Cibersicurezza e resilienza delle infrastrutture critiche dell'UE

La cibersicurezza interessa trasversalmente il mercato interno, la sicurezza e la sicurezza nazionale. Gran parte della legislazione dell'UE si fonda sull'articolo 114 TFUE, poiché requisiti nazionali divergenti possono frammentare il mercato interno. L'articolo 16 costituisce la base delle norme sulla protezione dei dati, l'articolo 196 sostiene la cooperazione in materia di protezione civile e l'articolo 222 contiene la clausola di solidarietà per le calamità e gli attacchi terroristici. Ai sensi dell'articolo 4, paragrafo 2, TUE, la sicurezza nazionale resta di esclusiva competenza di ciascuno Stato membro. Il diritto dell'UE in materia di cibersicurezza innalza pertanto il livello comune di resilienza civile senza creare un servizio di intelligence dell'UE né trasferire a Bruxelles l'intera direzione della gestione degli incidenti.

Il modello operativo comprende quattro fasi: ridurre il rischio prima di un incidente, rilevare e condividere le informazioni pertinenti, coordinare la risposta quando gli effetti superano le frontiere e ripristinare i servizi. Gli Stati membri designano autorità competenti, punti di contatto unici e gruppi di intervento per la sicurezza informatica in caso di incidente. La Commissione vigila sull'applicazione del diritto dell'UE e può adottare gli atti di esecuzione previsti. L'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, fornisce competenze e sostegno per esercitazioni, coordinamento delle vulnerabilità e cooperazione. UE-CyCLONe collega le autorità nazionali di gestione delle crisi in caso di incidenti su vasta scala; la rete dei CSIRT sostiene la cooperazione operativa tecnica.

La direttiva (UE) 2022/2555, nota come NIS2, mira a conseguire un livello comune elevato di cibersicurezza in tutta l'Unione. Amplia i settori interessati e suddivide le organizzazioni contemplate in soggetti essenziali e importanti. La classificazione incide sul regime di vigilanza, non sull'obbligo fondamentale di gestire i rischi. I settori comprendono energia, trasporti, sanità, infrastrutture digitali, pubblica amministrazione, acqua potabile, acque reflue, servizi postali, fabbricazione di determinati prodotti critici e fornitori di servizi digitali. Le soglie dimensionali e le specifiche inclusioni o esclusioni sono rilevanti; non tutte le piccole organizzazioni rientrano automaticamente nell'ambito di applicazione.

I soggetti devono adottare misure tecniche, operative e organizzative proporzionate. La direttiva elenca la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento, la gestione delle vulnerabilità, la cifratura ove appropriata, il controllo degli accessi, la gestione dei beni e la sensibilizzazione del personale. Gli organi di gestione approvano le misure e ne sovrintendono all'attuazione e possono essere chiamati a risponderne in base alle norme nazionali di recepimento. Gli incidenti significativi seguono un modello di notifica articolato per fasi: un preallarme entro 24 ore da quando si è venuti a conoscenza dell'incidente, una notifica dell'incidente entro 72 ore e una relazione finale, di norma, entro un mese. I candidati non devono confondere queste fasi con un'unica scadenza.

La NIS2 è una direttiva. Gli Stati membri dovevano recepirla entro il 17 ottobre 2024 e applicare le misure nazionali a decorrere dal 18 ottobre 2024. I diritti e gli obblighi sono attuati principalmente mediante il diritto nazionale. Un recepimento incompleto non trasforma la direttiva in un regolamento, ma costituisce un problema di attuazione soggetto ai mezzi di ricorso previsti dal diritto dell'UE e a un'eventuale procedura d'infrazione.

Il regolamento (UE) 2024/2847, ossia il regolamento sulla ciberresilienza o CRA, adotta un approccio incentrato sul mercato dei prodotti. Si applica ai prodotti hardware e software con elementi digitali immessi sul mercato dell'UE, fatte salve le esclusioni definite e le interazioni con la normativa settoriale. I fabbricanti devono progettare e produrre prodotti sicuri, valutare i rischi informatici, gestire le vulnerabilità e fornire aggiornamenti di sicurezza per il periodo di assistenza. Gli importatori e i distributori hanno obblighi di verifica. La valutazione della conformità e la marcatura CE collegano i requisiti di cibersicurezza alla normale vigilanza sui prodotti nel mercato unico.

L'entrata in vigore non coincide con la piena applicazione. Il CRA è entrato in vigore il 10 dicembre 2024. Le norme sulla notifica degli organismi di valutazione della conformità si applicano dall'11 giugno 2026. Gli obblighi di segnalazione di cui all'articolo 14 relativi alle vulnerabilità attivamente sfruttate e agli incidenti gravi si applicano dall'11 settembre 2026. La maggior parte degli obblighi si applica dall'11 dicembre 2027. Alla data di aggiornamento della presente guida, l'applicazione degli obblighi di segnalazione di settembre era imminente, ma non ancora iniziata.

