Regolamento (UE) 2018/151

Regolamento di esecuzione (UE) 2018/151 della Commissione

Il regolamento integra la direttiva (UE) 2016/1148 (NIS) per quanto riguarda i fornitori di servizi digitali, precisando in modo più dettagliato gli elementi da considerare per la gestione dei rischi di sicurezza delle reti e dei sistemi informativi e i criteri per stabilire quando un incidente debba essere considerato rilevante. Il testo si colloca nel quadro della disciplina europea volta a garantire un livello comune elevato di sicurezza informatica nei servizi digitali essenziali.

Contesto e criteri generali

Dai considerando emerge che i fornitori di servizi digitali conservano la libertà di scegliere misure tecniche e organizzative adeguate e proporzionate, purché assicurino un livello appropriato di sicurezza e si fondino su un approccio sistematico basato sul rischio. Il regolamento incoraggia inoltre l’adozione di procedure di valutazione e analisi che coprano sia la sicurezza logica sia quella fisica, la sicurezza delle forniture e i controlli di accesso.

Ambito soggettivo e oggettivo

Il regolamento si applica ai fornitori di servizi digitali di cui all’allegato III della direttiva (UE) 2016/1148, con particolare riguardo ai mercati online, ai servizi di cloud computing e ai motori di ricerca online. La disciplina riguarda sia l’identificazione delle misure di sicurezza sia la valutazione degli incidenti ai fini della loro rilevanza, senza imporre ai fornitori di acquisire informazioni ulteriori rispetto a quelle già disponibili.

Elementi di sicurezza da implementare

L’articolo 2 articola gli elementi di sicurezza in più aree operative.

• Gestione sistematica delle reti e dei sistemi informativi: comprende la mappatura dei sistemi, l’adozione di politiche di sicurezza informatica, l’analisi dei rischi, la gestione delle risorse umane, la sicurezza delle operazioni, l’architettura di sicurezza, la gestione del ciclo di vita dei dati e dei sistemi protetti, nonché, se del caso, la crittografia e la sua gestione.
• Sicurezza fisica e dell’ambiente: richiede misure idonee a proteggere reti e sistemi da danni causati, ad esempio, da errori di sistema, errori umani, atti dolosi o fenomeni naturali.
• Sicurezza delle forniture: implica politiche adeguate per garantire accessibilità e, ove opportuno, tracciabilità delle forniture critiche utilizzate nella prestazione del servizio.
• Controlli di accesso: occorre limitare l’accesso fisico e logico, compresa la sicurezza amministrativa, in base a esigenze aziendali e di sicurezza.

Per il trattamento degli incidenti, il regolamento richiede il mantenimento di processi di individuazione tempestiva degli eventi anomali, procedure per la segnalazione degli incidenti e l’individuazione di debolezze e vulnerabilità, capacità di risposta secondo procedure definite e una valutazione della gravità dell’evento con documentazione delle conoscenze acquisite. Per la continuità operativa, devono essere predisposti piani di emergenza basati sull’analisi dell’impatto sulle attività aziendali e capacità di ripristino testate regolarmente, anche mediante esercitazioni. Il monitoraggio, l’audit e i test devono essere disciplinati da politiche che prevedano osservazioni e misurazioni pianificate, ispezioni e verifiche, nonché test dei meccanismi di sicurezza per individuare difetti e vulnerabilità.

Il regolamento precisa inoltre che le norme internazionali rilevanti sono quelle adottate da organismi di normazione internazionale ai sensi del regolamento (UE) n. 1025/2012; possono essere utilizzate anche norme e specifiche europee o accettate a livello internazionale, comprese le norme nazionali esistenti.

Parametri per la rilevanza dell’incidente

L’articolo 3 definisce i parametri che devono guidare la valutazione della rilevanza di un incidente:

• Numero di utenti interessati: il fornitore deve poter stimare il numero di persone fisiche e giuridiche con cui ha un contratto per il servizio oppure il numero di utenti effettivamente interessati sulla base dei dati di traffico precedenti.
• Durata dell’incidente: coincide con il periodo tra la perturbazione della normale prestazione del servizio e il ripristino.
• Diffusione geografica: il fornitore deve essere in grado di stabilire se l’incidente incide sulla fornitura del servizio in determinati Stati membri.
• Portata della perturbazione: va misurata in relazione alla compromissione di disponibilità, autenticità, integrità o riservatezza dei dati o dei servizi correlati.
• Impatto economico e sociale: deve potersi dedurre, ad esempio dalla natura del rapporto contrattuale o dal numero potenziale di utenti, se l’incidente abbia causato perdite materiali o immateriali importanti, incluse conseguenze per salute e sicurezza o danni materiali.

Soglie quantitative di impatto rilevante

L’articolo 4 stabilisce che un incidente è considerato avente impatto rilevante se si verifica almeno una delle seguenti circostanze:

• indisponibilità del servizio per oltre 5 000 000 di ore utente;
• perdita di integrità, autenticità o riservatezza dei dati conservati, trasmessi o trattati, o dei servizi accessibili tramite la rete o il sistema informativo, che interessi oltre 100 000 utenti nell’Unione;
• creazione di un rischio per la sicurezza pubblica, l’incolumità pubblica o per la perdita di vite umane;
• danni materiali superiori a 1 000 000 di EUR per almeno un utente nell’Unione.

L’articolo precisa che la Commissione può riesaminare tali soglie sulla base delle buone pratiche raccolte dal gruppo di cooperazione e delle discussioni previste dalla direttiva.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dal 10 maggio 2018. Trattandosi di regolamento dell’Unione, è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.