Regolamento (UE) 2019/881

Regolamento (UE) 2019/881 sulla cibersicurezza

Il regolamento rafforza il ruolo dell'ENISA e istituisce un quadro europeo di certificazione della cibersicurezza per prodotti, servizi e processi TIC. La finalità dichiarata è duplice: elevare il livello comune di cibersicurezza nell'Unione e ridurre la frammentazione del mercato interno, in un contesto di crescente digitalizzazione, interconnessione e rischi informatici.

Finalità generali e perimetro applicativo

L'articolo 1 afferma che il regolamento mira a garantire il buon funzionamento del mercato interno perseguendo un elevato livello di cibersicurezza, ciberresilienza e fiducia. A tal fine esso disciplina, da un lato, obiettivi, compiti e organizzazione dell'ENISA e, dall'altro, un quadro per l'introduzione di sistemi europei di certificazione della cibersicurezza applicabili a specifici prodotti TIC, servizi TIC e processi TIC.

Il quadro di certificazione si applica senza pregiudicare le disposizioni specifiche di altri atti dell'Unione in materia di certificazione volontaria o obbligatoria. Restano inoltre salve le competenze degli Stati membri in materia di pubblica sicurezza, difesa, sicurezza nazionale e attività dello Stato nell'ambito del diritto penale.

Definizioni rilevanti

L'articolo 2 chiarisce i concetti chiave. In particolare, la "cibersicurezza" è intesa come l'insieme delle attività necessarie per proteggere reti e sistemi informativi, utenti e altre persone dalle minacce informatiche. Sono definiti anche prodotto TIC, servizio TIC e processo TIC, nonché sistema europeo di certificazione della cibersicurezza, certificato europeo di cibersicurezza, livello di affidabilità e autovalutazione della conformità.

Per il professionista, è centrale la definizione ampia di sistema europeo di certificazione: si tratta di una serie completa di regole, requisiti tecnici, norme e procedure stabiliti a livello di Unione per la certificazione o la valutazione della conformità di specifici prodotti, servizi e processi TIC.

ENISA: mandato, obiettivi e ruolo istituzionale

Gli articoli 3 e 4 delineano l'ENISA come centro di competenze indipendente dell'Unione in materia di cibersicurezza. L'Agenzia opera come punto di riferimento per pareri, assistenza e competenze, contribuisce a ridurre la frammentazione del mercato interno e supporta gli Stati membri, le istituzioni, gli organi e gli organismi dell'Unione.

Tra gli obiettivi principali figurano:

• il supporto all'elaborazione e attuazione delle politiche UE in materia di cibersicurezza;
• lo sviluppo delle capacità e della preparazione, anche nei settori pubblico e privato;
• la promozione della cooperazione, della condivisione di informazioni e del coordinamento;
• il sostegno alla risposta alle minacce e agli incidenti transfrontalieri;
• la promozione della certificazione europea della cibersicurezza;
• la sensibilizzazione, inclusi igiene informatica e alfabetizzazione digitale.

Compiti dell'ENISA in materia di politiche, capacità e cooperazione operativa

Gli articoli 5, 6, 7, 8, 9, 10, 11 e 12 elencano in modo dettagliato i compiti dell'Agenzia.

In primo luogo, l'ENISA assiste la Commissione e gli Stati membri nello sviluppo, revisione e attuazione delle politiche e della normativa UE in materia di cibersicurezza, in particolare della direttiva (UE) 2016/1148. Fornisce pareri, analisi, orientamenti e migliori pratiche anche con riferimento all'identificazione elettronica, ai servizi fiduciari, alle comunicazioni elettroniche e agli aspetti di cibersicurezza della protezione dei dati e della vita privata.

In secondo luogo, l'Agenzia sostiene lo sviluppo di capacità nazionali e dell'Unione: aiuta gli Stati membri a prevenire, rilevare e analizzare minacce e incidenti, a sviluppare i CSIRT nazionali, le strategie nazionali di sicurezza delle reti e dei sistemi informativi, nonché a rafforzare i CSIRT nazionali e dell'Unione affinché operino secondo standard comuni elevati.

Sul piano operativo, l'ENISA svolge le funzioni di segretariato della rete di CSIRT prevista dalla direttiva (UE) 2016/1148, promuove esercitazioni di cibersicurezza a livello di Unione, sostiene la gestione tecnica di incidenti o crisi transfrontalieri su larga scala e contribuisce alla risposta coordinata dell'Unione. Ogni due anni deve organizzare un'esercitazione globale su vasta scala, potendo includere elementi tecnici, operativi o strategici.