La direttiva (UE) 2022/2557, ossia la direttiva sulla resilienza dei soggetti critici o direttiva CER, riguarda la capacità dei soggetti individuati di prevenire gli incidenti, proteggersi da essi, rispondervi, resistervi, attenuarli, assorbirli, adattarvisi e riprendersi. Il suo ambito di applicazione multirischio comprende pericoli naturali, incidenti, emergenze sanitarie, sabotaggio e terrorismo. Gli Stati membri effettuano valutazioni dei rischi, adottano strategie e individuano i soggetti critici nei settori elencati. I soggetti individuati valutano quindi i rischi, adottano misure proporzionate e notificano gli incidenti perturbatori.

La direttiva CER e la NIS2 sono state concepite per operare congiuntamente. La CER si concentra principalmente sulla resilienza non informatica; la NIS2 si concentra sui sistemi informatici e di rete. Le autorità nazionali devono cooperare e scambiarsi le informazioni pertinenti. Le direttive non implicano che tutti i soggetti di un settore elencato abbiano obblighi identici. L'individuazione, le norme dimensionali, le disposizioni settoriali e il recepimento nazionale determinano l'ambito di applicazione.

Il regolamento (UE) 2025/38, ossia il regolamento sulla cibersolidarietà, si applica dal 4 febbraio 2025. Istituisce un sistema europeo di allerta per la cibersicurezza, misure di preparazione e una riserva dell'UE per la cibersicurezza composta da fornitori affidabili di servizi di risposta agli incidenti. Sostiene inoltre il riesame degli incidenti significativi o su vasta scala. La riserva integra, anziché sostituire, le capacità nazionali. Le richieste, l'ammissibilità, gli appalti e la riservatezza sono disciplinati dal regolamento e dalle relative modalità di attuazione.

La terminologia relativa alle crisi deve essere precisa. Un incidente significativo ai sensi della NIS2 comporta una grave perturbazione, perdita o danno per un soggetto o per terzi. Un incidente su vasta scala supera la capacità di risposta di uno Stato membro o colpisce in modo significativo almeno due Stati membri. Il coordinamento politico può inoltre avvalersi dei dispositivi integrati dell'UE per la risposta politica alle crisi. Il pacchetto di strumenti della diplomazia informatica dell'UE del 2019 può sostenere le risposte nell'ambito delle relazioni esterne, comprese le misure restrittive, ma l'attribuzione e le sanzioni sono decisioni politiche e giuridiche, non conclusioni tecniche dell'ENISA.

Il 20 gennaio 2026 la Commissione ha proposto una revisione del regolamento sulla cibersicurezza del 2019. La proposta mira a razionalizzare la certificazione dell'UE, affrontare i rischi per la sicurezza nelle catene di approvvigionamento delle tecnologie dell'informazione e della comunicazione e rafforzare l'ENISA. Al 17 agosto 2026 era ancora sottoposta all'esame del Parlamento e del Consiglio. Il vigente regolamento (UE) 2019/881 rimaneva il regolamento sulla cibersicurezza applicabile, a meno che e fino a quando non fosse modificato.

Il 7 luglio 2026 la Commissione ha presentato un piano d'azione sull'intelligenza artificiale avanzata e la cibersicurezza. Il piano riguarda la valutazione dei modelli, l'accesso strutturato ai modelli avanzati per i responsabili della difesa, le prove di sicurezza con l'ENISA e il Centro comune di ricerca, una più rapida correzione delle vulnerabilità e il rafforzamento delle capacità europee in materia di IA. Il piano d'azione si basa sulla normativa vigente; non costituisce di per sé un nuovo regolamento. Separatamente, sono proseguiti i lavori di attuazione relativi alla piattaforma di segnalazione del CRA, alla riserva per la cibersicurezza e ai quadri nazionali NIS2.

Chiediti che cosa viene protetto. Per un fornitore di servizi contemplati, parti dalla NIS2. Per hardware o software connessi immessi sul mercato, parti dal CRA. Per la resilienza fisica e multirischio di un soggetto critico individuato, parti dalla CER. Per il rilevamento transfrontaliero e il sostegno nelle emergenze, considera il regolamento sulla cibersolidarietà. Individua quindi se l'attore responsabile è un fabbricante, un soggetto regolamentato, un'autorità di uno Stato membro, un CSIRT, l'ENISA, la Commissione o un colegislatore. Concludi verificando se, alla data pertinente, la norma fosse proposta, in vigore o già applicabile.