Uno scudo, un meccanismo d’emergenza e un’accademia. Presentato il nuovo Cyber Solidarity Act dell’Ue

Bruxelles – L’Unione Europea prova a fare un passo avanti significativo per aumentare il livello di sicurezza informatica di fronte a incidenti e attacchi – in particolare per le infrastrutture critiche – che stanno diventando sempre più minacciosi per i Ventisette. E dovrebbe farlo attraverso solidarietà e gestione congiunta delle crisi da parte degli Stati membri, secondo quanto delineato dal Cyber Solidarity Act presentato oggi (18 aprile) dalla Commissione Ue.

La nuova proposta del gabinetto von der Leyen sulla sicurezza informatica si pone l’obiettivo di “individuare, prepararsi e rispondere meglio a incidenti significativi o su larga scala” e prevede un budget totale pari a 1,1 miliardi di euro, di cui circa due terzi saranno finanziati direttamente dall’Ue attraverso il Programma Europa digitale. Lo strumento principale per affrontare i rischi sarà lo scudo informatico europeo, ovvero un’infrastruttura paneuropea composta da centri operativi di sicurezza nazionali e transfrontalieri in tutto il territorio comunitario. In altre parole, le entità incaricate di rilevare e agire sulle minacce informatiche potranno disporre di tecnologie all’avanguardia, come l’intelligenza artificiale e l’analisi avanzata dei dati, per rilevare e condividere avvisi tempestivi su minacce e incidenti informatici transfrontalieri. La Commissione ha già individuato tre consorzi di centri operativi di sicurezza e la volontà è quella di saldarli nello scudo informatico europeo già “entro l’inizio del 2024“.

Il secondo strumento di sicurezza informatica previsto dal Cyber Solidarity Act è un meccanismo di emergenza informatica, adibito all’implementazione delle capacità di preparazione nella risposta agli incidenti. Un meccanismo che dovrà sostenere azioni come la verifica di potenziali vulnerabilità di entità in settori altamente critici (sanità, trasporti, energia) “sulla base di scenari di rischio e metodologie comuni” e fornire un sostegno finanziario per l’assistenza reciproca tra i Ventisette. Ma servirà anche a costituire una nuova riserva Ue di sicurezza informatica, composta da “servizi di risposta agli incidenti da parte di fornitori di fiducia preappaltati”. Servizi che dovranno essere pronti a intervenire immediatamente in caso di richiesta di uno Stato membro o di istituzioni, organi e agenzie comunitarie. Parallelamente sarà istituito anche un meccanismo di riesame degli incidenti di sicurezza informatica, che invece dovrà migliorare la capacità di risposta dell’Unione attraverso la valutazione di quanto già accaduto, “traendone insegnamenti e formulando raccomandazioni”, spiega l’esecutivo comunitario.

Dopo la presentazione della legge Ue per la resilienza informatica nel settembre dello scorso anno (il Cyber Resilience Act) spicca oggi la proposta di dare vita a un’Accademia europea delle competenze in materia di sicurezza informatica. Un’ente che riunirà iniziative pubbliche e private che hanno lo scopo di potenziare le competenze a livello europeo e nazionale, rendendole più visibili e contribuendo a colmare il divario di genere o di formazione. L’Accademia sarà inizialmente ospitata online sulla piattaforma della Commissione Ue per le competenze e l’occupazione digitale, dove i cittadini comunitari interessati a intraprendere una carriera nel settore della sicurezza informatica potranno trovare formazione e certificazioni da tutti i Paesi membri Ue. L’evoluzione dell’ente dovrà portare a includere uno spazio comune per il mondo accademico, i fornitori di formazione e l’industria, per coordinare programmi di istruzione e finanziamenti, ma anche per monitorare l’evoluzione del mercato del lavoro nel campo della sicurezza informatica.

Ultima proposta presentata oggi nel pacchetto digitale della Commissione Ue è un emendamento mirato alla nuova direttiva Nis2 sulla sicurezza informatica, per consentire la futura adozione di schemi di certificazione europei per i “servizi di sicurezza gestiti”. Si tratta di servizi “altamente critici e sensibili” messi a disposizione da fornitori di sicurezza informatica – come la risposta agli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza – che hanno l’obiettiva di aiutare aziende e organizzazioni a prevenire, rilevare, rispondere o riprendersi dagli incidenti informatici.