Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di regolamento del Parlamento europeo e del Consiglio relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica il regolamento (UE) 2019/1020

(2022/C 452/07)

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD https://edps.europa.eu)

Il 15 settembre 2022 la Commissione europea ha emanato una proposta di regolamento del Parlamento europeo e del Consiglio relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica il regolamento (UE) 2019/1020 (1) («la proposta»).

Il GEPD accoglie con favore la proposta e sostiene pienamente il suo obiettivo generale di migliorare il funzionamento del mercato interno, definendo un quadro giuridico uniforme per i requisiti essenziali di cibersicurezza per l’immissione sul mercato dell’Unione di prodotti con elementi digitali.

Il GEPD ricorda che l’articolo 5, paragrafo 1, lettera f), del RGPD, ha individuato la sicurezza come uno dei principi fondamentali relativi al trattamento dei dati personali. L’articolo 32 del RGPD definisce ulteriormente tale obbligo, applicabile sia ai titolari che ai responsabili del trattamento, di garantire un livello adeguato di sicurezza. Il GEPD accoglie pertanto con favore il fatto che i principi di sicurezza e minimizzazione dei dati siano già integrati nei requisiti essenziali di cibersicurezza elencati nell’allegato I della proposta. Inoltre il GEPD raccomanda vivamente di includere il principio della protezione dei dati fin dalla progettazione e per impostazione predefinita tra i requisiti essenziali di cibersicurezza dei prodotti con elementi digitali.

Il considerando 17 prevede disposizioni molto importanti in materia di governance che non trovano riscontro nella parte operativa della proposta. Il GEPD raccomanda pertanto di specificare nella parte operativa della proposta tutti gli aspetti relativi alla creazione di sinergie per la normazione e la certificazione in materia di cibersicurezza nonché di sinergie tra la presente proposta e il diritto dell’Unione in materia di protezione dei dati nel settore della vigilanza del mercato e dell’applicazione delle norme. Il GEPD ritiene altresì necessario chiarire che la proposta non mira a incidere sull’applicazione della vigente normativa dell’UE che disciplina il trattamento dei dati personali, compresi i compiti e i poteri delle autorità di controllo indipendenti preposte alla vigilanza sul rispetto di tali atti.

Il GEPD si compiace del fatto che questa disposizione riconosca che il trattamento dei dati personali è una funzione critica e sensibile e potrebbe richiedere, in quanto tale, che i corrispondenti prodotti critici con elementi digitali ottengano un certificato europeo di cibersicurezza nell’ambito di un sistema europeo di certificazione della cibersicurezza. Nel contempo il GEPD raccomanda di chiarire in un considerando della proposta che l’ottenimento di una certificazione europea della cibersicurezza ai sensi della proposta non garantisce la conformità al RGPD.

Infine il GEPD accoglie con favore le sanzioni proposte, che sono simili a quelle del RGPD per una violazione dell’articolo 32 del RGPD sulla sicurezza del trattamento, con una sanzione pecuniaria massima del 2,5 % del fatturato globale annuo. Di conseguenza la proposta potrebbe costituire un’ulteriore forma di protezione per le persone fisiche che risiedono negli Stati membri dell’UE, unitamente alle disposizioni del RGPD.

1. INTRODUZIONE

1. Il 15 settembre 2022 la Commissione europea ha emanato una proposta di regolamento del Parlamento europeo e del Consiglio relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali e che modifica il regolamento (UE) 2019/1020.

2. L’obiettivo della proposta è migliorare il funzionamento del mercato interno, definendo un quadro giuridico uniforme per i requisiti essenziali di cibersicurezza per l’immissione sul mercato dell’Unione di prodotti con elementi digitali ( 2 ) . In particolare la proposta mira a stabilire le condizioni limite per lo sviluppo di prodotti con elementi digitali sicuri, garantendo che i prodotti hardware e software siano immessi sul mercato con un minor numero di vulnerabilità e che i fabbricanti prendano la sicurezza in seria considerazione durante l’intero ciclo di vita di un prodotto. Intende inoltre creare condizioni che consentano agli utilizzatori di tenere conto della cibersicurezza nella scelta e nell’utilizzo dei prodotti con elementi digitali ( 3 )

3. A tal fine la proposta stabilisce ( 4 ) — norme per l’immissione sul mercato di prodotti con elementi digitali per garantire la cibersicurezza di tali prodotti; — requisiti essenziali per la progettazione, lo sviluppo e la produzione di prodotti con elementi digitali e obblighi per gli operatori economici in relazione a tali prodotti per quanto riguarda la cibersicurezza; — requisiti essenziali per i processi di gestione delle vulnerabilità messi in atto dai fabbricanti per garantire la cibersicurezza dei prodotti con elementi digitali durante l’intero ciclo di vita e obblighi per gli operatori economici in relazione a tali processi; — norme sulla vigilanza del mercato e sull’applicazione delle norme e dei requisiti di cui sopra.

