Il Cyber Resilience Act dell’Unione Europea ha ricevuto disco verde ed entra nel vivo.
Il Consiglio europeo ha approvato la propria posizione negoziale sul sistema di norme che mirano a garantire la sicurezza e la resistenza alle minacce informatiche dei prodotti digitali, come smartphone e giocattoli. Oltre a fornire informazioni sulle loro proprietà di sicurezza.
“L’adozione del Cyber Resilience Act”, commenta Pierluigi Paganini, analista di cyber security e CEO Cybhorus, “è cruciale nell’attuale contesto caratterizzato da una elevata penetrazione tecnologia”.
Ecco i prossimi passaggi istituzionali, la prossima .
Resilienza operativa nelle organizzazioni: come evolve la normativa (e non solo)
Indice degli argomenti
Cyber Resilience Act: i prossimi passi
Anche la Commissione ha dato il suo primo via libera e la proposta di legge ha ricevuto l’esame della Commissione Industria ed Energia del Parlamento dell’UE. La Commissione ha espresso parere favorevole sul mandato negoziale. Il risultato della votazione è stato di 61 voti favorevoli, 1 contrario e 10 astenuti.
Una volta espletati questi passi, la sessione plenaria del Parlamento UE dovrà confermare l’approvazione dell’avvio del trilogo, i negoziati inter-istituzionali con Commissione e Consiglio UE che condurranno alla stesura definitiva del testo.
Il disco verde europeo
L’accordo raggiunto dal Consiglio dell’Unione europea riguardo alle specifiche di sicurezza per i prodotti digitali costituisce un importante passo avanti verso l’implementazione di norme che mirano a garantire la sicurezza dei prodotti con componenti digitali, come le videocamere domestiche connesse, i frigoriferi smart, le TV e i giocattoli.
Infatti “è fondamentale garantire che qualunque dispositivo ‘intelligente’ e dotato di connessione alla rete”, continua Paganini, sia sicuro da attacchi informatici che stanno divenendo sempre piu’ sofisticati.
L’accordo introdurrà requisiti obbligatori di sicurezza informatica per progettare, sviluppare, produrre e distribuire prodotti hardware e software sul mercato. La sfida è evitare l’adozione di norme differenti da parte dei singoli Stati membri.
Le modifiche che il Consiglio ha apportato riguardano le categorie di prodotti interessate dalle nuove norme, gli obblighi di notifica delle falle alle autorità nazionali, anziché all’Agenzia Europea per la cyber sicurezza, le misure per stabilire la durata dei prodotti, le regole di supporto per i piccoli produttori, semplificando la dichiarazione di conformità.
La posizione degli eurodeputati
Gli eurodeputati stanno proponendo puntualizzazioni, per definire i punti in maniera più mirata, oltre a fornire tempistiche realistiche e a chiedere di distribuire le responsabilità più equamente per la norma relativa al Parlamento europeo.
Inoltre, la proposta di diversificare gli elenchi, in base al livello di rischio dei prodotti, sembra avere il supporto degli eurodeputati, che chiedono di includere anche il software per i sistemi di gestione dell’identità, password manager, lettori biometrici, smart assistant domestici, smart watch e telecamere di sicurezza private. L’obiettivo è quello di garantire una maggiore sicurezza e protezione per i consumatori nell’era digitale.
Fra le proposte, emerge quella di irrobustire le competenze con i programmi di istruzione e formazione, iniziative di collaborazione e strategie per migliorare la mobilità della forza lavoro.
Riguardo alle skill nel settore della sicurezza informatica, il 52% delle imprese ammette di incontrare difficoltà nella ricerca di lavoratori esperti in ambito ICT, come sviluppatori software, data engineer e specialisti in cyber security. Quest’ultima figura professionale risulta essere una delle più gettonate per incentivare la transizione digitale nel settore dell’IT e Telco.
Lo scenario
I dati, emersi dal rapporto del Censis e dell’Associazione Italiana Digital Forensics (Iisfa), evidenziano un aumento significativo degli attacchi informatici alle infrastrutture in Italia nel 2022 rispetto all’anno precedente, con un incremento del 138%.
Nel periodo compreso tra il 2012 e il 2021, i reati informatici denunciati hanno registrato un aumento a tripla cifra del 155,2%. Le province di Milano e Roma risultano essere le più colpite in termini di numero di reati informatici denunciati.
Tuttavia, si osserva una diminuzione del numero di attacchi che hanno preso di mira obiettivi pubblici rilevanti per la sicurezza nazionale, con una diminuzione del 26%. Al contrario, gli attacchi di maggiore rilievo hanno interessato nel 56% dei casi infrastrutture informatiche di soggetti privati, registrando un aumento del 32% rispetto all’anno precedente. I gruppi criminali rappresentano il 47% degli attacchi, con un aumento del 33% rispetto al 2021, seguiti da attori statuali o sponsorizzati da Stati, che costituiscono il 26% del totale e registrano un aumento del 3%. Gli hacktivisti, invece, rappresentano l’8% degli attacchi, con una diminuzione del 15% rispetto al 2021.
Secondo i dati del Censis, nel 2022 il 76,9% degli italiani ha subito attacchi informatici. Soprattutto smishing e phishing.
In questo scenario, il Cyber Resilience Act è sempre più necessario. “Credo e spero che nell’iter che darà luogo alla legge vi saranno numerosi ostacoli”, conclude Paganini, “ma auspico che alla fine il buon senso abbia la meglio”.
