REGOLAMENTO DI ESECUZIONE (UE) 2024/2690 DELLA COMMISSIONE del 17 ottobre 2024 recante modalità di applicazione della direttiva (UE) 2022/2555 per quanto riguarda i requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza e l’ulteriore specificazione dei casi in cui un incidente è considerato significativo per quanto riguarda i fornitori di servizi DNS, i registri dei nomi di dominio di primo livello, i fornitori di servizi di cloud computing, i fornitori di servizi di data center, i fornitori di reti di distribuzione dei contenuti, i fornitori di servizi gestiti, i fornitori di servizi di sicurezza gestiti, i fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network e i prestatori di servizi fiduciari (Testo rilevante ai fini del SEE)

(1)

Per quanto riguarda i fornitori di servizi DNS, i registri dei nomi di dominio di primo livello, i fornitori di servizi di cloud computing, i fornitori di servizi di data center, i fornitori di reti di distribuzione dei contenuti, i fornitori di servizi gestiti, i fornitori di servizi di sicurezza gestiti, i fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network e i prestatori di servizi fiduciari di cui all’articolo 3 della direttiva (UE) 2022/2555 (i soggetti pertinenti), il presente regolamento mira a stabilire i requisiti tecnici e metodologici delle misure di cui all’articolo 21, paragrafo 2, della suddetta direttiva e a specificare ulteriormente i casi in cui un incidente dovrebbe essere considerato significativo a norma dell’articolo 23, paragrafo 3, della medesima.

(2)

Tenendo conto della natura transfrontaliera delle loro attività e al fine di assicurare un quadro coerente per i prestatori di servizi fiduciari, per tali prestatori il presente regolamento dovrebbe specificare ulteriormente i casi in cui un incidente deve essere considerato significativo, oltre a stabilire i requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza.

(3)

A norma dell’articolo 21, paragrafo 5, terzo comma, della direttiva (UE) 2022/2555, i requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza di cui all’allegato del presente regolamento si basano su norme europee e internazionali, quali ISO/IEC 27001, ISO/IEC 27002 ed ETSI EN 319401, e su specifiche tecniche, quali CEN/TS 18026:2024, pertinenti per la sicurezza dei sistemi informativi e di rete.

(4)

Per quanto concerne l’attuazione e l’applicazione dei requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza di cui all’allegato del presente regolamento, in linea con il principio di proporzionalità, nel conformarsi a tali requisiti tecnici e metodologici è opportuno tenere debitamente conto dell’esposizione al rischio divergente dei soggetti pertinenti, quali la criticità del soggetto pertinente, i rischi cui è esposto, le dimensioni e la struttura del soggetto pertinente, nonché la probabilità che si verifichino incidenti e la loro gravità, compreso il loro impatto sociale ed economico.

(5)

In linea con il principio di proporzionalità, qualora non possano attuare alcuni dei requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza in ragione delle loro dimensioni, i soggetti pertinenti dovrebbero poter adottare altre misure compensative idonee a conseguire la finalità di tali requisiti. Ad esempio, nel definire i ruoli, le responsabilità e le autorità per la sicurezza delle reti e dei sistemi informativi all’interno del soggetto pertinente, i microsoggetti potrebbero avere difficoltà a separare funzioni e settori di responsabilità contrastanti. Tali soggetti dovrebbero poter prendere in considerazione misure compensative quali una sorveglianza mirata da parte della dirigenza del soggetto in questione o un aumento delle attività di monitoraggio e registrazione.

(6)

Alcuni requisiti tecnici e metodologici stabiliti nell’allegato del presente regolamento dovrebbero essere applicati ai soggetti pertinenti se opportuno, se applicabile o nella misura del possibile. Qualora ritenga che l’applicazione di determinati requisiti tecnici e metodologici di cui all’allegato del presente regolamento non sia opportuna, applicabile o possibile, un soggetto pertinente dovrebbe documentare in modo comprensibile le ragioni di tale decisione. Nell’esercizio delle funzioni di vigilanza le autorità nazionali competenti possono tenere conto del tempo necessario affinché i soggetti pertinenti attuino i requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza.

