Direttiva 2016/1148

DIRETTIVA (UE) 2016/1148 sulla sicurezza delle reti e dei sistemi informativi

La direttiva istituisce un quadro comune europeo per elevare il livello di sicurezza delle reti e dei sistemi informativi, con finalità di tutela del mercato interno e di rafforzamento della resilienza cibernetica. Il legislatore dell'Unione parte dall'esigenza, evidenziata nei considerando, di contrastare la crescita degli incidenti di sicurezza, la frammentazione nazionale e la dipendenza transfrontaliera delle infrastrutture digitali e dei servizi essenziali.

Finalità e impianto generale

La direttiva persegue un duplice obiettivo: da un lato, imporre agli Stati membri una cornice minima comune di prevenzione, preparazione e cooperazione; dall'altro, introdurre obblighi di gestione del rischio e di notifica degli incidenti per i soggetti più critici. L'architettura è costruita su strumenti nazionali obbligatori, ma lascia agli Stati membri un margine di discrezionalità nella forma e nei mezzi di attuazione, nel rispetto del risultato da conseguire.

Ambito soggettivo e oggettivo

L'ambito di applicazione copre gli operatori di servizi essenziali pubblici o privati nei settori elencati all'allegato II e i fornitori di servizi digitali indicati all'allegato III. I primi includono, tra gli altri, energia, trasporti, banca, infrastrutture dei mercati finanziari, sanità, acqua potabile e infrastrutture digitali; i secondi comprendono mercati online, motori di ricerca online e servizi cloud.

Restano esclusi gli operatori già soggetti a regimi settoriali equivalenti in materia di sicurezza e notifica, in particolare quelli disciplinati dagli articoli 13 bis e 13 ter della direttiva 2002/21/CE e i prestatori di servizi fiduciari del regolamento (UE) n. 910/2014. La direttiva non pregiudica inoltre le misure nazionali per la sicurezza nazionale, l'ordine pubblico e la repressione dei reati, né gli atti UE settoriali che prevedano obblighi equivalenti.

Definizioni chiave

L'articolo 4 definisce i concetti centrali per l'applicazione del testo. Particolare rilievo assumono:

• rete e sistema informativo;
• sicurezza della rete e dei sistemi informativi;
• operatore di servizi essenziali;
• servizio digitale e fornitore di servizio digitale;
• incidente e trattamento dell'incidente;
• rappresentante per i fornitori stabiliti fuori dall'Unione;
• IXP, DNS, registro TLD, mercato online, motore di ricerca online e cloud computing.

Queste definizioni sono essenziali per delimitare sia gli obblighi sostanziali sia le regole di giurisdizione e di identificazione dei soggetti obbligati.

Identificazione degli operatori di servizi essenziali

Gli Stati membri devono identificare, entro il 9 novembre 2018, gli operatori di servizi essenziali per ciascun settore e sottosettore dell'allegato II, con riferimento ai soggetti aventi sede nel loro territorio. L'identificazione richiede tre condizioni cumulative: il servizio deve essere essenziale per attività sociali o economiche fondamentali, la sua fornitura deve dipendere dalle reti e dai sistemi informativi e un incidente deve poter produrre effetti negativi rilevanti.

Ogni Stato membro deve predisporre un elenco dei servizi essenziali, consultarsi con gli altri Stati membri quando lo stesso servizio è prestato in più Stati, riesaminare e aggiornare regolarmente l'elenco almeno ogni due anni dopo il 9 maggio 2018 e trasmettere alla Commissione le informazioni necessarie per valutare la coerenza dell'applicazione. La Commissione può adottare orientamenti tecnici sui parametri informativi, tenendo conto del parere dell'ENISA.

Criteri per gli effetti negativi rilevanti

Per stabilire se un incidente abbia effetti negativi rilevanti, gli Stati membri devono considerare almeno:

• il numero di utenti dipendenti dal servizio;
• la dipendenza di altri settori dal servizio medesimo;
• l'impatto su attività economiche, sociali o sulla sicurezza pubblica;
• la quota di mercato del soggetto;
• la diffusione geografica dell'area potenzialmente colpita;
• l'importanza del soggetto rispetto alla disponibilità di alternative.

