Cibersicurezza UE: filiere digitali sotto vigilanza europea

La sicurezza digitale è diventata una componente strutturale della sovranità europea. Attacchi informatici e ibridi contro servizi essenziali, infrastrutture critiche e istituzioni democratiche si susseguono con crescente frequenza e complessità, spesso riconducibili ad attori statali o a gruppi criminali altamente organizzati. In questo contesto, la Commissione europea ha presentato un nuovo pacchetto legislativo per rafforzare la resilienza e le capacità dell’Unione in materia di cibersicurezza.

Il cuore dell’iniziativa è la revisione del regolamento europeo sulla cibersicurezza del 2019, con l’obiettivo di rendere più sicure le catene di approvvigionamento delle tecnologie dell’informazione e della comunicazione (ICT) e di garantire che i prodotti digitali immessi sul mercato europeo siano sicuri “by design”, fin dalla fase di progettazione.

Certificazione unica e supply chain sotto controllo

Uno degli assi portanti della proposta riguarda l’armonizzazione a livello europeo delle procedure di certificazione per prodotti, servizi e componenti ICT. Il nuovo impianto normativo punta a semplificare i processi, evitando frammentazioni tra Stati membri, ma al tempo stesso ad aumentare il livello di affidabilità delle tecnologie utilizzate dalle amministrazioni pubbliche e dagli operatori di servizi essenziali.

In questo quadro viene rafforzato il ruolo di ENISA, chiamata a sostenere gli Stati membri non solo nella definizione degli schemi di certificazione, ma anche nella gestione delle minacce cyber e nella valutazione dei rischi lungo l’intera filiera tecnologica.

Stretta sugli acquisti da Paesi terzi

L’elemento più innovativo – e politicamente sensibile – del pacchetto riguarda gli acquisti di tecnologie provenienti da Paesi terzi. La proposta introduce l’obbligo di una riduzione strutturata dei rischi al momento dell’approvvigionamento, superando l’approccio volontario adottato in passato.

Il nuovo regolamento consentirebbe all’Unione di escludere fornitori o entità ritenuti ad alto rischio, sulla base non solo di criteri tecnologici, ma anche di valutazioni più ampie legate al contesto geopolitico e alla sicurezza complessiva. La Commissione potrà stilare una lista di società considerate non affidabili per la sicurezza informatica europea.

Come ha spiegato la vicepresidente della Commissione Henna Virkkunen, la procedura di certificazione «riguarderà esclusivamente la tecnologia», ma l’analisi dei rischi terrà conto anche dei Paesi di origine dei fornitori, andando oltre la dimensione puramente tecnica.

Dal caso Huawei a un approccio vincolante

L’iniziativa affonda le sue radici nelle raccomandazioni pubblicate dalla Commissione nel 2020, in piena controversia sul ruolo di Huawei nelle reti europee. All’epoca, Bruxelles si era limitata a indicazioni non vincolanti; oggi, invece, il rispetto delle regole diventa obbligatorio, a conferma di un cambio di paradigma nella gestione della sicurezza digitale.

L’obiettivo dichiarato è rispondere in modo strutturale alle crescenti minacce cyber, che spaziano dallo spionaggio industriale agli attacchi contro infrastrutture critiche, fino alle interferenze nei processi democratici.

Sicurezza vs dipendenza tecnologica

La proposta non è priva di criticità. Alcune associazioni del settore digitale, come la CCIA, hanno invitato Bruxelles a evitare derive protezionistiche. Resta inoltre aperto il tema della dipendenza tecnologica europea: nel 2023 l’Unione ha importato dagli Stati Uniti servizi digitali per circa 300 miliardi di dollari, un dato che evidenzia come la sicurezza delle filiere si intrecci con la necessità di rafforzare l’autonomia tecnologica dell’UE.

Una governance cyber più matura

Il nuovo pacchetto sulla cibersicurezza segna dunque un passaggio chiave: la sicurezza informatica non è più solo una questione tecnica, ma un fattore di governance, di politica industriale e di resilienza istituzionale. Per amministrazioni pubbliche e operatori ICT, questo significa muoversi in un quadro normativo più stringente, ma anche più chiaro, in cui certificazione, interoperabilità e affidabilità delle tecnologie diventano requisiti centrali per lo sviluppo digitale europeo.

---

LEGGI ANCHE