IT Gazzetta ufficiale dell'Unione europea C 218/130

Parere del Comitato economico e sociale europeo in merito alla proposta di direttiva del Parlamento europeo e del Consiglio relativa agli attacchi contro i sistemi di informazione, e che abroga la decisione quadro 2005/222/GAI del Consiglio

COM(2010) 517 definitivo — 2010/0273 (COD)

2011/C 218/27

Relatore generale: MORGAN

Il Consiglio, in data 20 gennaio 2011, ha deciso, conformemente al disposto dell'articolo 114 del Trattato sul funzionamento dell'Unione europea (TFUE), di consultare il Comitato economico e sociale europeo in merito alla:

Proposta di direttiva del Parlamento europeo e del Consiglio relativa agli attacchi contro i sistemi di informazione, e che abroga la decisione quadro 2005/222/GAI del Consiglio

COM(2010) 517 definitivo — 2010/0273 (COD).

L'Ufficio di presidenza del Comitato economico e sociale europeo, in data 15 febbraio 2011, ha incaricato la sezione specializzata Trasporti, energia, infrastrutture, società dell'informazione di preparare i lavori in materia.

Vista l'urgenza dei lavori (articolo 59 del Regolamento interno), il Comitato economico e sociale europeo, nel corso della 471a sessione plenaria dei giorni 4 e 5 maggio 2011 (seduta del 4 maggio), ha nominato relatore generale MORGAN e ha adottato il seguente parere con 173 voti favorevoli, 1 voto contrario e 7 astensioni.

1. Conclusioni e raccomandazioni

1.1 Il Comitato economico e sociale europeo (CESE) accoglie con favore la comunicazione della Commissione sulla proposta di direttiva del Parlamento europeo e del Consiglio relativa agli attacchi contro i sistemi di informazione. Condivide altresì le forti preoccupazioni della Commissione riguardo alla portata del fenomeno della criminalità informatica in Europa e al danno reale e potenziale causato tanto all'economia quanto al benessere dei cittadini da questa minaccia in costante crescita.

1.2 Il Comitato condivide inoltre la delusione della Commissione per il fatto che sinora soltanto 17 dei 27 Stati membri hanno ratificato la convenzione del Consiglio d'Europa sulla criminalità informatica (1), e invita i rimanenti dieci Stati membri (2) (Austria, Belgio, Grecia, Irlanda, Lussemburgo, Malta, Polonia, Regno Unito, Repubblica ceca e Svezia) a provvedere quanto prima alla ratifica.

1.3 Il Comitato concorda con la Commissione sull'urgenza di adottare una direttiva per aggiornare le definizioni dei reati connessi con gli attacchi contro i sistemi di informazione e per intensificare il coordinamento e la cooperazione in materia penale nell'UE, azioni necessarie ad affrontare efficacemente questo grave problema.

1.4 Data l'urgenza di un intervento normativo che riguardi in modo specifico gli attacchi contro i sistemi di informazione, il Comitato condivide la decisione della Commissione di avvalersi dello strumento della direttiva, integrato da misure non legislative mirate a questo aspetto particolare della criminalità informatica.

1.5 Tuttavia, come già affermato in un precedente parere (3), il Comitato auspica che la Commissione proceda in parallelo con l'elaborazione di una normativa globale dell'UE in materia di criminalità informatica. Il CESE ritiene che un quadro globale sia essenziale per il successo dell'agenda digitale e della strategia Europa 2020 (4). Oltre ad essere incentrato sulle attività di contrasto dei reati e sulle relative sanzioni, tale quadro dovrebbe anche integrare le questioni della prevenzione e del rilevamento dei reati, così come dell'educazione, nel campo della criminalità informatica.

