Rispondere alle sfide dell'innovazione tecnologica: verso un perimetro di sicurezza nazione cibernetico

27
25
DIRETTIVA (UE) 2016/1148 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 6 luglio 2016
recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi
nell'Unione.
1 Le di re t t i v e e urope e N IS
Ne l 2016 i l Pa rl a m e nt o E urope o i ni z i ò a ge t t a re l e ba si di una st rut t ura
c ondi vi sa di prot e z i one da a t t a c c hi c i be rne t i c i , a pprova ndo l a di re t t i va
NIS
25
(a c roni m o pe r Ne t work a nd Inform a t i on Se c uri t y), sul l a
c onsi de ra z i one c he l a port a t a , l a fre que nz a e l ’i m pa t t o de gl i i nc i de nt i
c i be rne t i c i sono i n c ont i nuo a um e nt o e ra ppre se nt a no una gra ve
m i na c c i a pe r i l funz i ona m e nt o di re t i e si st e m i i nform a t i vi c he
possono di ve nt a re be rsa gl i o pe r a z i oni t e se i n m odo i nt e nz i ona l e a
da nne ggi a re o i nt e rrom pe re i l funz i ona m e nt o di t a l i si st e m i e qui ndi
provoc a re gra vi da nni a l l ’e c onom i a de l l ’Uni one . Ne l l a Di re t t i va i l
Pa rl a m e nt o UE pre nde a t t o c he i l l i ve l l o di si c ure z z a de l l e re t i e de i
si st e m i i nform a t i vi è fort e m e nt e di som oge ne o ne i pa e si m e m bri e
re nde i m possi bi l e l a c re a z i one di un m e c c a ni sm o gl oba l e e d e ffi c a c e
di c oope ra z i one ; re put a pe rt a nt o ne c e ssa ri a l a c re a z i one di una
c a pa c i t à m i ni m a c om une e di sposi z i oni c ondi vi se i n m a t e ri a di
pi a ni fi c a z i one , sc a m bi o di i nform a z i oni e obbl i ghi c om uni di
si c ure z z a pe r gl i ope ra t ori di se rvi z i e sse nz i a l i e forni t ori di se rvi z i
di gi t a l i , de fi ne ndo una l i ne a st ra t e gi c a c om une t ra i va ri st a t i UE
c ont ro i l ri sc hi o di i nc i de nt i o a t t a c c hi c he ve da no c oi nvol t i re t i
i nform a t i c he e si st e m i i nform a t i vi . L a Di re t t i va
L a di re t t i va NIS, c onse nt e ndo c om unque a gl i St a t i m e m bri di
e st e nde re l ’a m bi t o di a ppl i c a z i one a nc he a se t t ori di ve rsi da que l l i
e spl i c i t a m e nt e i ndi c a t i , si ri vol ge a :
 Ope ra t ori di se rvi z i e sse nz i a l i , ovve ro que i sogge t t i , pubbl i c i o
pri va t i , c he forni sc ono se rvi z i ri t e nut i fonda m e nt i pe r l a soc i e t à
e l ’e c onom i a qua l i i l se t t ore sa ni t a ri o, de i t ra sport i , de l l e
c om uni c a z i oni , de l l ’e ne rgi a , de l l a di fe sa , de l l a pubbl i c a
si c ure z z a ;
 Forni t ori di se rvi z i di gi t a l i , va l e a di re l e a z i e nde c on se de
soc i a l e sul t e rri t ori o na z i ona l e c he forni sc ono se rvi z i di e -
c om m e rc e , di c l oud o di m ot ori di ri c e rc a .
