1. Introduzione alla Regolamentazione UE in Materia di Frode Informatica
1.1 Contesto storico e necessità di una regolamentazione a livello europeo
La frode informatica è un fenomeno in rapida crescita che ha assunto dimensioni transnazionali, rendendo necessaria una risposta coordinata a livello europeo. La frammentazione delle normative nazionali ha spesso ostacolato la cooperazione giuridica internazionale, dando luogo a “paradisi digitali” dove i criminali informatici potevano operare con relativa impunità.
Nel contesto europeo, la necessità di una regolamentazione comune è stata riconosciuta già negli anni ’90, ma è con l’entrata in vigore del Trattato di Lisbona nel 2009 che l’Unione Europea ha acquisito competenze più estese in materia di giustizia e affari interni, inclusa la lotta alla criminalità informatica. La Direttiva 2013/40/UE relativa agli attacchi contro i sistemi informativi è un esempio di tale impegno. Questa direttiva mira a armonizzare le legislazioni nazionali e a migliorare la cooperazione tra le autorità giudiziarie e di polizia degli Stati membri.
La crescente integrazione dei mercati digitali e la diffusione delle tecnologie dell’informazione e della comunicazione (TIC) hanno ulteriormente accentuato la necessità di un quadro normativo comune. La frode informatica, infatti, non conosce confini e può avere ripercussioni significative non solo sul mercato interno ma anche sulla sicurezza degli Stati membri.
In questo contesto, la regolamentazione a livello europeo non è solo opportuna, ma indispensabile. Essa permette di affrontare le sfide poste dalla natura transfrontaliera della frode informatica, fornendo strumenti adeguati per la prevenzione, l’indagine e la persecuzione di tali reati, nel rispetto dei diritti fondamentali e delle libertà individuali garantite dai trattati europei e dalla Carta dei diritti fondamentali dell’Unione Europea.
1.2 Obiettivi e scopi della regolamentazione UE in Materia di Frode Informatica
La regolamentazione dell’Unione Europea in materia di frode informatica è stata concepita per affrontare una serie di sfide e obiettivi chiave, che si possono articolare come segue:
1.2.1. Promozione della Resilienza Cibernetica
L’UE mira a promuovere la resilienza cibernetica attraverso varie iniziative e leggi. Questo include la protezione delle infrastrutture critiche come i sistemi di trasporto, sanità, energia e finanza. La resilienza cibernetica è vista come un prerequisito per la sicurezza della società e dell’economia nel suo complesso (Fighting cybercrime: new EU cybersecurity laws explained; REGULATION (EU) 2021/887 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL).
1.2.2 Lotta alla Cybercriminalità
La regolamentazione UE è progettata per combattere attivamente la cybercriminalità. Questo è particolarmente rilevante in un’epoca in cui la vita quotidiana delle persone e le economie sono sempre più dipendenti dalle tecnologie digitali (Fighting cybercrime: new EU cybersecurity laws explained; REGULATION (EU) 2021/887 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL).
1.2.3 Potenziamento della Diplomazia e della Difesa Cibernetica
L’UE è impegnata a rafforzare la sua posizione in termini di diplomazia e difesa cibernetica. Questo include la cooperazione tra gli Stati membri e la promozione di una “Europa cibernetica resiliente” (Cybersecurity: how the EU tackles cyber threats).
1.2.4 Finanziamento e Ricerca
L’UE ha previsto fondi specifici per la ricerca e lo sviluppo nel campo della cybersecurity. Questo è parte di un impegno più ampio per mantenere e sviluppare capacità di ricerca e tecnologiche essenziali per garantire la sicurezza delle reti e dei sistemi informativi (Cybersecurity: how the EU tackles cyber threats; REGULATION (EU) 2021/887 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL).
1.2.5 Autonomia Digitale e Sviluppo Tecnologico
L’UE mira a ridurre la dipendenza da fornitori di cybersecurity non europei. È nell’interesse strategico dell’Unione garantire che essa mantenga e sviluppi capacità di ricerca e tecnologiche fondamentali nel campo della cybersecurity (REGULATION (EU) 2021/887 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL).
1.2.6 Allineamento e Missione Comune
La regolamentazione UE cerca di allineare gli sforzi delle comunità industriali e di ricerca, che sono attualmente frammentati e carenti di una missione comune, ostacolando così la competitività e la protezione efficace delle reti e dei sistemi (REGULATION (EU) 2021/887 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL).
1.2.7 Considerazioni Societarie ed Etiche
La regolamentazione tiene conto delle implicazioni societarie ed etiche, promuovendo una cybersecurity che coinvolga persone, prodotti, processi e tecnologie (REGULATION (EU) 2021/887 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL).
Questi obiettivi e scopi sono in linea con la strategia globale dell’UE per diventare un leader mondiale nel campo della cybersecurity entro il 2025, come sottolineato dai Capi di Stato e di Governo al Tallinn Digital Summit nel settembre 2017 (REGULATION (EU) 2021/887 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL).
