IT    IT IT 
IT    IT  COMMISSIONE EUROPEA 
Bruxelles, 30.9.2010 
SEC(2010) 1123 final 
  
DOCUMENTO DI LAVORO DEI SERVIZI DELLA COMMISSIONE 
SINTESI DELLA VALUTAZIONE D'IMPATTO  
 
documento di accompagnamento della 
 
Proposta di 
 
DIRETTIVA DEL PARLAMENTO EUROPEO E DEL CONSIGLIO 
   
relativa agli attacchi contro i sistemi di in formazione, e che abroga la decisione quadro 
2005/222/Gai del Consiglio 
   
COM(2010) 517 final 
SEC(2010) 1122 final 
IT 2   IT SINTESI DELLA VALU TAZIONE D'IMPATTO  
1. D EFINIZIONE DEL PROBLEMA  
Il numero di attacchi contro  i sistemi di informazione è considerevolmente aumentato 
dall'adozione della decisione qua dro relativa agli attacchi contro  i sistemi di informazione (in 
appresso: "DQ"). Una delle principali società specializzate nel settore della sicurezza di 
Internet ha indicato che le minacce rivolt e contro le informazioni riservate (in 
contrapposizione a quelle pubblicamente dispon ibili) sono significativamente aumentate nel 
2008: in quell'anno sono state individuate difatti 1 656 227 nuove minacce, rispetto alle 624 267 osservate precedentemente.
1 Si è inoltre assistito a una serie di pericolosi attacchi su 
larga scala prima sconosciuti, come quelli in Estonia e Lituania rispettivamente nel 2007 e 
2008. Nel marzo 2009, i sistemi informatici di or ganismi governativi e privati di 103 paesi 
sono stati attaccati da una rete di comput er compromessi che hanno estratto documenti 
sensibili e riservati2: ciò è accaduto attr averso le "botnet"3, ossia reti di com puter infettati che 
possono essere controllati a distan za. Si assiste infine, attualme nte, al dilagare della botnet 
chiamata "Conficker" (nota anche come Downup, Downadup e Kido), che dal novembre 2008 
si è propagata e manifestata su scala e dime nsioni senza precedenti, colpendo milioni di 
computer in tutto il mondo.4 
Va in secondo luogo osservato che l'insufficien te cooperazione fra gl i Stati membri, e in 
particolare fra gli organi di c ontrasto e le autorità giudiziar ie nell'UE, rende difficile una 
risposta coordinata ed efficien te a questi attacchi. Benché secondo la relazione sull'attuazione 
della DQ la maggioranza degli Stati membri ab bia predisposto punti di  contatto permanenti 
come richiesto dall'articolo 11 della stessa DQ, persistono probl emi quanto alla loro capacità 
di risposta e di reazione a ur genti richieste di  cooperazione.5 
L'esistenza di un punto di contatto non è una garanzia di buon funzionamento. Nelle 
comunicazioni trasmesse alla Commissione, una se rie di Stati membri ha indicato di avere 
effettivamente istituito tali punti di contatt o, ma che questi non erano operativi 24 ore al 
giorno come richiesto dalla DQ. Ciò significa che tali punti di contatto non possono 
rispondere a richieste urgenti al di fuori delle ore d'ufficio. La scarsa efficienza dei punti di 
contatto o la loro incapacità di soddisfare le ri chieste di cooperazione del settore privato sono 
spesso d'ostacolo alla collaborazion e fra questo settore e quello pubblico. 
                                                 