Possono essere presi in considerazione anche fattori settoriali specifici.

Strategia nazionale e organizzazione amministrativa

Ogni Stato membro deve adottare una strategia nazionale in materia di sicurezza delle reti e dei sistemi informativi. La strategia deve indicare obiettivi e priorità, governance, misure di preparazione, risposta e ripristino, formazione e sensibilizzazione, ricerca e sviluppo, valutazione dei rischi e attori coinvolti. La strategia deve comprendere almeno i settori e servizi degli allegati II e III.

Gli Stati membri possono chiedere assistenza all'ENISA nella redazione della strategia e devono comunicare la strategia alla Commissione entro tre mesi dall'adozione, con possibilità di escludere gli elementi relativi alla sicurezza nazionale.

Autorità competenti, punto di contatto unico e CSIRT

La direttiva richiede la designazione di una o più autorità nazionali competenti e di un punto di contatto unico. Le autorità competenti controllano l'applicazione nazionale della direttiva; il punto di contatto unico svolge funzione di collegamento per la cooperazione transfrontaliera con le autorità degli altri Stati membri, il gruppo di cooperazione e la rete di CSIRT.

Ogni Stato membro deve inoltre designare uno o più CSIRT conformi ai requisiti dell'allegato I, con compiti di trattamento degli incidenti e dei rischi. Gli Stati membri devono assicurare risorse adeguate, infrastrutture sicure e resilienti e collaborazione effettiva tra le strutture nazionali. La designazione delle autorità e dei CSIRT, nonché le loro modifiche, devono essere comunicate alla Commissione e rese pubbliche secondo le regole previste.

Cooperazione nazionale e trasmissione delle notifiche

Le autorità competenti, i punti di contatto unici e i CSIRT devono cooperare a livello nazionale. Le notifiche di incidenti devono essere ricevute dalle autorità competenti o dai CSIRT; il punto di contatto unico non le riceve direttamente salvo cumulo di funzioni. È previsto inoltre che il punto di contatto unico trasmetta una relazione sintetica annuale al gruppo di cooperazione sulle notifiche ricevute e sulle azioni intraprese.

Gruppo di cooperazione e rete di CSIRT

Il gruppo di cooperazione è l'organo strategico principale: è composto da rappresentanti degli Stati membri, della Commissione e dell'ENISA, può coinvolgere le parti interessate, opera tramite programmi biennali e svolge funzioni di orientamento, scambio di buone pratiche, valutazione delle strategie nazionali e supporto alla capacity building. Deve elaborare programmi di lavoro biennali e relazioni periodiche sull'esperienza maturata.

La rete di CSIRT, composta dai CSIRT nazionali e dal CERT-UE, con la Commissione osservatore e l'ENISA segretariato, assicura la cooperazione operativa. Essa scambia informazioni su servizi e capacità, coordina risposte a incidenti transfrontalieri, discute ulteriori forme di cooperazione e adotta orientamenti volti alla convergenza delle pratiche operative.

Obblighi per gli operatori di servizi essenziali

Gli operatori di servizi essenziali devono adottare misure tecniche e organizzative adeguate e proporzionate al rischio per garantire un livello di sicurezza appropriato. Devono inoltre adottare misure per prevenire e minimizzare l'impatto degli incidenti sulla continuità del servizio.

Gli incidenti aventi impatto rilevante sulla continuità dei servizi essenziali devono essere notificati senza indebito ritardo all'autorità competente o al CSIRT. La valutazione della rilevanza si fonda almeno su numero di utenti interessati, durata e diffusione geografica. L'autorità o il CSIRT informa gli altri Stati membri interessati e, se opportuno, l'operatore sulla gestione dell'incidente; può anche informare il pubblico in casi di necessità di sensibilizzazione. Le notifiche non comportano una maggiore responsabilità per il soggetto notificante.

Vigilanza sugli operatori di servizi essenziali

Le autorità competenti devono poter verificare la conformità degli operatori e richiedere informazioni, documenti sulle politiche di sicurezza e prove dell'effettiva attuazione, anche mediante audit. Se necessario, possono adottare istruzioni vincolanti per eliminare le carenze accertate. In caso di incidenti con violazioni di dati personali, devono collaborare strettamente con le autorità di protezione dei dati.

