COMUNICAZIONE CONGIUNTA AL PARLAMENTO EUROPEO E AL CONSIGLIO

Relazione sull'attuazione della strategia dell'UE in materia di cibersicurezza per il decennio digitale

I.Ciberresilienza, capacità operativa e apertura più essenziali che mai

La cibersicurezza è indispensabile per la realizzazione di una tecnologia più intelligente e più ecologica in un mondo post-pandemia. In generale è indispensabile per la sicurezza dell'UE ed è un pilastro dell'Unione della sicurezza. Lo sviluppo sociale, politico ed economico richiede una sovranità tecnologica e un ciberspazio globale, aperto e sicuro, fondato sullo Stato di diritto e sul rispetto dei diritti umani e delle libertà fondamentali. Questa è stata la premessa di base della comunicazione congiunta della Commissione e dell'alto rappresentante per gli affari esteri e la politica di sicurezza sulla strategia dell'UE in materia di cibersicurezza per il decennio digitale, adottata il 16 dicembre 2020. Tutte le entità critiche sono un potenziale bersaglio di attacchi informatici. Gli sviluppi negli ultimi sei mesi hanno corroborato l'accento posto dalla strategia sull'accelerazione delle riforme normative, gli investimenti e la risposta operativa collettiva.

I recenti attacchi informatici hanno dimostrato, in particolare, la maggiore pervasività delle attività di ransomware e spionaggio informatico e il loro crescente rischio per tutti i settori dell'economia e della società in generale. La portata degli incidenti occorsi è stata straordinaria: centinaia di migliaia di server colpiti negli attacchi a Microsoft Exchange; 18 000 organizzazioni potenzialmente raggiunte dalla campagna sferrata contro Orion di SolarWinds; i dati sensibili di centinaia di pazienti sottratti e i servizi sanitari bloccati nell'attacco ransomware al servizio sanitario irlandese; un'emergenza energetica e un massiccio furto di dati nell'attacco informatico sferrato al sistema di fatturazione di Colonial Pipeline e l'interruzione delle attività del maggior fornitore di carne di manzo al mondo. Pur non essendo ancora chiarita pienamente la portata del danno, ciascuno di questi incidenti mette in luce le potenziali conseguenze profonde dello sfruttamento doloso delle vulnerabilità presenti nei prodotti, servizi, sistemi e reti delle tecnologie dell'informazione e della comunicazione. È prevedibile che tali attacchi informatici aumentino in termini di impatto e frequenza e compromettano la nostra sicurezza.

Per l'Unione europea è pertanto essenziale accelerare i progressi su tutti i fronti – legislativo, operativo, in termini di investimenti e diplomatico – come indicato nella strategia. Le proposte di direttiva relativa a misure per un livello comune elevato di cibersicurezza nell'Unione ("la direttiva NIS 2"), di direttiva sulla resilienza dei soggetti critici nonché di regolamento e di direttiva relativi alla resilienza operativa digitale dovrebbero essere adottate quanto prima. In questo contesto è essenziale perseguire un approccio ambizioso, in particolare relativamente alle catene di approvvigionamento, tenuto conto di come le vulnerabilità dei recenti attacchi informatici fossero riconducibili ai fornitori di software, e adottare misure che garantiscano la resilienza delle amministrazioni pubbliche e la rapida segnalazione degli incidenti. L'esigenza di istituire una rete di centri operativi di sicurezza (o "SOC") per l'individuazione precoce di segnali di attacchi informatici è diventata più pressante che mai, come anche l'esigenza di sviluppare una risposta credibile, efficace e collettiva dell'UE, compreso a livello operativo, agli incidenti gravi tramite l'unità congiunta per il ciberspazio. Dato l'aumento degli attacchi informatici condotti da attori statali o sponsorizzati dallo Stato, è necessario continuare a promuovere in seno alle Nazioni Unite un comportamento responsabile degli Stati, anche tramite dialoghi in materia di ciberspazio e scambi strutturati con organizzazioni regionali come l'Unione africana, il Forum regionale dell'ASEAN, l'Organizzazione degli Stati americani (OAS) e l'Organizzazione per la sicurezza e la cooperazione in Europa (OSCE), insieme a un'azione diplomatica efficace in termini di prevenzione, dissuasione, deterrenza e risposta nei confronti di comportamenti dolosi nel ciberspazio. Di particolare importanza saranno la cooperazione con i paesi terzi che condividono gli stessi principi e le priorità dell'agenda transatlantica; in particolare dovrebbe essere ulteriormente esplorata la cooperazione UE-USA su aspetti specifici relativi alla cibersicurezza, anche rispetto allo scambio di informazioni e alla lotta al ransomware.

II.Panoramica dei primi sei mesi di attuazione

Una serie di azioni strategiche sono già a un livello avanzato.