1 http://eval.symantec.com/mktginfo/enterprise/white_papers/b-
whitepaper_internet_security_threat_report_xiv_04-2009.en-us.pdf, pag.10. 
2 ww.theglobeandmail.com/servlet/story/RTGAM.20090328.wspy 0328/BNStory/International/home?cid=al_gam_mostemail  
3 Col termine "botnet" si intende una rete di computer infettati da software maligni (virus informatici). 
Una tale rete di computer compromessi ("zombie") può essere attivata per esegui re azioni specifiche, ad 
esempio attacchi ai sistemi d'in formazione (attacchi informatici). Questi "zombie" possono essere 
controllati – spesso ad insaputa dei loro utilizzatori – da un altro com puter, noto anche come "centro di 
comando e di controllo". Le persone che controllano questo centro sono da annoverarsi fra gli autori 
dell'infrazione, poiché usano i computer comprome ssi per lanciare attacchi contro i sistemi di 
informazione. Rintracciare gli autori dell'infrazione è molto difficile, po iché i computer che fanno parte 
della botnet e che effettu ano gli attacchi possono trovarsi in un  luogo diverso da quello in cui è 
localizzato l'autore dell'infrazione. 
4 http://www.lemonde.fr/technologies /article/2009/03/31/virus-confi cker-catastrophe-ou-poisson-d-
avril_1174916_651865.html 
5 Relazione della Commissione al Consiglio ai sensi dell'articolo 12 della decisione quadro del Consiglio 
del 24 febbraio 2005 relativa agli attacchi contro i sistemi di inform azione, COM (2008) 448 definitivo. 
IT 3   IT In terzo luogo, sono ancora scarsi i dati disponibili sugli attacchi informatici e sul seguito 
datone dalla polizia e dalle autorità giudiziarie . Non tutti gli Stati me mbri raccolgono i dati 
sugli attacchi informatici, e quelli che lo fanno a pplicano metodi statistici divergenti che non 
consentono confronti.  
Le vittime degli attacchi su larga scala contro  i sistemi di informazione sono i cittadini in 
generale in quanto utilizzatori dei sistemi, così  come le amministrazioni centrali e locali, le 
organizzazioni internaziona li e il settore privato.  
Gli attacchi contro bersagli situati nell'UE poss ono infine essere lanciati anche da paesi terzi, 
e viceversa. 
2. S USSIDIARIETÀ  
La criminalità informatica è un vero e proprio  problema internazionale che raramente può 
essere contrastato in un contesto puramente nazionale, e tutti convengono sulla necessità di 
azioni a livello UE ed internazionale per prev enirlo e affrontarlo. La maggior parte degli 
attacchi hanno dimensione transfrontaliera, colp iscono tutti gli Stati me mbri ed è chiaro che 
molti di essi investono attività che coinvolgono  più paesi. I sistemi di informazione sono 
spesso tecnicamente interconness i e interdipendenti fra uno Stat o e l'altro. Gli esperti sono 
quindi concordi nell'affermare che sono necessarie azioni sia internaziona li che a livello UE, e 
che l'obiettivo di combattere efficacemente questa forma di criminalità non può essere 
realizzato in maniera suffic iente dagli Stati membri.  
Un approccio nazionale di lotta contro la cr iminalità informatica rischia di portare a una 
frammentazione e di essere inefficace a livello europeo. Le differenze fr a i sistemi nazionali e 
la mancanza di una cooperazione transfront aliera sistematica riducono sensibilmente 
l'efficacia delle contromisure nazionali, e ciò è in parte dovuto all'interconnessione dei sistemi 
di informazione: un basso livello di sicurezza in  un paese può aumentare la vulnerabilità degli 
altri. 
3. O BIETTIVI  
3.1 Obiettivi generali, specifici e operativi 
Scopo generale dell'azione dell'UE è combattere e perseguire la criminalità, organizzata o di 
altro tipo, conformemente all'articolo 67 del trat tato sul funzionamento dell'Unione europea, 
lottando contro gli attacchi su larga scala ai sistemi di informazione.  
A Obiettivo specifico: Perseguire e condannare gli autori di attacchi su larga scala, 
grazie al ravvicinamento della legislaz ione penale nel settore degli attacchi 
contro i sistemi di informazione 
B Obiettivo specifico: Migliorare la coopera zione transfrontaliera fra gli organi di 
contrasto 
C Obiettivo specifico: Introdurre efficaci sistemi di monitoraggio e di raccolta di 
dati 
IT 4   IT 4. O PZIONI  
4.1 Opzione (1 ): Status Quo / Nessuna nuova azione dell'UE 
Questa opzione implica che l'UE non prenda al cuna iniziativa supplementare per contrastare 