1.6 Il CESE auspica di poter esaminare, al momento opportuno, delle proposte formulate dalla Commissione per un quadro d'azione globale sul tema generale della sicurezza di Internet. Nell'orizzonte temporale del prossimo decennio - quando la maggioranza della popolazione utilizzerà Internet, da cui dipenderanno anche quasi tutte le attività sia sociali che economiche - non è concepibile che l'impiego di questo strumento potrà ancora essere affidato all'attuale approccio non strutturato e casuale, soprattutto se si considera che il valore economico futuro di Internet sarà incalcolabile. Dovranno essere affrontati molteplici aspetti che comportano altre sfide, tra cui la sicurezza e la riservatezza dei dati personali, nonché il problema della criminalità informatica. Nel campo della sicurezza aerea esiste un'autorità centrale di controllo che stabilisce le norme di sicurezza degli aeromobili, degli aeroporti e delle compagnie aeree. È giunto il momento di creare un'autorità simile con il compito di definire delle norme per dispositivi terminali assolutamente sicuri (personal computer, tablet computer o i-Pad, i-Phone), così come in materia di sicurezza della rete, dei siti Internet e dei dati. La configurazione materiale di Internet è un fattore chiave nella difesa contro la criminalità informatica. Nel prossimo futuro l'UE avrà bisogno di un'autorità di regolamentazione e di controllo di Internet.

1.7 Poiché la proposta di direttiva pone l'accento soprattutto sulla definizione dei reati e delle pene previste per i loro autori, il CESE chiede che la stessa attenzione sia dedicata alla prevenzione grazie al miglioramento delle misure di sicurezza. I fabbricanti di apparecchiature informatiche dovrebbero rispettare delle norme per la produzione di dispositivi assolutamente sicuri. Non è infatti accettabile che la sicurezza dei dispositivi, e di conseguenza della rete, dipenda interamente dall'arbitrio dei loro proprietari. Si dovrebbe esaminare la possibilità di introdurre un sistema di carta d'identità elettronica a livello europeo, da mettere a punto tuttavia dopo aver attentamente riflettuto a come evitare qualsiasi violazione della privacy; si dovrebbe inoltre dare il via all'utilizzo a pieno regime delle capacità offerte dal protocollo IPv6 in materia di sicurezza, mentre l'insegnamento ai cittadini della sicurezza informatica personale, compresa quella dei dati, dovrebbe essere un elemento fondamentale di qualunque programma educativo di alfabetizzazione digitale. La Commissione dovrebbe fare riferimento ai precedenti pareri elaborati dal Comitato su questi temi (5).

1.8 Il Comitato nota con soddisfazione che la proposta di direttiva dedica un'attenzione adeguata agli attacchi realizzati utilizzando le botnet (6), ivi compresi gli attacchi di tipo «negazione di servizio» (denial-of-service) (7). Il CESE ritiene inoltre che la direttiva agevolerà le autorità nell'attività di contrasto della criminalità informatica che sfrutta l'interconnettività internazionale delle reti, nonché nell'azione giudiziaria contro chi commette reati al riparo dell'anonimato garantito dai sofisticati strumenti informatici esistenti.

1.9 Il Comitato è altresì soddisfatto dell'elenco di reati contemplati dalla direttiva, in particolare dell'introduzione del reato di «intercettazione illecita» e della spiegazione chiara in merito agli «strumenti utilizzati per commettere i reati».

1.10 Tuttavia, considerando l'importanza della fiducia e della sicurezza per l'economia digitale, e gli enormi costi causati ogni anno dalla criminalità informatica (8), il Comitato propone che la direttiva preveda pene di severità proporzionata alla gravità dei reati, in modo da avere una funzione realisticamente dissuasiva nei confronti dei criminali. La direttiva proposta stabilisce un minimo di 2 o 5 anni di reclusione (5 anni in presenza di circostanze aggravanti). Il CESE propone che le pene inflitte siano proporzionate alla gravità del reato commesso.

1.11 Il CESE ritiene che si debba cogliere l'occasione per introdurre pene più severe e inviare così un messaggio chiaro tanto ai criminali quanto ai cittadini onesti che chiedono di essere rassicurati. Nel Regno Unito, per esempio, si applicano pene detentive fino a un massimo di 10 anni per attacchi di vasta portata ai sistemi di informazione (9), e le autorità estoni hanno inasprito le pene, che ora arrivano a un massimo di 25 anni di reclusione per attacchi su vasta scala di stampo terroristico (10).

1.12 Il Comitato plaude alla proposta della Commissione di affiancare alla direttiva misure non legislative atte a promuovere ulteriori azioni coordinate a livello di UE e una più efficace attuazione, e intende inoltre mettere l'accento sull'esigenza di estendere il coordinamento e di instaurare una stretta cooperazione con l'insieme dei paesi EFTA/AELS e con la NATO.

1.13 Il Comitato appoggia pienamente le proposte relative a programmi di formazione e alle raccomandazioni di migliori pratiche finalizzate a rendere più efficace la rete di punti di contatto 24/7 esistenti per le autorità di contrasto.

