1. Introduzione/contesto

Gli incidenti informatici di sicurezza, che ogni giorno causano gravi danni economici alle imprese europee e danneggiano l'economia nel suo complesso, minano la fiducia di cittadini e imprese nella società digitale. Il furto di segreti commerciali, informazioni aziendali e dati personali, l'interruzione dei servizi - anche di quelli essenziali - e la perturbazione delle infrastrutture provocano ogni anno danni economici per centinaia di miliardi di euro, oltre ad avere potenziali conseguenze per i diritti fondamentali dei cittadini e per la società in generale.

La strategia dell'Unione europea per la cibersicurezza del 2013 (strategia dell'UE per la cibersicurezza) e il suo elemento centrale, ossia la direttiva sulla sicurezza delle reti e dell'informazione di prossima adozione e la direttiva 2013/40/UE relativa agli attacchi contro i sistemi di informazione, costituiscono il fulcro delle misure adottate finora dall'Unione europea per rispondere a queste sfide. Inoltre, l'UE ha a sua disposizione organismi specializzati come l'Agenzia dell'Unione europea per la sicurezza delle reti e dell'informazione (ENISA), il Centro europeo per la lotta alla criminalità informatica (EC3) presso l'Europol e la squadra di risposta alle emergenze informatiche (CERT-UE). Recentemente sono state lanciate anche diverse iniziative settoriali (ad esempio per l'energia e i trasporti) al fine di rafforzare la cibersicurezza in diversi settori cruciali.

Nonostante questi risultati positivi, l'UE resta vulnerabile agli incidenti informatici. Tale vulnerabilità potrebbe danneggiare il mercato unico digitale e la vita economica e sociale nel suo complesso, con ripercussioni capaci di oltrepassare la sfera economica. Nel caso delle minacce ibride, gli attacchi informatici possono essere coordinati con altre attività per destabilizzare un paese o minare le istituzioni politiche.

In un contesto del genere, gestire un incidente informatico su vasta scala che coinvolga più Stati membri contemporaneamente pone all'UE potenziali difficoltà. Innescando sinergie con le comunicazioni sulla lotta contro le minacce ibride e sull'attuazione dell'Agenda europea sulla sicurezza, la Commissione sta valutando come affrontare la realtà in evoluzione della cibersicurezza e quali sono le misure aggiuntive che potrebbero essere necessarie per migliorare la resilienza dell'UE in questo ambito e la sua risposta agli incidenti informatici.

La Commissione sta inoltre affrontando la questione delle capacità industriali dell'Unione europea in materia di cibersicurezza. Anche se forse l'Europa non riuscirà ad appropriarsi dell'intera catena del valore delle tecnologie digitali, è necessario almeno mantenere e sviluppare determinate capacità essenziali. L'offerta di prodotti e servizi in grado di assicurare il massimo livello di sicurezza informatica è un'opportunità per il settore della cibersicurezza in Europa e potrebbe diventare un importante vantaggio competitivo. Il mercato mondiale della cibersicurezza dovrebbe collocarsi tra i comparti a più rapida espansione del settore delle TIC. Perché l'UE possa svolgere un ruolo guida in questo campo sono necessarie una forte cultura di sicurezza dei dati, compresi i dati personali, e una reazione efficace agli incidenti. Tali fattori agiranno da forte incentivo agli investimenti nell'UE, contribuendo così agli ambiziosi obiettivi del mercato unico digitale in termini di crescita e occupazione.

Per raggiungere gli obiettivi sopra citati è necessario un forte impegno, volto in particolare a:

i) rafforzare la cooperazione in modo da essere più preparati agli incidenti informatici e gestirli adeguatamente

È necessario rafforzare i meccanismi di cooperazione esistenti e concordati affinché l'UE possa divenire più resiliente ed essere più preparata, anche nell'eventualità di una crisi di cibersicurezza paneuropea. Questi meccanismi di cooperazione devono essere completi, ossia coprire l'intero ciclo di vita di un incidente, dalla prevenzione alla repressione. Un'efficace cooperazione tra gli Stati membri e l'attuazione pratica delle disposizioni in materia di sicurezza per gli operatori critici richiederà inoltre all'industria delle cibersicurezza robuste soluzioni tecniche.

