31.1.2018   

IT

Gazzetta ufficiale dell'Unione europea

L 26/48

(1)

Conformemente alla direttiva (UE) 2016/1148, i fornitori di servizi digitali rimangono liberi di adottare le misure tecniche e organizzative che ritengono adeguate e proporzionate alla gestione dei rischi che corre la sicurezza delle loro reti e dei loro sistemi informativi, purché tali misure garantiscano un adeguato livello di sicurezza e tengano conto degli elementi previsti da detta direttiva.

(2)

Nell'individuazione delle misure tecniche e organizzative adeguate e proporzionate, il fornitore di servizi digitali dovrebbe affrontare la questione della sicurezza informatica in modo sistematico, ricorrendo a un approccio basato sui rischi.

(3)

Al fine di garantire la sicurezza dei sistemi e degli impianti, i fornitori di servizi digitali dovrebbero effettuare procedure di valutazione e di analisi. Tali attività dovrebbero riguardare la gestione sistematica delle reti e dei sistemi informativi, la sicurezza fisica e dell'ambiente, la sicurezza delle forniture e i controlli dell'accesso.

(4)

Nello svolgimento di un'analisi dei rischi nell'ambito della gestione sistematica delle reti e dei sistemi informativi, i fornitori di servizi digitali dovrebbero essere incoraggiati a individuare i rischi specifici e a quantificarne l'importanza, ad esempio individuando le minacce alle risorse critiche e il modo in cui incidono sulle operazioni, e determinando il modo migliore per attenuare tali minacce sulla base delle capacità correnti e delle esigenze in termini di risorse.

(5)

Le politiche in materia di risorse umane potrebbero fare riferimento alla gestione delle competenze, inclusi gli aspetti connessi allo sviluppo delle competenze correlate alla sicurezza e alla sensibilizzazione. Nel decidere in merito a una serie di politiche adeguate in materia di sicurezza di funzionamento, i fornitori di servizi digitali dovrebbero essere incoraggiati a tener conto degli aspetti relativi alla gestione dei cambiamenti, alla gestione delle vulnerabilità, alla formalizzazione delle pratiche operative e amministrative e alla mappatura del sistema.

(6)

Le politiche in materia di architettura di sicurezza potrebbero comprendere in particolare la segregazione delle reti e dei sistemi, nonché misure di sicurezza specifiche per le operazioni critiche quali ad esempio le operazioni amministrative. La segregazione delle reti e dei sistemi potrebbe consentire ai fornitori di servizi digitali di distinguere elementi quali i flussi di dati e le risorse informatiche appartenenti a un cliente, a un gruppo di clienti, al fornitore di servizi digitali o a terzi.

(7)

Le misure adottate per quanto riguarda la sicurezza fisica e dell'ambiente dovrebbero garantire la protezione delle reti e dei sistemi informativi dell'organizzazione dai danni causati da incidenti quali furti, incendi, inondazioni o altre condizioni meteorologiche, problemi di telecomunicazione o interruzioni di corrente.

(8)

La sicurezza dell'erogazione, ad esempio per quanto riguarda l'energia elettrica, il combustibile o il raffreddamento, potrebbe includere la sicurezza della catena di approvvigionamento che comprende, in particolare, la sicurezza dei contraenti e subcontraenti terzi e la loro gestione. La tracciabilità delle forniture critiche si riferisce alla capacità del fornitore di servizi digitali di identificare e registrare le fonti delle forniture.

(9)

Gli utenti dei servizi digitali dovrebbero comprendere le persone fisiche e giuridiche che sono clienti o abbonati di un mercato online o di un servizio di cloud computing, o che visitano il sito web di un motore di ricerca online allo scopo di effettuare ricerche con parole chiave.

(10)

Nel definire la rilevanza dell'impatto di un incidente, i casi previsti dal presente regolamento dovrebbero essere considerati un elenco non esaustivo di incidenti rilevanti. Occorre trarre insegnamenti dall'attuazione del presente regolamento e dal lavoro del gruppo di cooperazione per quanto riguarda la raccolta di informazioni sulle migliori pratiche in relazione ai rischi e agli incidenti e le discussioni sulle modalità di comunicazione delle notifiche di incidenti di cui all'articolo 11, paragrafo 3, lettere i) e m), della direttiva (UE) 2016/1148. Potrebbero risultarne orientamenti esaustivi sulle soglie quantitative dei parametri di notifica atte a far scattare l'obbligo di notifica per i fornitori di servizi digitali a norma dell'articolo 16, paragrafo 3, della direttiva (UE) 2016/1148. Se del caso, la Commissione può anche vagliare l'opportunità di rivedere le soglie attualmente stabilite nel presente regolamento.