1.14 Oltre alle misure non legislative citate nella proposta, il Comitato invita la Commissione a destinare in particolare dei fondi di R&S allo sviluppo di sistemi di rilevamento e reazione rapida per affrontare gli attacchi ai sistemi di informazione. Le tecnologie più avanzate in materia di cloud computing (11) e grid computing (12) possono offrire all'Europa una maggiore protezione contro un gran numero di minacce alla sua sicurezza.

1.15 Il CESE suggerisce che l'ENISA promuova un programma mirato di sviluppo delle competenze per rafforzare, oltre alle capacità delle autorità di contrasto, anche l'industria europea della sicurezza delle TIC (13).

1.16 Al fine di rafforzare le difese dell'Europa contro gli attacchi informatici, il Comitato insiste sull'importanza di mettere a punto i partenariati pubblico-privati europei per la resilienza (EP3R) e di integrarli nei lavori dell'Agenzia europea per la sicurezza delle reti e dell'informazione (ENISA) e del gruppo europeo governativo dei gruppi di pronto intervento informatico (Computer Emergency Response Team - CERT) (EGC).

1.17 È opportuno promuovere una forte industria europea della sicurezza dell'informazione per competere con l'industria statunitense del settore, che è molto competente e ben finanziata (14). Dovrebbero quindi aumentare significativamente gli investimenti nella R&S e nell'educazione in materia di sicurezza informatica.

1.18 Il Comitato prende atto delle disposizioni contenute nei protocolli allegati al Trattato, che consentono al Regno Unito, all'Irlanda e alla Danimarca di non attuare la direttiva proposta. Nonostante queste esenzioni, tuttavia, il CESE invita i suddetti Stati membri ad attenersi, nella misura del possibile, alle disposizioni della direttiva, per evitare che i criminali possano sfruttare eventuali lacune normative nell'Unione europea.

2. Introduzione

2.1 Oggi la ricchezza e la qualità della vita in Europa dipendono in ampia misura dai sistemi di informazione, ed è importante che a questa crescente dipendenza corrispondano misure di sicurezza sempre più sofisticate e una legislazione forte che possano proteggere i sistemi di informazione dagli attacchi.

2.2 Internet è la piattaforma centrale della società digitale. Il contrasto delle minacce alla sicurezza dei sistemi di informazione è vitale per lo sviluppo della società e dell'economia digitale. Gran parte dell'infrastruttura critica di informazione dell'Europa si affida a Internet, che è alla base delle piattaforme di informazione e comunicazione necessarie all'erogazione di beni e servizi essenziali. Oggi gli attacchi ai sistemi di informazione - governativi, finanziari, previdenziali o necessari a infrastrutture essenziali come energia elettrica, acqua, trasporti, servizi sanitari e servizi d'emergenza - rappresentano un grave problema.

2.3 L'architettura di Internet si basa sull'interconnessione di milioni di computer, con una distribuzione del trattamento dati, delle comunicazioni e del controllo su scala globale. Questo tipo di architettura distribuita è essenziale per la stabilità e la resilienza di Internet, perché consente di recuperare rapidamente i flussi di traffico ogniqualvolta si verifica un problema. Essa comporta tuttavia il rischio di attacchi su vasta scala, che possono essere lanciati dalla periferia della rete, ad esempio utilizzando le botnet, da qualsiasi malintenzionato con conoscenze informatiche di base.

2.4 Gli sviluppi delle tecnologie informatiche hanno aggravato questi problemi rendendo più semplice produrre e diffondere strumenti come i malware (15) e le botnet garantendo nel contempo l'anonimato agli autori del reato e facendo in modo che sia molto difficile risalire ad essi grazie alla confusione creata tra le diverse giurisdizioni competenti. Data la difficoltà nel promuovere l'azione penale contro questi reati, la criminalità organizzata può ottenere profitti consistenti con rischi minimi.

2.5 Secondo uno studio presentato nel 2009 al Forum economico mondiale (16), il costo globale della criminalità informatica è di 1000 miliardi di dollari l'anno, ed è in rapido aumento. Una recente relazione (17) preparata per il governo britannico stima che soltanto nel Regno Unito il costo annuo si aggiri sui 27 miliardi di sterline. L'elevato costo di questa attività criminale giustifica un'azione forte, una rigorosa attuazione e pene severe per i trasgressori.

