Legislatura 19ª - 4ª Commissione permanente - Resoconto sommario n. 345 del 05/05/2026
Azioni disponibili
Il presidente TERZI DI SANT'AGATA (FdI), relatore, svolge una relazione integrativa sulle proposte legislative in titolo che, come già illustrato, compongono il pacchetto legislativo sulla cibersicurezza, presentato dalla Commissione europea il 20 gennaio 2026. La prima è la proposta di regolamento "Cybersecurity Act 2", mentre l'altra è la proposta di direttiva che modifica la direttiva cosiddetta "NIS 2".
Sulle proposte sono pervenute, lo scorso 16 aprile, le relazioni trasmesse del Governo, ai sensi dell'articolo 6 della legge n. 234 del 2012, elaborate dall'Agenzia per la cybersicurezza nazionale (ACN), nelle quali si ritiene che le finalità generali dei provvedimenti siano condivisibili, pur evidenziando al contempo alcuni punti suscettibili di miglioramento.
Le proposte risultano urgenti alla luce del contesto geopolitico e tecnologico, caratterizzato da un aumento significativo della frequenza e della sofisticazione degli attacchi cyber, nonché dalla crescente interdipendenza delle infrastrutture digitali europee. In tale scenario, il rafforzamento delle capacità comuni di prevenzione, rilevazione e risposta agli incidenti è ritenuto fondamentale. L'urgenza dell'intervento normativo, tuttavia, secondo l'ACN, deve anche garantire un adeguato livello di approfondimento tecnico e politico delle misure proposte.
Per quanto riguarda i principi di sussidiarietà e proporzionalità, l'ACN ritiene che la proposta di direttiva COM(2026) 13 rispetti entrambi. Tuttavia, osserva che la proposta non considera i costi già sostenuti dai soggetti NIS direttamente interessati al fine di conformarsi agli obblighi della direttiva NIS2, attualmente vigente. L'esclusione di molti soggetti dagli obblighi discendenti dalla direttiva NIS2, dopo che tali costi sono già stati sostenuti, andrebbe valutata in coerenza con le richiamate finalità di riduzione degli oneri a carico dei soggetti interessati. Inoltre, tale esclusione potrebbe, nel tempo, incidere sulle misure di gestione del rischio cyber adottate dai soggetti esonerati, generando costi più elevati in caso di futuri incidenti informatici.
Per quanto riguarda, invece, la proposta di regolamento COM(2026) 11, pur confermando il rispetto del principio di sussidiarietà, l'ACN evidenzia alcuni rilievi in merito al rispetto del principio di proporzionalità.
In particolare, pur precisando che la proposta non impedisce l'adozione di ulteriori azioni da parte degli Stati membri in materia di sicurezza nazionale, l'ACN rileva come essa comporti un trasferimento di competenze strategiche dal livello nazionale a quello europeo, in particolare nel settore della sicurezza delle catene di approvvigionamento delle tecnologie dell'informazione e della comunicazione (ICT).
La possibilità per la Commissione di definire, tramite atti di implementazione, una lista di fornitori considerati ad alto rischio va valutata con grande attenzione, incidendo nell'ambito della sicurezza nazionale. Inoltre, con riguardo agli obblighi relativi alla sicurezza delle catene di approvvigionamento nel settore delle reti di telecomunicazione 5G, la relazione evidenzia la necessità di valutare la congruità dei tempi previsti per la sostituzione dei componenti di fornitori considerati ad alto rischio.
Inoltre, anche con riguardo alla riforma del quadro europeo di certificazione della cibersicurezza (ECCF), pur accogliendo favorevolmente la semplificazione, l'ACN evidenzia che, sul piano procedurale, vanno valutate con attenzione le potenziali ricadute sul ruolo delle autorità nazionali in materia di sicurezza strategica.
L'Autorità evidenzia, poi, alcune osservazioni inerenti a entrambe le proposte legislative in esame, con riguardo alla revisione del mandato di ENISA, giustificata con l'obiettivo di sostenere gli Stati membri nei settori in cui sono state individuate alcune lacune.