(7)

L’Agenzia dell’Unione europea per la cibersicurezza (ENISA) o le autorità nazionali competenti a norma della direttiva (UE) 2022/2555 possono fornire orientamenti al fine di sostenere i soggetti pertinenti nell’individuazione, nell’analisi e nella valutazione dei rischi ai fini dell’attuazione dei requisiti tecnici e metodologici relativi all’istituzione e al mantenimento di un quadro adeguato per la gestione dei rischi. Tra tali orientamenti possono figurare, in particolare, valutazioni dei rischi nazionali e settoriali, nonché valutazioni dei rischi specifiche per un determinato tipo di soggetto. Tali orientamenti possono comprendere altresì strumenti o modelli per lo sviluppo di un quadro per la gestione dei rischi a livello dei soggetti pertinenti. Anche i quadri, gli orientamenti o altri meccanismi previsti dal diritto nazionale degli Stati membri, nonché le pertinenti norme europee e internazionali, possono aiutare i soggetti pertinenti a dimostrare la propria conformità al presente regolamento. L’ENISA o le autorità nazionali competenti a norma della direttiva (UE) 2022/2555 possono inoltre sostenere i soggetti pertinenti nell’individuazione e nell’attuazione di soluzioni adeguate per trattare i rischi individuati nel contesto di tali valutazioni dei rischi. Tali orientamenti dovrebbero lasciare impregiudicati gli obblighi per i soggetti pertinenti di individuare e documentare i rischi posti alla sicurezza dei sistemi informativi e di rete e di attuare i requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza di cui all’allegato del presente regolamento in funzione delle loro esigenze e risorse.

(8)

Le misure di sicurezza delle reti in relazione i) alla transizione verso protocolli di comunicazione a livello di rete di ultima generazione, ii) all’introduzione di norme moderne di comunicazione via posta elettronica concordate a livello internazionale e interoperabili e iii) all’applicazione delle migliori pratiche per la sicurezza del DNS e per la sicurezza dell’instradamento in Internet, come pure per l’igiene dell’instradamento, comportano sfide specifiche per quanto concerne l’individuazione delle migliori norme e delle migliori tecniche di diffusione disponibili. Al fine di conseguire quanto prima un livello comune elevato di cibersicurezza tra le reti, la Commissione, con l’assistenza dell’ENISA e in collaborazione con le autorità competenti, l’industria (compresa l’industria delle telecomunicazioni) e altri portatori di interessi, dovrebbe sostenere lo sviluppo di un forum multipartecipativo incaricato di individuare tali migliori norme e tecniche di diffusione disponibili. Gli orientamenti multipartecipativi in questione non dovrebbero pregiudicare l’obbligo per i soggetti pertinenti di attuare i requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza di cui all’allegato del presente regolamento.

(9)

A norma dell’articolo 21, paragrafo 2, lettera a), della direttiva (UE) 2022/2555, oltre alle politiche di analisi dei rischi, i soggetti essenziali e importanti dovrebbero disporre di politiche di sicurezza dei sistemi informativi. A tal fine, i soggetti pertinenti dovrebbero stabilire una politica di sicurezza dei sistemi informativi e di rete nonché politiche specifiche per tematica, quali le politiche sul controllo dell’accesso, che dovrebbero essere coerenti con la politica di sicurezza dei sistemi informativi e di rete. Quest’ultima politica dovrebbe essere il documento di livello più elevato che definisce l’approccio generale dei soggetti pertinenti alla sicurezza dei sistemi informativi e di rete e dovrebbe essere approvata dagli organi di gestione dei soggetti pertinenti. Le politiche specifiche per tematica dovrebbero essere approvate da un livello di dirigenza adeguato. Tale politica dovrebbe inoltre stabilire indicatori e misure volti a monitorare la sua attuazione nonché lo stato corrente del livello di maturità della sicurezza delle reti e dei sistemi informativi dei soggetti pertinenti, in particolare al fine di agevolare la sorveglianza dell’attuazione delle misure di gestione dei rischi di cibersicurezza attraverso gli organi di gestione.

(10)

Ai fini dei requisiti tecnici e metodologici di cui all’allegato del presente regolamento, il termine «utente» dovrebbe comprendere tutte le persone fisiche e giuridiche che hanno accesso ai sistemi informativi e di rete del soggetto in questione.

