COMMISSIONE EUROPEA Bruxelles, 16.12.2020 COM(2020) 823 final 2020/0359(COD) Proposta di DIRETTIVA DEL PARLAMENTO EUROPEO E DEL CONSIGLIO relativa a misure per un livello comune elevato di cibersicurezza nell'Unione, che abroga la direttiva (UE) 2016/1148 (Testo rilevante ai fini del SEE) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



RELAZIONE 1.CONTESTO DELLA PROPOSTA •Motivi e obiettivi della proposta La presente proposta rientra in un pacchetto di misure volte a migliorare ulteriormente le capacità di resilienza e di risposta agli incidenti di soggetti pubblici e privati, delle autorità competenti e dell'Unione nel suo complesso nel campo della cibersicurezza e della protezione delle infrastrutture critiche. Essa è in linea con le priorità della Commissione di preparare l'Europa per l'era digitale e costruire un'economia pronta per le sfide del futuro e al servizio dei cittadini. La cibersicurezza è una priorità nella risposta della Commissione alla crisi COVID-19. Il pacchetto comprende una nuova strategia per la cibersicurezza mirata a rafforzare l'autonomia strategica dell'Unione per migliorarne la resilienza e la risposta collettiva e creare una rete Internet globale e aperta. Il pacchetto contiene infine una proposta di una direttiva sulla resilienza degli operatori critici di servizi essenziali, che mira a ridurre le minacce fisiche nei confronti di tali operatori. Questa proposta si basa e abroga la direttiva (UE) 2016/1148 sulla sicurezza delle reti e dei sistemi informativi nell'Unione (direttiva NIS), che è il primo strumento legislativo a livello dell'UE sulla cibersicurezza e prevede misure giuridiche volte a incrementare il livello complessivo di cibersicurezza nell'Unione. La direttiva NIS ha 1) contribuito al miglioramento delle capacità di cibersicurezza a livello nazionale chiedendo agli Stati membri di adottare strategie nazionali per la cibersicurezza e nominare autorità competenti in materia; 2) rafforzato la cooperazione tra Stati membri a livello dell'Unione istituendo vari forum che facilitano lo scambio di informazioni strategiche e operative; e 3) migliorato la resilienza informatica (ciberresilienza) di soggetti pubblici e privati in sette settori specifici (energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, fornitura e distribuzione di acqua potabile e infrastrutture digitali) e in tre servizi digitali (mercati online, motori di ricerca online e servizi di cloud computing) chiedendo agli Stati membri di garantire che gli operatori di servizi essenziali e i fornitori di servizi digitali introducano requisiti di cibersicurezza e segnalino gli incidenti. La proposta modernizza il quadro giuridico esistente tenendo conto della crescente digitalizzazione del mercato interno avvenuta negli ultimi anni e del panorama in rapida evoluzione delle minacce alla cibersicurezza. Entrambi i fenomeni si sono ulteriormente amplificati dall'inizio della crisi COVID-19. La proposta affronta inoltre alcune carenze che hanno impedito alla direttiva NIS di realizzare appieno il suo potenziale. Nonostante gli importanti risultati ottenuti, la direttiva NIS, che ha spianato la strada a un significativo cambiamento di mentalità in relazione all'approccio istituzionale e normativo alla cibersicurezza in molti Stati membri, ha mostrato anche i suoi limiti. La trasformazione digitale della società (intensificata dalla crisi COVID-19) ha ampliato il panorama delle minacce e sta lanciando nuove sfide, che richiedono risposte adeguate e innovative. Gli attacchi informatici sono in continuo aumento, molti dei quali, sempre più sofisticati, provengono da un'ampia gamma di fonti interne ed esterne all'UE. La valutazione del funzionamento della direttiva NIS, condotta ai fini della valutazione d'impatto, ha identificato i seguenti problemi: 1) il basso livello di ciberresilienza delle imprese operanti nell'UE; 2) i diversi livelli di resilienza tra Stati membri e tra settori; e 3) il basso livello di consapevolezza situazionale comune e la mancanza di una risposta comune alle crisi. Ad esempio, alcuni importanti ospedali di uno Stato membro non rientrano nell'ambito di applicazione della direttiva NIS e pertanto non sono tenuti ad attuare le risultanti misure di sicurezza, mentre in un altro Stato membro quasi tutti gli ospedali sono soggetti ai requisiti di sicurezza della direttiva NIS. Essendo un'iniziativa del programma di controllo dell'adeguatezza e dell'efficacia della regolamentazione (REFIT), la proposta mira a ridurre l'onere normativo per le autorità competenti e i costi di conformità per i soggetti pubblici e privati. In particolare, tale obiettivo è raggiunto abolendo l'obbligo per le autorità competenti di individuare gli operatori di servizi essenziali e aumentando il livello di armonizzazione dei requisiti di sicurezza e segnalazione allo scopo di facilitare la conformità normativa per i soggetti che offrono servizi transfrontalieri. Al contempo, alle autorità competenti saranno assegnati anche alcuni nuovi compiti, tra cui la vigilanza di soggetti in settori finora non rientranti nell'ambito di applicazione dalla direttiva NIS. •Coerenza con le disposizioni vigenti nel settore normativo interessato Questa proposta fa parte di un insieme più ampio di strumenti giuridici esistenti e di future iniziative a livello dell'Unione volte ad aumentare la resilienza di soggetti pubblici e privati alle minacce. Nel settore della cibersicurezza, si tratta in particolare della direttiva (UE) 2018/1972, che istituisce il codice europeo delle comunicazioni elettroniche (le cui disposizioni relative alla cibersicurezza saranno sostituite con le disposizioni della proposta in esame) e la proposta di un regolamento relativo alla resilienza operativa digitale per il settore finanziario (COM(2020) 595 final), che saranno considerati come lex specialis rispetto alla proposta in esame non appena entrambi gli atti entreranno in vigore. Nel settore della sicurezza fisica, la proposta integra la proposta di direttiva sulla resilienza dei soggetti critici, che costituisce una revisione della direttiva 2008/114/CE relativa all'individuazione e alla designazione delle infrastrutture critiche europee e alla valutazione della necessità di migliorarne la protezione (direttiva sulle infrastrutture critiche europee), la quale istituisce un processo dell'Unione per l'identificazione e la designazione delle infrastrutture critiche europee e definisce un approccio volto a migliorarne la protezione. Nel luglio 2020 la Commissione ha adottato la strategia dell'UE per l'Unione della sicurezza, che ha confermato l'aumento dell'interconnessione e dell'interdipendenza tra infrastrutture fisiche e digitali. Tale strategia sottolineava la necessità di un approccio più coerente e omogeneo tra la direttiva ECI sulle infrastrutture critiche europee e la direttiva (UE) 2016/1148 recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione. La proposta è pertanto strettamente allineata con la proposta di direttiva sulla resilienza dei soggetti critici, che mira ad aumentare la resilienza di tali soggetti alle minacce fisiche in un elevato numero di settori. La proposta punta a garantire che le autorità competenti previste da entrambi gli atti giuridici adottino misure complementari e scambino le informazioni necessarie per quanto riguarda la resilienza informatica e non, e che in particolare gli operatori critici dei settori considerati "essenziali" dalla proposta in oggetto siano anch'essi soggetti a obblighi più generali di aumento della resilienza, con particolare riguardo ai rischi non informatici. •Coerenza con le altre normative dell'Unione Come si legge nella comunicazione "Plasmare il futuro digitale dell'Europa", è fondamentale che l'Europa colga tutti i vantaggi dell'era digitale e rafforzi la sua capacità industriale e di innovazione entro limiti sicuri ed etici. La strategia europea per i dati stabilisce quattro pilastri, ossia protezione dei dati, diritti fondamentali, sicurezza e cibersicurezza, come prerequisiti essenziali per una società che, grazie all'uso dei dati, disponga di maggiori strumenti. In una risoluzione del 12 marzo 2019, il Parlamento europeo ha invitato "[…] la Commissione a valutare la necessità di estendere ulteriormente l'ambito di applicazione della direttiva NIS ad altri settori e servizi critici, che non sono coperti da una legislazione settoriale". Nelle sue conclusioni del 9 giugno 2020, il Consiglio ha accolto con favore "[…] i piani della Commissione tesi a garantire norme coerenti per gli operatori di mercato e ad agevolare una condivisione delle informazioni sicura, solida e adeguata in materia di minacce e incidenti, anche tramite un riesame della direttiva sulla sicurezza delle reti e dei sistemi informativi (direttiva NIS), nonché a esplorare possibilità per migliorare la ciberresilienza e rispondere in modo più efficace agli attacchi informatici, in particolar modo quelli rivolti ad attività economiche e sociali essenziali, nel rispetto delle competenze degli Stati membri, ivi compresa la responsabilità per la loro sicurezza nazionale". Inoltre, l'atto giuridico proposto non pregiudica l'applicazione delle norme in materia di concorrenza stabilite nel trattato sul funzionamento dell'Unione europea (TFUE).