In particolare, l'ACN rileva la possibile necessità di un coordinamento delle responsabilità oggi proprie delle Autorità nazionali NIS e dei referenti nazionali CSIRT (Computer Security Incident Response Team). Infatti, la proposta conferisce all'ENISA, oltre alla partecipazione attiva alla rete dei CSIRT e al ruolo di Segretariato del network EU CyCLONe (la rete delle autorità nazionali per la cibersicurezza), anche competenze in materia di intelligence sulle minacce informatiche, effettuando analisi ed emettendo allerte precoci.
A ciò si aggiunge l'istituzione presso l'ENISA, in collaborazione con Europol e i CSIRT nazionali, di un helpdesk operativo per il supporto contro attacchi ransomware (attacchi informatici con riscatto), nonché la previsione di ufficiali di contatto nazionali presso l'Agenzia europea. Tali attribuzioni mirano a modificare la natura stessa di ENISA, orientandola verso un ruolo operativo continuativo, che richiede un miglior coordinamento con le prerogative degli Stati membri in materia di risposta agli incidenti informatici.
Per quanto riguarda l'esame presso le Istituzioni europee, si apprende da organi di stampa che il Gruppo di lavoro sulla cibersicurezza del Consiglio si è soffermato sulla prima metà del nuovo testo rivisto del Cybersecurity Act, e che non risultano, in questa fase, ancora riscontri sulla possibile esclusione di alcuni fornitori o produttori di dispositivi o componenti ICT ritenuti non sicuri dal punto di vista della sovranità e integrità dell'Unione.
Al riguardo, il Presidente relatore richiama come, da articoli di stampa odierni, risulti che la Commissione europea avrebbe deciso di adoperarsi per impedire l'utilizzo di fondi e finanziamenti europei per l'acquisto di inverter per pannelli solari da fornitori ritenuti ad alto rischio per la sicurezza dell'Unione, nelle more dell'approvazione della proposta Cybersecurity Act 2, che consentirà di vietarne l'ingresso nel mercato europeo. Una portavoce della Commissione europea ha, infatti, spiegato che, mediante l'accesso non autorizzato agli inverter, sarebbe possibile creare disservizi, fino all'interruzione generalizzata dell'erogazione elettrica da pannelli solari.
Ricorda, altresì, che anche la proposta COM(2026) 100, Industrial Accelerator Act, anch'essa all'ordine del giorno della 4ª Commissione, ha tra i suoi obiettivi quello di contrastare la vulnerabilità delle catene di approvvigionamento in settori strategici e nelle tecnologie a zero emissioni nette, e in base alla quale potranno essere esclusi dal finanziamento pubblico fornitori non sicuri di dispositivi strategici (come, ad esempio, quelli forniti da alcuni Paesi terzi, tra cui i componenti dell'automotive elettrico).
Nell'esame europeo della proposta Cybersecurity Act 2, attualmente i Paesi interessati concentrano i loro commenti sulla parte dell'atto che rafforza le prerogative di ENISA. Alcuni di essi mostrano cautela rispetto alle modifiche al mandato, che considerano troppo ampie e tali da non apportare alcun valore aggiunto. Altri Paesi hanno, invece, sottolineato la necessità di un coordinamento con le autorità nazionali competenti in materia di cibersicurezza.
Sulla questione dei regimi di certificazione della cibersicurezza, sono stati proposti emendamenti per garantire il riconoscimento dei regimi nazionali e delle competenze sviluppate attraverso di essi, purché conformi agli standard europei. Questo obiettivo è condiviso da chi ritiene necessaria l'adozione, da parte degli schemi europei, di garanzie molto rigorose in materia di sicurezza e sovranità, in particolare per quanto riguarda la protezione contro l'extraterritorialità di alcune leggi straniere.
Il termine delle otto settimane previste dal Protocollo n. 2, sull'applicazione dei principi di sussidiarietà e di proporzionalità, allegato ai Trattati, scade, per entrambe le proposte, il 13 maggio 2026. Le proposte sono attualmente oggetto di esame da parte, rispettivamente, di 11 e 12 Camere dei Parlamenti nazionali dell'Unione europea, che non hanno finora espresso criticità.