, le autorità nazionali di controllo della certificazione e le sanzioni. Il gruppo è istituito nel citato titolo come un organo fondamentale composto da rappresentanti delle autorità nazionali di controllo della certificazione la cui funzione principale è collaborare con l’ENISA nell’elaborazione dei sistemi europei di certificazione della cibersicurezza e fornire consulenza alla Commissione su questioni generali o specifiche riguardanti la politica di certificazione della cibersicurezza. Il titolo IV del regolamento contiene le disposizioni finali che descrivono l’esercizio della delega, i requisiti in materia di valutazione, abrogazione e sostituzione, così come l’entrata in vigore.



2017/0225 (COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO relativo all’ENISA, l’agenzia dell’Unione europea per la cibersicurezza, che abroga il regolamento (UE) n. 526/2013, e relativo alla certificazione della cibersicurezza per le tecnologie dell’informazione e della comunicazione ("regolamento sulla cibersicurezza") (Testo rilevante ai fini del SEE) IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA, visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 114, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere del Comitato economico e sociale europeo, visto il parere del Comitato delle regioni, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1)Le reti e i sistemi informativi e le reti e i servizi di telecomunicazione svolgono un ruolo essenziale per la società e sono diventati i pilastri della crescita economica. Le tecnologie dell’informazione e della comunicazione sono alla base dei sistemi complessi su cui poggiano le attività della società, che fanno funzionare le nostre economie in settori essenziali quali la sanità, l’energia, la finanza e i trasporti e che, in particolare, contribuiscono al funzionamento del mercato interno. (2)L’uso delle reti e dei sistemi informativi da parte di cittadini, imprese e amministrazioni pubbliche di tutta l’Unione è attualmente molto diffuso. La digitalizzazione e la connettività stanno diventando caratteristiche fondamentali di un numero di prodotti e servizi in costante aumento, e con l’avvento dell’internet degli oggetti (IoT) nel prossimo decennio dovrebbero essere disponibili in tutta l’UE milioni, se non miliardi, di dispositivi digitali connessi. Sebbene un numero crescente di dispositivi siano connessi a internet, la sicurezza e la resilienza non sono sufficientemente integrate nella progettazione, il che rende inadeguata la cibersicurezza. In tale contesto, l’uso limitato della certificazione fa sì che gli utenti aziendali e individuali dispongano di informazioni insufficienti sulle caratteristiche dei prodotti e dei servizi TIC in termini di cibersicurezza, il che mina la fiducia nelle soluzioni digitali.

(3)L’incremento della digitalizzazione e della connettività comporta maggiori rischi in termini di cibersicurezza, il che rende la società in generale più vulnerabile alle minacce informatiche e aggrava i pericoli cui sono esposte le persone, comprese quelle vulnerabili come i minori. Al fine di attenuare tale rischio per la società, occorre prendere tutti i provvedimenti necessari per migliorare la cibersicurezza nell’UE allo scopo di proteggere meglio dalle minacce informatiche le reti e i sistemi informativi, le reti di telecomunicazione, i prodotti digitali, i servizi e i dispositivi utilizzati da cittadini, amministrazioni pubbliche e imprese (dalle PMI ai gestori delle infrastrutture critiche). (4)Gli attacchi informatici sono in aumento e la maggiore vulnerabilità dell’economia e della società connesse alle minacce e agli attacchi informatici impone un rafforzamento delle difese. Tuttavia, mentre gli attacchi informatici hanno spesso una dimensione transfrontaliera, le risposte politiche delle autorità incaricate della cibersicurezza e le competenze in materia di applicazione della legge sono prevalentemente nazionali. Gli incidenti informatici su vasta scala possono ostacolare la prestazione di servizi essenziali su tutto il territorio dell’UE. Ciò richiede capacità effettive di risposta e di gestione delle crisi a livello di UE, sulla base di apposite politiche e strumenti di più ampia portata per la solidarietà europea e l’assistenza reciproca. Inoltre, una valutazione periodica dello stato della cibersicurezza e della resilienza nell’Unione, che sia basata su dati affidabili a livello di Unione e su previsioni sistematiche degli sviluppi, delle sfide e delle minacce futuri, sia a livello di Unione sia a livello