Lente della Corte dei conti sulla cybersicurezza: la risposta UE alle minacce è carente

Bruxelles – Le misure che l’Unione europea mette in campo per individuare e rispondere agli incidenti di cybersicurezza significativi e su vasta scala sono carenti. Lo attesta una relazione della Corte dei conti europea che esorta l’UE a migliorare le modalità di condivisione delle informazioni, a perfezionare il coordinamento per evitare il doppio lavoro tra i vari organismi coinvolti, a rendere operativo il sistema europeo di allerta per la cybersicurezza e a rafforzare i controlli di sicurezza sui beneficiari dei finanziamenti dell’UE.

La Corte ricorda che questo tipo di incidenti possono “perturbare i servizi pubblici, le imprese, le infrastrutture critiche e il mercato interno dell’UE”. La responsabilità di risposta è principalmente nelle mani degli Stati membri, ma l’Unione “svolge un ruolo importante”. Ad esempio quando questi avvenimenti “causano gravi perturbazioni, perdite finanziarie significative o danni sostanziali a persone o organizzazioni (incidenti di cibersicurezza significativi) o quando colpiscono più Stati membri e vanno oltre la capacità di un singolo Paese di rispondere efficacemente (incidenti di cibersicurezza su vasta scala)”.

Per far fronte a queste minacce, l’UE investe sempre più nel rafforzamento della cibersicurezza. “Nell’ambito del bilancio dell’UE per il periodo 2021-2027, la principale fonte di finanziamento per la cibersicurezza è il programma Europa digitale, con una dotazione di 1,4 miliardi di euro”, scrive la Corte. Secondo George-Marius Hyzler, membro della Corte dei conti europea responsabile dell’audit, si tratta di “progressi” compiuti “nella creazione di un quadro di cooperazione in materia di cibersicurezza”. Allo stesso tempo, però, l’UE “non sta ancora lavorando con la dovuta efficacia”, mentre “quando si verifica un incidente informatico grave, sono essenziali informazioni tempestive e utilizzabili: senza di esse, le reti e i meccanismi perdono gran parte del loro valore aggiunto”, osserva.

Secondo gli auditor, il tallone d’Achille dell’intero sistema è l’insufficiente scambio di informazioni. Perché anche se il programma per la cibersicurezza, adottato nel 2025, chiarisce ampiamente i ruoli e le responsabilità per gestire le principali crisi di cibersicurezza, “il modo in cui le due reti informatiche dell’UE collaborano non è ancora stato definito formalmente” e “ciò ostacola la cooperazione tra la rete di CSIRT, che riunisce le squadre nazionali che si occupano di incidenti informatici, e EU-CyCLONe, una rete dell’UE per la cooperazione in caso di crisi informatiche”. A ciò si aggiunge il fatto che in alcuni Stati membri le norme aggiornate dell’UE in materia di cibersicurezza, come la direttiva NIS 2, “sono ancora in fase di attuazione” mentre “la normativa nazionale” sulla sicurezza “limita le informazioni che possono essere condivise”. Il risultato è una difficoltà per le reti dell’UE ad individuare precocemente le minacce e a coordinare una risposta efficace.

La Corte ha riscontrato anche delle “sovrapposizioni tra alcuni organismi dell’UE responsabili del monitoraggio delle minacce alla cibersicurezza”. In particolare, tra il centro di situazione informatica della Commissione europea e l’Agenzia dell’Unione europea per la cibersicurezza (ENISA). In più, “al momento dell’audit, il sistema europeo di allerta per la cibersicurezza non era ancora operativo: i due hub esaminati dagli auditor della Corte – ATHENA ed ENSOC – non erano entrati in funzione a causa di ritardi negli appalti” e “mancavano ancora i necessari accordi di cooperazione, un sistema comune di classificazione e le norme tecniche necessarie per il funzionamento del sistema”.

Infine, la Corte ha individuato debolezze nelle modalità con cui sono state controllate alcune organizzazioni che ricevono finanziamenti dell’UE per la cibersicurezza. “Sebbene i beneficiari delle sovvenzioni siano responsabili della valutazione della proprietà e del controllo di terzi che ricevono sostegno finanziario, il Centro europeo di competenza per la cibersicurezza non verifica tali valutazioni. Di conseguenza, le infrastrutture sensibili, i dati operativi e le tecnologie critiche per la sicurezza potrebbero essere esposte a rischi per la sicurezza”, conclude la Corte.

Da Palazzo Berlaymont, accolgono “con favore” la relazione speciale della Corte dei conti europea. “Esamineremo con attenzione le sue raccomandazioni per rafforzare ulteriormente le capacità dell’Unione in materia di rilevamento, consapevolezza situazionale e risposta alle minacce e agli incidenti informatici. La revisione dell’atto sulla cibersicurezza (Cybersecurity Act) avanza proposte per potenziare le capacità dell’ENISA di sostenere gli Stati membri nella consapevolezza situazionale e nella risposta agli incidenti”, hanno commentato.