La proposta di revisione del Cybersecurity Act europeo – il cosiddetto CSA2 – nasce da un’esigenza difficilmente contestabile: rafforzare la resilienza cibernetica dell’Unione europea, ridurre la frammentazione del mercato digitale e migliorare la sicurezza delle catene di approvvigionamento delle TIC.
In un contesto segnato da minacce ibride, dipendenze tecnologiche e vulnerabilità transfrontaliere, l’Europa ha bisogno di strumenti più coerenti ed efficaci. Il punto, dunque, non è se l’Unione debba rafforzare la propria capacità di risposta, ma come debba farlo. Ed è proprio sotto tale profilo che alcune disposizioni del CSA2 sollevano interrogativi rilevanti.
Indice degli argomenti
Cybersecurity Act europeo CSA2: certificazione e catene TIC
La proposta interviene su aspetti regolatori centrali, tra cui la certificazione della cibersicurezza, disciplinata dal Titolo III, e la sicurezza delle catene di approvvigionamento delle tecnologie dell’informazione e della comunicazione (c.d. TIC), oggetto del Titolo IV.
Tra le disposizioni maggiormente discusse si collocano quelle in materia di fornitori ad alto rischio, contenute nel Titolo IV citato e, in particolare, negli artt. 99-104. Per ricondurre un fornitore nella predetta categoria, la disciplina delinea un articolato iter procedimentale che può prendere avvio, alternativamente, o a valle della procedura di valutazione dei rischi disciplinata dall’art. 99 o sulla base di altre fonti qualificate. Ai sensi dell’art. 99, la Commissione o almeno tre Stati membri possono chiedere al gruppo di cooperazione NIS di effettuare una valutazione coordinata, a livello dell’Unione, dei rischi per la sicurezza delle catene di approvvigionamento TIC. In presenza di una minaccia informatica significativa, la Commissione può procedere direttamente, previa consultazione degli Stati membri.
La valutazione individua le risorse TIC chiave, i principali autori delle minacce, i rischi e le vulnerabilità, elabora scenari di rischio e propone misure di attenuazione. Se, sulla base della valutazione emessa ai sensi dell’art. 99 o sulla base delle altre fonti qualificate, tra cui vengono espressamente richiamate le dichiarazioni pubbliche dell’Unione o di uno Stato membro, emerga un rischio grave e strutturale di natura non tecnica riconducibile ad un Paese terzo, la Commissione – tenendo in considerazione una serie di elementi chiave, tra cui l’eventuale presenza di normative o prassi che impongano la comunicazione preventiva delle vulnerabilità alle autorità del Paese terzo, l’assenza di rimedi giurisdizionali e controlli indipendenti, l’esistenza di attività informatiche dolose riconducibili a soggetti controllati dallo Stato – può indicare lo stesso come Paese terzo che «desta preoccupazioni per la cibersicurezza delle catene TIC» (cfr. art. 100).
A seguito della designazione del Paese terzo come fonte di rischio, la Commissione procede alla mappatura dei fornitori rilevanti e ne valuta il luogo di stabilimento, l’assetto proprietario e i rapporti di controllo, al fine di accertarne la riconducibilità al Paese interessato e disporne l’eventuale inserimento negli elenchi dei fornitori ad alto rischio.
Fornitori ad alto rischio: gli effetti giuridici della qualificazione
Dalla qualificazione come fornitore ad alto rischio conseguono rilevanti effetti giuridici, alcuni automatici, altri eventuali.
In particolare, l’art. 100 prevede l’esclusione del fornitore da determinate attività di normazione e certificazione, da specifiche procedure di appalto pubblico e da taluni programmi di finanziamento dell’Unione, nonché la revoca degli eventuali certificati europei di cibersicurezza già ottenuti. A tali conseguenze possono aggiungersi le misure di attenuazione adottate dalla Commissione ai sensi dell’art. 103, tramite le quali quest’ultima può prevedere finanche il divieto di utilizzare, installare o integrare nelle risorse TIC chiave componenti provenienti dai fornitori interessati.
Si tratta di effetti particolarmente severi, soprattutto considerando che la qualificazione non presuppone necessariamente l’accertamento di una concreta vulnerabilità dei prodotti o dei servizi forniti, fondandosi principalmente su rischi di natura non tecnica e sul collegamento del fornitore con un determinato Paese terzo. La procedura descritta e le misure che ne possono derivare sollevano, pertanto, diversi interrogativi sul piano giuridico, tanto più in un contesto nel quale le tecnologie europee non assicurano sempre, in ogni settore, gli standard di sicurezza più elevati.
