Regolamento (UE) 2019/1583

Regolamento di esecuzione (UE) 2019/1583 della Commissione: misure di cibersicurezza per la sicurezza aerea

Il regolamento interviene sul quadro attuativo della sicurezza dell'aviazione civile per recepire nell'ordinamento UE gli sviluppi più recenti dell'annesso 17 ICAO, in particolare le nuove regole relative all'organizzazione nazionale, all'autorità competente e alle misure preventive di cibersicurezza. Il considerando richiama anche la necessità di coordinare tali misure con la direttiva (UE) 2016/1148 (direttiva NIS), per evitare duplicazioni e lacune regolatorie.

Finalità e contesto normativo

L'atto modifica il regolamento di esecuzione (UE) 2015/1998, che contiene disposizioni particolareggiate per l'attuazione delle norme fondamentali comuni sulla sicurezza aerea. La finalità è allineare la disciplina europea alla modifica 16 dell'annesso 17 della Convenzione di Chicago, rafforzando gli strumenti di prevenzione e reazione alle minacce informatiche che possono incidere sulla sicurezza dell'aviazione civile.

Ambito soggettivo e operativo

Le nuove regole riguardano anzitutto l'autorità competente di ciascuno Stato membro, chiamata a predisporre procedure di condivisione delle informazioni e a coordinare, ove opportuno, il controllo delle misure di cibersicurezza. Sono poi coinvolti gli operatori aeroportuali, i vettori aerei e gli altri soggetti individuati nel programma nazionale per la sicurezza dell'aviazione civile, che devono identificare, proteggere e monitorare i propri dati e sistemi TIC essenziali.

Condivisione delle informazioni e valutazione dei rischi

Il punto 1.0.6 introdotto nell'allegato richiede procedure strutturate per lo scambio, ove opportuno, tempestivo e pratico, di informazioni rilevanti tra autorità, agenzie nazionali e operatori del settore. La funzione di tale condivisione è consentire valutazioni efficaci dei rischi per la sicurezza delle operazioni, includendo espressamente il profilo della cibersicurezza e delle misure di contrasto alle minacce informatiche.

Identificazione e protezione di dati e sistemi TIC fondamentali

Il nuovo punto 1.7 stabilisce che i soggetti del settore aeronautico individuino i dati e i sistemi di tecnologia dell'informazione e della comunicazione fondamentali per la sicurezza aerea e li proteggano da attacchi informatici che potrebbero comprometterla. Tali elementi devono essere indicati nei programmi di sicurezza o in documenti ad essi richiamati, con descrizione delle misure di protezione e delle misure di riconoscimento degli attacchi.

Le misure specifiche devono essere elaborate e attuate sulla base di una valutazione del rischio svolta dal soggetto interessato. Il regolamento consente inoltre, negli Stati membri in cui esista un'autorità o agenzia specificamente competente per le minacce informatiche, di designarla quale ente di coordinamento e/o controllo delle disposizioni sulla cibersicurezza.

Coordinamento con altri obblighi UE o nazionali

Il regolamento prevede espressamente che, qualora determinati operatori siano già soggetti ad obblighi di cibersicurezza derivanti da altre norme dell'Unione o nazionali, l'autorità competente possa disporre l'applicazione di tali altre prescrizioni in luogo di quelle introdotte dal regolamento. In tal caso è richiesto un coordinamento tra autorità per garantire regimi di controllo coordinati o compatibili. Questa clausola di coordinamento è rilevante anche rispetto alla direttiva (UE) 2016/1148, richiamata nei considerando.

Controlli dei precedenti personali

Il punto 11.1.2, sostituito dal regolamento, estende l'obbligo di controllo rafforzato o standard dei precedenti personali a categorie di personale con accesso sensibile. Vi rientrano:

• le persone incaricate di effettuare o far effettuare controlli di sicurezza, controlli di accesso o altri controlli in aree non sterili;
• le persone con accesso senza scorta a merci e posta aerea, posta, materiale del vettore aereo, provviste di bordo e forniture aeroportuali già sottoposti ai controlli prescritti;
• le persone con diritti di amministratore o accesso illimitato e non controllato a dati e sistemi TIC fondamentali per la sicurezza dell'aviazione civile.

La scelta tra controllo rafforzato e standard è rimessa, salvo diversa previsione del regolamento, all'autorità competente secondo le norme nazionali applicabili.

Formazione e sensibilizzazione sulle minacce informatiche

Il nuovo punto 11.2.8 introduce obblighi di addestramento specifici per il personale coinvolto nelle misure di cibersicurezza. Le persone che attuano le misure di cui al punto 1.7.2 devono avere competenze e attitudini adeguate e conoscere i rischi informatici nella misura necessaria al proprio incarico, secondo il principio della necessità di conoscere.

Inoltre, chiunque abbia accesso a dati o sistemi deve ricevere una formazione adeguata e specifica per il ruolo, commisurata a mansioni e responsabilità, con sensibilizzazione ai rischi ove necessario. I contenuti del corso devono essere indicati o approvati dall'autorità competente o dall'autorità/agenzia designata al punto 1.7.4.

Entrata in vigore

Il regolamento è entrato in vigore il 31 dicembre 2020 ed è direttamente applicabile in tutti gli Stati membri. Per gli operatori del settore e per le autorità nazionali, ciò comporta l'immediata rilevanza delle nuove prescrizioni nel sistema di sicurezza aerea dell'Unione.