mondiale, è quindi importante per i responsabili delle politiche, il settore e gli utenti. (5)Tenuto conto delle maggiori sfide che l’Unione si trova ad affrontare in materia di cibersicurezza, è necessario disporre di una serie completa di misure che si basino su precedenti azioni dell’Unione e promuovano obiettivi sinergici. Tra questi obiettivi figura la necessità di rafforzare ulteriormente le capacità e la preparazione degli Stati membri e delle imprese e di migliorare la cooperazione e il coordinamento tra gli Stati membri e le istituzioni, le agenzie e gli organismi dell’UE. Inoltre, data la natura transfrontaliera delle minacce informatiche, è necessario aumentare le capacità a livello di Unione che potrebbero integrare l’azione degli Stati membri, in particolare in caso di crisi e incidenti informatici transfrontalieri su vasta scala. Sono inoltre necessari ulteriori sforzi per accrescere la consapevolezza di cittadini e imprese circa le questioni riguardanti la cibersicurezza. Inoltre, la fiducia nel mercato unico digitale dovrebbe essere ulteriormente rafforzata fornendo informazioni trasparenti in merito al livello di sicurezza dei prodotti e dei servizi TIC. Il conseguimento di questo obiettivo può essere agevolato mediante una certificazione a livello di UE che preveda requisiti e criteri di valutazione comuni in materia di cibersicurezza validi per tutti i settori e i mercati nazionali. (6)Nel 2004 il Parlamento europeo e il Consiglio hanno adottato il regolamento (CE) n. 460/2004 che istituisce l’ENISA al fine di contribuire ad assicurare un elevato ed efficace livello di sicurezza delle reti e dell’informazione nell’ambito dell’Unione e di sviluppare una cultura in materia di sicurezza delle reti e dell’informazione a vantaggio dei cittadini, dei consumatori, delle imprese e delle amministrazioni pubbliche. Nel 2008 il Parlamento europeo e il Consiglio hanno adottato il regolamento (CE) n. 1007/2008 che ha prorogato il mandato dell’Agenzia fino a marzo 2012. Il regolamento (CE) n. 580/2011 ha prorogato ulteriormente il mandato dell’Agenzia fino al 13 settembre 2013. Nel 2013 il Parlamento europeo e il Consiglio hanno adottato il regolamento (CE) n. 526/2013 relativo all’ENISA e che abroga il regolamento (CE) n. 460/2004, che ha prorogato il mandato dell’agenzia fino a giugno 2020. (7)L’Unione ha già adottato importanti provvedimenti per garantire la cibersicurezza e accrescere la fiducia nelle tecnologie digitali. Nel 2013 è stata adottata la strategia dell’UE per la cibersicurezza per orientare la risposta politica dell’Unione alle minacce e ai rischi per la cibersicurezza. Nell’ambito dei suoi sforzi volti a proteggere maggiormente gli europei durante la navigazione online, nel 2016 l’Unione ha adottato il primo atto legislativo nel settore della cibersicurezza, la direttiva (UE) 2016/1148 recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione ("direttiva NIS"). La direttiva NIS ha stabilito obblighi concernenti le capacità nazionali nel campo della cibersicurezza, ha istituito i primi meccanismi volti a rafforzare la cooperazione strategica e operativa tra gli Stati membri e ha introdotto obblighi riguardanti le misure di sicurezza e le notifiche degli incidenti in tutti i settori che sono di vitale importanza per l’economia e la società, quali l’energia, i trasporti, l’acqua, i servizi bancari, le infrastrutture dei mercati finanziari, la sanità, le infrastrutture digitali e i fornitori di servizi digitali essenziali (motori di ricerca, servizi di cloud computing e mercati online). All’ENISA è stato attribuito un ruolo fondamentale nel sostegno all’attuazione di tale direttiva. Inoltre, la lotta efficace contro la cibercriminalità è una priorità importante dell’agenda europea sulla sicurezza e contribuisce al conseguimento dell’obiettivo generale di raggiungere un elevato livello di cibersicurezza. (8)È noto che, dall’adozione della strategia dell’UE per la cibersicurezza del 2013 e dall’ultima revisione del mandato dell’Agenzia, il contesto politico generale è cambiato in modo significativo, anche in relazione a un contesto globale più incerto e meno sicuro. In tale contesto e nel quadro della nuova politica dell’Unione in materia di cibersicurezza, è necessario rivedere il mandato dell’ENISA per definirne il ruolo nel mutato ecosistema della cibersicurezza e garantire che contribuisca efficacemente alla risposta dell’Unione alle sfide poste in questo ambito dalla radicale trasformazione del panorama delle minacce, per far fronte al quale l’attuale mandato non è