This document is an excerpt from the EUR-Lex website
Document 32024H1101
Commission Recommendation (EU) 2024/1101 of 11 April 2024 on a Coordinated Implementation Roadmap for the transition to Post-Quantum Cryptography
Raccomandazione (UE) 2024/1101 della Commissione, dell'11 aprile 2024, relativa a una tabella di marcia per l'attuazione coordinata della transizione verso la crittografia post-quantistica
Raccomandazione (UE) 2024/1101 della Commissione, dell'11 aprile 2024, relativa a una tabella di marcia per l'attuazione coordinata della transizione verso la crittografia post-quantistica
C/2024/2393
GU L, 2024/1101, 12.4.2024, ELI: http://data.europa.eu/eli/reco/2024/1101/oj (BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
![]() |
Gazzetta ufficiale |
IT Serie L |
2024/1101 |
12.4.2024 |
RACCOMANDAZIONE (UE) 2024/1101 DELLA COMMISSIONE
dell'11 aprile 2024
relativa a una tabella di marcia per l'attuazione coordinata della transizione verso la crittografia post-quantistica
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 292,
vista la direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativa a misure per un livello comune elevato di cibersicurezza nell'Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148 (1) (direttiva NIS 2),
considerando quanto segue:
(1) |
Tutelare i dati e rendere sicure le comunicazioni sensibili sono attività essenziali per la società, l'economia, la sicurezza e la prosperità dell'Unione. La cibersicurezza riveste un'importanza strategica nella costruzione di «un'Europa adatta all'era digitale» (2) e costituisce un obiettivo chiave del programma strategico per il decennio digitale (3). |
(2) |
Sia la strategia dell'UE per l'Unione della sicurezza (4) che la strategia dell'UE in materia di cibersicurezza (5) evidenziano come la cifratura sia una tecnologia chiave per conseguire la resilienza e la sovranità tecnologica, come pure per sviluppare capacità operative volte a prevenire gli attacchi informatici. La cifratura è infatti essenziale nel mondo digitale al fine di rendere sicuri i sistemi digitali e le transazioni, tutelare una serie di diritti fondamentali e garantire la sicurezza delle capacità di difesa. La corsa verso lo sviluppo di capacità di calcolo quantistico e lo sblocco di nuove opportunità potenzialmente vantaggiose, che vede come protagonisti diversi paesi e soggetti privati, rappresenta una minaccia per le attuali norme crittografiche. Tali norme svolgono un ruolo centrale nel garantire la riservatezza e l'integrità dei dati, la protezione delle comunicazioni sensibili e il sostegno agli elementi essenziali della sicurezza delle reti. |
(3) |
Il potenziale sviluppo futuro dei computer quantistici in grado di violare la cifratura odierna impone all'Europa di cercare garanzie più rigorose, assicurando la protezione delle comunicazioni sensibili e l'integrità a lungo termine delle informazioni riservate, vale a dire passando alla crittografia post-quantistica il più rapidamente possibile. Questo nuovo tipo di crittografia eliminerà le vulnerabilità note dell'attuale crittografia a chiavi asimmetriche e rafforzerà la solidità di fronte alle minacce poste dall'uso doloso dei computer quantistici. |
(4) |
Da oltre un decennio la Commissione finanzia la ricerca sulla crittografia post-quantistica e il relativo sviluppo, riconoscendo la potenziale minaccia che il calcolo quantistico rappresenta per la crittografia a chiave pubblica attualmente in uso. |
(5) |
Gli Stati membri dovrebbero prendere in considerazione la possibilità di procedere quanto prima alla migrazione delle loro infrastrutture e dei loro servizi digitali attuali per le pubbliche amministrazioni, nonché di altre infrastrutture critiche, verso la crittografia post-quantistica, determinando un cambiamento radicale degli algoritmi, dei protocolli e dei sistemi crittografici. Come sottolineato nel recente libro bianco della Commissione dal titolo «Come affrontare adeguatamente le esigenze dell'Europa in termini di infrastruttura digitale?», è necessario uno sforzo coordinato che coinvolga le amministrazioni pubbliche, gli organismi di normazione, i portatori di interessi del settore, i ricercatori e i professionisti della cibersicurezza. |
