Oggi 9 maggio 2018 è l'ultimo giorno utile per recepire nella legislazione nazionale degli stati membri la prima normativa dell'Unione europea sulla cibersicurezza, la direttiva NIS. L'Italia è in ritardo.

La direttiva sulla sicurezza delle reti e dei sistemi informativi (direttiva NIS) emanata dalla Unione Europea è entrata in vigore nell'agosto 2016. Gli Stati membri hanno avuto 21 mesi di tempo per recepire la direttiva nei rispettivi ordinamenti nazionali e dispongono di 6 mesi per identificare gli operatori dei servizi essenziali. Si tratta del primo insieme di norme giuridicamente vincolanti sulla cybersicurezza a livello dell'UE. La direttiva stabilisce un elevato livello comune di sicurezza delle reti e dei sistemi informativi nell'Unione.

Per dotare l'Europa degli strumenti adatti ad affrontare i ciberattacchi, la Commissione europea ha proposto inoltre nel settembre 2017 una vasta serie di misure per rafforzare la cibersicurezza nell'UE. Queste misure comprendevano una proposta per rafforzare l'agenzia dell'UE per la cibersicurezza e un nuovo sistema europeo di certificazione per garantire la sicurezza dei prodotti e servizi del mondo digitale.

Per aiutare gli Stati membri a recepire rapidamente la direttiva e rafforzare le loro capacità, l'Europa fornisce 38 milioni di € di finanziamenti fino al 2020 per sostenere i gruppi nazionali di intervento per la sicurezza informatica in caso di incidente e altre parti interessate della direttiva, quali gli operatori di servizi essenziali e i fornitori di servizi digitali. Gli Stati membri dovrebbero sfruttare al massimo le possibilità offerte da questa fonte di finanziamento.

In Italia siamo in forte ritardo. L'8 febbraio scorso, il Consiglio dei Ministri ha approvato, in via preliminare, lo schema di decreto legislativo che dovrebbe attuare da noi la direttiva Nis (vedi nostra notizia ndr) ma, da allora, il processo di approvazione si è fermato.

Tra gli elementi di maggior rilievo l'individuazione di 5 ministeri (sviluppo economico, infrastrutture e trasporti, economia, salute e ambiente) come "autorità competenti Nis" e del Dipartimento delle informazioni per la sicurezza con funzioni di punto di contatto unico. Un unico Computer Security Incident Response Team, detto Csirt italiano, che sostituirà gli attuali Cert Nazionale (operante presso il ministero dello Sviluppo economico) e CERT-PA (attivo presso l'Agenzia per l'Italia Digitale), la cui organizzazione e funzionamento saranno disciplinati mediante decreto. Lo schema di decreto legislativo dispone inoltre che gli operatori di servizi essenziali inoltrino al Csirt – e per conoscenza all' autorità competente Nis del proprio settore – le notifiche di incidenti informatici con impatto rilevante sui servizi forniti "senza ingiustificato ritardo".

L'attuale situazione di stallo politico certamente non aiuta ad arrivare al recepimento della direttiva Nis anche se la cybersecurity e un'assoluta priorità alla luce dei dati forniti dal rapporto Clusit che parla di  1.127 attacchi registrati nel corso dell'ultimo, con un incremento su base annua del 7,33%.

Valenzano, 9 maggio 2018