(11)

Per individuare e affrontare i rischi per la sicurezza dei sistemi informativi e di rete, i soggetti pertinenti dovrebbero istituire e mantenere un quadro adeguato per la gestione dei rischi. Nell’ambito del quadro per la gestione dei rischi, i soggetti pertinenti dovrebbero stabilire, attuare e monitorare un piano di trattamento dei rischi. I soggetti pertinenti possono utilizzare tale piano per individuare le misure e le opzioni di trattamento dei rischi e definirne l’ordine di priorità. Tra le opzioni di trattamento dei rischi figurano, in particolare, la prevenzione, la riduzione o, in casi eccezionali, l’accettazione del rischio. La scelta delle opzioni di trattamento dei rischi dovrebbe tenere conto dei risultati della valutazione dei rischi effettuata dal soggetto pertinente ed essere conforme alla sua politica di sicurezza dei sistemi informativi e di rete. Per applicare le opzioni di trattamento dei rischi prescelte, i soggetti pertinenti dovrebbero adottare le misure di trattamento dei rischi adeguate.

(12)

Per individuare eventi, quasi incidenti e incidenti, i soggetti pertinenti dovrebbero monitorare i propri sistemi informativi e di rete e dovrebbero adottare misure volte a valutare eventi, quasi incidenti e incidenti. Tali misure dovrebbero essere in grado di consentire il rilevamento tempestivo di attacchi fondati sulle reti basati su modelli anomali di traffico in ingresso o in uscita e di attacchi di negazione del servizio.

(13)

Quando conducono un’analisi dell’impatto sulle attività aziendali (business impact analysis), i soggetti pertinenti sono incoraggiati a effettuare un’analisi completa che stabilisca, a seconda dei casi, i tempi di inattività massimi tollerabili e gli obiettivi in termini di tempi di ripristino, punto di ripristino e fornitura di servizi.

(14)

Al fine di attenuare i rischi derivanti dalla loro catena di approvvigionamento e dalle relazioni con i loro fornitori, i soggetti pertinenti dovrebbero stabilire una politica di sicurezza della catena di approvvigionamento che disciplini le loro relazioni con i loro diretti fornitori e fornitori di servizi. Tali soggetti dovrebbero specificare nei contratti con i loro diretti fornitori o fornitori di servizi clausole di sicurezza adeguate che impongano ad esempio l’adozione, se opportuno, di misure di gestione dei rischi di cibersicurezza conformemente all’articolo 21, paragrafo 2, della direttiva (UE) 2022/2555 o ad altri requisiti giuridici analoghi.

(15)

I soggetti pertinenti dovrebbero effettuare periodicamente test di sicurezza sulla base di una politica e di procedure apposite al fine di verificare se le misure di gestione dei rischi di cibersicurezza siano attuate e funzionino correttamente. I test di sicurezza possono essere svolti su sistemi informativi e di rete specifici oppure sul soggetto pertinente nel suo complesso e possono contemplare test automatizzati o manuali, test di penetrazione, scansioni delle vulnerabilità, test statici e dinamici di sicurezza delle applicazioni, test di configurazione o audit della sicurezza. I soggetti pertinenti possono effettuare test di sicurezza sui loro sistemi informativi e di rete al momento della loro creazione, in seguito ad ammodernamenti o modifiche delle infrastrutture o delle applicazioni che ritengono essere significativi/e oppure in seguito a interventi di manutenzione. I risultati dei test di sicurezza dovrebbero orientare le politiche e le procedure dei soggetti pertinenti al fine di valutare l’efficacia delle misure di gestione dei rischi di cibersicurezza, nonché riesami indipendenti delle loro politiche in materia di sicurezza delle reti e dei sistemi informativi.

(16)

Al fine di evitare perturbazioni e danni significativi causati dallo sfruttamento delle vulnerabilità non corrette tramite patch nei sistemi informativi e di rete, i soggetti pertinenti dovrebbero stabilire e applicare adeguate procedure di gestione delle patch di sicurezza che siano in linea con le loro procedure di gestione delle modifiche, di gestione delle vulnerabilità e di gestione dei rischi, nonché con altre procedure pertinenti. I soggetti pertinenti dovrebbero adottare misure proporzionate alle loro risorse per garantire che le patch di sicurezza non introducano ulteriori vulnerabilità o instabilità. In caso di prevista inaccessibilità del servizio causata dall’applicazione di patch di sicurezza, i soggetti pertinenti sono incoraggiati a informare debitamente i clienti in anticipo.