sufficiente, come riconosciuto dalla valutazione dell’Agenzia. (9)L’Agenzia istituita dal presente regolamento dovrebbe succedere all’ENISA, istituita con il regolamento (UE) n. 526/2013. L’Agenzia dovrebbe svolgere i compiti che le sono conferiti dal presente regolamento e dagli atti legislativi dell’UE nel settore della cibersicurezza, anche fornendo consulenze e pareri e fungendo da centro di informazioni e conoscenze dell’Unione. Dovrebbe promuovere lo scambio di buone pratiche tra gli Stati membri e i portatori di interessi del settore privato, fornendo suggerimenti strategici alla Commissione europea e agli Stati membri, fungendo da punto di riferimento per iniziative politiche settoriali dell’Unione sulle questioni di cibersicurezza, promuovendo la cooperazione operativa tra gli Stati membri e tra questi ultimi e le istituzioni, le agenzie e gli organismi dell’UE. (10)Nel quadro della decisione 2004/97/CE, Euratom, adottata nella riunione del Consiglio europeo del 13 dicembre 2003, i rappresentanti degli Stati membri hanno deciso che la sede dell’ENISA sarebbe stata in Grecia, in una città designata dal governo greco. Lo Stato membro ospitante dovrebbe garantire le migliori condizioni possibili per il corretto ed efficace funzionamento dell’Agenzia. Per uno svolgimento adeguato ed efficiente dei suoi compiti, per l’assunzione e il mantenimento del personale e per una maggiore efficacia delle attività relative alla creazione di una rete di contatti, è imprescindibile che l’Agenzia sia ubicata in una sede adeguata che garantisca, tra l’altro, collegamenti e infrastrutture di trasporto appropriati per i coniugi e i figli del personale. Le disposizioni necessarie dovrebbero essere fissate in un accordo concluso tra l’Agenzia e lo Stato membro ospitante previa approvazione del consiglio di amministrazione dell’Agenzia. (11)Tenuto conto delle crescenti sfide in materia di cibersicurezza che l’Unione si trova ad affrontare, le risorse finanziarie e umane destinate all’Agenzia dovrebbero essere aumentate per riflettere il potenziamento del suo ruolo e dei suoi compiti, come pure la sua posizione cruciale nell’ecosistema delle organizzazioni che difendono l’ecosistema digitale europeo. (12)È opportuno che l’Agenzia sviluppi e mantenga un elevato livello di competenza e che operi come punto di riferimento generando fiducia nel mercato interno grazie alla propria indipendenza, alla qualità delle consulenze e delle informazioni fornite, alla trasparenza delle procedure e dei metodi operativi come pure alla diligenza nell’esecuzione dei suoi compiti. Nello svolgimento dei suoi compiti l’Agenzia dovrebbe contribuire in modo proattivo agli sforzi nazionali e dell’Unione, collaborando pienamente con istituzioni, organi, uffici e agenzie dell’Unione e con gli Stati membri. Inoltre, dovrebbe avvalersi dei contributi e della collaborazione del settore privato e di altri portatori d’interessi. È opportuno stabilire una serie di compiti che definiscano in che modo l’Agenzia deve raggiungere i propri obiettivi, lasciandole nel contempo una certa flessibilità di azione. (13)L’Agenzia dovrebbe assistere la Commissione tramite consulenze, pareri e analisi su tutte le questioni inerenti all’Unione e riguardanti l’elaborazione di politiche e normative e l’aggiornamento e la revisione nel settore della cibersicurezza, anche per quanto riguarda la protezione delle infrastrutture critiche e la ciberresilienza. L’Agenzia dovrebbe fungere da punto di riferimento per pareri e competenze sulle iniziative politiche e legislative dell’Unione in settori specifici che presentano aspetti correlati alla cibersicurezza. (14)Il compito di base dell’Agenzia è promuovere l’attuazione coerente del pertinente quadro normativo, in particolare l’effettiva attuazione della direttiva NIS, che è essenziale ai fini del rafforzamento della ciberresilienza. In considerazione del panorama delle minacce informatiche in rapida evoluzione, è chiaro che gli Stati membri devono essere sostenuti da un approccio trasversale più ampio allo sviluppo della ciberresilienza. (15)L’Agenzia dovrebbe assistere gli Stati membri e le istituzioni, gli organi, gli uffici e le agenzie dell’Unione nei loro sforzi volti a sviluppare e consolidare le capacità e la preparazione per prevenire e individuare i problemi e gli incidenti relativi alla cibersicurezza e alla sicurezza delle reti e dei sistemi informativi e per reagirvi. In particolare, dovrebbe sostenere lo sviluppo e il potenziamento dei CSIRT nazionali perché raggiungano un livello comune elevato di