Poiché una parte significativa delle minacce alla cibersicurezza ha origine al di fuori dell'UE, è necessario un approccio coerente alla cooperazione internazionale. La presente direttiva costituisce un modello di riferimento da promuovere nel contesto della cooperazione dell'UE con i paesi terzi, in particolare nella fornitura di assistenza tecnica esterna. 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ •Base giuridica La base giuridica della direttiva NIS è l'articolo 114 del trattato sul funzionamento dell'Unione europea (TFUE), il cui obiettivo è l'instaurazione e il funzionamento del mercato interno mediante il rafforzamento delle misure relative al ravvicinamento delle normative nazionali. Conformemente alla sentenza della Corte di giustizia dell'UE nella causa C‑58/08, Vodafone Ltd e altri, il ricorso all'articolo 114 TFUE è giustificato in caso di divergenze tra le normative nazionali qualora queste incidano direttamente sul funzionamento del mercato interno. Analogamente, la Corte ha ritenuto che qualora un atto fondato sull'articolo 114 TFUE abbia già eliminato qualsiasi ostacolo agli scambi nel settore da esso armonizzato, il legislatore dell'Unione non può essere privato della possibilità di adeguare tale atto a qualsivoglia modificazione delle circostanze o evoluzione delle conoscenze, in considerazione del compito affidatogli di vigilare alla protezione degli interessi generali riconosciuti dal trattato. Infine, secondo la Corte le misure relative al ravvicinamento previste dall'articolo 114 TFUE intendono consentire, in funzione del contesto generale e delle circostanze specifiche della materia da armonizzare, un margine di discrezionalità in merito alla tecnica di ravvicinamento più appropriata per ottenere il risultato auspicato. L'atto giuridico proposto favorirebbe e migliorerebbe l'instaurazione e il funzionamento del mercato interno per i soggetti essenziali e importanti nei seguenti modi: stabilendo norme chiare e generalmente applicabili relative all'ambito di applicazione della direttiva NIS e armonizzando le norme applicabili nel settore della gestione del rischio di cibersicurezza e della segnalazione di incidenti. Le attuali disparità in questo settore, sia a livello legislativo che di vigilanza, nonché a livello nazionale e dell'Unione, costituiscono ostacoli per il mercato interno perché i soggetti impegnati in attività transfrontaliere fanno fronte a obblighi normativi diversi, con possibili sovrapposizioni, e/o a una loro diversa applicazione a scapito dell'esercizio della loro libertà di stabilimento e la libera prestazione di servizi. Norme diverse hanno anche un impatto negativo sulle condizioni della concorrenza nel mercato interno quando si tratta di soggetti dello stesso tipo in Stati membri diversi. •Sussidiarietà (per la competenza non esclusiva) La resilienza in termini di cibersicurezza all'interno dell'Unione non può essere efficace se affrontata in modo diverso nei vari silos nazionali o regionali. La direttiva NIS ha parzialmente ovviato a questa carenza definendo un quadro per la sicurezza delle reti e dei sistemi informativi a livello nazionale e dell'Unione. Tuttavia, il suo recepimento e la sua attuazione hanno portato alla luce carenze e limiti intrinseci di alcune disposizioni o approcci, come la poco chiara delimitazione del suo ambito di applicazione, che ha determinato differenze significative in termini di portata e intensità dell'intervento effettivo dell'UE a livello di Stati membri. Inoltre, con la crisi COVID-19, l'economia europea è diventata dipendente dai sistemi informatici e di rete come mai prima d'ora, mentre settori e servizi sono sempre più interconnessi. L'intervento dell'UE, che va oltre gli attuali provvedimenti della direttiva NIS, è giustificato principalmente dai seguenti fattori: i) la natura sempre più transfrontaliera delle minacce e delle sfide legate alla NIS; ii) le potenzialità degli interventi dell'Unione volti a migliorare e agevolare strategie nazionali efficaci e coordinate; e iii) il contributo degli interventi strategici concertati e collaborativi volti a un'efficace protezione dei dati e della vita privata. •Proporzionalità Le norme proposte nella presente direttiva non vanno oltre ciò che è necessario per raggiungere in modo soddisfacente gli obiettivi specifici. L'allineamento e la razionalizzazione previsti delle misure di sicurezza e degli obblighi di segnalazione sono relativi alle richieste degli Stati membri e delle imprese di migliorare il quadro attuale. La proposta tiene conto delle pratiche già esistenti negli Stati membri. Un livello maggiore di protezione conseguito grazie a misure razionalizzate e coordinate, come quelle proposte, è proporzionale ai rischi sempre più elevati affrontati, compresi quelli che presentano un elemento transfrontaliero; esse sono ragionevoli e corrispondono generalmente agli interessi dei soggetti coinvolti nel garantire la continuità e la qualità dei loro servizi. I costi per garantire una cooperazione sistematica tra Stati membri sarebbero minimi rispetto alle perdite e ai danni economici e sociali causati dagli incidenti di cibersicurezza. Inoltre, le consultazioni dei portatori di interessi tenutesi nel contesto del riesame della direttiva NIS, compresi i risultati della consultazione pubblica e le indagini mirate, dimostrano che la revisione della direttiva NIS, secondo le linee summenzionate, è accolta con favore. •Scelta dell'atto giuridico La proposta razionalizzerà ulteriormente gli obblighi imposti alle imprese e garantirà un livello più alto di armonizzazione degli stessi. Al contempo, la proposta mira a dotare gli Stati membri della flessibilità necessaria per tenere conto delle specificità nazionali (come la possibilità di individuare ulteriori soggetti essenziali o importanti al di là dello scenario di riferimento previsto dall'atto giuridico). Il futuro strumento giuridico dovrebbe pertanto essere una direttiva, in quanto questo strumento consente una migliore armonizzazione mirata, nonché un certo livello di flessibilità per le autorità competenti. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D'IMPATTO •Valutazioni ex post / Vaglio di adeguatezza della legislazione vigente La Commissione ha eseguito una valutazione del funzionamento della direttiva NIS analizzando la rilevanza, il valore aggiunto dell'UE, la coerenza, l'efficacia e l'efficienza di tale direttiva. Le principali conclusioni di questa analisi sono le seguenti. ·L'ambito di applicazione della direttiva NIS è troppo limitato in termini di settori considerati, principalmente per i motivi seguenti: i) l'aumento della digitalizzazione negli ultimi anni e il livello più elevato di interconnessione, ii) il fatto che l'ambito di applicazione della direttiva NIS non riflette più tutti i settori digitalizzati che forniscono servizi chiave all'economia e alla società nel suo complesso. ·La direttiva NIS non è sufficientemente chiara per quanto riguarda l'ambito di applicazione per gli operatori di servizi essenziali e le sue disposizioni non chiariscono a sufficienza la competenza nazionale sui fornitori di servizi digitali. Questo ha determinato una situazione in cui determinati tipi di soggetti non sono stati individuati in tutti gli Stati membri e non hanno pertanto l'obbligo di mettere in atto misure di sicurezza e segnalare incidenti. ·La direttiva NIS ha concesso agli Stati membri un'ampia discrezionalità nello stabilire i requisiti di sicurezza e di segnalazione di incidenti per gli operatori di servizi essenziali. La valutazione mostra che in alcuni casi gli Stati membri hanno attuato tali requisiti in modi significativamente diversi, creando oneri aggiuntivi per le società operanti in più di uno Stato membro. ·Il regime di vigilanza e esecuzione della direttiva NIS non è efficace. Gli Stati membri hanno ad esempio mostrato molta riluttanza nell'applicazione delle sanzioni ai soggetti che omettevano di adottare requisiti di sicurezza o di segnalare incidenti. Ciò può avere conseguenze negative per la ciberresilienza di singoli soggetti.

·Le risorse finanziarie e umane accantonate dagli Stati membri per l'adempimento dei loro compiti (come l'identificazione o la vigilanza degli operatori di servizi essenziali), e di conseguenza i diversi livelli di maturità nell'affrontare i rischi di cibersicurezza, variano considerevolmente. Ciò ha ulteriormente accentuato le differenze in termini di ciberresilienza tra gli Stati membri. ·Gli Stati membri non condividono sistematicamente le informazioni tra loro, con conseguenze negative in particolare sull'efficacia delle misure di cibersicurezza e sul livello di consapevolezza situazionale comune a livello dell'UE. Questo vale anche per la condivisione di informazioni tra soggetti privati e per il coinvolgimento tra soggetti privati e strutture di cooperazione a livello dell'UE. •Consultazioni dei portatori di interessi La Commissione ha consultato una vasta gamma di portatori di interessi. Gli Stati membri e i portatori di interessi sono stati invitati a partecipare alla consultazione pubblica e alle indagini e ai seminari organizzati da Wavestone, CEPS e ICF, incaricati dalla Commissione di condurre uno studio a sostegno del riesame della direttiva NIS. Tra i portatori di interessi consultati figurano autorità competenti, organismi dell'Unione preposti alla cibersicurezza, operatori di servizi essenziali, fornitori di servizi digitali, soggetti che forniscono servizi che esulano dall'ambito di applicazione dell'attuale direttiva NIS, associazioni di categoria e organizzazioni di consumatori e cittadini. La Commissione è inoltre rimasta costantemente in contatto con le autorità competenti incaricate dell'attuazione della direttiva NIS. Il gruppo di cooperazione ha trattato in modo approfondito vari aspetti trasversali e settoriali dell'attuazione. Infine, durante le sue visite nei paesi in relazione alla NIS nel 2019 e nel 2020, la Commissione ha intervistato 154 soggetti pubblici e privati, nonché 117 autorità competenti. •Assunzione e uso di perizie Un consorzio formato da Wavestone, CEPS e ICF è stato incaricato dalla Commissione al fine di assisterla nel riesame della direttiva NIS. Il consorzio non solo si è messo in contatto, mediante indagini e seminari mirati, con i portatori di interessi direttamente interessati dalla direttiva NIS, ma ha anche consultato diversi esperti nel campo della cibersicurezza, come ricercatori e professionisti del settore. •Valutazione d'impatto Questa proposta è accompagnata da una valutazione d'impatto che è stata presentata il 23 ottobre 2020 al comitato per il controllo normativo, il quale il 20 novembre 2020 ha espresso un parere positivo con osservazioni. Il comitato per il controllo normativo ha raccomandato miglioramenti in alcuni ambiti allo scopo di: 1) riflettere meglio il ruolo degli effetti di ricaduta transfrontaliera nell'analisi del problema; 2) fornire una più ampia spiegazione di come si realizzerebbe il successo dell'iniziativa; 3) fornire ulteriori giustificazioni all'elenco delle opzioni strategiche; 4) sviluppare ulteriormente il tema dei costi delle misure proposte. La valutazione d'impatto è stata adeguata per affrontare sia questi punti sia le osservazioni più dettagliate del comitato per il controllo normativo. La valutazione ora comprende spiegazioni più dettagliate circa il ruolo degli effetti di ricaduta transfrontaliera nel campo della cibersicurezza, una panoramica più chiara di come può essere misurato il successo dell'iniziativa, una spiegazione più particolareggiata della concezione e della logica alla base delle diverse opzioni strategiche e delle azioni previste nell'ambito di tali opzioni, una spiegazione più dettagliata degli aspetti analizzati in relazione all'ambito di applicazione settoriale della direttiva NIS e maggiori chiarimenti in relazione ai costi. La Commissione ha preso in esame alcune opzioni strategiche per migliorare il quadro giuridico nel settore della ciberresilienza e della riposta agli incidenti: ·nessun provvedimento: la direttiva NIS resterebbe invariata e non sarebbe adottata alcun'altra misura di natura non legislativa per affrontare i problemi individuati dalla valutazione della direttiva NIS; ·opzione 1: non vi sarebbe alcun cambiamento a livello legislativo. La Commissione formulerebbe invece raccomandazioni e orientamenti (ad esempio sull'individuazione di operatori di servizi essenziali, sui requisiti di sicurezza, sulle procedure di notifica di incidenti e sulla vigilanza) previa consultazione del gruppo di cooperazione, dell'Agenzia dell'UE per la cibersicurezza (ENISA) e, a seconda dei casi, della rete di team di risposta agli incidenti di sicurezza informatica (CSIRT); ·opzione 2: questa opzione prevede modifiche mirate della direttiva NIS, tra cui un ampliamento dell'ambito di applicazione e diverse altre modifiche volte a garantire alcune soluzioni immediate ai problemi individuati, fornendo maggiore chiarezza e una migliore armonizzazione (come le disposizioni per armonizzare le soglie di identificazione). La direttiva NIS modificata manterrebbe tuttavia i principali elementi di base, l'approccio e le motivazioni; ·opzione 3: questo scenario comporta modifiche sistemiche e strutturali alla direttiva NIS (attraverso una nuova direttiva) e prevede un cambio di approccio più profondo che interessi un segmento più ampio delle economie dell'Unione, seppure con una vigilanza più mirata nei confronti di operatori chiave e di grandi dimensioni. Semplificherebbe altresì gli obblighi imposti alle imprese e garantirebbe un livello più alto di armonizzazione, creerebbe una definizione più efficace degli aspetti operativi e stabilirebbe una chiara base per una migliore responsabilizzazione (accountability) e condivisione delle responsabilità dei vari portatori di interesse per quanto riguarda le misure di cibersicurezza. La valutazione d'impatto conclude che l'opzione prescelta è l'opzione 3 (ossia modifiche sistemiche e strutturali del quadro NIS). In termini di efficacia, l'opzione prescelta determinerebbe chiaramente l'ambito di applicazione della direttiva NIS, estendendolo a un insieme più rappresentativo di economie e società dell'UE, e la razionalizzazione dei requisiti, unitamente a un quadro più definito di vigilanza e controllo che dovrebbe mirare ad aumentare il livello di conformità. Tale opzione comporta altresì misure volte a migliorare gli approcci di definizione delle politiche a livello degli Stati membri e a cambiarne il paradigma, promuovendo nuovi quadri per la gestione del rischio relativo alle relazioni con i fornitori e la divulgazione coordinata delle vulnerabilità. Al contempo, l'opzione strategica prescelta crea una chiara base per la responsabilizzazione (accountability) e le responsabilità condivise e prevede meccanismi volti a promuovere una maggiore fiducia tra Stati membri, sia a livello di autorità che di industria, incentivando la condivisione di informazioni e garantendo un approccio maggiormente operativo, come ad esempio meccanismi di assistenza reciproca e di revisione tra pari. Questa opzione prevedrebbe anche un quadro di gestione delle crisi a livello dell'UE, basato sulla rete operativa dell'UE varata di recente, e garantirebbe un maggiore coinvolgimento dell'ENISA, entro i limiti del suo mandato attuale, nel mantenere un'accurata panoramica dello stato di cibersicurezza dell'Unione. In termini di efficienza, sebbene l'opzione prescelta comporterebbe ulteriori costi di conformità e esecuzione per imprese e Stati membri, essa determinerebbe anche efficienti compromessi e sinergie, con le migliori potenzialità tra tutte le opzioni strategiche analizzate per garantire un livello superiore e coerente di ciberresilienza dei soggetti chiave all'interno dell'Unione, con conseguenti risparmi di costi sia per le imprese che per la società. Questa opzione d'intervento determinerebbe alcuni oneri amministrativi e costi di conformità supplementari per le autorità degli Stati membri. Nel complesso, tuttavia, nel medio e lungo termine porterebbe anche benefici sostanziali mediante una maggiore cooperazione tra Stati membri, anche a livello operativo, nonché incentivando un aumento complessivo delle capacità di cibersicurezza a livello nazionale e regionale attraverso l'assistenza reciproca, i meccanismi di revisione tra pari e una migliore panoramica delle imprese chiave e dell'interazione con le stesse. L'opzione d'intervento prescelta garantirebbe inoltre in larga misura coerenza con altre normative, iniziative o misure strategiche, compresa la lex specialis settoriale. Affrontando il problema attualmente persistente dell'insufficienza del livello di preparazione in materia di cibersicurezza a livello di Stati membri e di società e altre organizzazioni, si potrebbe ottenere un miglioramento in termini di efficienza e riduzione dei costi supplementari derivanti da incidenti di cibersicurezza. ·Per i soggetti essenziali e importanti, l'aumento del livello di preparazione in materia di cibersicurezza potrebbe attenuare la potenziale perdita di entrate a causa di perturbazioni, dovute anche allo spionaggio industriale, e potrebbe ridurre le ingenti spese destinate alla mitigazione ad hoc delle minacce. Tali vantaggi dovrebbero superare i costi d'investimento necessari. La riduzione della frammentazione del mercato interno migliorerebbe anche la parità di condizioni tra operatori. ·Per gli Stati membri ciò potrebbe ulteriormente ridurre il rischio di un aumento delle spese di bilancio destinate alla mitigazione ad hoc delle minacce e i costi supplementari in caso di emergenze legate a incidenti di cibersicurezza. ·Per i cittadini, affrontare il problema degli incidenti di cibersicurezza si tradurrà prevedibilmente in una riduzione delle perdite di reddito dovute a perturbazioni economiche.