questo particolare tipo di criminalità informatica, e che siano portate avanti le azioni in corso, in particolare i programmi per il rafforzamento de lla protezione delle infrastrutture critiche 
informatizzate e per il miglioramento dell a cooperazione fra il se ttore pubblico e quello 
privato contro la criminalità informatica.  
4.2 Opzione (2): Elaborazione di un progr amma per intensificare l'impegno a 
contrastare gli attacchi contro i sistemi di informazione per mezzo di misure 
non legislative  
Parallelamente al programma di protezione delle infrastrutture critiche informatizzate, le 
misure non legislative si concentrerebbero sulle attività di contrasto tr ansfrontaliere e sulla 
cooperazione pubblico-privato, e sosterrebbero  un'azione coordinata a livello UE. Una 
proposta non legislativa potrebbe includere azioni  quali il rafforzamento  dell'esistente rete 
24/7 dei punti di contatto delle autorità di cont rasto, la creazione di una rete UE di punti di 
contatto pubblico-privati fra espe rti in materia di criminalità informatica e organi di contrasto, 
e l'elaborazione di un accordo standard UE su l livello dei servizi pe r la cooperazione nelle 
attività di contrasto con gli operatori del settore privato. 
4.3 Opzione (3): Aggiornamento mirato de lla DQ per affrontare la specifica 
minaccia degli attacchi su larga scala contro i sistemi di informazione  
Questa opzione prevede l'introduzione di specif iche norme mirate (oss ia circoscritte) per 
lottare contro gli attacchi su larga scala, particolarmente pe ricolosi, a danno dei sistemi di 
informazione. Tale legislazione mirata sarebbe associata a misure destinate a rafforzare la 
cooperazione operativa transfrontaliera contro gli attacchi ai sistemi di informazione e ad 
aumentare le sanzioni minime già previste. Questa opzione ri vestirebbe la forma di un 
aggiornamento dell'esistente DQ, completandola c on una serie di misure non legislative, come 
il miglioramento della preparazione, sicurezza e resilienza delle infr astrutture critiche 
informatizzate, il rafforzamento degli strume nti e delle procedure per la cooperazione 
transfrontaliera fra le autorità di cont rasto e lo scambio delle migliori prassi. 
4.4 Opzione (4): Introduzione di una legislaz ione UE generale contro la criminalità 
informatica 
La constatazione della necessità di intervenir e rapidamente contro lo sviluppo di attacchi 
sofisticati contro i sistemi di informazione por ta a chiedersi se sare bbe opportuno introdurre 
anche una legislazione più ampia sulla criminalità informatica in generale. Una tale legislazione riguarderebbe non so lo gli attacchi contro i sist emi di informazione, ma anche 
questioni come la criminalità informatica finanziaria, i contenuti illegali del web, la raccolta/conservazione/trasferimento di prove elettroniche, e norme più dettagliate sulla 
competenza giurisdizionale. Essa sarebbe appl icabile parallelamente alla Convenzione del 
Consiglio d'Europa sulla criminalità inform atica, che verrebbe completata da nuove 
disposizioni considerate necessarie nell'UE.  
IT 5   IT 4.5 Opzione (5): Aggiornamento della Convenzione del Consiglio d'Europa sulla 
criminalità informatica 
Questa opzione richiederebbe una sostanzial e rinegoziazione dell'attuale Convenzione, 
processo lungo e incompatibile con la tabella di  marcia proposta nella  valutazione d'impatto. 
Non vi sembra essere del resto alcuna volontà internazionale di rinegoziare la Convenzione, il 
cui aggiornamento non può quindi essere c onsiderato un'opzione percorribile, poiché 
andrebbe oltre il termine d'azione previsto.  
5. V ALUTAZIONE D 'IMPATTO  
Opzioni Ripercussioni 
economiche Ripercussioni 
sociali Ripercussioni 
sui diritti 
fondamentali Ripercussioni 
sui paesi terzi Pertinenza 
per gli 
obiettivi 
A,B,C Coerenza col 
diritto 
internazionale
Opzione 1: 
Status Quo / Nessuna nuova azione dell'UE
 0 0 0 - 
0 0 
Opzione 2: 
Elaborazione di un programma per intensificare l'impegno a contrastare gli attacchi contro i sistemi di informazione 
per mezzo di 
misure non legislative
 -/+ ++ -/+  
++ 
A + 
B ++ 
C + -/+ 
Opzione 3: 
Aggiornamento mirato della DQ per affrontare la minaccia degli attacchi su larga scala contro i sistemi di informazione
 --/++ -/+++ -/++  
+++ 
A +++ 
B +++ 
C +++ ++ 
