Regolamento (UE) 2023/2841

Oggetto e architettura del sistema

L’articolo 1 individua quattro assi: quadro interno di gestione e controllo dei rischi, gestione e segnalazione dei rischi e condivisione delle informazioni, organizzazione e funzionamento dell’IICB e del CERT-UE, controllo dell’attuazione. Il regolamento è costruito come disciplina di governance e sicurezza operativa per i soggetti dell’Unione.

Ambito applicativo ed esclusione ICUE

L’articolo 2 applica il regolamento ai soggetti dell’Unione, all’IICB e al CERT-UE, salvaguardando l’autonomia istituzionale. Restano esclusi i sistemi che trattano ICUE, tranne l’articolo 13, paragrafo 8, che consente assistenza del CERT-UE su richiesta del soggetto interessato.

Definizioni chiave

L’articolo 3 rinvia in larga parte alle definizioni della direttiva (UE) 2022/2555 e del regolamento (UE) 2019/881. Rilevano in particolare: soggetti dell’Unione, incidente, incidente grave, minaccia informatica significativa, vulnerabilità, rischio per la cibersicurezza, servizio di cloud computing e livello di dirigenza più elevato.

Trattamento dei dati personali

L’articolo 4 stabilisce che il trattamento avviene in conformità del regolamento (UE) 2018/1725. I dati personali, comprese talune categorie particolari di dati, possono essere trattati solo nella misura necessaria per le attività previste dal regolamento, con misure tecniche e organizzative adeguate e con specifiche tutele dei diritti degli interessati.

Fase iniziale e indirizzi comuni

L’articolo 5 impone all’IICB, entro l’8 settembre 2024, di emanare indirizzi destinati ai soggetti dell’Unione per il riesame iniziale della cibersicurezza, la costituzione del quadro interno, le valutazioni di maturità, le misure di gestione dei rischi e il piano di cibersicurezza.

Quadro interno di gestione dei rischi

L’articolo 6 impone, entro l’8 aprile 2025, l’istituzione di un quadro interno di gestione, governance e controllo dei rischi per la cibersicurezza, esteso all’intero ambiente TIC non riservato. Il quadro deve prevedere politiche, ruoli, responsabilità, meccanismi di misurazione dell’efficacia, riesame almeno quadriennale e supervisione del livello di dirigenza più elevato. Ogni soggetto dell’Unione deve inoltre nominare un responsabile locale per la cibersicurezza e assicurare formazione periodica agli alti funzionari e al personale coinvolto.

Valutazioni di maturità

L’articolo 7 prevede una valutazione di maturità della cibersicurezza entro l’8 luglio 2025 e poi almeno ogni due anni. Le valutazioni possono essere assistite da terzi specializzati e, per soggetti con strutture simili, possono essere svolte in cooperazione.

Misure tecniche, operative e organizzative

L’articolo 8 richiede l’adozione, entro l’8 settembre 2025, di misure adeguate e proporzionate per gestire i rischi e ridurre l’impatto degli incidenti. L’elenco degli ambiti copre politica di cibersicurezza, analisi del rischio, cloud, audit e penetration test, organizzazione, asset management, risorse umane, controllo accessi, operazioni, comunicazioni, sviluppo e manutenzione, trasparenza del codice sorgente, supply chain, incident response, continuità operativa, formazione e requisiti contrattuali di appalto.

Misure specifiche obbligatorie

L’articolo 8, paragrafo 3, indica misure minime: supporto al telelavoro, progressi verso il principio del trust zero, autenticazione a più fattori come regola generale, crittografia e firma elettronica sicura, comunicazioni sicure, strumenti contro malware e spyware, catena di approvvigionamento software sicura, programmi di formazione e rafforzamento delle clausole contrattuali per la condivisione di informazioni e la segnalazione da parte dei fornitori.

Piano di cibersicurezza

L’articolo 9 impone l’approvazione, entro l’8 gennaio 2026, di un piano di cibersicurezza basato sulla valutazione di maturità e sulle misure adottate. Il piano deve includere almeno le misure di gestione dei rischi e il piano di gestione delle crisi informatiche per gli incidenti gravi; va rivisto ogni due anni o prima se necessario ed è trasmesso integralmente all’IICB.

IICB: istituzione, composizione e funzioni generali

L’articolo 10 istituisce l’IICB, incaricato di controllare e sostenere l’attuazione del regolamento e di indirizzare strategicamente il CERT-UE. La composizione comprende rappresentanti di istituzioni, organi e organismi elencati nel regolamento, nonché tre rappresentanti dell’EUAN per gli organismi con ambiente TIC proprio; è prevista la partecipazione di osservatori e la possibilità di costituire un comitato esecutivo.

IICB: compiti operativi e strategici

L’articolo 11 attribuisce all’IICB numerosi poteri: orientamenti al direttore del CERT-UE, strategia pluriennale, metodologia per i riesami inter pares volontari, approvazione del programma di lavoro annuale, del catalogo dei servizi, della pianificazione finanziaria, degli SLA, degli indicatori di performance, degli accordi di cooperazione e degli indirizzi/raccomandazioni, oltre a funzioni su crisi, supply chain e valutazione dei documenti dei soggetti dell’Unione.

Osservanza e misure di conformità

L’articolo 12 disciplina un sistema progressivo di enforcement: parere motivato, indirizzi correttivi, avvertimento con termine, notifica motivata, audit, informativa alla Corte dei conti e, nei casi più gravi, raccomandazione di sospensione temporanea dei flussi di dati verso il soggetto inadempiente. È prevista anche la richiesta di misure disciplinari se la violazione deriva da azioni od omissioni del personale.