L'aumento dei livelli di cibersicurezza negli Stati membri e la capacità delle società e delle autorità di rispondere rapidamente a un incidente e di mitigarne l'impatto, determineranno con tutta probabilità un aumento della fiducia globale dei cittadini nell'economia digitale, con un possibile impatto positivo sulla crescita e sugli investimenti. L'aumento del livello generale di cibersicurezza è probabile che porti a una maggiore sicurezza generale e a un funzionamento ininterrotto dei servizi essenziali, i quali sono fondamentali per la società. L'iniziativa può inoltre contribuire ad altri impatti sociali, quali la riduzione dei livelli di criminalità informatica e terrorismo e una maggiore protezione civile. L'aumento del livello di preparazione di imprese e altre organizzazioni contro le minacce informatiche può evitare potenziali perdite finanziarie dovute a attacchi informatici, evitando in tal modo la necessità di licenziare i dipendenti. L'aumento del livello globale di cibersicurezza potrebbe anche prevenire i rischi/danni ambientali in caso di attacco a un servizio essenziale. Questo potrebbe valere in particolare per i settori dell'energia, della distribuzione e dell'approvvigionamento dell'acqua o dei trasporti. Rafforzando le capacità di cibersicurezza, l'iniziativa potrebbe portare a un maggiore utilizzo delle infrastrutture e dei servizi TIC di ultima generazione, che sono anche più sostenibili dal punto di vista ambientale, e alla sostituzione di infrastrutture preesistenti inefficienti e meno sicure. Ciò contribuirà prevedibilmente anche a ridurre il numero di costosi incidenti informatici, liberando risorse disponibili per investimenti sostenibili. •Efficienza normativa e semplificazione La proposta prevede un'esclusione generale di micro e piccoli soggetti dal campo di applicazione della direttiva NIS e un regime di vigilanza ex post più leggero applicato a un gran numero di nuovi soggetti nell'ambito del campo di applicazione rivisto (i cosiddetti soggetti importanti). Tali misure mirano a ridurre al minimo ed equilibrare gli oneri che gravano sulle imprese e sulle pubbliche amministrazioni. La proposta sostituisce inoltre il complesso sistema di identificazione degli operatori di servizi essenziali con un obbligo generalmente applicabile e introduce un livello più elevato di armonizzazione degli obblighi di sicurezza e di segnalazione, che ridurrebbe l'onere della conformità, in particolare per i soggetti che forniscono servizi transfrontalieri. La proposta riduce al minimo i costi di conformità per le PMI, in quanto i soggetti sono tenuti ad adottare solo le misure necessarie a garantire un livello di sicurezza dei sistemi informatici e di rete adeguato al rischio presentato. •Diritti fondamentali L'UE si impegna a garantire standard elevati in materia di tutela dei diritti fondamentali. Tutti gli accordi volontari di condivisione delle informazioni tra soggetti promossi dalla presente direttiva sarebbero attuati in ambienti sicuri nel pieno rispetto delle norme dell'Unione in materia di protezione dei dati, in particolare il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio. 4.INCIDENZA SUL BILANCIO Cfr. scheda finanziaria 5.ALTRI ELEMENTI •Piani attuativi e modalità di monitoraggio, valutazione e informazione La proposta comprende un piano generale di monitoraggio e valutazione dell'impatto sugli obiettivi specifici, che richiede alla Commissione di effettuare una revisione almeno [54 mesi] dopo la data di entrata in vigore e di riferire al Parlamento europeo e al Consiglio sulle sue principali conclusioni. Il riesame dovrà essere effettuato in linea con gli orientamenti della Commissione per legiferare meglio. •Illustrazione dettagliata delle singole disposizioni della proposta La proposta è strutturata attorno a diversi settori d'intervento principali, che sono interconnessi e hanno lo scopo di aumentare il livello di cibersicurezza nell'Unione. Oggetto e ambito di applicazione (articoli 1 e 2) La direttiva, in particolare: a) stabilisce obblighi per gli Stati membri di adottare una strategia nazionale per la cibersicurezza, designare autorità nazionali competenti, punti di contatto unici e CSIRT; b) prevede che gli Stati membri stabiliscano obblighi di gestione e segnalazione dei rischi di cibersicurezza per i soggetti indicati come soggetti essenziali nell'allegato I e come soggetti importanti nell'allegato II; c) prevede che gli Stati membri stabiliscano obblighi in materia di condivisione delle informazioni sulla cibersicurezza. La direttiva si applica a taluni soggetti essenziali pubblici o privati che operano nei settori elencati nell'allegato I (energia; trasporti; settore bancario; infrastrutture dei mercati finanziari; settore sanitario, acqua potabile; acque reflue; infrastrutture digitali; pubblica amministrazione e spazio) e a taluni soggetti importanti che operano nei settori elencati nell'allegato II (servizi postali e di corriere; gestione dei rifiuti; fabbricazione, produzione e distribuzione di prodotti chimici; produzione, trasformazione e distribuzione di alimenti; settore della fabbricazione e fornitori di servizi digitali). Le microimprese e le piccole imprese ai sensi della raccomandazione 2003/361/CE della Commissione, del 6 maggio 2003, sono escluse dall'ambito di applicazione della direttiva, ad eccezione dei fornitori di reti di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico, dei prestatori di servizi fiduciari, dei registri dei nomi di dominio di primo livello (top-level domain, TLD) e della pubblica amministrazione, nonché di alcuni altri soggetti, come l'unico fornitore di un servizio in uno Stato membro. Quadri nazionali di cibersicurezza (articoli da 5 a 11)

Gli Stati membri sono tenuti ad adottare una strategia nazionale per la cibersicurezza che definisca gli obiettivi strategici e le misure politiche e normative appropriate volte a raggiungere e mantenere un livello elevato di cibersicurezza. La direttiva stabilisce inoltre un quadro per la divulgazione coordinata delle vulnerabilità e impone agli Stati membri di designare CSIRT che agiscano da intermediari fidati e facilitino l'interazione tra i soggetti segnalanti e i fabbricanti o fornitori di prodotti e servizi TIC. L'ENISA è tenuta a sviluppare e mantenere un registro europeo delle vulnerabilità per le vulnerabilità individuate Gli Stati membri sono tenuti a mettere in atto quadri nazionali di gestione delle crisi di cibersicurezza, tra l'altro designando le autorità nazionali competenti responsabili della gestione di incidenti e crisi di cibersicurezza su vasta scala. Gli Stati membri sono inoltre tenuti a designare una o più autorità nazionali competenti in materia di cibersicurezza per i compiti di vigilanza previsti dalla presente direttiva e un punto di contatto unico nazionale in materia di cibersicurezza (SPOC) che eserciti una funzione di collegamento per garantire la cooperazione transfrontaliera delle autorità degli Stati membri. Gli Stati membri sono inoltre tenuti a designare i CSIRT. Cooperazione (articoli da 12 a 16) La direttiva istituisce un gruppo di cooperazione al fine di sostenere e agevolare la cooperazione strategica e lo scambio di informazioni tra Stati membri e di sviluppare la fiducia. Istituisce inoltre una rete di CSIRT allo scopo di contribuire allo sviluppo della fiducia fra gli Stati membri e di promuovere una cooperazione operativa rapida ed efficace. È istituita una rete europea delle organizzazioni di collegamento per le crisi informatiche (EU-CyCLONe) per sostenere la gestione coordinata di incidenti e crisi di cibersicurezza su vasta scala e garantire il regolare scambio di informazioni tra gli Stati membri e le istituzioni dell'UE. L'ENISA è tenuta a presentare, in collaborazione con la Commissione, una relazione annuale sullo stato della cibersicurezza nell'Unione. La Commissione è tenuta a istituire un sistema di revisione tra pari che consenta di effettuare revisioni tra pari periodiche dell'efficacia delle politiche di cibersicurezza adottate dagli Stati membri. Obblighi di gestione e segnalazione dei rischi di cibersicurezza (articoli da 17 a 23) La direttiva impone agli Stati membri di prevedere che gli organi di gestione di tutti i soggetti che rientrano nell'ambito di applicazione approvino le misure di gestione dei rischi di cibersicurezza adottate dai rispettivi soggetti e seguano una formazione specifica in materia di cibersicurezza. Gli Stati membri sono tenuti a garantire che i soggetti che rientrano nell'ambito di applicazione adottino misure tecniche e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informatici e di rete. Essi hanno inoltre l'obbligo di garantire che i soggetti notifichino alle autorità nazionali competenti o ai CSIRT qualsiasi incidente di cibersicurezza che abbia un impatto significativo sulla fornitura dei loro servizi. I registri dei TLD e i soggetti che forniscono servizi di registrazione dei nomi di dominio per i TLD devono raccogliere e mantenere dati di registrazione dei nomi di dominio accurati e completi. Inoltre, tali soggetti sono tenuti a fornire un accesso efficiente ai dati di registrazione del dominio per i legittimi richiedenti l'accesso. Giurisdizione e registrazione (articoli 24 e 25) Di norma, i soggetti essenziali e importanti sono sottoposti alla giurisdizione dello Stato membro in cui prestano i propri servizi. Tuttavia alcuni tipi di soggetti (fornitori di servizi DNS, registri dei nomi di dominio di primo livello, fornitori di servizi di cloud computing, fornitori di servizi di data center e fornitori di reti di distribuzione dei contenuti, nonché alcuni fornitori di servizi digitali) sono sottoposti alla giurisdizione dello Stato membro in cui hanno lo stabilimento principale nell'Unione In questo modo si garantisce che tali soggetti non si confrontino con una miriade di prescrizioni giuridiche diverse, nella fornitura di servizi transfrontalieri a un livello particolarmente elevato. L'ENISA è tenuta a creare e mantenere un registro dei soggetti di quest'ultimo tipo. Condivisione di informazioni (articoli 26 e 27) Gli Stati membri prevedono norme che consentano ai soggetti di partecipare alla condivisione di informazioni relative alla cibersicurezza nel quadro di specifici accordi di condivisione di informazioni in materia di cibersicurezza, in conformità all'articolo 101 TFUE. Inoltre, gli Stati membri consentono ai soggetti che non rientrano nell'ambito di applicazione della presente direttiva di segnalare, su base volontaria, incidenti significativi, minacce informatiche o "quasi incidenti". Vigilanza e applicazione (articoli da 28 a 34) Le autorità competenti sono tenute a esercitare la vigilanza sui soggetti che rientrano nell'ambito di applicazione della direttiva e in particolare a garantirne la conformità ai requisiti di sicurezza e di notifica degli incidenti. La direttiva distingue tra un regime di vigilanza ex ante per i soggetti essenziali e un regime di vigilanza ex post per i soggetti importanti, regime quest'ultimo che impone alle autorità competenti di adottare provvedimenti ricevono elementi di prova o indicazioni che un soggetto importante non soddisfa i requisiti di sicurezza e di segnalazione degli incidenti. La direttiva obbliga inoltre gli Stati membri a imporre sanzioni amministrative pecuniarie ai soggetti essenziali e importanti e definisce alcune sanzioni massime.