IT 6   IT Opzione 4: 
Introduzione di una legislazione UE generale contro la criminalità informatica
 ---/+++ +++ --/++  
++ A ++ 
B ++ C ++ -/++ 
Opzione 
privilegiata (opzioni 2 e 3): Combinazione 
di misure non 
legislative con un aggiornamento mirato della DQ
 --/+++ +++ -/++  
+++ 
A +++ 
B +++ C +++ ++ 
6. C ONFRONTO FRA LE VARIE OPZIONI  
6.1 Opzione (1): Status Quo  
Questa opzione renderà inevitabilmente più vulne rabile la posizione degli operatori privati, 
degli Stati membri e dell'Unione ne lla lotta contro la criminalità informatica, data la natura e 
l'evoluzione di quest'ultima. Anche mantenendo il livello delle azioni a ttualmente in corso, 
sarebbe comunque necessario un coor dinamento a livello europeo.  
6.2 Opzione (2): Elaborazione di un progr amma per intensificare l'impegno a 
contrastare gli attacchi contro i sistemi di informazione per mezzo di misure 
non legislative  
Questa opzione presenta tutti i vantaggi e gli svantaggi di uno strumento non vincolante. 
L'aspetto positivo è la possibilità di definire ogn i opzione in un modo coerente con le migliori 
prassi nazionali, facilita ndo così l'individuazione delle misure più efficaci. 
Questa opzione è tuttavia meno efficace dal punto di vista del conseguimento degli obiettivi. 
6.3 Opzione (3): Aggiornamento mirato della  DQ per affrontare la minaccia degli 
attacchi su larga scala contro i sistemi di informazione  
L'opzione in questione offre una risposta tempes tiva e mirata ai proble mi individuati. Affronta 
le questioni di diritto penale da prendere in  considerazione per perseguire efficacemente gli 
autori dei reati. Mig liora inoltre la coopera zione internazionale introducendo un meccanismo 
di assistenza internazionale immediata in ca so di richieste urge nti di cooperazione, e 
promuove la collaborazione col settore priv ato grazie a misure di accompagnamento, ad 
esempio riunioni di esperti. Questa opzione  introduce altresì una serie di circostanze 
aggravanti, come la dimensione su larga scal a degli attacchi e gli attacchi commessi celando 
la reale identità dell'autor e e danneggiando il legittimo proprietario dell'identità. 
IT 7   IT Infine, per misurare l'entità del problema , sono introdotti obblighi di monitoraggio. 
6.4 Opzione (4): Introduzione di una legislaz ione UE generale contro la criminalità 
informatica 
Come la n. 3, anche questa opzione  ha il valore aggiunto di stab ilire disposizioni vincolanti, 
portando quindi a un maggiore livello di efficacia se pienamente attuata. Essa 
massimizzerebbe inoltre l'impatto positivo degli strumenti sia legislativi che non legislativi non solo per quanto riguarda gli attacchi su la rga scala, ma anche per tutta una serie di 
questioni legate alla criminalità informatica. A ffronterebbe inoltre il quadro giuridico penale e 
al tempo stesso migliorerebbe la cooperazione transfrontaliera fra g li organi di contrasto. 
Questo approccio globale, tuttavia, non riscuote a ttualmente il consenso delle parti interessate, 
anche se la sua attuazione gioverebbe più di tutte le altre opzioni alla lotta contro la 
criminalità informatica. 
7. O
PZIONE PRIVILEGIATA  
Dall'analisi dell'incidenza economica e sociale e delle ripercussioni sui diritti fondamentali 
risulta che le opzioni 2 e 3 rappresentano il migliore approccio ai problemi nella prospettiva di realizzare gli obiettivi individuati.  
Globalmente, l'opzione privilegiata sarebbe una combinazione delle opzioni 2 e 3, che si 
completano a vicenda e corrispondono al meglio ag li obiettivi definiti, sia come contenuto che 
per la tempistica.  
8. M
ONITORAGGIO E VALUTAZIONE  
Entro 2 anni dalla data di entrata in vigore della direttiva è opportuno pubblicare una relazione 
sulla sua corretta attuazione da parte degli Stati membri.  
Occorre inoltre procedere a valutazioni periodiche per valutare come e in che misura la 
direttiva avrà contribuito al conseguimento deg li obiettivi prefissati. La prima valutazione 
andrebbe fatta entro 5 anni dalla sua entr ata in vigore; la Commissione pubblicherà 
successivamente relazioni di valutazione ogni 5 anni, che conterranno informazioni relative 
all'attuazione. Sulla base delle conclusioni  e raccomandazioni de lle valutazioni, la 
Commissione dovrebbe prendere in considerazione eventuali modifiche o sviluppi della 
direttiva.