28
Que st i sogge t t i si t rova no de st i na t a ri di di ve rsi obbl i ghi (ogni st a t o
m e m bro può de c i de re l e sa nz i oni pe c uni a ri e de l c a so), i nfa t t i l a
Di re t t i va i m pone l oro:
 Di e ffe t t ua re un’a na l i si de i ri sc hi pot e nz i a l i c he pot re bbe ro
c ol pi re i l oro si st e m i i nform a t i c i ;
 Adot t a re ogni m i sura t e c ni c a i done a a re nde re a ffi da bi l i l e
re t i e i si st e m i i nform a t i c i ;
 Adot t a re ogni a c c orgi m e nt o t e c ni c o o orga ni z z a t i vo pe r
ri durre l ’i m pa t t o di pot e nz i a l i i nc i de nt i di si c ure z z a , i n
m odo da pot e r ga ra nt i re l a c ont i nui t à de l se rvi z i o;
 C om uni c a re se nz a i ngi ust i fi c a t o ri t a rdo a i c om pe t e nt i
C SIR T na z i ona l i (C om put e r Se c uri t y R e sponse T e a m ) ogni
i nc i de nt e c he a bbi a m e sso a ri sc hi o l a si c ure z z a de l l e re t i o
de i si st e m i i nform a t i c i .
L ’It a l i a ha re c e pi t o l a di re t t i va NIS c on i l D.l gs. 18 m a ggi o 2018,
n° 65, a dot t a ndo un a pproc c i o m orbi do, ha i nfa t t i de c i so di
a ppl i c a re l e norm e de l De c re t o sol a m e nt e a que i se t t ori c he e ra no
st a t i pre vi st i da l l a Di re t t i va .
29
26
Sicurezzanazionale.gov
26
L a sc e l t a de l l a gove rna nc e c he dovrà da re a t t ua z i one a l l a
norm a t i va è c a dut a su un m ode l l o de c e nt ra t o, i nfa t t i l e a ut ori t à
c om pe t e nt i de si gna t i sono i m i ni st e ri de l l o svi l uppo e c onom i c o,
de l l e i nfra st rut t ure e de i t ra sport i , de l l ’e c onom i a , de l l a sa l ut e e
de l l ’a m bi e nt e , ognuno re sponsa bi l e pe r i l suo se t t ore di
c om pe t e nz a . Il Di pa rt i m e nt o de l l e i nform a z i oni pe r l a si c ure z z a
(DIS) è de si gna t o qua l e punt o di c ont a t t o uni c o i n m a t e ri a di
si c ure z z a de l l e re t i e de i si st e m i i nform a t i vi , svol ge ndo qui ndi una
funz i one di c ol l e ga m e nt o pe r ga ra nt i re l a c ol l a bora z i one
t ra nsfront a l i e ra de l l e a ut ori t à c om pe t e nt i NIS c on l e a ut ori t à
c om pe t e nt i de gl i a l t ri St a t i m e m bri , nonc hé c on l a re t e C SIR T e i l
gruppo di c oope ra z i one ; que st ’ul t i m o è un orga ni sm o form a t o da
ra ppre se nt a nt i de gl i St a t i m e m bri , de l l a C om m i ssi one e urope a e
de l l ’Age nz i a de l l ’Uni one E urope a pe r l a si c ure z z a de l l e re t i e
de l l ’i nform a z i one (E NISA) e c ont ri bui sc e a l l a c ondi vi si one de l l e
i nform a z i oni e de l l e buone pra t i c he t ra i va ri St a t i m e m bri . Sul
front e de l l e sa nz i oni i l gove rno i t a l i a no ha st a bi l i t o c he l e a ut ori t à
c om pe t e nt i possa no e l e va re sa nz i oni a m m i ni st ra t i ve pe c uni a ri e
30
fi no a d un m a ssi m o di 150.000€ qua l ora si ri sc ont ra sse ro
vi ol a z i oni de l l a di sc i pl i na da pa rt e de gl i ope ra t ori di se rvi z i
e sse nz i a l i o forni t ori di se rvi z i di gi t a l i .