Gli Stati membri sono tenuti a cooperare e ad assistersi reciprocamente in funzione delle necessità quando i soggetti prestano servizi in più di uno Stato membro o quando lo stabilimento principale di un soggetto o il suo rappresentante si trova in un determinato Stato membro, ma i suoi sistemi informatici e di rete sono situati in uno o più altri Stati membri. 2020/0359 (COD) Proposta di DIRETTIVA DEL PARLAMENTO EUROPEO E DEL CONSIGLIO relativa a misure per un livello comune elevato di cibersicurezza nell'Unione, che abroga la direttiva (UE) 2016/1148 (Testo rilevante ai fini del SEE) IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA, visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 114, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere del Comitato economico e sociale europeo, visto il parere del Comitato delle regioni, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1)La direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio mirava a sviluppare le capacità di cibersicurezza in tutta l'Unione, ad attenuare le minacce alle reti e ai sistemi informativi utilizzati per fornire servizi essenziali in settori chiave e a garantire la continuità di tali servizi in caso di incidenti di cibersicurezza, contribuendo in tal modo al funzionamento efficace dell'economia e della società dell'Unione. (2)Dall'entrata in vigore della direttiva (UE) 2016/1148 sono stati compiuti progressi significativi nell'aumentare il livello di resilienza dell'Unione in materia di cibersicurezza. La revisione di tale direttiva ha mostrato quanto quest'ultima sia servita da catalizzatore per l'approccio istituzionale e normativo alla cibersicurezza nell'Unione, aprendo la strada a un significativo cambiamento della mentalità. Tale direttiva ha garantito il completamento dei quadri nazionali definendo le strategie nazionali per la cibersicurezza, stabilendo capacità nazionali e attuando misure normative riguardanti le infrastrutture e gli attori essenziali individuati da ciascuno Stato membro. Ha inoltre contribuito alla cooperazione a livello dell'Unione mediante l'istituzione del gruppo di cooperazione e di una rete di gruppi nazionali di intervento per la sicurezza informatica in caso di incidente ("rete di CSIRT"). Nonostante tali risultati, la revisione della direttiva (UE) 2016/1148 ha rivelato carenze intrinseche che le impediscono di affrontare efficacemente le sfide attuali ed emergenti in materia di cibersicurezza. (3)I sistemi informatici e di rete occupano ormai una posizione centrale nella vita di tutti i giorni, con la rapida trasformazione digitale e l'interconnessione della società, anche negli scambi transfrontalieri. Ciò ha portato a un'espansione del panorama delle minacce alla cibersicurezza, con nuove sfide che richiedono risposte adeguate, coordinate e innovative in tutti gli Stati membri. Il numero, la portata, il livello di sofisticazione, la frequenza e l'impatto degli incidenti di cibersicurezza stanno aumentando e rappresentano una grave minaccia per il funzionamento dei sistemi informatici e di rete. Tali incidenti possono quindi impedire l'esercizio delle attività economiche nel mercato interno, provocare perdite finanziarie, minare la fiducia degli utenti e causare gravi danni all'economia e alla società dell'Unione. Pertanto la preparazione e l'efficacia della cibersicurezza sono oggi più che mai essenziali per il corretto funzionamento del mercato interno. (4)La base giuridica della direttiva (UE) 2016/1148 era l'articolo 114 del trattato sul funzionamento dell'Unione europea (TFUE), il cui obiettivo è l'instaurazione e il funzionamento del mercato interno mediante il rafforzamento delle misure relative al ravvicinamento delle normative nazionali. Gli obblighi di cibersicurezza imposti ai soggetti che forniscono servizi o attività economicamente rilevanti variano notevolmente da uno Stato membro all'altro in termini di tipo di obbligo, livello di dettaglio e metodo di vigilanza. Tali disparità comportano costi aggiuntivi e creano difficoltà per le imprese che offrono beni o servizi transfrontalieri. Gli obblighi imposti da uno Stato membro che sono diversi o addirittura in conflitto con quelli imposti da un altro Stato membro possono incidere in modo sostanziale su tali attività transfrontaliere. Inoltre è probabile che una progettazione o attuazione non ottimale delle norme in materia di cibersicurezza in uno Stato membro abbia ripercussioni sul livello di cibersicurezza di altri Stati membri, in particolare in considerazione degli intensi scambi transfrontalieri. Il riesame della direttiva (UE) 2016/1148 ha evidenziato notevoli divergenze nella sua attuazione da parte degli Stati membri, anche per quanto riguarda il suo ambito di applicazione, la cui delimitazione è stata lasciata in larga misura alla discrezione degli Stati membri. La direttiva (UE) 2016/1148 ha inoltre conferito agli Stati membri un ampio potere discrezionale per quanto riguarda l'attuazione degli obblighi in materia di sicurezza e segnalazione degli incidenti ivi stabiliti. Tali obblighi sono stati pertanto attuati in modi significativamente diversi a livello nazionale. Analoghe divergenze nell'attuazione si sono verificate in relazione alle disposizioni di tale direttiva in materia di vigilanza e esecuzione. (5)Tutte queste divergenze comportano una frammentazione del mercato interno e possono avere un effetto pregiudizievole sul suo funzionamento, con ripercussioni in particolare sulla fornitura transfrontaliera di servizi e sul livello di resilienza della cibersicurezza dovute all'applicazione di norme diverse. La presente direttiva mira a eliminare tali ampie divergenze tra gli Stati membri, in particolare stabilendo norme minime riguardanti il funzionamento di un quadro normativo coordinato, istituendo meccanismi per una cooperazione efficace tra le autorità responsabili in ciascuno Stato membro, aggiornando l'elenco dei settori e delle attività soggetti agli obblighi in materia di cibersicurezza e prevedendo mezzi di ricorso e sanzioni effettivi che siano funzionali all'efficace applicazione di tali obblighi. La direttiva (UE) 2016/1148 dovrebbe pertanto essere abrogata e sostituita dalla presente direttiva. (6)La presente direttiva lascia impregiudicata la possibilità, per gli Stati membri, di adottare le misure necessarie a garantire la tutela degli interessi essenziali della loro sicurezza, a salvaguardare l'ordine pubblico e la pubblica sicurezza e a consentire l'indagine, l'accertamento e il perseguimento dei reati, nel rispetto del diritto dell'Unione. Conformemente all'articolo 346 TFUE, nessuno Stato membro è tenuto a fornire informazioni la cui divulgazione sia contraria agli interessi essenziali della propria pubblica sicurezza. In tale contesto sono pertinenti le norme nazionali e dell'Unione per la protezione delle informazioni classificate, gli accordi di non divulgazione o gli accordi di non divulgazione informali, quale il protocollo TLP.

(7)Con l'abrogazione della direttiva (UE) 2016/1148, l'ambito di applicazione per settore dovrebbe essere esteso a una parte più ampia dell'economia alla luce delle considerazioni di cui ai considerando da 4 a 6. I settori contemplati dalla direttiva (UE) 2016/1148 dovrebbero pertanto essere ampliati per fornire una copertura completa dei settori e dei servizi di vitale importanza per le principali attività sociali ed economiche nel mercato interno. Le norme non dovrebbero essere diverse a seconda che i soggetti siano operatori di servizi essenziali o fornitori di servizi digitali. Tale differenziazione si è rivelata obsoleta, in quanto non riflette l'effettiva importanza dei settori o dei servizi per le attività sociali ed economiche nel mercato interno. (8)Conformemente alla direttiva (UE) 2016/1148, gli Stati membri erano responsabili di determinare quali soggetti soddisfacevano i criteri per essere considerati operatori di servizi essenziali ("processo di identificazione"). Al fine di eliminare le ampie divergenze tra gli Stati membri a tale riguardo e garantire la certezza del diritto per quanto riguarda gli obblighi di gestione e segnalazione dei rischi per tutti i soggetti pertinenti, è opportuno stabilire un criterio uniforme che determini quali soggetti rientrano nell'ambito di applicazione della presente direttiva. Tale criterio dovrebbe consistere nell'applicazione della regola della soglia di dimensione, in base alla quale rientrano nell'ambito di applicazione della direttiva tutte le medie e le grandi imprese, quali definite nella raccomandazione 2003/361/CE della Commissione, che operano nei settori o forniscono il tipo di servizi contemplati dalla presente direttiva. Gli Stati membri non dovrebbero essere tenuti a redigere un elenco dei soggetti che soddisfano questo criterio relativo alle dimensioni generalmente applicabile. (9)La presente direttiva dovrebbe tuttavia applicarsi anche ai piccoli o micro soggetti che soddisfano determinati criteri che indicano un ruolo chiave per le economie o le società degli Stati membri o per particolari settori o tipi di servizi. Gli Stati membri dovrebbero essere responsabili di stabilire un elenco di tali soggetti e presentarlo alla Commissione. (10)La Commissione, in collaborazione con il gruppo di cooperazione, può emanare orientamenti relativi all'attuazione dei criteri applicabili alle microimprese e alle piccole imprese. (11)A seconda del settore in cui operano o del tipo di servizio che forniscono, i soggetti che rientrano nell'ambito di applicazione della presente direttiva dovrebbero essere classificati in due categorie: essenziali e importanti. Tale categorizzazione dovrebbe tenere conto del livello di criticità del settore o del tipo di servizio, nonché del livello di dipendenza di altri settori o tipi di servizi. Sia ai soggetti essenziali sia a quelli importanti dovrebbero applicarsi gli stessi obblighi di gestione e segnalazione dei rischi. I regimi sanzionatori e di vigilanza tra queste due categorie di soggetti dovrebbero essere differenziati per garantire un giusto equilibrio tra i requisiti e gli obblighi, da un lato, e gli oneri amministrativi derivanti dalla vigilanza della conformità, dall'altro. (12)La legislazione e gli strumenti settoriali possono contribuire a garantire livelli elevati di cibersicurezza, tenendo pienamente conto delle specificità e delle complessità di tali settori. Qualora un atto giuridico settoriale dell'Unione imponga ai soggetti essenziali o importanti obblighi relativi all'adozione di misure di gestione dei rischi di cibersicurezza o di notifica di incidenti o minacce informatiche significative di effetto almeno equivalente agli obblighi stabiliti nella presente direttiva, dovrebbero applicarsi tali disposizioni settoriali, anche in materia di vigilanza ed esecuzione. La Commissione può emanare orientamenti in relazione all'attuazione della lex specialis. La presente direttiva non preclude l'adozione di ulteriori atti settoriali dell'Unione riguardanti le misure di gestione dei rischi di cibersicurezza e le notifiche degli incidenti. La presente direttiva lascia impregiudicate le competenze di esecuzione esistenti conferite alla Commissione in una serie di settori, tra cui i trasporti e l'energia. (13)Il regolamento XXXX/XXXX del Parlamento europeo e del Consiglio dovrebbe essere considerato un atto giuridico settoriale dell'Unione in relazione alla presente direttiva per quanto riguarda i soggetti del settore finanziario. Invece delle disposizioni stabilite dalla presente direttiva dovrebbero applicarsi quelle del regolamento XXXX/XXXX relative alle misure di gestione dei rischi relativi alle tecnologie dell'informazione e della comunicazione (TIC), alla gestione degli incidenti connessi alle TIC e, in particolare, alla segnalazione degli incidenti, nonché alle prove di resilienza operativa digitale, agli accordi di condivisione delle informazioni e al rischio di terze parti relativo alle TIC. Gli Stati membri non dovrebbero pertanto applicare le disposizioni della presente direttiva riguardanti gli obblighi di gestione e segnalazione dei rischi di cibersicurezza, la condivisione delle informazioni, la vigilanza e l'esecuzione ai soggetti finanziari contemplati dal regolamento XXXX/XXXX. Al tempo stesso è importante mantenere una solida relazione