Una bozza di regolamento Ue per aumentare la sicurezza cyber delle istituzioni. Dall’invasione russa in Ucraina gli attacchi sono moltiplicati, ma l’escalation è iniziata due anni fa. Istruzioni più severe e un nuovo organismo per segnalare intrusioni hacker
L’Ue si mette al riparo dagli attacchi hacker. Un nuovo regolamento del Parlamento e del Consiglio europeo punta a rafforzare le istituzioni comunitarie dalle intrusioni esterne. Dopo gli allarmi di una ondata di azioni ostili durante la guerra in Ucraina arriva la reazione. La normativa, pubblicata in Gazzetta ufficiale, punta a stabilire “un livello comune elevato di cybersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione”. Tradotto: mettere al riparo Bruxelles e i suoi palazzi dal furto di informazioni sensibili. La guerra in Est-Europa è la miccia di una polveriera più grande.
Nelle settimane precedenti l’invasione da Bruxelles è risuonato più di un allarme. Prima la Banca centrale europea di Christine Lagarde, con l’avviso alle banche nazionali di prepararsi a fare i conti con un’offensiva di hacker russi. Poi il Consiglio Ue, sotto la presidenza francese, che ha organizzato una simulazione su larga scala di un attacco alle reti di distribuzione.
Adesso l’Ue indossa l’elmetto e irrigidisce il sistema dei controlli al suo interno. Ranghi serrati: da ora in poi tutte le istituzioni comunitarie avranno l’obbligo di “stabilire un quadro interno di gestione, di governance e di controllo dei rischi per la cibersicurezza” e di segnalare i rischi una volta individuati.
Al Cert (Computer emergency response team), il gruppo di controllo dell’Ue che deve rispondere alle segnalazioni di minacce informatiche, le istituzioni europee dovranno notificare entro 24 ore “le minacce informatiche, le vulnerabilità e gli incidenti significativi”. Dunque il compito per “ogni istituzione” di “garantire che un’adeguata percentuale della dotazione di bilancio destinata alle tecnologie dell’informazione sia spesa per la cibersicurezza”.
Il regolamento prevede poi la nascita di un nuovo organismo, il Comitato interistituzionale per la cibersicurezza (Iicb), composto da tre rappresentanti designati dalla rete delle agenzie dell’Unione (Euan), più un rappresentante di tutte le istituzioni Ue. Una ristrutturazione che si è resa necessaria alla luce dell’escalation di attacchi.
Non solo quelli legati all’invasione russa: la pandemia e l’ampiamento della platea digitale hanno portato un’impennata dell’attività di cybercriminali. Un fenomeno certificato dall’Enisa, l’agenzia cyber dell’Ue, nel suo ultimo “Threat report”.
Solo nel 2020, gli attacchi contro le agenzie e le istituzioni europee da parte di Apt (Advanced persistent threats) sono aumentati del 60%. In gran parte sono ransomware e operazioni di Ddos (Distributed denial of service). A inizio marzo i 27 Stati membri hanno firmato una dichiarazione per rafforzare le capacità di sicurezza informatica con l’impegno della Commissione a creare un nuovo fondo.
