Legislatura 19ª - 4ª Commissione permanente - Resoconto sommario n. 342 del 23/04/2026
Azioni disponibili
ESAME DI PROGETTI DI ATTI LEGISLATIVI DELL'UNIONE EUROPEA
Proposta di regolamento del Parlamento europeo e del Consiglio relativo all'Agenzia dell'Unione europea per la cibersicurezza (ENISA), al quadro europeo di certificazione della cibersicurezza e alla sicurezza delle catene di approvvigionamento delle TIC e che abroga il regolamento (UE) 2019/881 ("regolamento sulla cibersicurezza 2") (COM(2026) 11 definitivo)
Proposta di direttiva del Parlamento europeo e del Consiglio che modifica la direttiva (UE) 2022/2555 per quanto riguarda le misure di semplificazione e l'allineamento alla [proposta di regolamento sulla cibersicurezza 2] (COM(2026) 13 definitivo)
(Esame congiunto, ai sensi dell'articolo 144, commi 1-bis e 6, del Regolamento, e rinvio)
Il presidente TERZI DI SANT'AGATA (FdI), relatore, introduce l'esame congiunto della proposta di regolamento e della proposta di direttiva in titolo, in materia di cibersicurezza.
Il pacchetto legislativo, presentato dalla Commissione europea il 20 gennaio 2026, comprende, quindi, la proposta di regolamento "Cybersecurity Act 2", che aggiorna il ruolo dell'Agenzia dell'Unione europea per la cibersicurezza (ENISA), il sistema europeo di certificazione (ECCF) e la sicurezza delle catene di approvvigionamento delle tecnologie dell'informazione e della comunicazione (TIC), e la proposta di direttiva che modifica la direttiva cosiddetta "NIS 2", sulle misure per un livello comune elevato di cibersicurezza nell'Unione, per quanto riguarda le misure di semplificazione e il suo allineamento alla predetta proposta di regolamento Cybersecurity Act 2.
Le due proposte rappresentano un passo importante nel rafforzamento della resilienza digitale dell'Unione europea, in un contesto globale in cui sicurezza informatica, economia e geopolitica sono sempre più interconnesse. La cibersicurezza non è più solo una questione tecnica, ma è uno strumento strategico per proteggere le infrastrutture critiche, le catene di approvvigionamento e l'autonomia tecnologica europea, a tutela della democrazia, dell'economia e dello stile di vita dell'Unione.
Contestualmente alla presentazione delle due proposte, la Commissione europea ha pubblicato la relazione sulla valutazione dell'ENISA e del quadro europeo di certificazione della cibersicurezza (ECCF), ai sensi dell'articolo 67 del regolamento sulla cibersicurezza, che ha evidenziato alcune criticità.
In particolare, l'ENISA soffre di carenza di personale e scarso coordinamento con altri organismi europei, mentre il sistema di certificazione è lento e complesso. Anche il quadro delle minacce è preoccupante, con attacchi legati a motivazioni ideologiche che raggiungono quasi l'80 per cento del totale.
L'Italia rappresenta il secondo Paese dell'Unione più colpito, dopo la Germania, in termini di richieste di risarcimento in relazione a ransomware (software dannosi che richiedono il pagamento di un riscatto) e violazioni dei dati. Infine, circa il 7 per cento degli incidenti è riconducibile ad attività di Stati terzi.
La base giuridica di entrambe le proposte è costituita dall'articolo 114 del Trattato sul funzionamento dell'Unione europea (TFUE), in coerenza con gli atti che sono intesi modificare, che prevede la procedura legislativa ordinaria per adottare le misure per il ravvicinamento delle legislazioni nazionali in materia di mercato interno.
Quanto alla conformità delle due proposte al principio di sussidiarietà, la Commissione europea evidenzia come questa sia stata già accertata con l'adozione, sia del regolamento sulla cibersicurezza attualmente in vigore, sia della direttiva NIS 2. La natura transfrontaliera delle minacce informatiche rende, infatti, indispensabile un'azione coordinata a livello europeo, mentre la frammentazione derivante dalla coesistenza di sistemi di certificazione e approcci normativi nazionali differenti genera oneri burocratici e penalizza la competitività del mercato unico.
La Commissione ritiene che i provvedimenti rispettino anche il principio di proporzionalità, in quanto le misure proposte risultano strettamente limitate a quanto occorre per raggiungere gli obiettivi strategici individuati. L'intervento dell'Unione europea, inoltre, non preclude ai singoli Stati la possibilità di adottare ulteriori provvedimenti a tutela della sicurezza nazionale, mentre il quadro europeo di certificazione della conformità ai requisiti di cibersicurezza resta di natura volontaria, assicurando, quindi, il rispetto del principio di proporzionalità.
Le otto settimane previste dal Protocollo n. 2, sull'applicazione dei princìpi di sussidiarietà e di proporzionalità, scadono il 13 maggio 2026. Le proposte sono attualmente oggetto di esame da parte, rispettivamente, di undici e dodici Camere dei Parlamenti nazionali dell'Unione europea.
Il seguito dell'esame congiunto è, quindi, rinviato.