Articolo 21 Meccanismo europeo di riesame degli incidenti di cibersicurezza

Su richiesta della Commissione o di EU-CyCLONe, l'ENISA, con il sostegno della rete di CSIRT e con l'approvazione degli Stati membri interessati, riesamina e valuta le minacce informatiche, le vulnerabilità sfruttabili note e le azioni di attenuazione in relazione a uno specifico incidente di cibersicurezza significativo o incidente di cibersicurezza su vasta scala. Al termine del riesame e della valutazione di un incidente e al fine di trarre gli opportuni insegnamenti per evitare o attenuare futuri incidenti, l'ENISA presenta una relazione di riesame dell'incidente a EU-CyCLONe, alla rete di CSIRT, agli Stati membri interessati e alla Commissione per sostenerli nello svolgimento dei loro compiti, in particolare quelli stabiliti agli articoli 15 e 16 della direttiva (UE) 2022/2555. Qualora un incidente abbia un impatto su un paese terzo associato al programma Europa digitale, l'ENISA fornisce la relazione al Consiglio. In tali casi, la Commissione fornisce la relazione all'alto rappresentante.

Per preparare la relazione di riesame dell'incidente di cui al paragrafo 1 del presente articolo, l'ENISA coopera con tutti i portatori di interessi, compresi i rappresentanti degli Stati membri, la Commissione, altre istituzioni e altri organi e organismi pertinenti dell'Unione, l'industria, inclusi i fornitori di servizi di sicurezza gestiti, e gli utenti di servizi di cibersicurezza, e raccoglie i feedback da essi ricevuti. Ove opportuno, l'ENISA, in collaborazione con i CSIRT e, se del caso, le autorità competenti designate o stabilite a norma dell'articolo 8, paragrafo 1, della direttiva (UE) 2022/2555, coopera anche con i soggetti interessati da incidenti di cibersicurezza significativi o da incidenti di cibersicurezza su vasta scala. I rappresentanti consultati dichiarano eventuali potenziali conflitti di interessi.

La relazione di riesame dell'incidente di cui al paragrafo 1 del presente articolo comprende un riesame e un'analisi dello specifico incidente di cibersicurezza significativo o incidente di cibersicurezza su vasta scala, nonché delle cause principali, delle vulnerabilità sfruttabili note e degli insegnamenti tratti. L'ENISA assicura che la relazione sia conforme al diritto dell'Unione o nazionale in materia di protezione delle informazioni sensibili o classificate. Se richiesto dagli Stati membri interessati o altri utenti di cui all'articolo 14, paragrafo 3, che sono interessati dall'incidente, i dati e le informazioni contenuti nella relazione sono anonimizzati. La relazione non include dettagli sulle vulnerabilità sfruttate attivamente che rimangono non risolte.

Ove opportuno, la relazione di riesame dell'incidente formula raccomandazioni per migliorare la posizione dell'Unione in materia di deterrenza informatica e può includere le migliori pratiche e gli insegnamenti tratti dai portatori di interessi.

L'ENISA può fornire una versione pubblica della relazione di riesame dell'incidente. Tale versione della relazione contiene solo informazioni pubbliche affidabili o altre informazioni affidabili per cui è stato ottenuto il consenso degli Stati membri interessati e, per quanto riguarda le informazioni relative a un utente di cui all'articolo 14, paragrafo 3, lettere b) o c), il consenso di tale utente.