II.1 Resilienza, sovranità tecnologica e leadership

In tutto il mondo, le catene di approvvigionamento e le infrastrutture critiche, inclusi gli ospedali che lottano contro la pandemia di COVID-19, sono attualmente a rischio costante di attacchi informatici. La Commissione sostiene i colegislatori per garantire una rapida adozione della proposta di riforma della direttiva NIS, che in particolare amplierà la copertura del settore sanitario, inclusi i laboratori di ricerca e la produzione di dispositivi medicali e farmaci critici, e le nuove attività del settore energetico, come la produzione di idrogeno, il teleriscaldamento, la produzione di energia elettrica e gli organismi centrali di stoccaggio petrolifero.

Il regolamento che istituisce il Centro europeo di competenza per la cibersicurezza e la rete dei centri nazionali di coordinamento è stato adottato il 20 maggio 2021. Esso metterà in comune risorse provenienti dall'UE, dagli Stati membri e dall'industria per migliorare e rafforzare le capacità di cibersicurezza tecnologica e industriale, potenziando l'autonomia strategica aperta dell'UE e offrendo la possibilità di consolidare parte delle attività connesse con la cibersicurezza finanziate da Orizzonte Europa, dal programma Europa digitale e dal dispositivo per la ripresa e la resilienza, con flussi di finanziamento che ammontano in totale a 4,5 miliardi di EUR per i prossimi sei anni. Ciò sosterrà lo sviluppo entro il 2023 di un ciberscudo dell'UE per l'individuazione precoce di attacchi informatici, composto da una rete di centri operativi di sicurezza che possono essere pubblici o privati e che sfrutteranno strumenti basati sull'intelligenza artificiale. Svariati Stati membri hanno incluso lo sviluppo di tali centri nazionali nel quadro dei rispettivi piani per la ripresa e la resilienza. La Commissione integrerà questi sforzi stanziando fondi del programma Europa digitale e sostenendo il loro collegamento per fasi successive. I programmi finanziari sosterranno inoltre l'iniziativa EuroQCI per la costruzione di una infrastruttura di comunicazione quantistica sicura che comprenda l'intera UE, inclusi i territori d'oltremare, utilizzando la migliore combinazione di tecnologie terrestri e spaziali e una linea di bilancio specifica a sostegno della ciberresilienza nel settore sanitario.

Garantire la cibersicurezza del 5G è un processo continuo che accompagnerà il graduale dispiegamento del 5G e l'attuazione del pacchetto di strumenti dell'UE per il 5G. La maggior parte degli Stati membri ha già – o avrà presto – predisposto quadri per imporre adeguate restrizioni ai fornitori di 5G. Il codice delle comunicazioni elettroniche comporta un rafforzamento degli obblighi a carico degli operatori di reti mobili e l'Agenzia dell'UE per la cibersicurezza (ENISA) sta preparando una proposta di sistema UE di certificazione della cibersicurezza delle reti 5G. Alla luce delle nuove tendenze e degli sviluppi nella catena di approvvigionamento del 5G, le autorità degli Stati membri hanno deciso di avviare un'analisi approfondita delle implicazioni in materia di sicurezza delle soluzioni tecnologiche di rete interoperabili, aperte e disaggregate ("Open RAN") nell'ambito del pacchetto di strumenti dell'UE. Il risultato di tale lavoro contribuirà ulteriormente all'approccio concertato dell'UE alla sicurezza delle reti 5G.

Occorrono maggiori sforzi, in particolare tramite il piano d'azione per l'istruzione digitale dell'UE, per affrontare la massiccia carenza di competenze, che si prevede raggiungerà quasi due milioni di posti vacanti a livello globale nel settore della cibersicurezza entro il 2022 e 350 000 nella sola Europa, e la grave sottorappresentanza delle donne, le quali rappresentano solo l'11 % della forza lavoro nel settore della cibersicurezza a livello mondiale e ancor meno, ossia il 7 %, in Europa. Altre iniziative politiche in corso includono il lavoro di preparazione per le future iniziative per la sicurezza dell'Internet delle cose e, sulle norme di Internet, lo sviluppo di un servizio di risoluzione del nome del dominio senza scopo di lucro ("DNS4EU").

II.2 Sviluppare capacità operative di prevenzione, dissuasione e risposta

Con l'aumento degli attacchi condotti da attori statali, sponsorizzati dallo Stato e criminali alle reti e ai sistemi di informazione e data la sempre maggiore dipendenza dalle basi di dati di informazioni sensibili, l'UE ha bisogno di maggiore interconnessione fra le cibercomunità. Queste devono rispondere in modo coerente agli aspetti civili, penali, diplomatici e di difesa degli attacchi informatici su vasta scala di cui sono stati vittime di recente molti settori economici sensibili. Sono pertanto necessari sforzi da parte di tutte le comunità per completare le quattro fasi delineate nella raccomandazione della Commissione sull'istituzione di un'unità congiunta per il ciberspazio, adottata contestualmente alla presente relazione, quale meccanismo per un ulteriore coordinamento e per colmare le lacune nella risposta dell'UE alle minacce informatiche. Nella lotta contro la criminalità informatica è stato raggiunto un accordo politico sul regolamento provvisorio contro gli abusi sessuali sui minori online, che sarà adottato a breve, e la nuova strategia della Commissione per la lotta alla criminalità organizzata è incentrata sull'esigenza di dotare le forze di contrasto degli strumenti digitali di cui hanno bisogno. Nel febbraio 2020 la Commissione ha adottato anche un piano d'azione sulle sinergie tra l'industria civile, della difesa e dello spazio che individua un nuovo progetto faro per l'istituzione di un sistema di connettività sicuro globale dell'UE basato sulla tecnologia spaziale. Esso mira a "consentir[e] a tutti i cittadini europei di usufruire di connessioni ad alta velocità e fornir[e] un sistema di connettività resiliente che permetterà all'Europa di rimanere connessa in ogni circostanza".