e lo scambio di informazioni con il settore finanziario a norma della presente direttiva. A tal fine il regolamento XXXX/XXXX consente a tutte le autorità di vigilanza finanziaria, alle autorità europee di vigilanza (AEV) per il settore finanziario e alle autorità nazionali competenti a norma del regolamento XXXX/XXXX di partecipare alle discussioni politiche strategiche e ai lavori tecnici del gruppo di cooperazione, nonché di scambiare informazioni e cooperare con i punti di contatto unici designati a norma della presente direttiva e con i CSIRT nazionali. Le autorità competenti a norma del regolamento XXXX/XXXX dovrebbero trasmettere i dettagli degli incidenti più gravi connessi alle TIC anche ai punti di contatto unici designati a norma della presente direttiva. Gli Stati membri dovrebbero inoltre continuare a includere il settore finanziario nelle loro strategie di cibersicurezza e i CSIRT nazionali possono contemplare il settore finanziario nelle loro attività. (14)In considerazione delle interconnessioni tra la cibersicurezza e la sicurezza fisica dei soggetti, dovrebbe essere garantito un approccio coerente tra la direttiva (UE) XXX/XXX del Parlamento europeo e del Consiglio e la presente direttiva. A tal fine, gli Stati membri dovrebbero garantire che i soggetti critici e i soggetti equivalenti a norma della direttiva (UE) XXX/XXX siano considerati soggetti essenziali a norma della presente direttiva. Gli Stati membri dovrebbero inoltre garantire che le loro strategie di cibersicurezza prevedano un quadro strategico per un coordinamento rafforzato tra l'autorità competente a norma della presente direttiva e quella prevista dalla direttiva (UE) XXX/XXX nel contesto della condivisione di informazioni su incidenti e minacce informatiche e dell'esercizio dei compiti di vigilanza. Le autorità a norma di entrambe le direttive dovrebbero cooperare e scambiarsi informazioni, in particolare per quanto riguarda l'individuazione dei soggetti critici, delle minacce informatiche, dei rischi di cibersicurezza, degli incidenti che interessano i soggetti critici, nonché le misure di cibersicurezza adottate dai soggetti critici. Su richiesta delle autorità competenti a norma della direttiva (UE) XXX/XXX, alle autorità competenti a norma della presente direttiva dovrebbe essere consentito di esercitare i propri poteri di vigilanza e di esecuzione nei confronti di un soggetto essenziale individuato come critico. A tal fine entrambe le autorità dovrebbero cooperare e scambiarsi informazioni. (15)Sostenere e preservare un sistema dei nomi di dominio affidabile, resiliente e sicuro è un fattore chiave per mantenere l'integrità di Internet ed è essenziale per il suo funzionamento costante e stabile, da cui dipendono l'economia e la società digitali. La presente direttiva dovrebbe applicarsi a tutti i fornitori di servizi DNS lungo la catena di risoluzione DNS, compresi gli operatori dei server dei nomi radice (root name server), dei server dei nomi di dominio di primo livello (top level domain, TLD), dei server autorevoli dei nomi per i nomi di dominio e dei risolutori ricorsivi. (16)I servizi di cloud computing dovrebbero comprendere i servizi che consentono, su richiesta, un ampio accesso remoto a un pool scalabile ed elastico di risorse di calcolo condivisibili e distribuite. Tali risorse di calcolo comprendono risorse quali reti, server o altre infrastrutture, sistemi operativi, software, archiviazione, applicazioni e servizi. I modelli di distribuzione del cloud computing dovrebbero comprendere il cloud privato, di comunità, pubblico e ibrido. I suddetti modelli di servizio e di distribuzione hanno lo stesso significato dei termini di servizio e dei modelli di distribuzione di cui alla norma ISO/IEC 17788:2014. La capacità dell'utente di cloud computing di provvedere unilateralmente all'autofornitura di capacità di calcolo, come il tempo di utilizzo di un server o lo spazio di archiviazione in rete, senza alcuna interazione umana da parte del fornitore di servizi di cloud computing potrebbe essere descritta come "amministrazione su richiesta". L'espressione "ampio accesso remoto" (broad network access) è utilizzata per descrivere il fatto che le capacità cloud sono fornite sulla rete e accessibili attraverso meccanismi che promuovono l'uso di piattaforme client eterogenee leggere o pesanti (compresi telefoni cellulari, tablet, computer portatili e workstation). Il termine "scalabile" si riferisce alle risorse di calcolo che sono assegnate in modo flessibile dal fornitore di servizi cloud, indipendentemente dall'ubicazione geografica delle risorse, per gestire le fluttuazioni della domanda. L'espressione "pool elastico" è usata per descrivere quelle risorse di calcolo che sono fornite e rilasciate in base alla domanda, al fine di aumentare e diminuire rapidamente le risorse disponibili in base al carico di lavoro. Il termine "condivisibile" è usato per descrivere le risorse di calcolo che sono fornite a una molteplicità di utenti che condividono un accesso comune al servizio, mentre l'elaborazione è effettuata separatamente per ciascun utente anche se il servizio è fornito a partire dalla stessa apparecchiatura elettronica. Il termine "distribuito" è usato per descrivere quelle risorse di calcolo che si trovano su diversi computer o dispositivi collegati in rete e che comunicano e si coordinano tra di loro mediante il passaggio di messaggi. (17)Dato l'emergere di tecnologie innovative e di nuovi modelli di business, si prevede che compariranno sul mercato nuovi modelli di servizio e di distribuzione del cloud computing in risposta all'evoluzione delle esigenze dei clienti. In tale contesto, i servizi di cloud computing possono essere forniti in una forma altamente distribuita, anche più vicina al luogo in cui i dati vengono generati o raccolti, passando così dal modello tradizionale a un modello altamente distribuito (edge computing). (18)È possibile che i servizi offerti dai fornitori di servizi di data center non siano sempre forniti sotto forma di servizi di cloud computing. È pertanto possibile che i data center non facciano sempre parte dell'infrastruttura di cloud computing. Al fine di gestire tutti i rischi posti alla sicurezza dei sistemi informatici e di rete, la presente direttiva dovrebbe applicarsi anche ai fornitori di tali servizi di data center che non sono servizi di cloud computing. Ai fini della presente direttiva, il termine "servizio di data center" dovrebbe applicarsi alla fornitura di un servizio che comprende strutture, o gruppi di strutture, dedicate a ospitare, interconnettere e far funzionare in modo centralizzato apparecchiature informatiche e di rete che forniscono servizi di conservazione, elaborazione e trasporto di dati insieme a tutti gli impianti e le infrastrutture per la distribuzione dell'energia e il controllo ambientale. Il termine "servizio di data center" non si applica ai data center interni e aziendali posseduti e gestiti per fini propri dal soggetto interessato. (19)I fornitori di servizi postali ai sensi della direttiva 97/67/CE del Parlamento europeo e del Consiglio, nonché i fornitori di servizi di corriere e di corriere espresso, dovrebbero essere soggetti alla presente direttiva se provvedono ad almeno una delle fasi della catena di consegna postale, in particolare la raccolta, lo smistamento o la distribuzione, compresi i servizi di ritiro. I servizi di trasporto che non sono forniti nell'ambito di una di tali fasi dovrebbero essere esclusi dall'ambito di applicazione dei servizi postali. (20)Queste crescenti interdipendenze sono il risultato di una rete di fornitura di servizi sempre più transfrontaliera e interdipendente che utilizza infrastrutture chiave in tutta l'Unione nei settori dell'energia, dei trasporti, delle infrastrutture digitali, delle acque potabili e reflue, della sanità, di determinati aspetti della pubblica amministrazione, nonché dello spazio, per quanto riguarda la fornitura di determinati servizi che dipendono da infrastrutture di terra possedute, gestite e utilizzate dagli Stati membri o da soggetti privati, ad esclusione, pertanto, delle infrastrutture possedute, gestite o utilizzate dall'Unione o per suo conto nell'ambito dei suoi programmi spaziali. Tali interdipendenze implicano che qualsiasi perturbazione, anche se inizialmente limitata a un soggetto o a un settore, possa avere effetti a cascata più ampi, con potenziali ripercussioni negative di ampia portata e di lunga durata sulla fornitura di servizi in tutto il mercato interno. La pandemia di COVID-19 ha mostrato la vulnerabilità delle nostre società sempre più interdipendenti di fronte a rischi di bassa probabilità. (21)In considerazione delle differenze esistenti tra le strutture di governance nazionali e al fine di salvaguardare gli accordi settoriali già esistenti o gli organismi di vigilanza e di regolamentazione dell'Unione, è opportuno che gli Stati membri abbiano la facoltà di designare più di un'autorità nazionale competente responsabile di svolgere i compiti connessi alla sicurezza dei sistemi informatici e di rete dei soggetti essenziali e importanti a norma della presente direttiva. Gli Stati membri dovrebbero avere facoltà di assegnare questo ruolo a un'autorità esistente. (22)Al fine di agevolare la cooperazione e la comunicazione transfrontaliere tra autorità e permettere che la presente direttiva sia attuata efficacemente, è necessario che ogni Stato membro designi un punto di contatto unico nazionale incaricato di coordinare le questioni relative alla sicurezza dei sistemi informatici e di rete e la cooperazione transfrontaliera a livello dell'Unione. (23)Le autorità competenti o i CSIRT dovrebbero ricevere le notifiche di incidenti dai soggetti in modo efficace ed efficiente. I punti di contatto unici dovrebbero essere incaricati di trasmettere le notifiche degli incidenti ai punti di contatto unici di altri Stati membri interessati. A livello delle autorità degli Stati membri, per garantire un punto di ingresso unico in ciascuno Stato membro, i punti di contatto unici dovrebbero anche ricevere dalle autorità competenti a norma del regolamento XXXX/XXXX le pertinenti informazioni sugli incidenti riguardanti i soggetti del settore finanziario, che i punti di contatto unici dovrebbero poter trasmettere, a seconda dei casi, alle pertinenti autorità nazionali competenti o ai CSIRT a norma della presente direttiva. (24)Gli Stati membri dovrebbero essere adeguatamente dotati delle capacità tecniche e organizzative necessarie a prevenire, rilevare e attenuare i rischi e gli incidenti a carico dei sistemi informatici e di rete, nonché a rispondervi. Gli Stati membri dovrebbero pertanto assicurare la disponibilità di CSIRT, anche noti come squadre di pronto intervento informatico ("CERT"), ben funzionanti e rispondenti a determinati requisiti essenziali, al fine di garantire l'esistenza di capacità efficaci e compatibili per far fronte ai rischi e agli incidenti e garantire un'efficiente collaborazione a livello dell'Unione. Al fine di rafforzare il rapporto di fiducia tra i soggetti e i CSIRT, nei casi in cui un CSIRT faccia parte dell'autorità competente, gli Stati membri dovrebbero prendere in considerazione la separazione funzionale tra i compiti operativi svolti dai CSIRT, in particolare per quanto riguarda la condivisione delle informazioni e il sostegno ai soggetti, e le attività di vigilanza delle autorità competenti. (25)Per quanto riguarda i dati personali, i CSIRT dovrebbero essere in grado di fornire, in conformità al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio per quanto riguarda i dati personali, per conto e su richiesta di un soggetto a norma della presente direttiva, una scansione proattiva dei sistemi informatici e di rete utilizzati per la fornitura dei suoi servizi. Gli Stati membri dovrebbero mirare a garantire un pari livello di capacità tecniche per tutti i CSIRT settoriali. Gli Stati membri possono chiedere l'assistenza dell'Agenzia dell'Unione europea per la cibersicurezza (ENISA) nello sviluppo di CSIRT nazionali. (26)Data l'importanza della cooperazione internazionale in materia di cibersicurezza, i CSIRT dovrebbero poter partecipare a reti di cooperazione internazionale, oltre alla rete di CSIRT istituita dalla presente direttiva.