2 Direttive e Regolamenti Fondamentali
2.1 GDPR e la protezione dei dati personali
Il Regolamento Generale sulla Protezione dei Dati (GDPR) è una pietra miliare nella regolamentazione dell’Unione Europea in materia di protezione dei dati personali. Entrato in vigore il 25 maggio 2018, il GDPR ha sostituito la Direttiva sulla Protezione dei Dati del 1995, introducendo una serie di nuove disposizioni e obblighi per le organizzazioni che trattano dati personali.
Ambito di Applicazione: Il GDPR ha un ambito di applicazione territoriale esteso, coprendo non solo le organizzazioni stabilite nell’UE, ma anche quelle al di fuori dell’UE che offrono beni o servizi ai cittadini dell’UE o che monitorano il loro comportamento.
Principi Fondamentali: Il regolamento si basa su sette principi fondamentali, tra cui la liceità, la trasparenza, la minimizzazione dei dati, l’accuratezza, la limitazione della conservazione, l’integrità e la riservatezza dei dati.
Diritti degli Interessati: Il GDPR ha rafforzato i diritti degli individui, introducendo nuovi diritti come il diritto all’oblio, il diritto alla portabilità dei dati e il diritto di opposizione al trattamento dei dati per scopi di marketing diretto.
Responsabilità e Accountability: Le organizzazioni sono tenute a dimostrare la conformità al GDPR attraverso una serie di misure, tra cui la valutazione d’impatto sulla protezione dei dati (DPIA), la designazione di un responsabile della protezione dei dati (DPO) e la notifica obbligatoria di violazioni dei dati alle autorità competenti entro 72 ore dalla scoperta.
Sanzioni: Le violazioni del GDPR possono comportare sanzioni pecuniarie significative, che possono arrivare fino al 4% del fatturato annuo globale o 20 milioni di euro, a seconda di quale sia maggiore.
Implicazioni sulla Frode Informatica: Il GDPR ha un impatto diretto sulla frode informatica, in quanto richiede che le organizzazioni adottino misure di sicurezza appropriate per proteggere i dati personali. Il mancato rispetto di queste misure può portare a violazioni dei dati, che a loro volta possono essere sfruttate per attività fraudolente (fonte: https://www.complianceweek.com/cybersecurity/paying-ransom-to-avoid-gdpr-fine-an-unwise-gambit/33507.article ).
2.2 Direttiva NIS sulla sicurezza delle reti e dell’informazione
La Direttiva NIS (Network and Information Security) rappresenta un pilastro fondamentale nella strategia dell’Unione Europea per garantire un elevato livello di sicurezza delle reti e dei sistemi informativi. Questa direttiva è stata introdotta con l’obiettivo di rafforzare la sicurezza informatica in tutti i settori che sono fortemente dipendenti dalla tecnologia dell’informazione e della comunicazione (TIC). In particolare, alcune aziende che forniscono un servizio essenziale per il mantenimento di attività sociali e/o economiche fondamentali sono identificate come Operatori di Servizi Essenziali (OES) (Fonte: IT Governance, URL: https://www.itgovernance.eu/it-it/nis-directive-it).
Obiettivi della Direttiva NIS
Gli obiettivi principali della Direttiva NIS sono:
1 Stabilire requisiti minimi per la sicurezza delle reti e dei sistemi informativi.
2 Promuovere la cooperazione tra gli Stati membri dell’UE.
3 Creare un quadro per la condivisione di informazioni e per il coordinamento in caso di incidenti di sicurezza.
Meccanismi di Cooperazione
La direttiva introduce vari meccanismi per facilitare la cooperazione tra gli Stati membri, tra cui:
1 Lo scambio di informazioni attraverso i servizi dei CSIRT (Computer Security Incident Response Teams).
2 La condivisione di informazioni relative a incidenti che riguardano la sicurezza delle reti e dei sistemi informativi.
3 La fornitura di supporto agli Stati membri nel gestire incidenti che attraversano i confini.
4 Il coordinamento tra Stati membri per affrontare rischi e incidenti che hanno implicazioni transfrontaliere (Fonte: Eur-Lex, URL: https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=LEGISSUM:4314915).
Implicazioni per gli Operatori di Servizi Essenziali (OES)
Gli OES sono tenuti a implementare misure tecniche e organizzative appropriate per gestire i rischi associati alla sicurezza delle reti e dei sistemi informativi. Essi sono anche obbligati a segnalare gli incidenti significativi alle autorità competenti.
Responsabilità degli Stati Membri
Gli Stati membri sono tenuti a designare una o più autorità nazionali per la sicurezza delle reti e dei sistemi informativi. Queste autorità avranno il compito di monitorare l’applicazione della direttiva a livello nazionale.
