Due direttive per proteggere le infrastrutture critiche e digitali dell’Unione europea da futuri attacchi ibridi. In attesa del confronto tra i Paesi membri Ue sulla proposta di raccomandazione della Commissione per la resilienza di gasdotti e cavi marini, sono entrati in vigore sul territorio comunitario i pezzi cruciali della legislazione comunitaria per armonizzare la prevenzione e la risposta in particolare alle “minacce informatiche, criminalità, rischi per la salute pubblica e catastrofi naturali“.
“Le recenti minacce alle infrastrutture critiche dell’Ue hanno tentato di minare la nostra sicurezza collettiva“, ha sottolineato la Commissione europea, facendo riferimento al sabotaggio di fine settembre dello scorso anno dei due gasdotti Nord Stream nel Mar Baltico. A questo si aggiungono i “nuovi rischi derivanti dall’aggressione della Russia all’Ucraina” sulle infrastrutture energetiche e di sicurezza dei Ventisette, per cui Ue e Nato hanno deciso di istituire una task force congiunta e il gabinetto von der Leyen ha presentato cinque linee-guida per la loro protezione: stress test, aumento della capacità di risposta attraverso il Meccanismo di protezione civile dell’Ue, identificazione satellitare delle minacce, rafforzamento della cooperazione internazionale e implementazione della legislazione comunitaria. Proprio come dimostra l’entrata in vigore della direttiva Nis2 e della direttiva Cer, che dovranno essere recepite nel diritto nazionale dei Paesi membri entro 21 mesi.
La direttiva aggiornata Nis 2 (Network Information Systems) garantirà l’ampliamento dei settori e delle tipologie di entità critiche che rientrano nel campo di applicazione: energia, trasporti, salute e infrastrutture digitali, compresi fornitori di reti e servizi pubblici di comunicazione elettronica, servizi dei centri dati, gestione delle acque reflue e dei rifiuti, enti della pubblica amministrazione e settore sanitario. Lo scopo è definire le regole minime per un quadro normativo e stabilire i meccanismi per la cooperazione tra le autorità competenti in ogni Stato membro. Saranno rafforzati i requisiti di gestione del rischio che le aziende sono tenute a rispettare e saranno snelliti gli obblighi di segnalazione degli incidenti con disposizioni più precise sul contenuto e tempistica. Grazie alla direttiva Nis2 sarà anche istituita formalmente la rete dell’Organizzazione europea di collegamento per le crisi informatiche (Eu-CyCLONe), che sosterrà la gestione coordinata di incidenti e crisi di cybersicurezza su larga scala.
La direttiva sulla resilienza dei soggetti critici (Cer) sostituisce invece quella del 2008, per rafforzare la resilienza delle infrastrutture critiche da rischi naturali, attacchi terroristici, minacce interne e sabotaggio. Saranno coperti in totale 11 settori, dall’energia ai trasporti, dalla sanità all’acqua potabile e le acque reflue, fino a infrastrutture digitali, spazio e settore alimentare. Gli Stati membri dell’Unione dovranno adottare una strategia nazionale ed effettuare valutazioni periodiche almeno ogni quattro anni, per identificare le entità considerate critiche o vitali per la società e l’economia. A loro volta i soggetti critici dovranno identificare i rischi rilevanti che possono interrompere in modo “significativo” la fornitura di servizi essenziali, adottare misure appropriate per la sicurezza e notificare alle autorità nazionali gli incidenti che causano interruzioni. A questo si aggiunge l’identificazione degli enti “di particolare rilevanza europea“, ovvero quelli che forniscono un servizio essenziale a sei o più Stati membri: in questo caso la Commissione Ue può proporre – con l’accordo delle capitali interessate – di valutare le misure messe in atto per soddisfare gli obblighi previsti dalla direttiva Cer.