(11)

Al fine di consentire alle autorità competenti di essere informate circa eventuali nuovi rischi, i fornitori di servizi digitali dovrebbero essere incoraggiati a segnalare su base volontaria eventuali incidenti dalle caratteristiche precedentemente sconosciute, ad esempio nuovi exploit, vettori di attacco e autori di minacce, vulnerabilità e pericoli.

(12)

Il presente regolamento dovrebbe applicarsi a partire dal giorno successivo alla scadenza del termine di recepimento della direttiva (UE) 2016/1148.

(13)

Le disposizioni di cui al presente regolamento sono conformi al parere del comitato per la sicurezza delle reti e dei sistemi informativi, istituito dall'articolo 22 della direttiva (UE) 2016/1148,

a)

la gestione sistematica delle reti e dei sistemi informativi, ossia la mappatura dei sistemi informativi e la definizione di una serie di politiche adeguate in materia di gestione della sicurezza informatica, comprese l'analisi dei rischi, le risorse umane, la sicurezza delle operazioni, l'architettura di sicurezza, la gestione del ciclo di vita dei dati e dei sistemi protetti e, se del caso, la crittografia e la sua gestione;

(b)

la sicurezza fisica e dell'ambiente, ossia la disponibilità di una serie di misure volte a proteggere le reti e i sistemi informativi dei fornitori di servizi digitali dai danni attraverso il ricorso a un approccio globale ai pericoli basato sui rischi, che affronti ad esempio gli errori di sistema, gli errori umani, gli atti dolosi o i fenomeni naturali;

c)

la sicurezza delle forniture, ossia la definizione e il mantenimento di politiche adeguate al fine di assicurare l'accessibilità e, se del caso, la tracciabilità delle forniture critiche utilizzate nella prestazione dei servizi;

d)

i controlli dell'accesso alle reti e ai sistemi informativi, ossia la disponibilità di una serie di misure volte ad assicurare che l'accesso fisico e logico alle reti e ai sistemi informativi, ivi inclusa la sicurezza amministrativa di tali reti e sistemi, sia autorizzato e limitato sulla base di esigenze aziendali e di sicurezza.

a)

il mantenimento e la prova di processi e procedure di individuazione per assicurare l'individuazione tempestiva e idonea degli eventi anomali;

b)

i processi e le politiche per la segnalazione degli incidenti e l'individuazione delle debolezze e vulnerabilità nei propri sistemi informativi;

c)

una risposta conforme alle procedure stabilite e la comunicazione dei risultati ottenuti con la misura adottata;

d)

la valutazione della gravità dell'incidente, la documentazione delle conoscenze acquisite grazie all'analisi dell'incidente e la raccolta di informazioni pertinenti da utilizzare eventualmente come prova e per sostenere un processo di costante miglioramento.

a)

la definizione e l'uso di piani di emergenza basati sull'analisi dell'impatto sulle attività aziendali volti a garantire la continuità dei servizi erogati dai fornitori di servizi digitali e valutati e testati regolarmente, ad esempio mediante esercitazioni;

b)

la capacità di ripristino di emergenza, valutata e testata regolarmente, ad esempio mediante esercitazioni.

a)

alla conduzione di una sequenza pianificata di osservazioni o misurazioni per valutare se le reti e i sistemi informativi funzionano come previsto;

b)

all'ispezione e alla verifica per controllare se una norma o una serie di orientamenti sono applicati, se le registrazioni sono accurate e se gli obiettivi di efficienza ed efficacia sono raggiunti;

c)

a un processo finalizzato a rivelare i difetti dei meccanismi di sicurezza di una rete o di un sistema informativo che proteggono i dati e mantengono la funzionalità prevista. Tale processo comprende i processi tecnici e il personale coinvolto nel flusso di operazioni.

a)

il numero di persone fisiche e giuridiche interessate con cui è stato concluso un contratto per la fornitura del servizio, o

b)

il numero di utenti interessati che hanno utilizzato il servizio in particolare in base ai precedenti dati sul traffico.

a)

il servizio fornito da un fornitore di servizi digitali non è stato disponibile per oltre 5 000 000 di ore utente, dove per ore utente si intende il numero di utenti interessati nell'Unione per una durata di sessanta minuti;

b)

l'incidente ha provocato una perdita di integrità, autenticità o riservatezza dei dati conservati, trasmessi o trattati o dei relativi servizi offerti o accessibili tramite una rete e un sistema informativo del fornitore di servizi digitali che ha interessato oltre 100 000 utenti nell'Unione;

c)

l'incidente ha generato un rischio per la sicurezza pubblica, l'incolumità pubblica o in termini di perdite di vite umane;

d)

l'incidente ha provocato danni materiali superiori a 1 000 000 di EUR per almeno un utente nell'Unione.