L'Agenzia sostiene inoltre la condivisione delle informazioni, anche intra e intersettoriale, soprattutto nei settori indicati dalla direttiva (UE) 2016/1148. Elabora relazioni sulla situazione tecnica della cibersicurezza nell'Unione, analizza minacce e vulnerabilità, e mette a disposizione un portale/polo d'informazione dell'Unione con informazioni accessibili al pubblico.

Sensibilizzazione, formazione, ricerca e cooperazione internazionale

L'ENISA ha anche compiti di sensibilizzazione e istruzione: organizza campagne, diffonde buone pratiche, promuove l'igiene informatica, l'alfabetizzazione digitale e la consapevolezza dei rischi, incluse phishing, botnet, frodi e altri attacchi. Il regolamento prevede che l'Agenzia contribuisca a una campagna di sensibilizzazione a livello UE e comunichi ai consumatori informazioni sui sistemi di certificazione applicabili.

Sul fronte ricerca e innovazione, l'ENISA fornisce consulenza sulle priorità di ricerca nel settore della cibersicurezza e contribuisce all'agenda strategica dell'Unione. In ambito internazionale, l'Agenzia partecipa alla cooperazione con paesi terzi e organizzazioni internazionali, anche in materia di esercitazioni, scambio di migliori pratiche e possibili accordi di riconoscimento reciproco dei certificati.

Organizzazione interna dell'ENISA

Gli articoli 13-23 disciplinano la governance dell'Agenzia. La struttura comprende:

• consiglio di amministrazione;
• comitato esecutivo;
• direttore esecutivo;
• gruppo consultivo ENISA;
• rete dei funzionari nazionali di collegamento.

Il consiglio di amministrazione è composto da un membro per ciascuno Stato membro e due membri della Commissione; i membri e i supplenti restano in carica quattro anni, rinnovabili. Il consiglio stabilisce gli orientamenti generali, adotta il documento unico di programmazione e il bilancio, nomina il direttore esecutivo, adotta la regolamentazione finanziaria e le regole sui conflitti di interesse.

Il comitato esecutivo, composto da cinque membri del consiglio, prepara le decisioni del consiglio e può adottare decisioni provvisorie in casi urgenti, salvo quelle che richiedono la maggioranza qualificata dei due terzi.

Il direttore esecutivo è indipendente, dirige l'ENISA ed è responsabile dell'amministrazione corrente, dell'attuazione delle decisioni del consiglio, della programmazione, del bilancio, delle relazioni annuali e dell'istituzione di gruppi di lavoro ad hoc. Il mandato è di cinque anni, rinnovabile una sola volta per ulteriori cinque anni.

Il gruppo consultivo ENISA garantisce il dialogo con i portatori di interessi, mentre il gruppo dei portatori di interessi per la certificazione della cibersicurezza supporta la Commissione e l'Agenzia sulle questioni strategiche del quadro di certificazione. La rete dei funzionari nazionali di collegamento facilita il raccordo con gli Stati membri.

Trasparenza, riservatezza e protezione dei dati

Gli articoli 25-28 impongono obblighi di dichiarazione di interessi, trasparenza e riservatezza. I membri del consiglio, il direttore esecutivo e gli esperti coinvolti devono rendere dichiarazioni annuali e dichiarare eventuali conflitti in ogni riunione pertinente.

L'ENISA opera con elevata trasparenza, pubblica le dichiarazioni di interessi e può ammettere osservatori alle attività, ma deve anche tutelare le informazioni riservate, inclusi i dati classificati UE se autorizzata a trattarli. Si applicano il regolamento (CE) n. 1049/2001 sull'accesso ai documenti e il regolamento (UE) 2018/1725 sul trattamento dei dati personali.

Bilancio, controllo finanziario e antifrode

Gli articoli 29-33 disciplinano il bilancio dell'Agenzia. Le entrate comprendono il contributo dell'Unione, entrate con destinazione specifica, finanziamenti UE, contributi dei paesi terzi partecipanti e contributi volontari degli Stati membri. Il bilancio deve essere in pareggio e segue un iter scandito da scadenze annuali: il progetto di stato di previsione è trasmesso al consiglio, poi alla Commissione, e il bilancio si consolida con il bilancio generale dell'Unione.