(17)

I soggetti pertinenti dovrebbero gestire i rischi derivanti dall’acquisizione di prodotti delle tecnologie dell’informazione e della comunicazione (TIC) o servizi TIC da fornitori o fornitori di servizi e dovrebbero ottenere la garanzia che i prodotti TIC o i servizi TIC che acquisiranno conseguano determinati livelli di protezione della cibersicurezza, ad esempio mediante certificati europei di cibersicurezza e dichiarazioni di conformità dell’UE per i prodotti TIC o i servizi TIC rilasciati nell’ambito di un sistema europeo di certificazione della cibersicurezza adottato a norma dell’articolo 49 del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio (2). Qualora stabiliscano requisiti di sicurezza da applicare ai prodotti TIC da acquisire, i soggetti pertinenti dovrebbero tenere conto dei requisiti essenziali di cibersicurezza stabiliti nel regolamento del Parlamento europeo e del Consiglio relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali.

(18)

Al fine di fornire protezione contro minacce informatiche e sostenere la prevenzione e il contenimento delle violazioni dei dati, i soggetti pertinenti dovrebbero attuare soluzioni per la sicurezza delle reti. Tra le soluzioni tipiche per la sicurezza delle reti figurano l’uso di firewall per proteggere le reti interne dei soggetti pertinenti, la limitazione delle connessioni e dell’accesso ai servizi qualora tali connessioni e accesso siano assolutamente necessari e l’uso di reti private virtuali per l’accesso remoto, nonché la possibilità di consentire le connessioni dei fornitori di servizi soltanto previa richiesta di autorizzazione e per un periodo di tempo determinato, quale la durata di un’operazione di manutenzione.

(19)

Per proteggere le proprie reti e i propri sistemi informativi da software malevoli e non autorizzati, i soggetti pertinenti dovrebbero attuare controlli volti a impedire o rilevare l’uso di software non autorizzati e, se opportuno, dovrebbero utilizzare software di rilevamento e risposta. I soggetti pertinenti dovrebbero inoltre prendere in considerazione l’attuazione di misure volte a ridurre al minimo la superficie di attacco, ridurre le vulnerabilità che possono essere sfruttate dagli autori degli attacchi, controllare l’esecuzione delle applicazioni negli endpoint e utilizzare filtri delle applicazioni per la posta elettronica e il web al fine di ridurre l’esposizione a contenuti malevoli.

(20)

A norma dell’articolo 21, paragrafo 2, lettera g), della direttiva (UE) 2022/2555, gli Stati membri devono provvedere affinché i soggetti essenziali e importanti applichino pratiche di igiene informatica di base e forniscano formazione in materia di cibersicurezza. Tra le pratiche di igiene informatica di base possono figurare principi zero trust, aggiornamenti del software, configurazione dei dispositivi, segmentazione della rete, gestione delle identità e degli accessi o sensibilizzazione degli utenti, organizzazione di attività di formazione per il personale e sensibilizzazione in merito alle minacce informatiche, al phishing o alle tecniche di ingegneria sociale. Le pratiche di igiene informatica costituiscono parte di diversi requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza di cui all’allegato del presente regolamento. Per quanto riguarda le pratiche di igiene informatica di base per gli utenti, i soggetti pertinenti dovrebbero prendere in considerazione pratiche quali una politica «clear desk» (scrivania pulita) e «clear screen» (schermo pulito), l’uso di mezzi di autenticazione a più fattori e di altro tipo, pratiche sicure per l’uso della posta elettronica e della navigazione sul web, la protezione dal phishing e dall’ingegneria sociale e pratiche sicure di lavoro a distanza.

(21)

Al fine di impedire l’accesso non autorizzato alle loro risorse, i soggetti pertinenti dovrebbero stabilire e attuare una politica specifica per tematica sull’accesso da parte delle persone fisiche e dei sistemi informativi e di rete, quali le applicazioni.