Obblighi per i fornitori di servizi digitali

I fornitori di servizi digitali devono adottare misure tecniche e organizzative adeguate e proporzionate, riferite in particolare a sicurezza dei sistemi e impianti, gestione degli incidenti, continuità operativa, monitoraggio/audit/test e conformità alle norme internazionali. Devono inoltre prevenire e minimizzare l'impatto degli incidenti sulla continuità del servizio.

Gli incidenti aventi impatto rilevante sulla fornitura del servizio devono essere notificati senza indebito ritardo. I parametri per valutare la sostanzialità dell'impatto comprendono numero di utenti, durata, diffusione geografica, portata della perturbazione e impatto economico-sociale. L'obbligo di notifica si applica solo se il fornitore dispone delle informazioni necessarie per tale valutazione. Se un operatore di servizi essenziali dipende da un fornitore digitale terzo, l'incidente sul fornitore può riverberarsi sull'operatore essenziale, che deve notificare l'impatto rilevante sulla continuità del proprio servizio.

Vigilanza sui fornitori di servizi digitali e giurisdizione

La vigilanza sui fornitori digitali è ex post e reattiva: l'autorità competente interviene quando acquisisce prova dell'inadempimento, anche tramite altre autorità nazionali. Può richiedere informazioni e imporre rimedi. In presenza di attività distribuite in più Stati membri, le autorità interessate devono cooperare e assistersi reciprocamente.

La giurisdizione spetta allo Stato membro dello stabilimento principale, individuato in linea di principio nella sede sociale. Per i fornitori non stabiliti nell'Unione che offrono servizi digitali nell'UE, è obbligatoria la designazione di un rappresentante nell'Unione, stabilito in uno degli Stati membri in cui il servizio è offerto. La giurisdizione si radica allora nello Stato del rappresentante.

Standardizzazione e notifiche volontarie

Gli Stati membri devono incoraggiare l'uso di norme e specifiche europee o internazionali per promuovere un'applicazione convergente degli obblighi di sicurezza, senza imposizioni tecnologiche. L'ENISA supporta gli Stati membri con pareri e linee guida.

I soggetti non rientranti nel campo di applicazione possono effettuare notifiche volontarie di incidenti rilevanti; tali notifiche non devono creare obblighi ulteriori per il notificante e possono essere trattate solo se ciò non comporta un onere sproporzionato per gli Stati membri.

Sanzioni, monitoraggio e riesame

Gli Stati membri devono stabilire sanzioni effettive, proporzionate e dissuasive per la violazione delle misure nazionali di recepimento e comunicarle alla Commissione entro il 9 maggio 2018. La Commissione deve presentare una prima relazione sulla coerenza dell'identificazione degli operatori essenziali entro il 9 maggio 2019 e riesaminare periodicamente il funzionamento della direttiva, con una prima relazione sul riesame complessivo entro il 9 maggio 2021.

Recepimento e applicazione

Il termine di recepimento è fissato al 9 maggio 2018. Gli Stati membri devono adottare e pubblicare le misure nazionali necessarie entro tale data e applicarle dal 10 maggio 2018. La direttiva è entrata in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea ed è rivolta agli Stati membri.

Allegati: perimetro settoriale e requisiti dei CSIRT

L'allegato I fissa i requisiti essenziali dei CSIRT, tra cui disponibilità elevata dei servizi di comunicazione, localizzazione sicura delle strutture, continuità operativa, personale adeguato e possibilità di cooperare a livello internazionale. Definisce altresì i compiti minimi: monitoraggio degli incidenti, preallarmi e allerte, intervento, analisi dinamica dei rischi, partecipazione alla rete CSIRT e cooperazione con il settore privato.

L'allegato II individua i soggetti potenzialmente qualificabili come operatori di servizi essenziali nei settori energia, trasporti, bancario, infrastrutture dei mercati finanziari, sanitario, acqua potabile e infrastrutture digitali. L'allegato III limita i servizi digitali rilevanti a mercati online, motori di ricerca online e servizi cloud.