At t ua l m e nt e l a C om m i ssi one e urope a st a l a vora ndo pe r una
di re t t i va “ NIS 2” , a ve ndo l a pri m a di m ost ra t o t ut t a una se ri e di
c ri t i c i t à e di l i m i t i . Infa t t i , nonost a nt e fi gura sse t ra gl i obi e t t i vi
pri m a ri , non si è ri usc i t i a nc ora a supe ra re l a fra m m e nt a z i one e l a
di som oge ne i t à ne l l ’a ppl i c a z i one de l l e norm a t i ve ne i va ri Pa e si
m e m bri , i l c he ha port a t o a l fa l l i m e nt o ne l l a c oope ra z i one si a
pre ve nt i va , di c ondi vi si one di not i z i e e d i nform a z i oni , si a
suc c e ssi va , c on una c a pa c i t à m ol t o ri dot t a di a ffront a re l e c ri si i n
m odo c oordi na t o e c ol l a bora t i vo. De st a m ol t i dubbi a nc he
l ’i ndi vi dua z i one pre c i sa de i due sogge t t i c ui l a Di re t t i va si ri vol ge ,
non è se m pre a gi l e da re una de fi ni z i one di “ ope ra t ori di se rvi z i
e sse nz i a l i ” e non è pa c i fi c o c he i pot e ri pubbl i c i a bbi a no
c om pe t e nz a sui “ forni t ori di se rvi z i di gi t a l i ” . L a di re t t i va NIS 2
punt a c osì a ra fforz a re l a si c ure z z a de l l e i nfra st rut t ure di gi t a l i
e urope e , a nc he l i m i t a ndo l a di sc re z i ona l i t à de gl i St a t i m e m bri i n
que st o se t t ore , a d e se m pi o t ogl i e ndo a i si ngol i Pa e si l a
c om pe t e nz a ne l l ’i ndi vi dua re i sogge t t i ogge t t o de l l a di re t t i va , c he
sa rà a ppl i c a t a “ d’uffi c i o” a ogni re a l t à a z i e nda l e c he supe ri una
c e rt a gra nde z z a (l e pi c c ol e e m i c roi m pre se , a m e no c he non
svol ga no un ruol o c hi a ve , sono e sc l use da l l a norm a t i va ). Ve ngono
supe ra t e l e de fi ni z i oni di “ ope ra t ori di se rvi z i e sse nz i a l i ” e
“ forni t ori di se rvi z i di gi t a l i ” , i nt roduc e ndo l e due nuove c a t e gori e ,
“ e sse nz i a l e ” (se t t ori st ra t e gi c i qua l i e ne rgi a , a c qua , P.A., fi na nz a ,
di fe sa , t ra sport i e c c .) e “ i m port a nt e ” (se rvi z i di gi t a l i , ri fi ut i ,
a l i m e nt a re e c c .); e nt ra m be sa ra nno vi nc ol a t e a l l a st e ssa norm a t i va
i n m a t e ri a di ge st i one de l ri sc hi o e di se gna l a z i one di i nc i de nt i e
que l l o c he l e di ffe re nz i e rà sa rà i l re gi m e di vi gi l a nz a , l e pri m e
sa ra nno ogge t t o di un c ont rol l o pi ù pe rva si vo e fre que nt e da pa rt e
de l l e a ut ori t à , l e se c onde sa ra nno i nve c e sot t opost e a d un c ont rol l o
e x post , pe r ve ri fi c a re c he non c i si a no st a t e vi ol a z i oni a l l e
norm a t i ve , c om e a d e se m pi o una m a nc a t a se gna l a z i one . Vi e ne
e l i m i na t o i l va go t e rm i ne “ se nz a i ngi ust i fi c a t o ri t a rdo” da t o pe r l e
se gna l a z i oni c he ora a ndra nno e ffe t t ua t e e nt ro 24 ore a l l e a ut ori t à
c om pe t e nt i o a l C SIR T (i n It a l i a i st i t ui t o pre sso l a Pre si de nz a de l
C onsi gl i o), e vi e ne a ggi unt o l ’one re di un re port c onc l usi vo c he
31
27
Carta dei diritti fondamentali dell’Unione Europea, Gazzetta ufficiale delle Comunità europee
18/12/2000.