(22)

Per evitare che i dipendenti possano ad esempio usare in modo improprio i diritti di accesso all’interno di un soggetto pertinente per nuocere e causare danni, i soggetti pertinenti dovrebbero prendere in considerazione adeguate misure di gestione della sicurezza del personale e sensibilizzare l’organico in merito a tali rischi. I soggetti pertinenti dovrebbero istituire, comunicare e mantenere un processo disciplinare per la gestione delle violazioni delle loro politiche di sicurezza dei sistemi informativi e di rete, che può essere integrato in altri processi disciplinari da essi istituiti. La verifica dei precedenti personali dei dipendenti e, se applicabile, dei diretti fornitori e fornitori di servizi dei soggetti pertinenti dovrebbe contribuire all’obiettivo della sicurezza delle risorse umane dei soggetti pertinenti, e può includere misure quali controlli dei precedenti penali o delle passate funzioni professionali, a seconda delle funzioni che il dipendente esercita in seno al soggetto pertinente e in linea con la politica di sicurezza dei sistemi informativi e di rete di tale soggetto.

(23)

L’autenticazione a più fattori può migliorare la cibersicurezza dei soggetti, che dovrebbero prenderla in considerazione in particolare quando gli utenti accedono ai sistemi informativi e di rete da ubicazioni remote o quando accedono a informazioni sensibili o ad account privilegiati e ad account di amministrazione dei sistemi. L’autenticazione a più fattori può essere combinata con altre tecniche volte a richiedere fattori aggiuntivi in circostanze specifiche, sulla base di norme e modelli predefiniti, quali l’accesso da un’ubicazione, da un dispositivo o in un orario insoliti.

(24)

I soggetti pertinenti dovrebbero gestire e proteggere le risorse di valore attraverso una sana gestione, che dovrebbe fungere anche da base per l’analisi dei rischi e la gestione della continuità operativa. I soggetti pertinenti dovrebbero gestire tanto le risorse materiali quanto quelle immateriali e creare un inventario delle risorse, associarle a un livello di classificazione definito, gestirle e monitorarle e adottare misure volte a proteggerle durante tutto il loro ciclo di vita.

(25)

La gestione delle risorse dovrebbe contemplarne la classificazione in base al tipo, alla sensibilità, al livello di rischio e ai requisiti di sicurezza, nonché comportare l’applicazione di misure e controlli adeguati per garantirne la disponibilità, l’integrità, la riservatezza e l’autenticità. Classificando le risorse in base al livello di rischio, i soggetti pertinenti dovrebbero poter applicare misure e controlli di sicurezza adeguati volti a proteggere le risorse quali la crittografia, il controllo dell’accesso, compreso il controllo dell’accesso perimetrale, fisico e logico, i backup, la registrazione e il monitoraggio, la conservazione e lo smaltimento. Nell’effettuare un’analisi dell’impatto sulle attività aziendali, i soggetti pertinenti possono stabilire il livello di classificazione sulla base delle conseguenze che subirebbero nel caso di una perturbazione delle risorse. Tutti i dipendenti dei soggetti che gestiscono le risorse dovrebbero avere familiarità con le politiche e le istruzioni in materia di gestione delle risorse.

(26)

La granularità dell’inventario delle risorse dovrebbe essere adeguata alle esigenze dei soggetti pertinenti. Un inventario completo delle risorse potrebbe comprendere, per ciascuna risorsa, quanto meno un identificativo unico, il proprietario, una descrizione, l’ubicazione, il tipo, il tipo e la classificazione delle informazioni trattate nella risorsa, la data dell’ultimo aggiornamento o dell’ultima patch, la classificazione nel contesto della valutazione dei rischi e la fine del ciclo di vita. Nell’individuare il proprietario di una risorsa, i soggetti pertinenti dovrebbero altresì individuare la persona competente per la protezione della risorsa.

(27)

L’assegnazione e l’organizzazione dei ruoli, delle responsabilità e delle autorità in materia di cibersicurezza dovrebbero costituire una struttura coerente per la governance e l’attuazione della cibersicurezza in seno ai soggetti pertinenti e dovrebbero garantire una comunicazione efficace in caso di incidenti. Nel definire le responsabilità e nell’assegnarle a determinati ruoli, i soggetti pertinenti dovrebbero prendere in considerazione ruoli quali il responsabile capo della sicurezza delle informazioni, il responsabile della sicurezza delle informazioni, il responsabile della gestione degli incidenti, l’auditor o altre figure equivalenti comparabili. I soggetti pertinenti possono assegnare ruoli e responsabilità a parti esterne, quali i fornitori terzi di servizi TIC.

