INTERROGAZIONE SCRITTA P-0780/03

di Elly Plooij-van Gorsel (ELDR) alla Commissione

(7 marzo 2003)

Oggetto: Competenze del presidente Bush in materia di attacchi cibernetici

Fino a non molto tempo fa, l'attenzione rivolta a possibili attacchi cibernetici e alle loro conseguenze era minima. Così, in Europa, la responsabilità primaria per quanto attiene alla vulnerabilità informatica era attribuita, anche dal Parlamento europeo, essenzialmente alle imprese e alle organizzazioni. Dopo gli attacchi terroristici dell'11 settembre 2001 negli Stati Uniti e le persistenti messe in guardia contro possibili attacchi cibernetici, l'attenzione per i problemi della sicurezza è molto aumentata.

In tale contesto, non dobbiamo temere unicamente attacchi cibernetici da parte dell'Irak o di gruppi islamici quali Unix Security Guards o Anti-India Crew. Nel quadro della lotta contro il terrorismo su Internet, il presidente Bush ha firmato, sei mesi fa, una legge speciale che lo autorizza ad effettuare personalmente attacchi cibernetici. Non è necessario che tali attacchi siano diretti contro l'Irak, essi possono anche riguardare il funzionamento complessivo della rete mondiale. In altre parole, se lo vuole, Bush può bloccare completamente la rete. Si sostiene che è possibile attaccare solo obiettivi militarmente rilevanti, ma il problema grave, per quanto riguarda gli attacchi on-line, è che essi possono comportare gravi danni collaterali. Dato il groviglio di connessioni su Internet, anche altri paesi ed imprese potrebbero risentire di una tale azione. Un attacco del tipo denial of service (rifiuto di servizio), un modo classico per mettere fuori uso una rete, ha conseguenze anche per le reti situate tra l'autore dell'attacco e l'obiettivo.

1. È al corrente la Commissione della nuova legge che autorizza il presidente Bush ad effettuare attacchi cibernetici e, in caso affermativo, che cosa ne pensa?

2. Come conta la Commissione di proteggere i cittadini e le imprese europei contro tali attacchi e le loro conseguenze?

3. Chi, a giudizio della Commissione, deve pagare i danni che possono causare tali attacchi e come è possibile ottenere un risarcimento?

Risposta data dal signor Liikanen a nome della Commissione

(7 aprile 2003)

La Commissione è a conoscenza dell'articolo pubblicato il 7 febbraio 2003 sul Washington Post, che attribuisce a funzionari dell'amministrazione degli Stati Uniti la notizia secondo cui nel luglio 2002 il presidente Bush ha firmato una legge speciale nota come direttiva presidenziale n. 16 per la sicurezza nazionale. Secondo il Washington Post, questa direttiva autorizza il governo degli Stati Uniti ad elaborare linee guida sui tempi e le modalità di un attacco cibernetico contro le reti informatiche nemiche. Gli strateghi militari pensano ad esperti informatici capaci di piratare le reti elettroniche nemiche per disattivare i radar, perturbare il funzionamento degli impianti elettrici o interrompere i servizi telefonici.

La Commissione non è al corrente di dichiarazioni o conferme ufficiali del governo degli Stati Uniti in merito a questa direttiva.

I mezzi di difesa in caso di guerra cibernetica presentano analogie con le misure per promuovere la sicurezza informatica e combattere i reati informatici e la Commissione si è notevolmente impegnata nello sviluppo di politiche in materia.

La Commissione ha adottato il 26 gennaio 2001 una comunicazione dal titolo Creare una società dell'informazione sicura migliorando la sicurezza delle infrastrutture dell'informazione e mediante la lotta alla criminalità informatica(1) che riconosce l'importanza delle infrastrutture di informazione e comunicazione, fra cui Internet, come elemento cruciale delle sue economie e propone azioni specifiche.

Il 19 aprile 2002, come proposto nella comunicazione, la Commissione ha adottato una proposta di decisione quadro del Consiglio relativa agli attacchi contro i sistemi di informazione(2). La proposta impone agli Stati membri di introdurre nel diritto nazionale i reati penali contro l'accesso illecito ad un sistema di informazione e contro l'interferenza illecita. La proposta contiene inoltre disposizioni sulle sanzioni penali, le regole sulla responsabilità delle persone giuridiche e le sanzioni associate, le norme sulla giurisdizione e l'obbligo per gli Stati membri di associarsi alla rete di punti operativi di contatto sul crimine ad alto contenuto tecnologico attiva 24 ore al giorno, 7 giorni su 7. Il Parlamento ha espresso il proprio parere sul progetto di decisione quadro nell'ottobre 2002(3) e il Consiglio ha raggiunto un accordo politico sul testo dei principali articoli il 28 febbraio 2003.

Il piano d'azione eEurope 2005 intende promuovere i servizi di sicurezza e quindi contribuire alla sicurezza delle infrastrutture di informazione. Anche nel precedente piano d'azione eEurope il miglioramento della sicurezza informatica figurava come elemento prioritario.

Nel febbraio 2003, la Commissione ha proposto la creazione di un'Agenzia europea per la sicurezza delle reti e dell'informazione(4). L'obiettivo dell'Agenzia è di fungere da centro di competenza a cui sia gli Stati membri che la Commissione possono accedere per ottenere consulenza sui temi della sicurezza informatica. L'Agenzia fornisce altresì assistenza alle autorità degli Stati membri, compresi i vari Gruppi di intervento in caso di emergenza informatica (CERTS).

Inoltre, la Commissione ha appena varato il Sesto programma quadro di ricerca e sviluppo tecnologico (RST) in cui la R & S sulle tecnologie della sicurezza e dell'affidabilità è una componente essenziale della priorità Tecnologie della società dell'informazione (IST). Anche nel Quinto programma quadro era stata prestata notevole attenzione alle tecnologie di sicurezza e all'affidabilità delle infrastrutture di informazione, svolgendo anche ricerche sulle interdipendenze.

Nella maggior parte dei casi, secondo il diritto penale e civile degli Stati membri, l'autore dell'attacco è responsabile della maggior parte degli attacchi contro i sistemi informatici. Dopo l'attuazione della decisione quadro, gli attacchi di cui si rileva il carattere penale saranno estesi per includere, ad esempio, quelli che provocano il rifiuto di servizio in tutti gli Stati membri.

Nel caso di atti perpetrati da o per conto di uno Stato straniero (compresi gli atti di guerra), si potrebbe porre la questione se lo Stato beneficerebbe dell'immunità rispetto alla giurisdizione dei tribunali di altri Stati per tali atti. Tuttavia, una risposta a tale questione dipende dalla situazione del diritto internazionale in questo settore in evoluzione e dalle specifiche circostanze dell'atto in questione.

(1) COM(2000) 890 def.

(2) GU C 203 E del 27.8.2002.

(3) A5-0328/2002 def.

(4) COM(2003) 63 def.