28
Regolamento del Parlamento e del Consiglio Europeo-Fissare regole unitarie riguardo
l’intelligenza artificiale, Brussels 21/04/2021.
29
Alberto D’Argenio, La Repubblica 16/04/2021.
c ont e nga una de sc ri z i one a rt i c ol a t a de l l ’i nc i de nt e , de l l a sua
gra vi t à , de i da nni c he ha c a usa t o, da c he c osa è st a t o provoc a t o e
qua l i m i sure sono st a t e pre se pe r a rgi na rl o. L e sa nz i oni pre vi st e
pe r l e vi ol a z i oni si i na spri sc ono, vi e ne i m post o a gl i St a t i di
pre ve de re un re gi m e sa nz i ona t ori o c he pre ve da m ul t e ne l m a ssi m o
fi no 10.000.000€ o 2% de l fa t t ura t o a nno m ondi a l e , se supe ri ore ).
Un ul t e ri ore novi t à i nt rodot t a ne l l a propost a NIS 2 è l a m a ggi ore
a t t e nz i one pe r l a pri va c y, i nfa t t i i l Ga ra nt e E urope o de l l a
Prot e z i one de i Da t i (E DPS) ha vol ut o sot t ol i ne a re c he i Pa e si
m e m bri de vono l e gi fe ra re pe r fa r si c he ogni possi bi l e l i m i t a z i one
de l di ri t t o a l l a prot e z i one de i da t i pe rsona l i e de l l a vi t a pri va t a c he
può de ri va re da i nt e rve nt i m i ra t i a d i m pl e m e nt a re un m a ggi or
l i ve l l o di c ybe r se c uri t y, de ve soddi sfa re i re qui si t i pre vi st i da l l ’a rt
52 de l l a C a rt a fonda m e nt a l e de i di ri t t i de l l ’UE , c he re c i t a :
“ e v e nt ual i l i mi t azi oni al l ’e se rc i zi o de i di ri t t i e de l l e l i be rt à
ri c onosc i ut i dal l a pre se nt e C art a de v ono e sse re pre v i st e dal l a
l e gge e ri spe t t are i l c ont e nut o e sse nzi al e di de t t i di ri t t i e l i be rt à.
N e l ri spe t t o de l pri nc i pi o di proporzi onal i t à, possono e sse re
apport at e l i mi t azi oni sol o l addov e si ano ne c e ssari e e ri spondano
e f f e t t i v ame nt e a f i nal i t à di i nt e re sse ge ne ral e ri c onosc i ut e
dal l ’Uni one o al l ’e si ge nza di prot e gge re i di ri t t i e l e l i be rt à
al t rui ”
27
.
L ’i m pe gno de l l a UE a c e rc a re di gove rna re i fe nom e ni di gi t a l i non
si l i m i t a pe rò a l l e di re t t i ve NIS, re c e nt e m e nt e l a C om m i ssi one
e urope a ha pubbl i c a t o una boz z a
28
pe r un re gol a m e nt o
sul l ’ut i l i z z o de l l ’Int e l l i ge nz a Art i fi c i a l e e l a st e ssa pre si de nt e
Ursul a von de r L e ye n pa rl a ndo de l l e prossi m e norm e e urope e
sul l ’AI a ve va c i t a t o l o st ori c o i sra e l i a no Yuva l Noa h Ha ra ri : “ gl i
umani sono se mpre st at i pi ù brav i ad i nv e nt are nuov i st rume nt i
c he a usarl i i n modo saggi o ” . I t i m ori de l l a num e ro uno de l l a
C om m i ssi one E urope a e m e rgono da l l e de ri ve de l l ’a ut ori t a ri sm o
di gi t a l e c i ne se e l a t ot a l e l i be rt à di m e rc a t o a m e ri c a na
29
a c ui l a
Pre si de nt e vorre bbe ri sponde re t rova ndo una t e rz a vi a e urope a ;