2.6 Come indicato nel documento di lavoro della Commissione (18) allegato alla proposta di direttiva, il potenziale distruttivo degli attacchi ai sistemi di informazione viene sfruttato dalla criminalità organizzata e da governi ostili. Gli attacchi eseguiti utilizzando le botnet possono essere molto pericolosi per l'intero paese preso di mira, e possono essere utilizzati da terroristi o da altri soggetti per esercitare pressioni sui governi.

2.7 L'attacco che ha colpito l'Estonia nell'aprile-maggio del 2007 ha dimostrato pienamente la gravità del problema: parti importanti dell'infrastruttura di informazione critica del governo e del settore privato sono state rese inutilizzabili per diversi giorni da attacchi su vasta scala, con un costo stimato tra i 19 e i 28 milioni di euro e un notevole danno politico. Anche la Lituania e la Georgia sono state oggetto di analoghi attacchi.

2.8 Le reti di comunicazione globali implicano un alto livello di interconnettività transfrontaliera. È essenziale che tutti i 27 Stati membri agiscano collettivamente e in modo concertato per contrastare la criminalità informatica e in particolare gli attacchi ai sistemi di informazione. Questa interdipendenza internazionale impone all'UE di dotarsi di una politica integrata per proteggere i suddetti sistemi e per perseguire i responsabili.

2.9 Nel suo parere del 2007 sulla comunicazione della Commissione europea Una strategia per una società dell'informazione sicura (19), il CESE ha auspicato l'introduzione di una normativa UE esaustiva in materia di criminalità informatica. Detto quadro normativo dovrebbe applicarsi non solo agli attacchi contro i sistemi di informazione, ma anche alla criminalità informatica finanziaria, ai contenuti illegali di Internet, alla raccolta, conservazione e trasferimento di prove elettroniche, e includere norme più dettagliate sulla competenza giurisdizionale.

2.10 Il Comitato riconosce che è molto difficile formulare un quadro esaustivo, anche per l'assenza di un consenso politico (20) e per i problemi derivanti dalle notevoli differenze tra gli Stati membri in materia di ammissibilità delle prove elettroniche nei procedimenti giudiziari. Detto quadro consentirebbe tuttavia di sfruttare al massimo tutti gli strumenti, sia legislativi che non legislativi, per affrontare la vasta gamma di problemi posti dalla criminalità informatica, nonché di strutturare il quadro penale, rafforzando al tempo stesso la cooperazione tra gli Stati membri in materia di attuazione. Il Comitato esorta quindi la Commissione a continuare il suo lavoro per l'introduzione di un quadro giuridico completo in materia di criminalità informatica.

2.11 Il contrasto di questo tipo di reati richiede competenze speciali. Il parere del CESE sulla proposta di regolamento riguardante l'ENISA (21) ha messo in risalto l'importanza della formazione del personale delle autorità di contrasto. Il Comitato è soddisfatto dei passi avanti compiuti dalla Commissione verso l'istituzione di una piattaforma di formazione sulla criminalità informatica che coinvolga sia le autorità di contrasto che il settore privato, come proposto nella comunicazione COM(2007) 267 definitivo (22).

2.12 Alla sicurezza informatica nell'UE sono direttamente interessati anche tutti i cittadini, dato che la loro vita potrebbe dipendere da servizi vitali. Questi stessi cittadini hanno la responsabilità di proteggere la propria connessione ad Internet da eventuali attacchi, nella misura del possibile. Una responsabilità ancora maggiore ricade sui fornitori della tecnologia e dei servizi TIC che mettono a disposizione i sistemi di informazione.

2.13 È fondamentale che tutte le parti interessate siano adeguatamente informate in merito alla sicurezza informatica, e l'Europa dovrebbe dotarsi di un gran numero di esperti qualificati in questo campo.

2.14 È opportuno promuovere una forte industria europea della sicurezza dell'informazione per competere con l'industria statunitense del settore, che è molto competente e ben finanziata (23). Dovrebbero quindi aumentare significativamente gli investimenti nella R&S e nell'educazione in materia di sicurezza informatica.