4. Il quadro dell’UE comprende diversi atti legislativi orizzontali che trattano alcuni aspetti legati alla cibersicurezza da vari punti di vista (prodotti, servizi, gestione delle crisi e reati). Nel 2013 è entrata in vigore la direttiva relativa agli attacchi contro i sistemi di informazione ( 5 ) , che armonizza la criminalizzazione e le sanzioni per una serie di reati diretti contro i sistemi di informazione. Nell’agosto 2016 è entrata in vigore la direttiva (UE) 2016/1148 ( 6 ) sulla sicurezza delle reti e dei sistemi informativi (direttiva NIS), che è il primo strumento legislativo a livello dell’UE sulla cibersicurezza. La sua revisione, concretizzatasi nella direttiva NIS2, innalza il livello di ambizione comune dell’UE in materia di cibersicurezza dei servizi TIC. Nel 2019 è entrato in vigore il regolamento sulla cibersicurezza dell’UE ( 7 ) , che mira a migliorare la sicurezza dei prodotti TIC, dei servizi TIC e dei processi TIC introducendo un quadro europeo volontario di certificazione della cibersicurezza.

5. Il presente parere del GEPD è emesso in risposta a una consultazione della Commissione europea del 15 settembre 2022, ai sensi dell’articolo 42, paragrafo 1, EUDPR. Il GEPD accoglie con favore il riferimento a tale consultazione nel considerando 71 della proposta. A tale riguardo il GEPD rileva altresì con soddisfazione di essere già stato consultato informalmente in precedenza, a norma del considerando 60 EUDPR.

3. CONCLUSIONI

31. Alla luce di quanto sopra, il GEPD formula le seguenti raccomandazioni: (1) includere la protezione dei dati fin dalla progettazione e per impostazione predefinita tra i requisiti essenziali di cibersicurezza dei prodotti con elementi digitali; (2) spiegare nel preambolo l’importanza dei prodotti con elementi digitali che effettuano operazioni crittografiche, compresa la cifratura a riposo e in transito e la pseudonimizzazione, che sono necessari per un’efficace sicurezza delle informazioni, cibersicurezza, protezione dei dati e della vita privata; (3) aggiungere all’allegato II prodotti tangibili e intangibili con elementi digitali che effettuano operazioni crittografiche; (4) eliminare il regolamento (UE) 2017/745 (8) dall’elenco degli atti legislativi cui non si applica la proposta; (5) chiarire espressamente nella proposta quali sono gli elementi dei requisiti essenziali di cui all’articolo 3, paragrafo 3, lettera e), della direttiva 2014/53/UE (9) relativi ai dati personali e alla vita privata; (6) specificare nella parte operativa della proposta gli aspetti pratici connessi alla creazione di sinergie per la normazione e la certificazione in materia di cibersicurezza, nonché di sinergie tra la proposta in questione e la normativa dell’Unione in materia di protezione dei dati nel settore della vigilanza del mercato e dell’applicazione delle norme; (7) chiarire che la proposta non mira a incidere sull’applicazione della vigente normativa dell’UE che disciplina il trattamento dei dati personali, compresi i compiti e i poteri delle autorità di controllo indipendenti preposte alla vigilanza sul rispetto di tali atti; (8) aggiungere definizioni pertinenti di «software libero», «software con codice sorgente aperto» e «software libero e aperto»; (9) chiarire nel considerando della proposta che l’ottenimento di una certificazione europea della cibersicurezza ai sensi della proposta non garantisce la conformità al RGPD.

Bruxelles, 9 novembre 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM/2022/454 final.

(2) Considerando 1 della proposta.

(3) Considerando 2 della proposta.

(4) Articolo 1 della proposta.

(5) Direttiva 2013/40/UE del Parlamento europeo e del Consiglio, del 12 agosto 2013, relativa agli attacchi contro i sistemi di informazione e che sostituisce la decisione quadro 2005/222/GAI del Consiglio (GU L 218 del 14.8.2013, pagg. 8).

(6) Direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio, del 6 luglio 2016, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione (GU L 194 del 19.7.2016, pag. 1).

(7) Regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio, del 17 aprile 2019, relativo all’ENISA, l’Agenzia dell’Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell’informazione e della comunicazione, e che abroga il regolamento (UE) n. 526/2013 («regolamento sulla cibersicurezza») (GU L 151 del 7.6.2019, pag. 15).

(8) Regolamento (UE) 2017/745 del Parlamento europeo e del Consiglio, del 5 aprile 2017, sui dispositivi medici, che modifica la direttiva 2001/83/CE, il regolamento (CE) n. 178/2002 e il regolamento (CE) n. Direttive del Consiglio 90/385/CEE e 93/42/CEE (GU L 117 del 5.5.2017, pag. 1).

(9) Direttiva 2014/53/UE del Parlamento europeo e del Consiglio, del 16 aprile 2014, concernente l'armonizzazione delle legislazioni degli Stati membri relative alla messa a disposizione sul mercato di apparecchiature radio e che abroga la direttiva 1999/5/CE (GU L 153 del 22.5.2014, pag.62).