Il direttore esecutivo è responsabile dell'esecuzione del bilancio. Sono previsti controlli del revisore interno della Commissione, del contabile dell'ENISA, della Corte dei conti e dell'OLAF. Entro il 28 dicembre 2019 l'ENISA deve aderire all'accordo interistituzionale del 25 maggio 1999 sull'OLAF.

Regime del personale e status giuridico

Gli articoli 34-37 e 38-45 disciplinano il personale, la personalità giuridica e il regime istituzionale. Si applicano lo statuto dei funzionari e il regime applicabile agli altri agenti. L'ENISA gode di personalità giuridica, capacità di agire e rappresentanza del direttore esecutivo. Il regolamento disciplina anche la responsabilità contrattuale ed extracontrattuale, il regime linguistico, la cooperazione con paesi terzi, le regole di sicurezza delle informazioni, l'accordo di sede e il controllo del Mediatore europeo.

Lo Stato membro ospitante deve garantire le migliori condizioni possibili per il funzionamento dell'Agenzia, con attenzione a accessibilità, scuole, mercato del lavoro, sicurezza sociale e cure mediche per familiari del personale.

Quadro europeo di certificazione della cibersicurezza

Il titolo III è il nucleo innovativo del regolamento. L'articolo 46 istituisce il quadro europeo di certificazione della cibersicurezza per favorire un approccio armonizzato a livello UE e creare un mercato unico digitale per i prodotti, servizi e processi TIC.

Il quadro funziona tramite sistemi europei di certificazione della cibersicurezza, destinati ad attestare che prodotti, servizi e processi valutati rispettano requisiti di sicurezza volti a proteggere dati e funzioni per l'intero ciclo di vita.

Programmazione, proposta e adozione dei sistemi di certificazione

L'articolo 47 introduce il programma di lavoro progressivo dell'Unione, pubblicato dalla Commissione, che individua le priorità strategiche e i prodotti/servizi/processi o categorie che possono essere inclusi in un sistema europeo. Il primo programma deve essere pubblicato entro il 28 giugno 2020 e aggiornato almeno ogni tre anni.

L'articolo 48 consente alla Commissione di chiedere all'ENISA di preparare una proposta di sistema, o di rivederne uno esistente, sulla base del programma; in casi debitamente giustificati la richiesta può riguardare sistemi non inclusi nel programma, anche su impulso dell'ECCG.

L'articolo 49 disciplina la preparazione della proposta da parte dell'ENISA, la consultazione formale e inclusiva dei portatori di interessi, la cooperazione con l'ECCG, l'eventuale gruppo di lavoro ad hoc e l'adozione del sistema mediante atti di esecuzione della Commissione. L'ENISA deve inoltre valutare ogni sistema adottato almeno ogni cinque anni.

Obiettivi di sicurezza, livelli di affidabilità e autovalutazione

L'articolo 51 elenca gli obiettivi minimi di sicurezza, tra cui protezione dei dati contro accessi, divulgazioni, perdite o alterazioni non autorizzate, identificazione delle dipendenze e vulnerabilità, registrazione degli accessi, assenza di vulnerabilità note, ripristino della disponibilità, sicurezza fin dalla progettazione e per impostazione predefinita, nonché aggiornamenti sicuri.

L'articolo 52 prevede tre livelli di affidabilità: "di base", "sostanziale" ed "elevato", commisurati al rischio. Per ciascun livello cambiano il rigore della valutazione e le attività richieste: riesame documentale per il livello base, verifica della conformità delle funzionalità di sicurezza per il livello sostanziale e test di efficacia e penetrazione per il livello elevato. Possono anche essere previsti diversi livelli di valutazione.

L'articolo 53 consente, solo per prodotti/servizi/processi a basso rischio e per il livello di affidabilità di base, l'autovalutazione della conformità sotto la responsabilità del fabbricante o fornitore, con rilascio di una dichiarazione UE di conformità. La dichiarazione e la documentazione tecnica devono essere messe a disposizione dell'autorità nazionale competente e trasmesse in copia anche all'ENISA.

Contenuto minimo dei sistemi di certificazione e informazioni per gli utenti

L'articolo 54 elenca gli elementi minimi che ogni sistema europeo deve contenere: oggetto e ambito, scopo, norme o specifiche tecniche di riferimento, eventuali livelli di affidabilità, possibilità di autovalutazione, requisiti per gli organismi di valutazione, criteri di valutazione, regole sui marchi, controllo di conformità, durata, revoca, gestione delle vulnerabilità, riconoscimento reciproco con paesi terzi e formato delle informazioni supplementari.