(27)Conformemente all'allegato della raccomandazione (UE) 2017/1584 della Commissione relativa alla risposta coordinata agli incidenti e alle crisi di cibersicurezza su vasta scala ("programma"), per incidente su vasta scala si dovrebbe intendere un incidente che ha un impatto significativo su almeno due Stati membri o che causa perturbazioni che superano la capacità di risposta di uno Stato membro. A seconda della loro causa e del loro impatto, gli incidenti su vasta scala possono aggravarsi e trasformarsi in vere e proprie crisi che non consentono il corretto funzionamento del mercato interno. Data l'ampia portata e, nella maggior parte dei casi, la natura transfrontaliera di tali incidenti, gli Stati membri e le istituzioni, gli organismi e le agenzie pertinenti dell'Unione dovrebbero cooperare a livello tecnico, operativo e politico per coordinare adeguatamente la risposta in tutta l'Unione. (28)Poiché lo sfruttamento delle vulnerabilità nei sistemi informatici e di rete può causare perturbazioni e danni significativi, la rapida individuazione e correzione di tali vulnerabilità è un fattore importante per la riduzione dei rischi di cibersicurezza. I soggetti che sviluppano tali sistemi dovrebbero pertanto stabilire procedure adeguate per gestire le vulnerabilità nel momento in cui vengono scoperte. Poiché le vulnerabilità sono spesso rilevate e segnalate (divulgate) da terzi (soggetti segnalanti), il fabbricante o fornitore di prodotti o servizi TIC dovrebbe anche mettere in atto le procedure necessarie per ricevere informazioni sulla vulnerabilità da terzi. A tale riguardo, le norme internazionali ISO/IEC 30111 e ISO/IEC 29417 forniscono rispettivamente orientamenti sulla gestione delle vulnerabilità e sulla divulgazione delle vulnerabilità. Per quanto riguarda la divulgazione delle vulnerabilità, è particolarmente importante il coordinamento tra i soggetti segnalanti e i fabbricanti o fornitori di prodotti o servizi TIC. La divulgazione coordinata delle vulnerabilità consiste in un processo strutturato attraverso il quale le vulnerabilità sono segnalate alle organizzazioni in modo tale da consentire a queste ultime di diagnosticarle ed eliminarle prima che informazioni dettagliate in merito siano divulgate a terzi o al pubblico. La divulgazione coordinata delle vulnerabilità dovrebbe comprendere anche il coordinamento tra il soggetto segnalante e l'organizzazione per quanto riguarda i tempi per la risoluzione e la pubblicazione delle vulnerabilità. (29)Gli Stati membri dovrebbero pertanto adottare misure volte a facilitare la divulgazione coordinata delle vulnerabilità stabilendo una politica nazionale pertinente. A tale riguardo, gli Stati membri dovrebbero designare un CSIRT che assuma il ruolo di "coordinatore", fungendo da intermediario tra i soggetti segnalanti e i fabbricanti o fornitori di prodotti o servizi TIC ove necessario. I compiti del CSIRT coordinatore dovrebbero comprendere in particolare l'individuazione e il contatto dei soggetti interessati, il sostegno ai soggetti segnalanti, la negoziazione dei tempi di divulgazione e la gestione delle vulnerabilità che interessano più organizzazioni (divulgazione multilaterale di vulnerabilità). Qualora le vulnerabilità interessino più fabbricanti o fornitori di prodotti o servizi TIC stabiliti in più di uno Stato membro, i CSIRT designati di ciascuno degli Stati membri interessati dovrebbero cooperare nell'ambito della rete di CSIRT. (30)L'accesso a informazioni corrette e tempestive sulle vulnerabilità che interessano i prodotti e i servizi TIC contribuisce a una migliore gestione dei rischi di cibersicurezza. A tale riguardo le fonti di informazioni pubblicamente disponibili sulle vulnerabilità sono uno strumento importante per i soggetti e i loro utenti, ma anche per le autorità nazionali competenti e i CSIRT. Per questo motivo l'ENISA dovrebbe istituire un registro delle vulnerabilità in cui i soggetti essenziali e importanti e i loro fornitori, nonché i soggetti che non rientrano nell'ambito di applicazione della presente direttiva, possano, su base volontaria, divulgare le vulnerabilità e fornire informazioni su di esse che consentano agli utenti di adottare adeguate misure di attenuazione. (31)Sebbene simili registri o banche dati delle vulnerabilità esistano già, questi sono ospitati e mantenuti da soggetti non stabiliti nell'Unione. Un registro europeo delle vulnerabilità mantenuto dall'ENISA garantirebbe una maggiore trasparenza, per quanto riguarda la procedura di pubblicazione prima della divulgazione ufficiale della vulnerabilità, e resilienza in caso di perturbazioni o interruzioni nella fornitura di servizi analoghi. Per evitare la duplicazione degli sforzi e perseguire, nella misura del possibile, la complementarità, l'ENISA dovrebbe valutare la possibilità di concludere accordi di cooperazione strutturata con registri simili nelle giurisdizioni di paesi terzi. (32)Il gruppo di cooperazione dovrebbe stabilire ogni due anni un programma di lavoro comprendente le azioni che il gruppo deve intraprendere per attuare i suoi obiettivi e compiti. Il calendario del primo programma adottato a norma della presente direttiva dovrebbe essere allineato a quello dell'ultimo programma adottato a norma della direttiva (UE) 2016/1148, al fine di evitare eventuali perturbazioni nel lavoro del gruppo. (33)Nell'elaborare i documenti di orientamento, il gruppo di cooperazione dovrebbe sistematicamente: mappare le soluzioni e le esperienze nazionali, valutare l'impatto dei risultati del gruppo di cooperazione per quanto riguarda gli approcci nazionali, discutere le sfide in materia di attuazione e formulare raccomandazioni specifiche da realizzare attraverso una migliore attuazione delle norme esistenti. (34)Il gruppo di cooperazione dovrebbe rimanere un forum flessibile ed essere in grado di reagire alle nuove e mutevoli priorità strategiche e alle sfide, tenendo conto nel contempo della disponibilità di risorse. Esso dovrebbe organizzare riunioni congiunte periodiche con i pertinenti portatori di interessi del settore privato di tutta l'Unione per discutere le attività svolte dal gruppo e raccogliere contributi sulle sfide strategiche emergenti. Al fine di rafforzare la cooperazione a livello dell'Unione, il gruppo dovrebbe prendere in considerazione la possibilità di invitare a partecipare ai suoi lavori organismi e agenzie dell'Unione coinvolti nella politica in materia di cibersicurezza, quali il Centro europeo per la lotta alla criminalità informatica (EC3), l'Agenzia dell'Unione europea per la sicurezza aerea (AESA) e l'Agenzia dell'Unione europea per il programma spaziale (EUSPA). (35)Le autorità competenti e i CSIRT dovrebbero avere la facoltà di partecipare a programmi di scambio per funzionari di altri Stati membri al fine di migliorare la cooperazione. Le autorità competenti dovrebbero adottare le misure necessarie per consentire a funzionari di altri Stati membri di svolgere un ruolo efficace nelle attività dell'autorità competente ospitante. (36)Ove opportuno l'Unione dovrebbe concludere accordi internazionali, in conformità all'articolo 218 TFUE, con paesi terzi o organizzazioni internazionali, che consentano e organizzino la loro partecipazione ad alcune delle attività del gruppo di cooperazione e della rete di CSIRT. Tali accordi dovrebbero garantire un'adeguata protezione dei dati. (37)Gli Stati membri dovrebbero contribuire all'istituzione del quadro di risposta alle crisi di cibersicurezza dell'UE, di cui alla raccomandazione (UE) 2017/1584, attraverso le reti di cooperazione esistenti, in particolare la rete europea delle organizzazioni di collegamento per le crisi informatiche (EU-CyCLONe), la rete di CSIRT e il gruppo di cooperazione. EU-CyCLONe e la rete di CSIRT dovrebbero cooperare sulla base di disposizioni procedurali che definiscano le modalità di tale cooperazione. Il regolamento interno di EU-CyCLONe dovrebbe specificare ulteriormente le modalità di funzionamento della rete, compresi, ma non solo, i ruoli, le modalità di cooperazione, le interazioni con altri attori pertinenti e i modelli per la condivisione delle informazioni, nonché i mezzi di comunicazione. Per la gestione delle crisi a livello dell'Unione, le parti pertinenti dovrebbero affidarsi alle disposizioni dei dispositivi integrati per la risposta politica alle crisi (IPCR). A tal fine la Commissione dovrebbe far ricorso al processo di coordinamento intersettoriale delle crisi ad alto livello del sistema ARGUS. Se la crisi implica un'importante dimensione esterna o una forte correlazione con la politica di sicurezza e di difesa comune (PSDC) dovrebbe essere attivato il meccanismo di risposta alle crisi del servizio europeo per l'azione esterna (SEAE). (38)Ai fini della presente direttiva, il termine "rischio" dovrebbe riferirsi alla potenziale perdita o perturbazione causata da un incidente di cibersicurezza e dovrebbe essere espresso come combinazione dell'entità di tale perdita o perturbazione e della probabilità che si verifichi tale incidente. (39)Ai fini della presente direttiva, l'espressione "quasi incidente" (near miss) dovrebbe riferirsi a un evento che avrebbe potenzialmente potuto causare un danno, ma che è stato efficacemente evitato prima che si verificasse. (40)Le misure di gestione dei rischi dovrebbero comprendere misure per individuare eventuali rischi di incidenti, per prevenire, rilevare e gestire incidenti, nonché per attenuarne l'impatto. La sicurezza dei sistemi informatici e di rete dovrebbe comprendere la sicurezza dei dati conservati, trasmessi e elaborati. (41)Per evitare di imporre un onere finanziario e amministrativo sproporzionato ai soggetti essenziali e importanti, gli obblighi di gestione dei rischi di cibersicurezza dovrebbero essere proporzionati al rischio corso dal sistema informatico e di rete interessato, tenendo conto dello stato dell'arte di tali misure. (42)I soggetti essenziali e importanti dovrebbero garantire la sicurezza dei sistemi informatici e di rete che utilizzano nelle loro attività. Si tratta in particolare di sistemi informatici e di rete privati gestiti dal loro personale informatico interno oppure la cui sicurezza sia stata esternalizzata. Gli obblighi di gestione e segnalazione dei rischi di cibersicurezza a norma della presente direttiva dovrebbero applicarsi ai pertinenti soggetti essenziali e importanti indipendentemente dal fatto che questi effettuino internamente la manutenzione dei loro sistemi informatici e di rete o che la esternalizzino. (43)Affrontare i rischi di cibersicurezza derivanti dalla catena di approvvigionamento di un soggetto e dalla sua relazione con i fornitori è particolarmente importante data la prevalenza di incidenti in cui i soggetti sono rimasti vittime di attacchi informatici e in cui i responsabili di atti malevoli sono stati in grado di compromettere la sicurezza dei sistemi informatici e di rete di un soggetto sfruttando le vulnerabilità che interessano prodotti e servizi di terzi. I soggetti dovrebbero pertanto valutare e tenere in considerazione la qualità complessiva dei prodotti e delle pratiche di cibersicurezza dei loro fornitori e fornitori di servizi, comprese le loro procedure di sviluppo sicuro. (44)Tra i fornitori di servizi, i fornitori di servizi di sicurezza gestiti (managed security services providers, MSSP) in settori quali la risposta agli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza svolgono un ruolo particolarmente importante nell'assistere i soggetti nei loro sforzi per il rilevamento degli incidenti e la risposta agli stessi. Tali MSSP sono stati tuttavia essi stessi bersaglio di attacchi informatici e, a causa della loro stretta integrazione nelle attività degli operatori, presentano un particolare rischio di cibersicurezza. I soggetti dovrebbero pertanto esercitare una maggiore diligenza nella selezione di un MSSP. (45)I soggetti dovrebbero inoltre affrontare i rischi di cibersicurezza derivanti dalle loro interazioni e relazioni con altri portatori di interessi nell'ambito di un ecosistema più ampio. In particolare, i soggetti dovrebbero adottare misure adeguate per garantire che la loro cooperazione con gli istituti accademici e di ricerca avvenga in linea con le loro politiche in materia di cibersicurezza e segua le buone pratiche per quanto riguarda l'accesso sicuro e la diffusione delle informazioni in generale e la tutela della proprietà intellettuale in particolare. Analogamente, data l'importanza e il valore dei dati per le attività dei soggetti, questi ultimi dovrebbero adottare tutte le opportune misure di cibersicurezza quando si affidano ai servizi di trasformazione e analisi dei dati forniti da terzi. (46)Per affrontare ulteriormente i principali rischi relativi alla catena di approvvigionamento e aiutare i soggetti che operano nei settori disciplinati dalla presente direttiva a gestire adeguatamente i rischi di cibersicurezza connessi alla catena di approvvigionamento e ai fornitori, il gruppo di cooperazione, coinvolgendo le autorità nazionali competenti, in cooperazione con la Commissione e l'ENISA, dovrebbe effettuare valutazioni settoriali e coordinate dei rischi relativi alla catena di approvvigionamento, come già fatto per le reti 5G in seguito alla raccomandazione (UE) 2019/534 sulla cibersicurezza delle reti 5G, al fine di individuare, per settore, quali sono i servizi, i sistemi o i prodotti TIC critici e le minacce e le vulnerabilità pertinenti.