3. Contenuto della proposta di direttiva

3.1 La proposta è volta a sostituire la decisione quadro 2005/222/GAI del Consiglio, del 24 febbraio 2005, relativa agli attacchi contro i sistemi di informazione (24). Come specificato nei suoi considerando, la decisione quadro rispondeva all'obiettivo di migliorare la cooperazione tra le autorità giudiziarie e le altre autorità competenti degli Stati membri, compresi la polizia e gli altri servizi specializzati incaricati dell'applicazione della legge, mediante il ravvicinamento delle legislazioni penali degli Stati membri nel settore degli attacchi contro i sistemi di informazione. La decisione quadro ha così creato una legislazione europea per trattare reati quali l'accesso illecito a sistemi di informazione, l'interferenza illecita per quanto riguarda i sistemi e l'interferenza illecita per quanto riguarda i dati, così come specifiche norme sulla responsabilità delle persone giuridiche, sulla competenza giurisdizionale e sullo scambio di informazioni. Gli Stati membri erano tenuti ad adottare le misure necessarie per conformarsi alle disposizioni della decisione quadro entro il 16 marzo 2007.

3.2 Il 14 luglio 2008 la Commissione ha pubblicato una relazione sull'attuazione della decisione quadro (25). Nelle conclusioni si affermava che: «I recenti attacchi perpetrati in Europa dall'adozione della decisione quadro hanno evidenziato l'emergere di varie minacce, in particolare gli attacchi massicci simultanei contro i sistemi di informazione e l'uso crescente delle botnet a fini criminali». Questi attacchi non erano al centro dell'attenzione al momento dell'adozione della decisione quadro.

3.3 La proposta tiene conto dei nuovi metodi utilizzati per commettere reati informatici, specialmente l'uso delle botnet (26). Rintracciare gli autori di tali reati è molto difficile, poiché i computer che fanno parte della botnet e che effettuano gli attacchi possono trovarsi in un luogo diverso da quello in cui è localizzato l'autore del reato.

3.4 Gli attacchi lanciati da una botnet sono spesso eseguiti su vasta scala: sono cioè effettuati con strumenti che colpiscono un gran numero di sistemi d'informazione (computer), oppure sono attacchi che causano danni ingenti, in termini ad esempio di perturbazione dei servizi di sistema, costi finanziari, perdita di dati personali, ecc. Il danno causato dagli attacchi su vasta scala ha un impatto notevole sul funzionamento del bersaglio e/o colpisce anche il suo ambiente di lavoro. In tale contesto, si intende con big botnet una rete in grado di provocare danni gravi. È difficile definire le botnet in termini di dimensioni, ma si stima che le più grosse di cui si abbia testimonianza contino fra 40 000 e 100 000 connessioni (cioè computer infettati) per periodo di 24 ore (27).

3.5 La decisione quadro presenta una serie di lacune, conseguenza di un incremento costante nella portata e nel numero dei reati (attacchi informatici). Essa in effetti ravvicina le legislazioni solo per quanto riguarda un numero limitato di reati, ma non affronta pienamente la potenziale minaccia posta alla società dagli attacchi su vasta scala, né la questione della gravità dei reati e delle sanzioni applicabili.

3.6 L'obiettivo della direttiva è ravvicinare le legislazioni penali degli Stati membri nel settore degli attacchi contro i sistemi di informazione e migliorare la cooperazione fra le autorità giudiziarie e le altre autorità competenti degli Stati membri, compresi la polizia e gli altri servizi specializzati incaricati dell'applicazione della legge.

3.7 Gli attacchi ai danni dei sistemi di informazione, in particolare ad opera della criminalità organizzata, sono una minaccia crescente, e la preoccupazione per la possibilità di attacchi terroristici o di matrice politica contro sistemi di informazione che fanno parte dell'infrastruttura critica degli Stati membri e dell'Unione è in aumento. Ciò costituisce una minaccia per la creazione di una società dell'informazione sicura e di uno spazio di libertà, sicurezza e giustizia, e richiede pertanto una risposta a livello di Unione europea.

3.8 Si registra chiaramente una tendenza a perpetrare attacchi su vasta scala sempre più pericolosi e ricorrenti contro sistemi di informazione critici per lo Stato o per particolari funzioni del settore pubblico o privato. Questa tendenza va di pari passo con lo sviluppo di strumenti sempre più sofisticati che possono essere usati dai criminali per lanciare attacchi informatici di vario tipo.

3.9 Per garantire un approccio coerente degli Stati membri nell'applicazione della presente direttiva è importante avere, in questo settore, definizioni comuni, in particolare quelle inerenti ai sistemi di informazione e ai dati informatici.