L'articolo 55 obbliga i fabbricanti e fornitori a rendere pubbliche informazioni supplementari sulla cibersicurezza, inclusi orientamenti per l'uso sicuro, durata dell'assistenza di sicurezza, contatti per vulnerabilità e archivi online delle vulnerabilità note. Tali informazioni devono essere disponibili in formato elettronico almeno fino alla scadenza del certificato o della dichiarazione.

Certificazione volontaria, possibile obbligatorietà futura e rapporti con i sistemi nazionali

L'articolo 56 stabilisce che la certificazione è in linea di principio volontaria, salvo disposizione contraria del diritto dell'Unione o degli Stati membri. La Commissione deve però valutare periodicamente l'efficacia e l'utilizzo dei sistemi e l'eventuale necessità di renderne obbligatori alcuni; la prima valutazione è prevista entro il 31 dicembre 2023 e poi almeno ogni due anni.

L'articolo 57 prevede che i sistemi nazionali coperti da un sistema europeo cessino di produrre effetti dalla data stabilita dall'atto di esecuzione che adotta il sistema europeo. Gli Stati membri non possono introdurre nuovi sistemi nazionali per prodotti già coperti, mentre i certificati nazionali già rilasciati restano validi fino alla scadenza. Restano possibili sistemi nazionali per i prodotti non coperti o per ragioni di sicurezza nazionale, ma gli Stati membri devono informare Commissione ed ECCG dei nuovi progetti.

Autorità nazionali, accreditamento e organismi di valutazione della conformità

L'articolo 58 impone agli Stati membri di designare una o più autorità nazionali di certificazione della cibersicurezza. Tali autorità devono essere indipendenti dai soggetti vigilati, disporre di risorse adeguate e partecipare attivamente all'ECCG. Hanno funzioni di supervisione, applicazione delle regole, gestione dei reclami, cooperazione con altre autorità e poteri ispettivi, inclusa la possibilità di revocare certificati e irrogare sanzioni secondo il diritto nazionale.

L'articolo 59 istituisce una valutazione inter pares tra autorità nazionali per garantire l'equivalenza delle pratiche nell'Unione. L'articolo 60 disciplina gli organismi di valutazione della conformità, che devono essere accreditati da organismi nazionali di accreditamento e, se il sistema lo richiede, autorizzati dall'autorità nazionale. L'allegato dettaglia requisiti severi di indipendenza, competenza, riservatezza, imparzialità e adeguatezza organizzativa.

L'articolo 61 prevede la notifica alla Commissione degli organismi accreditati/autorizzati e la pubblicazione di un elenco ufficiale. L'articolo 62 istituisce l'ECCG, che assiste Commissione ed ENISA nell'attuazione coerente del titolo III, formula pareri, promuove lo scambio di buone pratiche e sostiene i meccanismi di valutazione inter pares.

Reclami, ricorsi e sanzioni

Gli articoli 63 e 64 riconoscono alle persone fisiche e giuridiche il diritto di presentare reclamo contro i certificati o le decisioni dell'autorità/organismo competente e il diritto a un ricorso giurisdizionale effettivo. Il contenzioso va proposto dinanzi ai tribunali dello Stato membro in cui ha sede l'autorità o l'organismo contro cui è mosso il ricorso.

L'articolo 65 rimette agli Stati membri la disciplina delle sanzioni per le violazioni del titolo III e dei sistemi europei di certificazione, imponendo che siano effettive, proporzionate e dissuasive.

Atti di esecuzione, valutazione e abrogazione del precedente regolamento

L'articolo 66 disciplina la procedura di comitato ex regolamento (UE) n. 182/2011. L'articolo 67 prevede una valutazione periodica da parte della Commissione, da effettuare entro il 28 giugno 2024 e poi ogni cinque anni, sull'ENISA e sul titolo III, inclusa l'eventuale necessità di requisiti essenziali di cibersicurezza per l'accesso al mercato interno.

L'articolo 68 abroga il regolamento (UE) n. 526/2013 con effetto dal 27 giugno 2019, mantenendo continuità di diritti, obblighi, contratti e cariche in essere. L'ENISA è istituita a tempo indeterminato dal 27 giugno 2019. L'articolo 69 prevede l'entrata in vigore al ventesimo giorno successivo alla pubblicazione, con applicazione differita al 28 giugno 2021 degli articoli 58, 60, 61, 63, 64 e 65.