(47)Le valutazioni dei rischi relativi alla catena di approvvigionamento, alla luce delle caratteristiche del settore interessato, dovrebbero tenere conto dei fattori tecnici e, se opportuno, non tecnici, compresi quelli definiti nella raccomandazione (UE) 2019/534, nella valutazione dei rischi coordinata a livello dell'UE della sicurezza delle reti 5G e nel pacchetto di strumenti dell'UE sulla cibersicurezza del 5G concordato dal gruppo di cooperazione. Per individuare le catene di approvvigionamento che dovrebbero essere soggette a una valutazione coordinata dei rischi, dovrebbero essere presi in considerazione i seguenti criteri: i) la misura in cui i soggetti essenziali e importanti ricorrono e si affidano a specifici servizi, sistemi o prodotti TIC critici; ii) la pertinenza di specifici servizi, sistemi o prodotti TIC critici per lo svolgimento di funzioni critiche o sensibili, compreso il trattamento dei dati personali; iii) la disponibilità di servizi, sistemi o prodotti TIC alternativi; iv) la resilienza dell'intera catena di approvvigionamento di servizi, sistemi o prodotti TIC contro eventi perturbatori e v) per i servizi, sistemi o prodotti TIC emergenti, la loro potenziale importanza futura per le attività dei soggetti. (48)Al fine di semplificare gli obblighi giuridici imposti ai fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico e ai prestatori di servizi fiduciari relativi alla sicurezza dei loro sistemi informatici e di rete, nonché di consentire a tali soggetti e alle rispettive autorità competenti di beneficiare del quadro giuridico istituito dalla presente direttiva (compresa la designazione del CSIRT responsabile della gestione dei rischi e degli incidenti e la partecipazione delle autorità e degli organismi competenti ai lavori del gruppo di cooperazione e della rete di CSIRT), essi dovrebbero essere inclusi nell'ambito di applicazione della presente direttiva. Le corrispondenti disposizioni stabilite nel regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio e nella direttiva (UE) 2018/1972 del Parlamento europeo e del Consiglio relative all'imposizione di obblighi di sicurezza e notifica a questi tipi di soggetti dovrebbero pertanto essere abrogate. Le norme relative agli obblighi di segnalazione dovrebbero lasciare impregiudicati il regolamento (UE) 2016/679 e la direttiva 2002/58/CE del Parlamento europeo e del Consiglio. (49)Se opportuno e per evitare inutili perturbazioni, gli orientamenti nazionali esistenti e la legislazione nazionale adottata per il recepimento delle norme relative alle misure di sicurezza di cui all'articolo 40, paragrafo 1, della direttiva (UE) 2018/1972, nonché dei requisiti di cui all'articolo 40, paragrafo 2, di tale direttiva per quanto riguarda i parametri relativi alla rilevanza di un incidente, dovrebbero continuare a essere utilizzati dalle autorità competenti incaricate della vigilanza e dell'esecuzione ai fini della presente direttiva. (50)Vista la crescente importanza dei servizi di comunicazione interpersonale indipendenti dal numero, è necessario assicurare che anche tali servizi siano soggetti ad adeguati requisiti di sicurezza in considerazione della loro specificità e della loro rilevanza economica. I fornitori di tali servizi dovrebbero pertanto garantire un livello di sicurezza dei sistemi informatici e di rete adeguato al rischio esistente. Dato che i fornitori di servizi di comunicazione interpersonale indipendenti dal numero solitamente non esercitano un controllo effettivo sulla trasmissione dei segnali sulle reti, il grado di rischio di tali servizi può essere considerato, per certi aspetti, inferiore a quello dei servizi di comunicazione elettronica tradizionali. Lo stesso vale per i servizi di comunicazione interpersonale che utilizzano numeri e che non esercitano un controllo effettivo sulla trasmissione dei segnali. (51)Il mercato interno dipende più che mai dal funzionamento di Internet. I servizi di quasi tutti i soggetti essenziali e importanti dipendono dai servizi forniti via Internet. Al fine di garantire l'erogazione senza intoppi dei servizi forniti dai soggetti essenziali e importanti, è fondamentale che le reti pubbliche di comunicazione elettronica, quali ad esempio le dorsali Internet o i cavi di comunicazione sottomarini, dispongano di adeguate misure di cibersicurezza e segnalino gli incidenti connessi. (52)Ove opportuno, i soggetti dovrebbero informare i destinatari dei loro servizi di minacce particolari e significative e delle misure che possono adottare per attenuare i rischi che ne derivano. L'obbligo di informare tali destinatari in merito alle minacce non dovrebbe esonerare i soggetti dall'obbligo di adottare, a proprie spese, provvedimenti adeguati e immediati per prevenire eventuali minacce informatiche o porvi rimedio e ristabilire il normale livello di sicurezza del servizio. La fornitura ai destinatari di tali informazioni riguardanti le minacce alla sicurezza dovrebbe essere gratuita. (53)In particolare, i fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico dovrebbero informare i destinatari dei servizi di minacce informatiche particolari e significative e delle misure che questi ultimi possono adottare per proteggere la sicurezza delle loro comunicazioni, ad esempio attraverso l'uso di particolari tipi di programmi o tecnologie di cifratura. (54)Al fine di salvaguardare la sicurezza delle reti e dei servizi di comunicazione elettronica, l'uso della cifratura, in particolare la cifratura end-to-end, dovrebbe essere promosso e, ove necessario, dovrebbe essere reso obbligatorio per i fornitori di tali servizi e reti conformemente ai principi di sicurezza e tutela della vita privata per impostazione predefinita e fin dalla progettazione ai fini dell'articolo 18. L'uso della cifratura end-to-end dovrebbe essere conciliato con i poteri degli Stati membri di garantire la tutela della sicurezza pubblica e dei loro interessi essenziali in materia di sicurezza, nonché di consentire l'indagine, l'accertamento e il perseguimento di reati nel rispetto del diritto dell'Unione. Le soluzioni per l'accesso legittimo alle informazioni nelle comunicazioni che utilizzano la cifratura end-to-end dovrebbero mantenere l'efficacia della cifratura nella protezione della privacy e della sicurezza delle comunicazioni, fornendo nel contempo una risposta efficace alla criminalità. (55)La presente direttiva stabilisce un approccio in due fasi alla segnalazione degli incidenti al fine di trovare il giusto equilibrio tra, da un lato, una segnalazione rapida che contribuisca ad attenuare la potenziale diffusione di incidenti e consenta ai soggetti di chiedere sostegno e, dall'altro, una segnalazione approfondita che tragga insegnamenti preziosi dai singoli incidenti e migliori nel tempo la resilienza alle minacce informatiche delle singole imprese e di interi settori. Qualora vengano a conoscenza di un incidente, i soggetti dovrebbero essere tenuti a presentare una notifica iniziale entro 24 ore, seguita da una relazione finale entro un mese. La notifica iniziale dovrebbe contenere solo le informazioni strettamente necessarie per informare le autorità competenti dell'incidente e consentire al soggetto di chiedere assistenza, se necessario. Tale notifica, ove applicabile, dovrebbe indicare se l'incidente sia presumibilmente il risultato di un'azione illegittima o malevola. Gli Stati membri dovrebbero garantire che l'obbligo di presentare tale notifica iniziale non sottragga le risorse del soggetto segnalante alle attività relative alla gestione degli incidenti, che dovrebbero essere considerate prioritarie. Per evitare ulteriormente che gli obblighi di segnalazione degli incidenti sottraggano risorse alla gestione della risposta agli incidenti o possano altrimenti compromettere gli sforzi dei soggetti a tale riguardo, gli Stati membri dovrebbero altresì prevedere che, in casi debitamente giustificati e d'intesa con le autorità competenti o con il CSIRT, il soggetto interessato possa derogare dai termini di 24 ore per la notifica iniziale e di un mese per la relazione finale. (56)I soggetti essenziali e importanti si trovano spesso in una situazione in cui un particolare incidente, a causa delle sue caratteristiche, deve essere segnalato a varie autorità in conseguenza degli obblighi di notifica previsti da vari strumenti giuridici. Tali casi creano ulteriori oneri e possono anche generare incertezze in merito al formato e alle procedure di tali notifiche. In considerazione di ciò e al fine di semplificare la segnalazione degli incidenti di sicurezza, gli Stati membri dovrebbero istituire un punto di ingresso unico per tutte le notifiche richieste a norma della presente direttiva e anche a norma di altri atti dell'Unione quali il regolamento (UE) 2016/679 e la direttiva 2002/58/CE. L'ENISA, in collaborazione con il gruppo di cooperazione, dovrebbe elaborare modelli comuni di notifica mediante orientamenti che semplifichino e razionalizzino le informazioni di segnalazione richieste dal diritto dell'Unione e riducano gli oneri per le imprese. (57)Se si sospetta che un incidente sia connesso ad attività criminali gravi a norma del diritto dell'Unione o nazionale, gli Stati membri dovrebbero incoraggiare i soggetti essenziali e importanti, in base alle norme applicabili ai procedimenti penali in conformità al diritto dell'Unione, a segnalare alle autorità di contrasto pertinenti gli incidenti di cui si sospetta la natura criminale grave. Ove opportuno, e fatte salve le norme in materia di protezione dei dati personali applicabili a Europol, è auspicabile che l'EC3 e l'ENISA agevolino il coordinamento tra le autorità competenti e le autorità di contrasto dei diversi Stati membri. (58)In molti casi gli incidenti compromettono i dati personali. In tale contesto, le autorità competenti dovrebbero cooperare e scambiarsi informazioni su tutte le questioni pertinenti con le autorità di protezione dei dati e con le autorità di vigilanza a norma della direttiva 2002/58/CE. (59)Il mantenimento di banche dati precise e complete dei nomi di dominio e dei dati di registrazione (i cosiddetti "dati WHOIS") e la fornitura di un accesso legittimo a tali dati sono essenziali per garantire la sicurezza, la stabilità e la resilienza del DNS, che a sua volta contribuisce a un elevato livello comune di cibersicurezza all'interno dell'Unione. Se l'elaborazione dei dati comprende il trattamento dei dati personali, quest'ultimo deve essere conforme al diritto dell'Unione in materia di protezione dei dati. (60)La disponibilità e la tempestiva accessibilità di tali dati per le autorità pubbliche, comprese le autorità competenti a norma del diritto dell'Unione o nazionale in materia di prevenzione, indagine o perseguimento di reati, ai CERT, ai CSIRT e, per quanto riguarda i dati dei loro clienti, ai fornitori di reti e servizi di comunicazione elettronica e ai fornitori di tecnologie e servizi di cibersicurezza che agiscono per conto di tali clienti, sono essenziali per prevenire e combattere l'abuso del sistema dei nomi di dominio, in particolare per la prevenzione e il rilevamento degli incidenti di cibersicurezza e la risposta agli stessi. Tale accesso dovrebbe essere conforme al diritto dell'Unione in materia di protezione dei dati nella