(28)

Conformemente all’articolo 21, paragrafo 2, della direttiva (UE) 2022/2555, le misure di gestione dei rischi di cibersicurezza devono essere basate su un approccio multirischio mirante a proteggere i sistemi informativi e di rete e il loro ambiente fisico da eventi quali furti, incendi, inondazioni, problemi di telecomunicazione o interruzioni di corrente, o da qualsiasi accesso fisico non autorizzato nonché dai danni alle informazioni detenute dai soggetti essenziali o importanti e agli impianti di trattamento delle informazioni di questi ultimi e dalle interferenze con tali informazioni o impianti che possano compromettere la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati conservati, trasmessi o elaborati o dei servizi offerti da tali sistemi informativi e di rete o accessibili attraverso di essi. I requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza dovrebbero pertanto riguardare anche la sicurezza fisica e ambientale dei sistemi informativi e di rete, includendo misure volte a proteggere tali sistemi da guasti del sistema, errori umani, azioni malevole o fenomeni naturali. Tra gli ulteriori esempi di minacce fisiche e ambientali figurano i terremoti, le esplosioni, il sabotaggio, le minacce interne, i disordini civili, i rifiuti tossici e le emissioni ambientali. La prevenzione di perdite, danni o compromissioni a carico dei sistemi informativi e di rete o dell’interruzione delle loro attività a causa di guasti e perturbazioni dei servizi pubblici di sostegno dovrebbero contribuire all’obiettivo della continuità operativa in seno ai soggetti pertinenti. Inoltre la protezione dalle minacce fisiche e ambientali dovrebbe contribuire alla sicurezza della manutenzione dei sistemi informativi e di rete in seno ai soggetti pertinenti.

(29)

I soggetti pertinenti dovrebbero progettare e attuare misure di protezione dalle minacce fisiche e ambientali e stabilire soglie di controllo minime e massime per tali minacce, nonché monitorare i parametri ambientali. Essi dovrebbero ad esempio prendere in considerazione l’installazione di sistemi per il rilevamento precoce di allagamenti nelle zone in cui sono situati i sistemi informativi e di rete. Per quanto riguarda il pericolo di incendio, i soggetti pertinenti dovrebbero prendere in considerazione la creazione di un compartimento antincendio separato per il data center, l’uso di materiali resistenti al fuoco e sensori per il monitoraggio della temperatura e dell’umidità, il collegamento dell’edificio a un sistema di allarme antincendio che preveda una notifica automatica al servizio antincendio locale e sistemi di rilevamento ed estinzione precoci degli incendi. I soggetti pertinenti dovrebbero inoltre effettuare periodicamente esercitazioni antincendio e ispezioni antincendio. Al fine di assicurare la disponibilità di alimentazione elettrica, i soggetti pertinenti dovrebbero inoltre prendere in considerazione la protezione contro la sovratensione e l’alimentazione di emergenza corrispondente, conformemente alle norme pertinenti. Inoltre, dato che il surriscaldamento rappresenta un rischio per la disponibilità dei sistemi informativi e di rete, i soggetti pertinenti, in particolare i fornitori di servizi di data center, potrebbero prendere in considerazione sistemi adeguati, continui e ridondanti di condizionamento dell’aria.

(30)

Il presente regolamento deve specificare ulteriormente i casi in cui un incidente dovrebbe essere considerato significativo ai fini dell’articolo 23, paragrafo 3, della direttiva (UE) 2022/2555. I criteri dovrebbero essere tali da consentire ai soggetti pertinenti di valutare se un incidente è significativo, al fine di notificarlo conformemente alla suddetta direttiva. I criteri fissati nel presente regolamento dovrebbero inoltre essere considerati esaustivi, fatto salvo l’articolo 5 della direttiva (UE) 2022/2555. Il presente regolamento specifica i casi in cui un incidente dovrebbe essere considerato significativo stabilendo casi orizzontali e specifici per tipo di soggetto.

