Sei Paesi Ue si oppongono alla proposta della Commissione Ue di creare un punto di accesso unico centrale a livello Ue per le notifiche degli incidenti informatici.

Italia, Francia, Germania, Spagna, Olanda e Svezia hanno presentato un non-paper, consultato da MF-Milano Finanza, nel quale hanno sottolineato che «in un mondo in cui è necessario agire in modo rapido per contrastare efficacemente le minacce informatiche, semplificare il panorama della sicurezza informatica è una necessità».

Tuttavia la proposta di Bruxelles, contenuta nel Digital Omnibus, «aggiungerebbe ulteriore complessità alla risposta e alla notifica degli incidenti, con conseguenti ripercussioni sull’attuale trattamento delle notifiche di incidenti a livello nazionale da parte degli Stati membri». I sei Paesi si sono detti «fermamente convinti che la Commissione dovrebbe trovare modi alternativi per creare chiarezza sulla materia».

Le critiche degli Stati membri e del settore bancario

Le posizioni di questi Stati sono allineate a quelle delle banche. Sul tema l’associazione Afme (che ha tra i suoi membri Intesa Sanpaolo e Unicredit) aveva scritto una lettera alla Commissione Ue (si veda MF-Milano Finanza del 13 novembre). Il settore finanziario ha evidenziato sovrapposizioni tra i requisiti Dora e quelli del Cyber Resilience Act.

Secondo il non-paper dei sei Paesi, l’introduzione di un punto di accesso unico a livello Ue comporterebbe «una maggiore complessità, dato che esistono già strutture nazionali operative ed efficienti». Inoltre, la maggior parte delle società «non ha operazioni transfrontaliere».

I rischi della centralizzazione dei dati sensibili

Infine, la centralizzazione delle informazioni sensibili sulle notifiche di incidenti di 27 Stati renderebbe l’Ue «più vulnerabile agli attacchi informatici in caso di misure di sicurezza inadeguate. Riunire in un unico punto tutte le vulnerabilità delle strutture private, pubbliche e civili comporterebbe un rischio molto significativo per la sicurezza dei sistemi informatici e per la sicurezza nazionale».

Per i sei Paesi il modo più efficace di contrastare i rischi cyber è «investire nelle strutture esistenti». Inoltre «avrebbe un forte valore aggiunto lo sviluppo di un sito web Ue sugli obblighi di segnalazione degli incidenti». Tale sito web «potrebbe essere sviluppato e gestito dall’agenzia Ue per la cybersecurity Enisa» e «mapperebbe tutte le segnalazioni obbligatorie di incidenti negli Stati e a livello Ue e fornirebbe collegamenti all’autorità di segnalazione competente».

Secondo la proposta del non-paper, il sito web del punto unico di informazione non raccoglierà dati sulle notifiche e non memorizzerà informazioni relative agli obblighi di segnalazione previsti dalla legislazione. (riproduzione riservata)