misura in cui è relativo ai dati personali. (61)Al fine di garantire la disponibilità di dati di registrazione dei nomi di dominio accurati e completi, i registri dei TLD e i soggetti che forniscono servizi di registrazione dei nomi di dominio per i TLD (i cosiddetti registrar) dovrebbero raccogliere i dati di registrazione dei nomi di dominio e garantirne l'integrità e la disponibilità. In particolare, i registri dei TLD e i soggetti che forniscono servizi di registrazione dei nomi di dominio per i TLD dovrebbero stabilire politiche e procedure per raccogliere e mantenere i dati di registrazione accurati e completi, nonché per prevenire e rettificare dati di registrazione inesatti in conformità alle norme dell'Unione in materia di protezione dei dati. (62)I registri dei TLD e i soggetti che forniscono loro servizi di registrazione dei nomi di dominio dovrebbero rendere pubblicamente disponibili i dati di registrazione dei nomi di dominio che non rientrano nell'ambito di applicazione delle norme dell'Unione in materia di protezione dei dati, come i dati riguardanti le persone giuridiche. I registri dei TLD e i soggetti che forniscono servizi di registrazione dei nomi di dominio per i TLD dovrebbero inoltre consentire l'accesso legittimo a specifici dati di registrazione dei nomi di dominio riguardanti le persone fisiche ai legittimi richiedenti l'accesso, in conformità al diritto dell'Unione in materia di protezione dei dati. Gli Stati membri dovrebbero garantire che i registri dei TLD e i soggetti che forniscono loro servizi di registrazione dei nomi di dominio rispondano senza indebito ritardo alle richieste di divulgazione dei dati di registrazione dei nomi di dominio presentate dai legittimi richiedenti l'accesso. I registri dei TLD e i soggetti che forniscono loro servizi di registrazione dei nomi di dominio dovrebbero stabilire politiche e procedure per la pubblicazione e la divulgazione dei dati di registrazione, compresi gli accordi sul livello dei servizi, ai fini del trattamento delle richieste di accesso dei legittimi richiedenti l'accesso. La procedura di accesso può comprendere anche l'uso di un'interfaccia, di un portale o di un altro strumento tecnico per fornire un sistema efficiente per la richiesta dei dati di registrazione e l'accesso agli stessi. Al fine di promuovere pratiche armonizzate in tutto il mercato interno, la Commissione può adottare orientamenti su tali procedure, fatte salve le competenze del comitato europeo per la protezione dei dati. (63)Tutti i soggetti essenziali e importanti a norma della presente direttiva dovrebbero rientrare nella giurisdizione dello Stato membro in cui forniscono i loro servizi. Se fornisce servizi in più di uno Stato membro, il soggetto dovrebbe rientrare nella giurisdizione separata e concorrente di ciascuno di tali Stati membri. Le autorità competenti di tali Stati membri dovrebbero cooperare, prestarsi assistenza reciproca e, ove opportuno, condurre azioni comuni di vigilanza. (64)Per tener conto della natura transfrontaliera dei servizi e delle attività dei fornitori di servizi DNS, dei registri dei nomi di dominio di primo livello, dei fornitori di reti di distribuzione dei contenuti, dei fornitori di servizi di cloud computing, dei fornitori di servizi di data center e dei fornitori di servizi digitali, tali soggetti dovrebbero essere posti sotto la giurisdizione di un solo Stato membro. La giurisdizione dovrebbe essere attribuita allo Stato membro in cui il rispettivo soggetto ha lo stabilimento principale nell'Unione. Il criterio dello stabilimento ai fini della presente direttiva implica l'esercizio effettivo dell'attività nel quadro di un'organizzazione stabile. A tale riguardo non è determinante la forma giuridica assunta, sia essa una succursale o una filiale dotata di personalità giuridica. Il rispetto di tale criterio non dovrebbe dipendere dal fatto che i sistemi informatici e di rete siano situati fisicamente in un determinato luogo; la presenza e l'utilizzo dei sistemi in questione non costituiscono di per sé lo stabilimento principale e non sono pertanto criteri decisivi per la sua determinazione. Lo stabilimento principale dovrebbe essere il luogo in cui sono adottate nell'Unione le decisioni relative alle misure di gestione dei rischi di cibersicurezza. Ciò corrisponderà di norma alla sede dell'amministrazione centrale delle società nell'Unione. Se tali decisioni non sono adottate nell'Unione, si dovrebbe considerare che lo stabilimento principale sia nello Stato membro in cui il soggetto ha lo stabilimento con il maggior numero di dipendenti nell'Unione. Qualora i servizi siano forniti da un gruppo di imprese, si dovrebbe considerare lo stabilimento principale dell'impresa controllante come lo stabilimento principale del gruppo di imprese. (65)Qualora un fornitore di servizi DNS, un registro dei nomi di dominio di primo livello, un fornitore di reti di distribuzione dei contenuti, un fornitore di servizi di cloud computing, un fornitore di servizi di data center e un fornitore di servizi digitali non stabilito nell'Unione offra servizi all'interno dell'Unione, esso dovrebbe designare un rappresentante. Per determinare se tale soggetto stia offrendo servizi nell'Unione, è opportuno verificare se risulta che il soggetto stia progettando di fornire servizi a persone in uno o più Stati membri. La semplice accessibilità nell'Unione del sito web del soggetto o di un intermediario, o di un indirizzo di posta elettronica e di altri dati di contatto, o l'impiego di una lingua abitualmente utilizzata nel paese terzo in cui il soggetto è stabilito, è di per sé insufficiente per accertare tale intenzione. Tuttavia fattori quali l'utilizzo di una lingua o di una moneta abitualmente utilizzata in uno o più Stati membri, con la possibilità di ordinare servizi in tale altra lingua, o la menzione di clienti o utenti che si trovano nell'Unione, possono evidenziare che il soggetto sta progettando di offrire servizi all'interno dell'Unione. Il rappresentante dovrebbe agire a nome del soggetto e le autorità competenti o i CSIRT dovrebbero poterlo contattare. Il rappresentante dovrebbe essere esplicitamente designato mediante mandato scritto del soggetto affinché agisca a suo nome con riguardo agli obblighi che a quest'ultimo derivano dalla presente direttiva, compresa la segnalazione di incidenti. (66)Qualora informazioni considerate classificate in conformità al diritto nazionale o dell'Unione siano scambiate, comunicate o altrimenti condivise a norma delle disposizioni della presente direttiva, dovrebbero essere applicate le corrispondenti norme specifiche sulla gestione delle informazioni classificate.

(67)Di fronte a minacce informatiche che si fanno sempre più complesse e sofisticate, la validità delle misure di rilevamento e prevenzione dipende in larga misura da una costante condivisione tra i soggetti di informazioni di intelligence relative alle minacce e alle vulnerabilità. La condivisione delle informazioni contribuisce a una maggiore consapevolezza delle minacce informatiche che, a sua volta, accresce la capacità dei soggetti di impedire che le minacce si trasformino in incidenti concreti e consente ai soggetti di arginare in maniera più efficace gli effetti degli incidenti e di riprendersi in modo più efficiente. In assenza di orientamenti a livello dell'Unione, numerosi fattori, tra cui in particolare l'incertezza sulla compatibilità con le norme in materia di concorrenza e responsabilità, sembrano aver ostacolato tale condivisione delle informazioni di intelligence. (68)È quindi opportuno incoraggiare i soggetti a sfruttare collettivamente, sul piano strategico, tattico e operativo, le conoscenze e le esperienze pratiche che hanno acquisito a livello individuale al fine di accrescere le loro capacità di valutare e monitorare adeguatamente le minacce informatiche, difendersi da esse e rispondervi. È pertanto necessario consentire la creazione a livello dell'Unione di meccanismi per accordi volontari di condivisione delle informazioni. A tal fine gli Stati membri dovrebbero sostenere e incoraggiare attivamente anche i soggetti pertinenti che non rientrano nell'ambito di applicazione della presente direttiva a partecipare a tali meccanismi di condivisione delle informazioni. Tali meccanismi dovrebbero essere attuati nel pieno rispetto delle norme dell'Unione in materia di concorrenza e di protezione dei dati. (69)Il trattamento dei dati personali, nella misura strettamente necessaria e proporzionata al fine di garantire la sicurezza dei sistemi informatici e di rete da parte di soggetti, autorità pubbliche, CERT, CSIRT e fornitori di tecnologie e servizi di sicurezza, dovrebbe costituire un interesse legittimo del titolare del trattamento in questione di cui al regolamento (UE) 2016/679. Ciò dovrebbe includere misure relative alla prevenzione, al rilevamento e all'analisi degli incidenti e alla risposta agli stessi, misure di sensibilizzazione in relazione a specifiche minacce informatiche, lo scambio di informazioni nel contesto della risoluzione e della divulgazione coordinata delle vulnerabilità, nonché lo scambio volontario di informazioni su tali incidenti, sulle minacce informatiche e sulle vulnerabilità, sugli indicatori di compromissione, sulle tattiche, sulle tecniche e le procedure, sugli allarmi di cibersicurezza e sugli strumenti di configurazione. Tali misure possono richiedere il trattamento dei seguenti tipi di dati personali: indirizzi IP, localizzatori uniformi di risorse (URL), nomi di dominio e indirizzi di posta elettronica. (70)Al fine di rafforzare i poteri e le azioni di vigilanza che contribuiscono a garantire l'effettiva conformità, la presente direttiva dovrebbe prevedere un elenco minimo di azioni e mezzi di vigilanza attraverso i quali le autorità competenti possono vigilare sui soggetti essenziali e importanti. La presente direttiva dovrebbe inoltre stabilire una differenziazione del regime di vigilanza tra i soggetti essenziali e i soggetti importanti al fine di garantire un giusto equilibrio degli obblighi sia per i soggetti che per le autorità competenti. Pertanto i soggetti essenziali dovrebbero essere sottoposti a un regime di vigilanza completo (ex ante ed ex post), mentre i soggetti importanti dovrebbero essere sottoposti a un regime di vigilanza leggero, solo ex post. In base a quest'ultimo i soggetti importanti non dovrebbero documentare sistematicamente il rispetto degli obblighi di gestione dei rischi di cibersicurezza, mentre le autorità competenti dovrebbero attuare un approccio ex post reattivo alla vigilanza e, di conseguenza, non dovrebbero avere un obbligo generale di vigilanza su tali soggetti. (71)Al fine di rendere efficace l'esecuzione, è opportuno stabilire un elenco minimo di sanzioni amministrative in caso di violazione degli obblighi di gestione e segnalazione dei rischi di cibersicurezza previsti dalla presente direttiva, istituendo un quadro chiaro e coerente per tali sanzioni in tutta l'Unione. Occorre tenere debitamente conto della natura, della gravità e della durata dell'infrazione, del danno effettivamente causato o delle perdite effettivamente subite o del danno o delle perdite potenziali che si sarebbero potuti verificare, del carattere doloso o colposo della violazione,