maturità nell’Unione. L’Agenzia dovrebbe inoltre fornire assistenza nello sviluppo e nell’aggiornamento delle strategie dell’Unione e degli Stati membri in materia di sicurezza delle reti e dei sistemi informativi, in particolare per quanto riguarda la cibersicurezza, promuovere la loro diffusione e seguire i progressi della loro attuazione. Dovrebbe inoltre offrire formazione e materiale formativo agli enti pubblici e, se del caso, "formare i formatori" al fine di assistere gli Stati membri nello sviluppo di capacità di formazione autonome. (16)L’Agenzia dovrebbe assistere il gruppo di cooperazione istituito dalla direttiva NIS nell’esecuzione dei suoi compiti, in particolare mettendo a disposizione competenze, fornendo consulenze e agevolando lo scambio di migliori pratiche, specialmente per quanto riguarda l’individuazione degli operatori di servizi essenziali da parte degli Stati membri, anche in relazione alle dipendenze transfrontaliere, riguardo a rischi e incidenti. (17)Al fine di promuovere la cooperazione tra il settore pubblico e il settore privato e all’interno di quest’ultimo, in particolare per sostenere la protezione delle infrastrutture critiche, l’Agenzia dovrebbe agevolare la creazione di centri settoriali di condivisione e di analisi delle informazioni (ISAC) fornendo migliori pratiche e orientamenti sugli strumenti disponibili, procedure e orientamenti su come affrontare le questioni normative relative alla condivisione delle informazioni. (18)L’Agenzia dovrebbe aggregare e analizzare le relazioni nazionali dei CSIRT e della CERT-UE, definendo norme, lingua e terminologia comuni per lo scambio delle informazioni. Dovrebbe inoltre coinvolgere il settore privato, nel quadro della direttiva NIS che ha gettato le basi per lo scambio volontario di informazioni tecniche a livello operativo con la creazione della rete di CSIRT. (19)L’Agenzia dovrebbe contribuire a una risposta a livello di UE in caso di crisi e incidenti di cibersicurezza transfrontalieri su vasta scala. Nell’ambito di questa funzione dovrebbe raccogliere le informazioni pertinenti e agire come facilitatore tra la rete di CSIRT e la comunità tecnica e i responsabili decisionali nella gestione delle crisi. Inoltre, potrebbe sostenere la gestione degli incidenti dal punto di vista tecnico, agevolando lo scambio di soluzioni tecniche tra gli Stati membri e contribuendo alla comunicazione pubblica. L’Agenzia dovrebbe sostenere il processo provando le modalità di tale cooperazione attraverso esercitazioni annuali di cibersicurezza. (20)Ai fini dello svolgimento dei suoi compiti operativi, l’Agenzia dovrebbe avvalersi delle competenze disponibili della CERT-UE attraverso una cooperazione strutturata, caratterizzata da una stretta vicinanza geografica. La cooperazione strutturata faciliterà le sinergie necessarie e il rafforzamento delle competenze dell’ENISA. Se del caso, dovrebbero essere conclusi appositi accordi tra le due organizzazioni per definire l’attuazione pratica di tale cooperazione. (21)Conformemente ai suoi compiti operativi, l’Agenzia dovrebbe essere in grado di assistere gli Stati membri, ad esempio fornendo consulenza o assistenza tecnica o assicurando l’analisi di minacce e incidenti. Nella sua raccomandazione relativa alla risposta coordinata agli incidenti e alle crisi di cibersicurezza su vasta scala, la Commissione raccomanda agli Stati membri di cooperare in buona fede e di condividere tra loro e con l’ENISA senza indebiti ritardi le informazioni su tali incidenti e crisi. Tali informazioni dovrebbero aiutare ulteriormente l’ENISA nello svolgimento dei suoi compiti operativi. (22)Nell’ambito della costante cooperazione a livello tecnico per sostenere la conoscenza situazionale dell’Unione, l’Agenzia dovrebbe elaborare periodicamente la relazione sulla situazione tecnica della cibersicurezza nell’UE in merito alle minacce e agli incidenti, sulla base delle informazioni pubblicamente disponibili, della propria analisi e delle relazioni trasmesse dai CSIRT degli Stati membri (su base volontaria) o dai punti di contatto unici istituiti dalla direttiva NIS, dal Centro europeo per la lotta alla criminalità informatica (EC3) presso Europol, dalla CERT-UE e, ove necessario, dal Centro dell’UE di analisi dell’intelligence (INTCEN) presso il Servizio europeo per l’azione esterna (SEAE). La relazione dovrebbe essere messa a disposizione delle istanze competenti del Consiglio, della Commissione, dell’Alto rappresentante dell’Unione per gli affari esteri e la politica di sicurezza e della rete di CSIRT.

