1.Introduzione

Nel 2020 si è assistito a un'impennata nel numero di incidenti significativi ai danni delle istituzioni, degli organi e delle agenzie dell'Unione, perpetrati da attori APT ("advanced persistent threat", "minacce mirate e persistenti"). Ciò trova riscontro anche nel numero di immagini forensi che il CERT-UE ha analizzato nel 2020, che sono più che triplicate rispetto al 2019, mentre il numero di incidenti significativi è più che decuplicato dal 2018.

Tuttavia, le capacità di cibersicurezza e le spese per la sicurezza informatica nelle istituzioni, negli organi e nelle agenzie dell'Unione sono in alcuni casi considerevolmente disomogenee, cosa che porta, fra tali istituzioni, organi e agenzie, a un ampio spettro di livelli di maturità rispetto alla cibersicurezza. Inoltre, l'analisi del panorama delle minacce e le statistiche degli incidenti di sicurezza informatica mostrano che l'esposizione cibernetica delle istituzioni, degli organi e delle agenzie dell'Unione non farà che intensificarsi.

2.Obiettivi

Le carenze individuate portano in sostanza a un livello insufficiente di ciberresilienza nelle istituzioni, negli organi e nelle agenzie dell'Unione, e, in relazione alla sicurezza informatica, a una frammentazione delle risorse e a posizioni non uniformi.

Lo scopo di un atto legislativo sarebbe quello di introdurre misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e nelle agenzie dell'Unione. Questo favorirebbe, e garantirebbe, che la maturità della cibersicurezza stia al passo con l'accelerazione della digitalizzazione delle istituzioni, degli organi e delle agenzie dell'Unione, e favorirebbe tale processo.

3.Un comitato interistituzionale per la cibersicurezza e un quadro per la cibersicurezza

La proposta di istituzione di un comitato interistituzionale per la cibersicurezza e di un quadro per la cibersicurezza introdurrà misure per un livello comune elevato di cibersicurezza nelle istituzioni, negli organi e nelle agenzie dell'Unione: consentirà un allineamento intorno a un quadro che affronta le minacce alla cibersicurezza di tutte le istituzioni, tutti gli organi e tutte le agenzie dell'Unione e stabilirà disposizioni in materia di monitoraggio e relazione a un comitato interistituzionale per la cibersicurezza.

La proposta modernizza la missione e i compiti del CERT-UE tenendo conto degli sviluppi e dell'aumento della digitalizzazione nelle istituzioni, negli organi e nelle agenzie dell'Unione negli ultimi anni e dell'evolversi del panorama delle minacce alla cibersicurezza.

Non vi è alcun impatto diretto o incidenza di bilancio per gli Stati membri o i cittadini dell'UE.

La base giuridica del regolamento è l'articolo 298 del trattato sul funzionamento dell'Unione europea, che prevede che, nell'assolvere i loro compiti, le istituzioni, organi e organismi dell'Unione si basino su un'amministrazione europea aperta, efficace ed indipendente.

La proposta in oggetto si basa sulla strategia dell'UE per l'Unione della sicurezza (COM(2020) 605 final) e sulla strategia dell'UE in materia di cibersicurezza per il decennio digitale (JOIN(2020) 18 final)

4.Conclusioni

Il comitato interistituzionale per la cibersicurezza e il quadro per la cibersicurezza permettono di conseguire la maggior parte degli obiettivi prefissati in modo relativamente efficace, efficiente e coerente con le altre normative dell'Unione, con il più ampio sostegno delle parti interessate. Dati i limiti giuridici vigenti entro i quali si agisce, la soluzione prescelta è la più praticabile; un approccio unico non risponderebbe inoltre ai livelli di maturità eterogenei che presentano attualmente le istituzioni gli organi e le agenzie dell'Unione, e alle disparità di rischi e complessità che si trovano ad affrontare sotto l'aspetto tecnologico.