CSA2, concorrenza e standardizzazione nel mercato ICT europeo
Innanzitutto, muovendo da una prospettiva di analisi economica del diritto, le norme in commento sollevano almeno due criticità di rilievo. In primis, la possibilità concreta di una esclusione dei fornitori qualificati ad alto rischio potrebbe ridurre la pressione concorrenziale nel mercato ICT europeo, con effetti negativi su prezzi, innovazione e varietà dell’offerta. In secundis, i processi di standardizzazione non rappresentano soltanto momenti di verifica tecnica ma anche strumenti essenziali di cooperazione commerciale globale e occasioni attraverso cui il modello regolatorio europeo può proiettarsi oltre i confini dell’Unione.
La questione assume, pertanto, anche una dimensione strategica: se alcuni fornitori fossero esclusi in modo automatico dai lavori europei di standardizzazione solo in base alla loro collocazione geografica, pur continuando a rivestire un ruolo significativo nei consessi internazionali, l’Europa rischierebbe di ridurre la propria capacità di incidere sulla definizione globale degli standard e di promuovere i propri valori regolatori. Ciò rischia, per assurdo, di vanificare il pur condivisibile approccio del CSA2 che promuove la certificazione come strumento di compliance per creare un mercato unico digitale con elevati standard di cybersicurezza all’interno della UE.
Proporzionalità e non discriminazione nella proposta CSA2
Le disposizioni, così concepite, appaiono poi in contrapposizione con alcuni principi cardine dell’ordinamento euro-unitario, tra cui, il principio di proporzionalità. Sotto tale profilo, sistemi che introducano limiti o divieti di partecipazione alle attività di standardizzazione o alle gare per tali fornitori rischiano, difatti, di eccedere quanto necessario per il perseguimento dell’obiettivo di sicurezza, soprattutto ove non siano accompagnati da una valutazione individualizzata dell’effettivo grado di rischio del singolo operatore e dei suoi prodotti e servizi.
Parimenti, analoghe perplessità emergono con riferimento al principio della non discriminazione poiché il sistema prospettato fonda l’esclusione dell’operatore non sulla relativa condotta, quanto sul collegamento con un Paese terzo qualificato come fonte di rischio. Ne deriva un’irragionevole presunzione automatica di pericolosità, difficilmente conciliabile con l’esigenza di neutralizzare il rischio cyber, che dipende invece prima di tutto dalla sicurezza intrinseca nella tecnologia.
Il ruolo della Commissione europea tra CSA2 e sicurezza nazionale
Ancora, sotto il profilo del rispetto del principio della sussidiarietà, il fatto che l’individuazione dei fornitori ad alto rischio (si veda l’art. 104) sia rimessa alla Commissione – mediante atti di esecuzione – costituisce un aspetto molto delicato e sul quale vale la pena interrogarsi.
La predetta valutazione, infatti, non sembra avere una natura prettamente tecnica, piuttosto, sembra sottendere ponderazioni di tipo politico-economico che incidono, in modo diretto, sulla sicurezza nazionale. Peraltro, della tendenza ad accentrare le funzioni in capo alla Commissione si trova conferma, oltre che in tema di disciplina dei fornitori ad alto rischio, anche in altre norme centrali della proposta. In particolare, l’art. 74 del CSA2 prevede la possibilità per la Commissione Ue di adottare sistemi di certificazione anche senza il parere favorevole delle autorità nazionali. Difatti, pur essendo previsto il coinvolgimento dell’ECCG e delle autorità competenti degli Stati membri, il loro apporto procedimentale rimane essenzialmente di natura consultiva. Anche in tal caso, si va ad incidere nella materia della sicurezza nazionale, cui è strettamente connesso il tema, tipicamente rimessa alla discrezionalità degli Stati membri.
Sicurezza delle TIC, mercato e autonomia strategica europea
Da quanto osservato emerge, dunque, l’opportunità di rivedere l’attuale formulazione della proposta affinché il rafforzamento della sicurezza, in particolare delle TIC, non si traduca in un sistema eccessivamente rigido, suscettibile di produrre effetti espulsivi sul mercato per i fornitori dei Paesi Terzi.
Allo stesso tempo, occorrerebbe ripensare, in un’ottica di tutela della sussidiarietà e proporzionalità, al ruolo della Commissione, anche al fine di preservare uno spazio effettivo per le valutazioni degli Stati membri, soprattutto in considerazione del fatto che le valutazioni e le misure disciplinate dal Titolo IV possono incidere su interessi connessi alla sicurezza nazionale. Un approccio europeo comune è certamente necessario ma la sua efficacia dipenderà dalla capacità di coniugare la sicurezza con le esigenze del mercato. Una regolazione troppo chiusa rischierebbe, infatti, di indebolire, soprattutto in assenza di alternative equivalenti homemade, proprio quegli obiettivi di resilienza, innovazione e autonomia strategica che il CSA2 intende perseguire.
Partecipa alla community