Regolamento (UE) 2026/881

Regolamento delegato (UE) 2026/881: ritardo nella diffusione delle notifiche per motivi di cibersicurezza

Il regolamento delegato integra il regolamento (UE) 2024/2847 sulla ciberresilienza e disciplina in modo puntuale quando il CSIRT che riceve per primo una notifica può ritardarne la diffusione agli altri CSIRT coordinatori. La logica dell’intervento è quella di preservare la riservatezza di informazioni potenzialmente molto sensibili senza compromettere, oltre il necessario, la cooperazione tra CSIRT e la gestione dei rischi di cibersicurezza.

Contesto normativo e finalità

Il regolamento si fonda sull’articolo 14, paragrafo 9, del regolamento (UE) 2024/2847 e specifica i "motivi connessi alla cibersicurezza" richiamati dall’articolo 16, paragrafo 2, del medesimo regolamento. Nei considerando si evidenzia che la diffusione delle notifiche ai CSIRT pertinenti serve a consentire una visione d’insieme del contesto di sicurezza e ad agevolare misure di attenuazione, ma che in casi eccezionali la divulgazione può esporre a rischi maggiori dei benefici attesi. Il ritardo è quindi ammesso solo se strettamente necessario e se la protezione non può essere assicurata con strumenti di gestione delle informazioni già in uso nella rete dei CSIRT, come TLP o PAP.

Soggetti coinvolti e definizioni

Il regolamento riguarda il CSIRT designato come coordinatore che riceve per primo la notifica di una vulnerabilità attivamente sfruttata o di un incidente grave relativo a un prodotto con elementi digitali. I destinatari della diffusione sono i CSIRT coordinatori dei territori nei quali il fabbricante ha indicato che il prodotto è stato messo a disposizione. La nozione di "CSIRT che ha ricevuto per primo la notifica" e quella di "CSIRT pertinente" sono definite espressamente all’articolo 2.

Rinviare la diffusione per la sensibilità delle informazioni

L’articolo 3 è la disposizione centrale. Il CSIRT che ha ricevuto per primo la notifica può ritardare la diffusione, anche solo di parti della notifica, quando la sensibilità delle informazioni e il rischio di sfruttamento o di ulteriore diffusione superano i vantaggi in termini di sicurezza e quando le restrizioni di trattamento e condivisione non sono sufficienti a mitigare tali rischi.

Il ritardo è ammesso se ricorre almeno una delle seguenti situazioni:

• il fabbricante indica che entro 72 ore sarà disponibile una misura efficace di attenuazione dei rischi, come un aggiornamento di sicurezza o istruzioni per gli utilizzatori; se la misura non arriva entro il termine, la notifica deve essere diffusa ai CSIRT pertinenti;
• le informazioni contenute nella notifica sono sufficienti, per natura della vulnerabilità attivamente sfruttata, a consentire la creazione di una tecnica di sfruttamento, in particolare se la vulnerabilità è facilmente individuabile e sfruttabile da soggetti con competenze e risorse limitate; la diffusione avviene appena sia disponibile una misura efficace di attenuazione;
• il CSIRT è in grado di condividere solo informazioni parziali sufficienti a consentire ai CSIRT pertinenti di adottare adeguate misure di mitigazione; anche in questo caso la notifica completa viene poi diffusa quando sia disponibile una misura efficace di attenuazione;
• la notifica rientra in una procedura di divulgazione coordinata delle vulnerabilità nella quale il CSIRT opera come intermediario di fiducia ai sensi dell’articolo 12, paragrafo 1, della direttiva (UE) 2022/2555; in tal caso la diffusione è rinviata fino a quando non sia più strettamente necessaria e fino al consenso delle parti coinvolte.

Rinvio verso un singolo CSIRT pertinente

L’articolo 4 consente una misura più mirata: il CSIRT può differire la trasmissione a uno specifico CSIRT pertinente se quest’ultimo è stato interessato da un incidente di cibersicurezza che ne mette in dubbio l’affidabilità nella gestione riservata delle informazioni, oppure se vi sono elementi sufficienti per ritenere le sue capacità inadeguate a garantire la riservatezza.

Le condizioni di cessazione del rinvio sono differenziate:

• se il CSIRT pertinente è stato colpito da un incidente, il rinvio dura fino alla comunicazione alla rete dei CSIRT del ripristino della sua capacità di garantire la riservatezza;
• se esistono carenze strutturali o organizzative, il rinvio dura fino a quando il CSIRT interessato dimostri di averle affrontate.

Rinvio in caso di compromissione della piattaforma unica di segnalazione

L’articolo 5 affronta l’ipotesi in cui sia compromessa la piattaforma unica di segnalazione istituita dall’articolo 16 del regolamento (UE) 2024/2847. Se ENISA informa la rete dei CSIRT che la piattaforma è stata colpita da un incidente di cibersicurezza tale da mettere in dubbio la riservatezza delle informazioni, il CSIRT che ha ricevuto per primo la notifica può ritardarne la diffusione attraverso la piattaforma fino a quando ENISA non comunichi il ripristino della capacità della piattaforma di tutelare la riservatezza.

Posizione di ENISA e limiti eccezionali all’accesso

Nei considerando il regolamento chiarisce che le regole sul ritardo della diffusione non si applicano all’accesso di ENISA alle informazioni notificate. Un accesso limitato dell’Agenzia è ipotizzabile solo in circostanze particolarmente eccezionali, e solo per notifiche di vulnerabilità entro 72 ore, quando il fabbricante segnali una delle condizioni di cui all’articolo 16, paragrafo 2, terzo comma, lettere a), b) o c), del regolamento (UE) 2024/2847. In tale ipotesi devono essere rese immediatamente disponibili solo informazioni minime: avvenuta notifica, dati generali sul prodotto, natura generale dello sfruttamento e indicazione che sono stati invocati motivi di sicurezza.

Entrata in vigore e efficacia

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. Come atto delegato, è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.