Da una prospettiva internazionale, in linea con le ambizioni fissate nel quadro della "bussola strategica" (Strategic Compass), l'alto rappresentante sta attualmente preparando il riesame del quadro strategico dell'UE in materia di ciberdifesa che sarà presentato agli Stati membri nella seconda metà del 2021. L'alto rappresentante si è adoperato per migliorare la capacità dell'UE di prevenzione, dissuasione, deterrenza e risposta nei confronti di attività informatiche dolose, anche rafforzando la cooperazione internazionale. Il 17 maggio 2021 il Servizio europeo per l'azione esterna (SEAE) ha organizzato, in collaborazione con la presidenza portoghese e l'Istituto dell'Unione europea per gli studi sulla sicurezza (IUESS), un dibattito basato su scenari con gli Stati membri dell'UE e i partner internazionali per migliorare la reciproca comprensione dei rispettivi approcci diplomatici in termini di prevenzione, dissuasione, deterrenza e risposta nei confronti di attività informatiche dolose e al fine di individuare opportunità per rafforzare ulteriormente la cooperazione internazionale a tal fine. Per rafforzare ulteriormente il pacchetto di strumenti della diplomazia informatica dell'UE, il SEAE sta raccogliendo gli insegnamenti tratti e può riesaminare gli orientamenti di attuazione del quadro relativo ad una risposta diplomatica comune dell'UE alle attività informatiche dolose.

Come annunciato nella strategia dell'UE in materia di cibersicurezza per il decennio digitale, la Commissione sta avviando uno studio per sviluppare strumenti di sensibilizzazione volti a migliorare la preparazione e la resilienza delle imprese dell'UE nei confronti dei furti di proprietà intellettuale favoriti dall'informatica. La Commissione ha anche intensificato le azioni di applicazione in relazione alla direttiva 2013/40/UE relativa agli attacchi contro i sistemi di informazione avviando ulteriori procedure d'infrazione nei confronti di svariati Stati membri nel giugno 2021. La Commissione prenderà in considerazione ulteriori azioni, se del caso. Sarà altrettanto cruciale migliorare la disponibilità delle capacità di cibersicurezza nella forza lavoro dell'UE; il centro di competenza della cibersicurezza realizzerà azioni chiave in tal senso con lo scopo di migliorare le conoscenze e la capacità e di promuovere le competenze interdisciplinari da sviluppare nel settore della cibersicurezza.

II.3 Promuovere un ciberspazio globale e aperto

Il panorama delle minacce è aggravato dalle tensioni geopolitiche riguardanti la rete Internet globale e aperta e le tecnologie lungo l'intera catena di approvvigionamento. Le restrizioni di Internet e su Internet, l'aumento di attività informatiche dolose e di quelle che colpiscono la sicurezza e l'integrità dei prodotti e dei servizi delle tecnologie dell'informazione e della comunicazione sono una minaccia per il ciberspazio globale e aperto, nonché per lo Stato di diritto, i diritti umani, le libertà fondamentali e i valori democratici. L'alto rappresentante, insieme con gli Stati membri, lavora pertanto al fine di promuovere un comportamento responsabile degli Stati nel ciberspazio, in particolare definendo, unitamente ad altri 53 copatrocinatori, un programma d'azione (PoA) volto a promuovere un comportamento responsabile degli Stati a livello delle Nazioni Unite, sulla base delle raccomandazioni della relazione approvata per consenso il 12 marzo 2021 dal gruppo di lavoro aperto sugli sviluppi nel settore delle tecnologie dell'informazione e delle telecomunicazioni nel contesto della sicurezza internazionale. L'UE sta lavorando al rafforzamento e all'ampliamento delle relazioni con i paesi terzi, le organizzazioni internazionali e regionali e le comunità multipartecipative tramite i dialoghi in materia di ciberspazio, come definito nella strategia, con l'istituzione di una rete della diplomazia informatica dell'UE. Inoltre il comitato dell'UE per lo sviluppo delle capacità informatiche, che è in fase di creazione, consentirà alle istituzioni, agli organi e agli organismi dell'UE di coordinarsi e cooperare meglio in materia di sforzi per lo sviluppo delle capacità informatiche esterne dell'UE.