(23)Le indagini tecniche ex post sugli incidenti aventi un impatto significativo in più Stati membri coadiuvate o avviate dall’Agenzia su richiesta o con l’accordo degli Stati membri interessati dovrebbero essere incentrate sulla prevenzione degli incidenti futuri ed essere effettuate senza arrecare pregiudizio agli eventuali procedimenti giudiziari o amministrativi finalizzati all’accertamento di colpe o responsabilità. (24)Fatti salvi l’articolo 346 del trattato sul funzionamento dell’Unione europea o altri motivi di ordine pubblico, gli Stati membri interessati dovrebbero fornire le informazioni e l’assistenza necessarie all’Agenzia ai fini dell’indagine. (25)Gli Stati membri possono invitare le imprese interessate dall’incidente a collaborare fornendo le informazioni e l’assistenza necessarie all’Agenzia, fatto salvo il loro diritto di tutelare le informazioni sensibili sul piano commerciale. (26)Per comprendere meglio le sfide nel campo della cibersicurezza e al fine di fornire consulenza strategica a lungo termine agli Stati membri e alle istituzioni dell’Unione, l’Agenzia ha bisogno di analizzare i rischi attuali e quelli emergenti. A tal fine, in cooperazione con gli Stati membri e se del caso con gli istituti di statistica e con altri organismi, l’Agenzia dovrebbe raccogliere le informazioni pertinenti, analizzare le tecnologie emergenti e fornire valutazioni su temi specifici in relazione agli impatti previsti dal punto di vista sociale, giuridico, economico e regolamentare delle innovazioni tecnologiche sulla sicurezza delle reti e dell’informazione, in particolare sulla cibersicurezza. L’Agenzia dovrebbe inoltre assistere gli Stati membri e le istituzioni, le agenzie e gli organi dell’Unione nell’individuazione delle tendenze emergenti e nella prevenzione dei problemi connessi alla cibersicurezza attraverso l’analisi di minacce e incidenti. (27)Al fine di aumentare la resilienza dell’Unione, l’Agenzia dovrebbe sviluppare l’eccellenza in materia di sicurezza delle infrastrutture di internet e delle infrastrutture critiche, fornendo consulenza, orientamenti e migliori pratiche. Allo scopo di agevolare l’accesso a informazioni meglio strutturate sui rischi connessi alla cibersicurezza e sulle possibili soluzioni, l’Agenzia dovrebbe sviluppare e mantenere il "polo d’informazione" dell’Unione, un portale che gli utenti possano utilizzare come sportello unico per accedere alle informazioni sulla cibersicurezza provenienti dalle istituzioni, dalle agenzie e dagli organi dell’UE e nazionali. (28)L’Agenzia dovrebbe contribuire a sensibilizzare l’opinione pubblica sui rischi connessi alla cibersicurezza e fornire orientamenti in materia di buone pratiche per i singoli utenti destinati a cittadini e organizzazioni. Dovrebbe altresì contribuire a promuovere migliori pratiche e soluzioni a livello di singoli individui e organizzazioni mediante la raccolta e l’analisi delle informazioni disponibili al pubblico relative agli incidenti di rilievo, come pure mediante l’elaborazione di relazioni finalizzate a fornire orientamenti a imprese e cittadini e a migliorare il livello complessivo di preparazione e resilienza. L’Agenzia dovrebbe inoltre organizzare regolarmente, in cooperazione con le istituzioni, gli organi, gli uffici e le agenzie degli Stati membri e dell’Unione campagne d’informazione e di sensibilizzazione del pubblico destinate agli utenti finali, allo scopo di promuovere comportamenti online individuali più sicuri e di accrescere la consapevolezza circa le potenziali minacce del ciberspazio, compresa la criminalità informatica, ad esempio phishing, botnet, frodi finanziarie e bancarie, nonché di promuovere consigli di base in materia di autenticazione e protezione dei dati. L’Agenzia dovrebbe svolgere