(31)

A norma dell’articolo 23, paragrafo 4, della direttiva (UE) 2022/2555, i soggetti pertinenti dovrebbero essere tenuti a notificare gli incidenti significativi entro i termini stabiliti da tale disposizione. I termini per la notifica decorrono dal momento in cui il soggetto viene a conoscenza di tali incidenti significativi. Il soggetto pertinente è quindi tenuto a segnalare gli incidenti che, sulla base della sua valutazione iniziale, potrebbero causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto in questione, o ripercuotersi su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli. Qualora abbia rilevato un evento sospetto, o dopo che un possibile incidente è stato sottoposto alla sua attenzione da un terzo, come una persona fisica, un cliente, un soggetto, un’autorità, un’organizzazione mediatica o un’altra fonte, il soggetto pertinente dovrebbe pertanto valutare tempestivamente l’evento sospetto per determinare se costituisce un incidente e, in caso affermativo, determinarne la natura e la gravità. Il soggetto pertinente è quindi da ritenersi «a conoscenza» dell’incidente significativo se, dopo tale valutazione iniziale, è ragionevolmente certo che si sia verificato un incidente significativo.

(32)

Al fine di stabilire se un incidente è significativo, se del caso, i soggetti pertinenti dovrebbero conteggiare il numero di utenti interessati dall’incidente, tenendo conto dei clienti commerciali e finali con i quali i soggetti pertinenti hanno un rapporto contrattuale, nonché delle persone fisiche e giuridiche associate ai clienti commerciali. Qualora un soggetto pertinente non sia in grado di calcolare il numero di utenti interessati, ai fini del calcolo del numero totale di utenti interessati dall’incidente dovrebbe essere presa in considerazione la stima del possibile numero massimo di utenti interessati. La significatività di un incidente che riguarda un servizio fiduciario dovrebbe essere determinata non soltanto tramite il numero di utenti, ma anche tramite il numero di parti facenti affidamento sulla certificazione, in quanto esse possono essere parimenti interessate da un incidente significativo che riguarda un servizio fiduciario in relazione alle perturbazioni operative e alle perdite materiali o immateriali. Di conseguenza, se applicabile, i prestatori di servizi fiduciari dovrebbero tenere conto altresì del numero di parti facenti affidamento sulla certificazione ai fini della determinazione della significatività di un incidente. A tal fine, per parti facenti affidamento sulla certificazione si dovrebbero intendere le persone fisiche o giuridiche che fanno affidamento su un servizio fiduciario.

(33)

Le operazioni di manutenzione che comportano una disponibilità limitata o un’indisponibilità dei servizi non dovrebbero essere considerate incidenti significativi se tale disponibilità limitata o indisponibilità del servizio è dovuta a un’operazione di manutenzione programmata. Inoltre, qualora un servizio non sia disponibile in ragione di interruzioni programmate, quali interruzioni o indisponibilità sulla base di un accordo contrattuale prestabilito, tali eventi non dovrebbero essere considerati un incidente significativo.

(34)

La durata di un incidente che incide sulla disponibilità di un servizio dovrebbe essere misurata a partire dalla perturbazione della corretta fornitura del servizio fino al momento del ripristino. Qualora un soggetto pertinente non sia in grado di determinare il momento in cui ha avuto inizio la perturbazione, la durata dell’incidente dovrebbe essere misurata a partire dal momento in cui l’incidente è stato rilevato o dal momento in cui l’incidente è stato registrato nei registri di rete o di sistema o in altre fonti di dati, a seconda dell’evento che si verifica per primo.

(35)

L’indisponibilità totale di un servizio dovrebbe essere misurata dal momento in cui il servizio è completamente indisponibile per gli utenti fino al momento in cui le attività o le operazioni regolari sono state ripristinate al livello del servizio fornito prima dell’incidente. Se un soggetto pertinente non è in grado di stabilire quando è iniziata la completa indisponibilità di un servizio, l’indisponibilità dovrebbe essere misurata dal momento in cui è stata rilevata da tale soggetto.

