La Corte dei Conti Ue segnala carenze nell'azione dell'Ue per la sicurezza informatica: lo scarso scambio di informazioni e il coordinamento insufficiente ostacolano la risposta agli incidenti cyber
Le misure adottate dall'Ue per individuare gli incidenti di sicurezza informatica e rispondervi sono carenti, a causa di un insufficiente scambio di informazioni. La Corte dei Conti dell'Ue, in un rapporto diffuso oggi, esorta a migliorare le modalità di condivisione delle informazioni, a perfezionare il coordinamento per evitare il doppio lavoro tra i vari organismi coinvolti, a rendere operativo il sistema europeo di allerta per la cybersicurezza e a rafforzare i controlli di sicurezza sui beneficiari dei finanziamenti dell’Ue.
Gli incidenti di sicurezza informatica, ricorda la Corte, possono perturbare i servizi pubblici, le imprese, le infrastrutture critiche e il mercato interno dell’Ue. Sebbene la responsabilità di rispondere a questi incidenti spetti principalmente agli Stati membri, anche l’Ue svolge un ruolo "importante".
Questo vale, in particolare, quando questi incidenti causano gravi perturbazioni, perdite finanziarie significative o danni sostanziali a persone o organizzazioni (incidenti di cybersicurezza significativi) o quando colpiscono più Stati membri e vanno oltre la capacità di un singolo paese di rispondere efficacemente (incidenti di cybersicurezza su vasta scala).
Per far fronte a queste minacce, l’Ue investe sempre più nel rafforzamento della cybersicurezza. Nell’ambito del bilancio dell’Ue per il periodo 2021-2027, la principale fonte di finanziamento per la cybersicurezza è il programma Europa digitale, con una dotazione di 1,4 miliardi di euro.
“L’Ue ha compiuto progressi nella creazione di un quadro di cooperazione in materia di cibersicurezza, ma non sta ancora lavorando con la dovuta efficacia - ha dichiarato George-Marius Hyzler, membro della Corte dei conti europea responsabile dell’audit - quando si verifica un incidente informatico grave, sono essenziali informazioni tempestive e utilizzabili: senza di esse, le reti e i meccanismi perdono gran parte del loro valore aggiunto”.
Secondo gli auditor, il tallone d’Achille dell’intero sistema è l’insufficiente scambio di informazioni. Il programma per la cybersicurezza, adottato nel 2025, chiarisce ampiamente i ruoli e le responsabilità definendo le modalità con cui l’Ue dovrebbe gestire le principali crisi di sicurezza informatica.
Tuttavia, il modo in cui le due reti informatiche dell’Ue collaborano non è ancora stato definito formalmente. Questo ostacola la cooperazione tra la rete di Csirt, che riunisce le squadre nazionali che si occupano di incidenti informatici, e Eu-Cyclone, una rete dell’Ue per la cooperazione in caso di crisi informatiche.
Inoltre, in alcuni Stati membri le norme aggiornate dell’Ue in materia di cybersicurezza, come la direttiva Nis 2, sono ancora in fase di attuazione e, nel contempo, la normativa nazionale disciplinante la sicurezza limita le informazioni che possono essere condivise. Ciò significa che le reti dell’Ue potrebbero avere difficoltà a individuare precocemente le minacce e a coordinare una risposta efficace.
La Corte ha inoltre riscontrato sovrapposizioni tra alcuni organismi dell’Ue responsabili del monitoraggio delle minacce alla cybersicurezza. Il centro di situazione informatica della Commissione Europea è stato istituito nel 2022 ed è ampiamente assistito da fornitori esterni. Il lavoro che questi ultimi svolgono per il centro, osservano gli auditori, duplica in parte la capacità esistente dell’Agenzia dell’Unione europea per la cybersicurezza (Enisa) per il monitoraggio delle minacce e lo sviluppo della conoscenza situazionale.
Al momento dell’audit, il sistema europeo di allerta per la cybersicurezza non era ancora operativo: i due hub esaminati dagli auditor della Corte, Athena ed Ensoc, non erano entrati in funzione a causa di ritardi negli appalti. Inoltre, mancavano ancora i necessari accordi di cooperazione, un sistema comune di classificazione e le norme tecniche necessarie per il funzionamento del sistema.
La Corte ha inoltre individuato debolezze nelle modalità con cui sono state controllate alcune organizzazioni che ricevono finanziamenti dell’Ue per la cybersicurezza. Questi controlli mirano ad attenuare il rischio di intrusione o influenza da parte di Paesi non-Ue e a impedire che informazioni sensibili in materia di sicurezza siano condivise con autorità di Paesi non facenti parte dell’Ue.
Tuttavia, sebbene i beneficiari delle sovvenzioni siano responsabili della valutazione della proprietà e del controllo di terzi che ricevono sostegno finanziario, il Centro europeo di competenza per la cybersicurezza non verifica queste valutazioni. Di conseguenza, le infrastrutture sensibili, i dati operativi e le tecnologie critiche per la sicurezza "potrebbero essere esposte a rischi per la sicurezza".
L’architettura di cybersicurezza dell’Ue coinvolge numerosi soggetti pubblici e privati a livello regionale, nazionale e dell’Ue. La sicurezza informatica è inoltre un elemento essenziale della sicurezza e difesa nazionali. Tramite l’audit, la Corte ha valutato se le azioni dell’Ue facilitino in modo efficace l’individuazione degli incidenti di cybersicurezza significativi e su vasta scala e la risposta agli stessi. L’audit ha riguardato il periodo dal 2022 al 2025 e ha incluso missioni di in Irlanda, Grecia e Italia.