3.10 È necessario giungere ad un approccio comune nei confronti degli elementi costitutivi dei reati, mediante l'introduzione dei reati comuni di accesso illecito a sistemi di informazione, di interferenza illecita per quanto riguarda i sistemi, di interferenza illecita per quanto riguarda i dati, e di intercettazione illecita.

3.11 È necessario che gli Stati membri prevedano sanzioni per gli attacchi ai danni di sistemi di informazione, e che le sanzioni previste siano efficaci, proporzionate e dissuasive.

3.12 Pur abrogando la decisione quadro 2005/222/GAI, la direttiva ne manterrà le attuali disposizioni e includerà i nuovi elementi esposti in appresso: (a) definisce come reato la fabbricazione, la vendita, l'approvvigionamento per l'uso, l'importazione, la distribuzione o la messa a disposizione in altro modo di dispositivi/strumenti usati con l'intento di commettere i reati; (b) prevede circostanze aggravanti: — il carattere su vasta scala degli attacchi. Le botnet o strumenti simili sarebbero combattuti introducendo una nuova circostanza aggravante: il fatto di creare una botnet o uno strumento simile verrebbe a costituire un fattore aggravante nell'ambito della commissione dei reati elencati nell'attuale decisione quadro, — il fatto di perpetrare tali attacchi celando la vera identità dell'autore e arrecando pregiudizio al legittimo proprietario dell'identità; (c) introduce la fattispecie di reato di «intercettazione illecita»; (d) introduce misure volte a migliorare la cooperazione giudiziaria in materia penale a livello europeo rafforzando l'esistente struttura dei punti di contatto 24/7 (28); (e) risponde alla necessità di disporre di statistiche sulla criminalità informatica, ivi compresi i reati contemplati dall'attuale decisione quadro e il nuovo reato di «intercettazione illecita»; (f) nelle definizioni dei reati di cui agli articoli 3, 4 e 5 (accesso illecito a sistemi di informazione, interferenza illecita per quanto riguarda i sistemi e intercettazione illecita), contiene una disposizione che permette, col recepimento della direttiva nel diritto nazionale, di perseguire penalmente solo i «casi gravi».

Bruxelles, 4 maggio 2011 Il presidente del Comitato economico e sociale europeo Staffan NILSSON

(1) Convenzione del Consiglio d'Europa sulla criminalità informatica, Budapest, 23 novembre 2001, STCE n. 185.

(2) http://conventions.coe.int/Treaty/Commun/ChercheSig.asp?NT=185&CM=&DF=&CL=ENG.

(3) Parere del CESE sul tema Società dell'informazione sicura, GU C 97 del 28.4.2007, pag. 21 (TEN/254).

(4) COM(2010) 245 definitivo, COM(2010) 2020 definitivo.

(5) Si vedano i seguenti pareri del CESE: Società dell'informazione sicura, GU C 97 del 28.4.2007, pag. 21 (TEN/254); Far progredire Internet, GU C 175 del 28.7.2009, pag. 92 (TEN/351); Proteggere le infrastrutture critiche informatizzate, GU C 255 del 22.9.2010, pag. 98 (TEN/395); Un'agenda digitale europea, GU C 54 del 19.2.2011, pag. 58 (TEN/426); «Nuovo» regolamento ENISA, non ancora pubblicato nella GU (TEN/436); La rivoluzione del cloud computing, in fase di elaborazione (TEN/452); Migliorare l'alfabetizzazione, le competenze e l'inclusione digitali, non ancora pubblicato nella GU (TEN/453).

(6) Il termine botnet indica una rete di computer infettati da software maligni (virus informatici). Una tale rete di computer compromessi («zombie») può essere attivata per eseguire azioni specifiche, ad esempio attacchi ai sistemi d'informazione (attacchi informatici). Questi «zombie» possono essere controllati - spesso ad insaputa dei loro utilizzatori - da un altro computer. Rintracciare i responsabili risulta difficile, poiché i computer che fanno parte della botnet e che effettuano gli attacchi possono trovarsi in un luogo diverso da quello in cui è localizzato l'autore del reato.

(7) Si tratta di azioni volte a negare l'accesso a una risorsa informatica (per esempio un sito web o un servizio online), che risulterà «non disponibile» agli utenti che tentino di utilizzarla. Attacchi di questo tipo, per esempio, possono rendere inattivo un sistema di pagamento online, causando così un danno ai suoi utenti.