Allo stesso tempo, per garantire la resilienza degli asset informatici critici in tutta l'UE saranno necessari sforzi incessanti per trovare sinergie intersettoriali e integrare le disposizioni in materia di cibersicurezza in tutte le pertinenti politiche dell'UE. La Commissione valuterà la necessità di aggiornare, nel prossimo futuro, la strategia dell'UE per la cibersicurezza del 2013.

ii) Reagire alle sfide che il mercato unico della cibersicurezza europeo si trova ad affrontare

La strategia per il mercato unico digitale ha riconosciuto che nel settore in rapido mutamento delle tecnologie e soluzioni per la sicurezza delle reti permangono lacune specifiche. Allo stesso tempo, studi di mercato indicano che il mercato interno dell'UE è ancora geograficamente frammentato per quanto riguarda l'offerta di prodotti e servizi per la cibersicurezza informatica. La presente comunicazione definisce una serie di misure orientate al mercato per far fronte a queste lacune e difficoltà del mercato unico.

iii) Incoraggiare lo sviluppo di capacità industriali nel campo della cibersicurezza

Nella strategia per la cibersicurezza e nella strategia per il mercato unico digitale, la Commissione si è impegnata a promuovere un aumento dell'offerta di prodotti e servizi da parte del settore della cibersicurezza dell'UE. Di conseguenza, la Commissione adotterà una decisione che aprirà la strada a un accordo contrattuale per un partenariato pubblico-privato (PPP) sulla cibersicurezza, che avrà come obiettivo la promozione di un programma europeo di ricerca e innovazione all'avanguardia nel campo della cibersicurezza al fine di accrescere la competitività.

2. Un livello superiore di cooperazione, conoscenze e capacità

La strategia dell'UE per la cibersicurezza, e in particolare l'imminente direttiva sulla sicurezza delle reti e dell'informazione, aprirà la strada a una maggiore cooperazione a livello UE tra gli Stati membri. La rapida ed efficace attuazione della direttiva sarà fondamentale alla luce della crescente digitalizzazione della vita economica e sociale (anche in considerazione del cloud computing, dell'internet degli oggetti e della comunicazione da macchina a macchina), della crescente interconnessione transfrontaliera e del panorama in rapida evoluzione delle minacce cibernetiche. In tale contesto, l'UE deve prepararsi all'eventualità di una crisi cibernetica su vasta scala, compresi ad esempio gravi attacchi simultanei ai sistemi informatici critici in diversi Stati membri.

La cooperazione a livello di UE è pertanto essenziale per gestire sia gli incidenti informatici di minore entità ma in grado di propagarsi, sia un eventuale attacco informatico su vasta scala in più Stati membri. L'UE deve integrare gli aspetti relativi alla sicurezza informatica negli attuali meccanismi di gestione delle crisi. Deve altresì assicurare una cooperazione efficace e meccanismi rapidi di condivisione delle informazioni tra settori e Stati membri per reagire agli incidenti e contenerli. Inoltre, tali meccanismi dovrebbero operare in modo coerente, contribuendo così alla lotta contro il terrorismo, il crimine organizzato e il crimine informatico. Ciò contribuirebbe altresì a rafforzare la capacità dell'UE di coordinarsi con i partner internazionali per rispondere efficacemente alle minacce e agli incidenti su scala mondiale.

2.1. Sfruttare al massimo i meccanismi di cooperazione per la sicurezza delle reti e dell'informazione e progredire verso una nuova fase dell'ENISA

Un elemento essenziale delle capacità nazionali richieste dalla direttiva sulla sicurezza delle reti e dell'informazione è costituito dai gruppi di intervento per la sicurezza informatica in caso di incidente (CSIRT), che hanno la responsabilità di reagire rapidamente alle minacce e agli incidenti informatici. Essi formeranno una rete di CSIRT in grado di promuovere un'efficace cooperazione operativa per specifici incidenti connessi alla cibersicurezza e la condivisione delle informazioni sui rischi. Inoltre, la direttiva istituirà un gruppo di cooperazione per sostenere e facilitare la cooperazione strategica tra gli Stati membri e instaurare tra loro un clima di fiducia.