Legislatura 19ª - 4ª Commissione permanente - Resoconto sommario n. 348 del 20/05/2026

Proposta di regolamento del Parlamento europeo e del Consiglio relativo all'Agenzia dell'Unione europea per la cibersicurezza (ENISA), al quadro europeo di certificazione della cibersicurezza e alla sicurezza delle catene di approvvigionamento delle TIC e che abroga il regolamento (UE) 2019/881 ("regolamento sulla cibersicurezza 2") (COM(2026) 11 definitivo)

Proposta di direttiva del Parlamento europeo e del Consiglio che modifica la direttiva (UE) 2022/2555 per quanto riguarda le misure di semplificazione e l'allineamento alla [proposta di regolamento sulla cibersicurezza 2] (COM(2026) 13 definitivo)

(Seguito dell'esame congiunto, ai sensi dell'articolo 144, commi 1-bis e 6, del Regolamento e rinvio)

Prosegue l'esame congiunto, sospeso nella seduta del 5 maggio.

Il presidente TERZI DI SANT'AGATA (FdI), relatore, svolge una ulteriore relazione integrativa sulle proposte in esame che, come già illustrato, compongono il pacchetto legislativo sulla cibersicurezza, presentato dalla Commissione europea il 20 gennaio 2026, in cui la prima è la proposta di regolamento "Cybersecurity Act 2" e l'altra è la proposta di direttiva che modifica la direttiva cosiddetta "NIS 2".

Il Presidente relatore ricorda, inoltre, che sulle proposte sono pervenute, lo scorso 16 aprile, le relazioni trasmesse del Governo, ai sensi dell'articolo 6 della legge n. 234 del 2012, elaborate dall'Agenzia per cybersicurezza nazionale, di cui ha dato conto nella precedente seduta.

L'esame delle proposte risulta avviato anche dai Parlamenti di Finlandia, Danimarca, Svezia e Lettonia, dal Bundesrat tedesco, dal Senato ceco, dal Senato polacco e dal Senato romeno, che finora non hanno sollevato criticità, e risulta concluso positivamente dal Parlamento della Repubblica d'Irlanda e dal Parlamento spagnolo.

Anche la Camera dei deputati italiana ha concluso l'iter con l'approvazione della risoluzione Doc. XVIII-bis, n. 102, con cui valuta entrambe le proposte conformi al principio di sussidiarietà, ma formula alcune considerazioni relative alla governance del sistema che potrebbero rilevare ai fini di una migliore rispondenza delle proposte al principio di proporzionalità.

Il Parlamento spagnolo si è espresso positivamente sulla proposta di regolamento COM(2026) 11, ritenendo importante l'adozione di una nuova normativa destinata a rafforzare la sicurezza informatica comune dell'Unione europea.

Ritiene, infatti, che la proposta rispetti il principio di sussidiarietà, in quanto giustificata dalla natura transfrontaliera e interconnessa delle minacce informatiche che colpiscono simultaneamente infrastrutture critiche di molteplici Stati membri. Il Parlamento spagnolo sottolinea, infatti, il carattere paneuropeo dei rischi, l'interdipendenza delle infrastrutture digitali critiche e la frammentazione attuale delle normative nazionali, che ostacolano il mercato unico e generano asimmetrie regolatorie nelle catene di approvvigionamento transnazionali (telecomunicazioni, energia, trasporti). Tali aspetti non possono essere affrontati in modo soddisfacente dagli Stati membri singolarmente, ma richiedono un'azione a livello dell'Unione.

Sono valutati positivamente anche il rafforzamento del ruolo operativo dell'Agenzia ENISA (European Union Agency for Cybersecurity), come centro di coordinamento e risposta paneuropea, nonché la creazione di un quadro europeo unificato di certificazione della cibersicurezza per prodotti, servizi e processi TIC (tecnologie dell'informazione e della comunicazione) e la garanzia della sicurezza delle catene di approvvigionamento TIC, specialmente nei settori strategici, come il 5G, il cloud e l'IoT (Internet of Things).

Anche sulla proposta di direttiva COM(2026) 13, il Parlamento spagnolo si è espresso positivamente, ritenendo che essa sia giustificata dalla necessità di semplificare e armonizzare la direttiva (UE) 2022/2555 (NIS2), per far fronte a minacce informatiche sofisticate che colpiscono entità essenziali e importanti di settori critici.

Il Parlamento spagnolo ritiene tale proposta conforme al principio di sussidiarietà, in quanto gli obiettivi che intende realizzare - in particolare chiarire l'ambito di applicazione della direttiva, le definizioni, la notifica degli incidenti e la supervisione transfrontaliera, facilitare la conformità mediante certificazione europea, ridurre gli oneri regolatori (REFIT) e rafforzare le sinergie con ENISA - non possono essere conseguiti in modo sufficiente dagli Stati membri individualmente, a causa della complessità e della diversità delle politiche nazionali, che generano inefficienze, frammentazione nella supervisione transfrontaliera e sovraccarico per le entità con operazioni paneuropee. Al contrario, tali obiettivi possono essere raggiunti meglio a livello dell'Unione, senza eccedere quanto necessario per garantire un elevato livello di protezione.

D'altra parte, la Camera dei deputati della Repubblica ceca ha trasmesso un parere motivato sulla proposta di regolamento COM (2026) 11, ritenendo che essa violi il principio di sussidiarietà, poiché attribuisce eccessivi poteri alla Commissione europea in materia di sicurezza della catena di approvvigionamento ICT, limitando il ruolo degli Stati membri nelle decisioni che incidono sulla sicurezza nazionale.

Il Senato francese, nel parere motivato adottato all'unanimità dalla Commissione Affari europei su entrambi i provvedimenti, pur condividendo l'esigenza di affrontare l'aumento delle minacce informatiche, ritiene che alcune misure proposte violino i princìpi di sussidiarietà e proporzionalità, attribuendo competenze eccessive alle Istituzioni europee a scapito degli Stati membri. In particolare, critica l'ampliamento dei poteri dell'ENISA, ritenendo che essa non debba intervenire direttamente nella gestione degli incidenti informatici, materia che riguarda la sicurezza nazionale che, in base ai Trattati, resta di competenza esclusiva degli Stati membri. Anche le nuove misure europee di certificazione vengono considerate problematiche, poiché potrebbero incidere su settori sensibili legati alla difesa e alla sicurezza nazionale.

Il Presidente relatore ricorda, infine, che le proposte sono esaminate presso le Istituzioni europee secondo la procedura legislativa ordinaria e sono attualmente all'esame della Commissione per l'industria, la ricerca e l'energia (ITRE) del Parlamento europeo.

Il seguito dell'esame è, quindi, rinviato.