(8) Secondo uno studio presentato nel 2009 al Forum economico mondiale, il costo globale della criminalità informatica è di 1 000 miliardi di dollari l'anno, ed è in rapido aumento. Cfr. i punti 2.5 e 2.7 del presente parere.

(9) http://www.legislation.gov.uk/ukpga/2006/48/contents

(10) SEC(2010) 1122 definitivo - Documento di lavoro dei servizi della Commissione - Valutazione d'impatto (disponibile solo in lingua inglese), documento che accompagna la Proposta di direttiva del Parlamento europeo e del Consiglio relativa agli attacchi contro i sistemi di informazione.

(11) Per cloud computing s'intende la distribuzione in remoto su Internet di risorse informatiche, su richiesta o automaticamente. L'utente dei servizi di cloud computing, presentati in modo semplice e facilmente comprensibile, non ha bisogno di disporre di competenze particolari su come vengono fornite le risorse informatiche. Grazie a questa tecnologia, gli antivirus e i software per la sicurezza di Internet più avanzati potrebbero essere distribuiti agli utenti finali - cioè a tutti gli utilizzatori provvisti di una connessione Internet in Europa - attraverso una piattaforma cloud (in remoto); rendendo così meno necessario per gli utenti provvedere in prima persona alla protezione dei propri sistemi informatici.

(12) Con grid computing s'intende una forma di distribuzione di risorse informatiche basata su un «super computer virtuale» composto da un gran numero di computer più o meno accoppiati e collegati in una rete e in grado di elaborare tutti insieme una grande quantità di dati. Le tecnologie di grid computing possono offrire una piattaforma a sistemi di analisi e di risposta in tempo reale ad attacchi informatici.

(13) Cfr. il parere del CESE «Nuovo» regolamento ENISA, non ancora pubblicato nella GU (TEN/436).

(14) Le cifre ufficiali della Casa Bianca mostrano che nel 2010 il governo USA ha speso per la ricerca, lo sviluppo e l'educazione in materia di sicurezza informatica 407 milioni di dollari, che propone di portare a 548 milioni nell'anno fiscale 2012. http://www.whitehouse.gov/sites/default/files/microsites/ostp/FY12-slides.pdf

(15) Malware, abbreviazione di malicious software (software maligno), è un software concepito per accedere ad un computer o sistema informatico senza il consenso informato del proprietario e a sua insaputa.

(16) Unsecured Economies: Protecting Vital Information (Economie non sicure: la protezione delle informazioni vitali), elaborato per conto di McAfee dai ricercatori del Centre for Education and Research in Information Assurance and Security della Purdue University.

(17) http://www.cabinetoffice.gov.uk/resource-library/cost-of-cyber-crime.

(18) SEC(2010) 1122 final.

(19) Parere del CESE sul tema Società dell'informazione sicura, GU C 97 del 28.4.2007, pag. 21 (TEN/254).

(20) SEC(2010) 1122 final, Valutazione d'impatto per il COM(2010) 517 definitivo (disponibile solo in lingua inglese).

(21) Parere del CESE sul tema «Nuovo» regolamento ENISA, non ancora pubblicato nella Gazzetta ufficiale (TEN/436).

(22) COM(2007) 267 definitivo, Verso una politica generale di lotta contro la cibercriminalità.

(23) Le cifre ufficiali della Casa Bianca mostrano che nel 2010 il governo USA ha speso per la ricerca, lo sviluppo e l'educazione in materia di sicurezza informatica 407 milioni di dollari, che propone di portare a 548 milioni nell'anno fiscale 2012: http://www.whitehouse.gov/sites/default/files/microsites/ostp/FY12-slides.pdf

(24) GU L 69 del 16.3.2005, pag. 68.

(25) Relazione della Commissione al Consiglio ai sensi dell'articolo 12 della decisione quadro del Consiglio del 24 febbraio 2005 relativa agli attacchi contro i sistemi di informazione (COM(2008) 448 definitivo).

(26) Cfr. la nota 6.

(27) Il numero di connessioni su 24 ore è l'unità di misura comunemente usata per stimare la dimensione delle botnet.

(28) Introdotta dalla Convenzione e dalla decisione quadro 2005/222/GAI relativa agli attacchi contro i sistemi di informazione.