L’EUROPA NON SI FERMA: ARRIVA IL CYBERSECURITY ACT
Dopo l’entrata in vigore del Regolamento europeo 679 sulla protezione dei dati personali, seguito, poi, dalla Direttiva Nis – Network and Information Security – prosegue l’attività legislativa delle istituzioni europee relativa alla sicurezza delle reti e dei sistemi informatici. Lo scorso 13 settembre, infatti, è stato presentato un pacchetto di interventi per rafforzare la sicurezza cibernetica nell’Unione Europea: la principali misura proposta è l’introduzione del cosiddetto Cybersecurity Act, un Regolamento, il cui iter di approvazione dovrebbe concludersi entro il 2018, che intende creare un quadro europeo per la certificazione della sicurezza informatica dei prodotti ICT e dei servizi digitali. Il Cybersecurity Act si compone di due parti: la prima mira a rafforzare il ruolo dell’Agenzia dell’Unione Europea per la sicurezza delle reti e dell’informazione (Enisia); nella seconda, viene introdotto un sistema europeo per la certificazione della sicurezza informativa dei dispositivi connessi ad internet e di altri servizi digitali.
IL RUOLO DELL’ENISIA
L’Enisia è stata istituita nel 2004 al fine di contribuire all’obiettivo generale di garantire un livello elevato di sicurezza delle reti e dei sistemi informativi nell’ambito dell’Ue. Fino ad oggi, l’Agenzia si è occupata di assistere in termini tecnici gli Stati membri e le istituzioni europee nell’elaborazione delle politiche in materia di sicurezza delle reti e dei sistemi informativi. Il Cybersecurity Act intende, invece, affidare all’Enisia, oltre che l’attività di consulenza tecnica, anche alcuni dei compiti operativi, che sono gestiti, fino a questo momento, esclusivamente, dai singoli Stati Membri.
LA CERTIFICAZIONE DELLA SICUREZZA INFORMATICA DI PRODOTTI E SERVIZI DIGITALI
Un altro punto chiave del Cybersecurity Act riguarda l’introduzione di un sistema europeo di certificazione della sicurezza informatica dei prodotti e dei servizi digitali. L’intenzione della Commissione europea è creare un sistema comune che favorisca la “security by design”, che, rimandando al concetto di “privacy by design” introdotta dal GDPR, mira all’adozione delle prassi di sicurezza informatica sin dalle prime fasi della progettazione dei prodotti/servizi ICT.
“La proposta è lodevole – dice Faggioli, responsabile scientifico dell’Osservatorio Information Security & Privacy del Politecnico di Milano e presidente del Clusit, associazione italiana per la sicurezza informatica – perché finalmente definisce un quadro completo di regole sui sistemi di sicurezza europei e previene la possibile frammentazione dei sistemi di certificazione. Ma sono necessarie alcune modifiche al testo sulla certificazione della cybersicurezza per le tecnologie ICT, che presenta problemi nella relazione con gli organismi nazionali di accreditamento e alcuni riferimenti inappropriati agli standard esistenti”.