Missione e compiti del CERT-UE

L’articolo 13 definisce il CERT-UE come piattaforma di supporto alla sicurezza dell’ambiente TIC non riservato dei soggetti dell’Unione. Esso raccoglie, analizza e condivide informazioni su minacce, vulnerabilità e incidenti, coordina la risposta agli incidenti, supporta la divulgazione coordinata delle vulnerabilità, può effettuare scansioni proattive, fornire servizi standard e, in certi casi, servizi aggiuntivi o assistenza per ICUE su richiesta esplicita.

Indirizzi, raccomandazioni e inviti a intervenire

L’articolo 14 consente al CERT-UE di emanare inviti a intervenire per misure urgenti e di proporre all’IICB indirizzi e raccomandazioni. Tali atti possono riguardare metodologie comuni di valutazione della maturità, gestione dei rischi, piani di cibersicurezza, uso di soluzioni open source e standard aperti, appalti comuni e accordi di condivisione delle informazioni.

Direttore del CERT-UE

L’articolo 15 disciplina la nomina del direttore del CERT-UE da parte della Commissione previa approvazione dei due terzi dell’IICB, con procedura attenta alla rappresentanza di genere. Il direttore risponde del buon funzionamento del servizio, prepara documenti di programmazione e rendicontazione e riferisce regolarmente all’IICB.

Aspetti finanziari e di personale

L’articolo 16 integra il CERT-UE nella struttura amministrativa della Commissione, mantenendone l’autonomia come prestatore di servizi interistituzionale. Sono previste linea di bilancio distinta, contributi annuali dei soggetti dell’Unione non ricompresi nel bilancio della pubblica amministrazione europea e imputazione ai destinatari dei costi dei servizi addebitabili.

Cooperazione con gli omologhi degli Stati membri

L’articolo 17 disciplina lo scambio tempestivo di informazioni con CSIRT, autorità competenti e punti di contatto unici degli Stati membri. Il CERT-UE informa senza indugio gli omologhi dello Stato membro interessato, può condividere informazioni specifiche sugli incidenti anche senza consenso del soggetto in casi tassativi e con cautele procedurali.

Cooperazione con altri omologhi e partner

L’articolo 18 consente cooperazione con altri omologhi dell’Unione e con partner esterni, previa approvazione dell’IICB nei casi previsti. Gli accordi di riservatezza possono essere conclusi anche senza approvazione preventiva dell’IICB, mentre lo scambio urgente di informazioni è ammesso in situazioni di necessità imminente, con informazione immediata al presidente dell’IICB.

Segreto, accesso ai documenti e sicurezza delle informazioni

L’articolo 19 richiama il segreto professionale, il regolamento (CE) n. 1049/2001 per l’accesso del pubblico e le norme sulla sicurezza delle informazioni. La condivisione delle informazioni è dunque subordinata ai vincoli di riservatezza e al quadro di accesso documentale dell’Unione.

Condivisione volontaria delle informazioni

L’articolo 20 consente notifiche volontarie a CERT-UE su incidenti, minacce, quasi incidenti e vulnerabilità, senza creare ulteriori obblighi per il notificante. Il CERT-UE può richiedere inventari TIC e scambiare informazioni identificate sull’incidente solo con consenso del soggetto interessato; sono escluse ICUE e informazioni con ulteriore distribuzione vietata da contrassegni visibili.

Obblighi di segnalazione degli incidenti significativi

L’articolo 21 definisce l’incidente significativo in base a perturbazione operativa, perdite finanziarie o danni a terzi. Il soggetto dell’Unione deve inviare al CERT-UE: preallarme entro 24 ore, notifica entro 72 ore, eventuale relazione intermedia, relazione finale entro un mese e, se l’incidente è ancora in corso, aggiornamento finale entro un mese dalla chiusura. Deve inoltre informare senza ritardo gli omologhi dello Stato membro ospitante entro 24 ore e, se del caso, gli utenti interessati.

Coordinamento della risposta e crisi

L’articolo 22 attribuisce al CERT-UE la funzione di piattaforma per lo scambio di informazioni e il coordinamento della risposta tra soggetti dell’Unione e omologhi. Entro l’8 gennaio 2025 l’IICB adotta indirizzi o raccomandazioni sul coordinamento della risposta; in caso di possibile rilevanza penale il CERT-UE assiste nella segnalazione alle autorità di contrasto.

Gestione degli incidenti gravi

L’articolo 23 istituisce un piano di gestione delle crisi informatiche, elaborato dall’IICB con CERT-UE ed ENISA, che deve includere coordinamento informativo, procedure operative standard, tassonomia comune della gravità, esercitazioni periodiche e canali sicuri. Il CERT-UE coordina operativamente la gestione degli incidenti gravi e mantiene un inventario delle competenze tecniche disponibili presso i soggetti dell’Unione.

Disposizioni finanziarie iniziali e riassegnazione

L’articolo 24 consente alla Commissione di proporre la riassegnazione di personale e risorse finanziarie al proprio bilancio per sostenere il funzionamento del CERT-UE, con efficacia dal primo bilancio annuale successivo all’entrata in vigore.

Riesame e valutazioni periodiche

L’articolo 25 prevede relazioni annuali dell’IICB alla Commissione entro l’8 gennaio di ogni anno, una valutazione biennale della Commissione a partire dall’8 gennaio 2027 e una valutazione complessiva entro l’8 gennaio 2029, con eventuale proposta legislativa. È espressamente prevista la verifica della possibilità di includere i sistemi che trattano ICUE nell’ambito del regolamento.

Entrata in vigore e applicazione diretta

L’articolo 26 dispone che il regolamento entri in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.