un ruolo centrale nell’accelerare la sensibilizzazione degli utenti finali sulla sicurezza dei dispositivi. (29)Al fine di sostenere le imprese operanti nel settore della cibersicurezza, come pure gli utilizzatori delle soluzioni di cibersicurezza, l’Agenzia dovrebbe sviluppare e mantenere un "osservatorio del mercato" mediante l’esecuzione di analisi periodiche e la diffusione di informazioni sulle principali tendenze del mercato della cibersicurezza, sul versante sia della domanda che dell’offerta. (30)Per conseguire appieno i propri obiettivi, l’Agenzia dovrebbe instaurare rapporti con le istituzioni, le agenzie e gli organismi pertinenti, compresi la CERT-UE, il Centro europeo per la lotta alla criminalità informatica (EC3) di Europol, l’Agenzia europea per la difesa (AED), l’Agenzia europea per la gestione operativa dei sistemi IT su larga scala (eu-LISA), l’Agenzia europea per la sicurezza aerea (EASA) e tutte le agenzie dell’UE coinvolte nella cibersicurezza. Dovrebbe inoltre instaurare rapporti con le autorità competenti in materia di protezione dei dati, al fine di scambiare conoscenze e migliori pratiche e fornire consulenza sugli aspetti della cibersicurezza che potrebbero avere un impatto sulle loro attività. I rappresentanti delle autorità di contrasto e delle autorità preposte alla protezione dei dati nazionali e dell’Unione dovrebbero poter essere rappresentati nel gruppo permanente di portatori di interessi dell’Agenzia. Nei contatti con le autorità di contrasto sugli aspetti relativi alla sicurezza delle reti e dell’informazione che possono avere un impatto sull’attività di tali autorità, l’Agenzia dovrebbe avvalersi dei canali di informazione e delle reti esistenti. (31)L’Agenzia, in quanto membro che svolge la funzione di segretariato della rete di CSIRT, dovrebbe sostenere i CSIRT degli Stati membri e la CERT-UE nella cooperazione operativa, così come in tutte le pertinenti funzioni della rete di CSIRT, secondo quanto stabilito dalla direttiva NIS. Inoltre, l’Agenzia dovrebbe promuovere e sostenere la cooperazione tra i CSIRT interessati in caso di incidenti, attacchi o perturbazioni delle reti o delle infrastrutture della cui gestione o protezione sono responsabili i CSIRT e nei quali siano o possano essere coinvolti almeno due CSIRT, tenendo debitamente conto delle procedure operative standard della rete di CSIRT. (32)Al fine di rafforzare la preparazione dell’Unione nel rispondere agli incidenti di cibersicurezza, l’Agenzia dovrebbe organizzare ogni anno esercitazioni di cibersicurezza a livello di Unione e, su loro richiesta, assistere le istituzioni, le agenzie e gli organi degli Stati membri e dell’UE nell’organizzazione delle esercitazioni. (33)L’Agenzia dovrebbe sviluppare ulteriormente e mantenere le proprie competenze in materia di certificazione della cibersicurezza al fine di sostenere la politica dell’UE in questo campo. Essa dovrebbe promuovere la diffusione della certificazione della cibersicurezza nell’Unione, anche contribuendo all’istituzione e al mantenimento di un apposito quadro di certificazione a livello di Unione, al fine di aumentare la trasparenza dell’affidabilità dei prodotti e dei servizi TIC in termini di cibersicurezza e di rafforzare in tal modo la fiducia nel mercato unico digitale. (34)Strategie efficaci in materia di cibersicurezza dovrebbero essere basate su buoni metodi di valutazione dei rischi, sia nel settore pubblico che in quello privato. I metodi di valutazione dei rischi sono utilizzati a diversi livelli, e non esiste una prassi comune per quanto riguarda le modalità per una loro applicazione efficiente. La promozione e lo sviluppo di migliori pratiche per la valutazione dei rischi e per soluzioni interoperabili per la loro gestione nelle