(36)

Ai fini della determinazione delle perdite finanziarie dirette derivanti da un incidente, i soggetti pertinenti dovrebbero tenere conto di tutte le perdite finanziarie da essi subite a seguito dell’incidente, quali i costi per la sostituzione o il trasferimento di software, hardware o infrastrutture, i costi del personale, compresi i costi associati alla sostituzione o al trasferimento del personale, all’assunzione di personale supplementare, alla remunerazione di straordinari e al recupero di competenze perdute o compromesse, le spese dovute all’inosservanza degli obblighi contrattuali, i costi per risarcimenti e indennizzi ai clienti, le perdite dovute a mancate entrate, i costi associati alla comunicazione interna ed esterna, i costi di consulenza, compresi quelli relativi alla consulenza legale, ai servizi forensi e ai servizi per rimediare all’incidente, nonché altri costi associati all’incidente. Tuttavia le sanzioni amministrative e i costi necessari per il funzionamento quotidiano dell’impresa non dovrebbero essere considerati perdite finanziarie derivanti da un incidente, compresi i costi per la manutenzione generale di infrastrutture, attrezzature, hardware e software, per l’aggiornamento delle competenze del personale, i costi interni o esterni per il miglioramento dell’impresa in seguito all’incidente, compresi gli ammodernamenti, i miglioramenti e le iniziative di valutazione dei rischi e i premi assicurativi. I soggetti pertinenti dovrebbero calcolare gli importi delle perdite finanziarie sulla base dei dati disponibili e, se non fosse possibile determinare gli importi effettivi delle perdite finanziarie, dovrebbero stimarli.

(37)

Inoltre i soggetti pertinenti dovrebbero essere tenuti a segnalare gli incidenti che hanno causato o che sono in grado di causare il decesso di persone fisiche o danni considerevoli alla salute di persone fisiche, in quanto tali incidenti sono casi particolarmente gravi che causano perdite materiali o immateriali considerevoli. Ad esempio un incidente che interessa un soggetto pertinente potrebbe causare l’indisponibilità di servizi sanitari o di emergenza, o la perdita della riservatezza o dell’integrità dei dati con effetti sulla salute delle persone fisiche. Al fine di stabilire se un incidente abbia causato o sia in grado di causare danni considerevoli alla salute di una persona fisica, i soggetti pertinenti dovrebbero valutare se l’incidente abbia causato o sia in grado di causare lesioni gravi e un cattivo stato di salute. A tal fine i soggetti pertinenti non dovrebbero essere tenuti a raccogliere ulteriori informazioni a cui non hanno accesso.

(38)

Si dovrebbe ritenere che la disponibilità limitata si verifichi in particolare quando un servizio fornito da un soggetto pertinente è notevolmente più lento rispetto al tempo di risposta medio o quando non sono disponibili tutte le funzionalità di un servizio. Ove possibile, per valutare i ritardi nei tempi di risposta dovrebbero essere utilizzati criteri oggettivi basati sui tempi di risposta medi dei servizi forniti dai soggetti pertinenti. Una funzionalità di un servizio potrebbe essere, ad esempio, una funzionalità di chat o di ricerca di immagini.

(39)

Un accesso non autorizzato e che si sospetta essere malevolo ai sistemi informativi e di rete di un soggetto pertinente dovrebbe essere considerato un incidente significativo se è in grado di causare gravi perturbazioni operative. Ad esempio, se un autore di una minaccia informatica si posiziona nei sistemi informativi e di rete di un soggetto pertinente al fine di causare perturbazioni dei servizi in futuro, tale incidente dovrebbe essere considerato significativo.

(40)

Gli incidenti ricorrenti che sono collegati tra loro dalla stessa causa di fondo apparente e che singolarmente non soddisfano i criteri per essere definiti un incidente significativo dovrebbero essere considerati collettivamente come un incidente significativo, a condizione che soddisfino collettivamente il criterio della perdita finanziaria e che si siano verificati almeno due volte negli ultimi sei mesi. Tali incidenti ricorrenti possono essere un’indicazione di carenze e debolezze significative nelle procedure di gestione dei rischi di cibersicurezza del soggetto pertinente e nel suo livello di maturità in materia di cibersicurezza. Possono inoltre causare perdite finanziarie significative al soggetto pertinente.

(41)

La Commissione ha scambiato pareri e cooperato con il gruppo di cooperazione e l’ENISA in merito al progetto di atto di esecuzione, conformemente all’articolo 21, paragrafo 5, e all’articolo 23, paragrafo 11, della direttiva (UE) 2022/2555.

(42)

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (3), il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 1o settembre 2024.

(43)

Le misure di cui al presente regolamento sono conformi al parere del comitato istituito in conformità all’articolo 39 della direttiva (UE) 2022/2555,