organizzazioni del settore pubblico e del settore privato aumenteranno il livello di cibersicurezza nell’Unione. A tal fine, l’Agenzia dovrebbe sostenere la cooperazione tra i portatori di interessi a livello di Unione, facilitando il loro impegno nella definizione e nella diffusione di standard europei e internazionali in materia di gestione dei rischi e di sicurezza misurabile di prodotti elettronici, sistemi, reti e servizi che, insieme ai software, costituiscono le reti e i sistemi informativi. (35)L’Agenzia dovrebbe incoraggiare gli Stati membri e i fornitori di servizi a innalzare i loro standard di sicurezza generale in modo che tutti gli utenti di internet possano adottare le misure necessarie a garantire la propria cibersicurezza. In particolare, i fornitori di servizi e i fabbricanti di prodotti dovrebbero ritirare o riciclare i prodotti e i servizi non conformi alle norme in materia di cibersicurezza. In collaborazione con le autorità competenti, l’ENISA può diffondere informazioni sul livello di cibersicurezza dei prodotti e dei servizi offerti nel mercato interno e rivolgere avvertimenti ai fornitori e ai fabbricanti imponendo loro di migliorare la sicurezza, ivi inclusa la cibersicurezza, dei loro prodotti e servizi. (36)L’Agenzia dovrebbe tenere pienamente conto delle attività di ricerca, sviluppo e valutazione tecnologica già in atto, in particolare quelle condotte nell’ambito delle varie iniziative di ricerca dell’Unione per fornire consulenza alle istituzioni, agli organi, agli uffici e alle agenzie dell’Unione e ove opportuno agli Stati membri, su loro richiesta, sulle esigenze in materia di ricerca nel settore della sicurezza delle reti e dell’informazione, in particolare per quanto riguarda la cibersicurezza. (37)I problemi di cibersicurezza sono questioni globali. È necessaria una più stretta cooperazione internazionale per migliorare gli standard di sicurezza, anche definendo norme di comportamento comuni, condividendo le informazioni e promuovendo una più celere cooperazione internazionale nel fornire una risposta alle questioni relative alla sicurezza delle reti e dell’informazione nonché un approccio globale comune a tali questioni. A tale scopo l’Agenzia dovrebbe sostenere una partecipazione e una cooperazione maggiori dell’Unione con i paesi terzi e le organizzazioni internazionali fornendo, se del caso, le competenze e le analisi necessarie alle istituzioni, agli organi, agli uffici e alle agenzie dell’Unione competenti. (38)L’Agenzia dovrebbe essere in grado di rispondere alle richieste specifiche di consulenza e di assistenza inoltrate dagli Stati membri e dalle istituzioni, dalle agenzie e dagli organi dell’UE che rientrano nei suoi obiettivi. (39)È necessario applicare taluni principi per quanto riguarda la gestione dell’Agenzia al fine di rispettare la dichiarazione congiunta e l’approccio comune concordati nel luglio 2012 dal gruppo di lavoro interistituzionale sulle agenzie decentrate dell’Unione, con l’obiettivo di razionalizzare le attività delle agenzie e di migliorare la loro efficacia. La dichiarazione congiunta e l’approccio comune dovrebbero riflettersi, se del caso, nei programmi di lavoro dell’Agenzia, nelle sue valutazioni e nelle sue prassi di informazione e amministrazione. (40)Il consiglio di amministrazione, composto dagli Stati membri e dalla Commissione, dovrebbe definire l’orientamento generale delle operazioni dell’Agenzia e garantire che questa svolga i propri compiti conformemente al presente regolamento. Il consiglio di amministrazione dovrebbe godere dei poteri necessari per formare il bilancio, verificarne l’esecuzione, adottare l’opportuna regolamentazione finanziaria, stabilire procedure di lavoro trasparenti per l’iter decisionale dell’Agenzia, adottare i