(6) |
La presente raccomandazione della Commissione incoraggia gli Stati membri ad elaborare una strategia globale per l'adozione della crittografia post-quantistica al fine di garantire una transizione coordinata e sincronizzata tra i diversi Stati membri e i rispettivi settori pubblici. La strategia dovrebbe definire obiettivi, traguardi e calendari chiari che portino alla definizione di una tabella di marcia comune per l'attuazione della crittografia post-quantistica. Ciò dovrebbe portare alla diffusione, in tutta l'Unione, di tecnologie di crittografia post-quantistica nei sistemi della pubblica amministrazione e nelle infrastrutture critiche esistenti attraverso sistemi ibridi che possono combinare la crittografia post-quantistica con gli attuali approcci crittografici o con la distribuzione quantistica delle chiavi. |
(7) |
Ai fini di una transizione efficace verso la crittografia post-quantistica, la tabella di marcia per l'attuazione coordinata della crittografia post-quantistica dovrebbe fornire l'elenco delle azioni che gli Stati membri devono intraprendere, compreso un esame degli algoritmi di crittografia post-quantistica, con un calendario chiaro per le diverse fasi e i diversi traguardi da raggiungere, tenendo conto delle loro interdipendenze, come pure i portatori di interessi da coinvolgere. |
(8) |
Ai fini di un'attuazione armonizzata della crittografia post-quantistica in tutta l'Unione è essenziale elaborare norme europee comuni e sviluppare un quadro per l'individuazione e la selezione degli algoritmi di crittografia post-quantistica da utilizzare nelle reti e nei servizi digitali nell'Unione. Attraverso la partecipazione attiva di ricercatori finanziati dall'UE l'Unione già sostiene lo sviluppo e la sperimentazione di algoritmi di crittografia post-quantistica che possono diventare norme nell'ambito di processi internazionali di selezione nel campo della crittografia post-quantistica. La presente raccomandazione della Commissione incoraggia gli Stati membri a collaborare a livello di UE a stretto contatto con gli esperti dell'Unione in materia di cibersicurezza, con il gruppo di cooperazione NIS e con l'Agenzia dell'Unione europea per la cibersicurezza (ENISA) sulla valutazione e sulla selezione degli algoritmi di crittografia post-quantistica adeguati e sulla loro adozione come norme dell'UE ai fini di un'attuazione armonizzata in tutta l'Unione. |
(9) |
Gli Stati membri e l'Unione dovrebbero continuare a collaborare attivamente con i loro partner strategici internazionali nell'elaborazione di norme internazionali in materia di crittografia post-quantistica al fine di garantire l'interoperabilità delle comunicazioni in futuro. |
(10) |
Una volta approvata dagli Stati membri, la tabella di marcia per l'attuazione coordinata della crittografia post-quantistica dovrebbe fungere da modello per la definizione dei piani nazionali di transizione verso la crittografia post-quantistica o, laddove tali piani nazionali già esistano, per il loro allineamento alla tabella di marcia comune per l'attuazione coordinata della crittografia post-quantistica. |
(11) |
Per assicurare che siano compiuti progressi rispetto agli obiettivi di cui alla presente raccomandazione la Commissione intende monitorare attentamente le azioni intraprese in risposta alla medesima. Al fine di garantire tale monitoraggio gli Stati membri sono pertanto incoraggiati a presentare alla Commissione, su richiesta di quest'ultima, tutte le informazioni pertinenti che possono ragionevolmente fornire. Sulla base delle informazioni così ottenute e di tutte le altre informazioni disponibili la Commissione valuterà gli effetti della presente raccomandazione e stabilirà se siano necessarie ulteriori misure, compresa la proposta di atti vincolanti di diritto dell'Unione. |
(12) |
La presente raccomandazione relativa alla crittografia post-quantistica si basa sugli obiettivi strategici stabiliti nella strategia dell'UE in materia di cibersicurezza volti a migliorare la sicurezza end-to-end e la resilienza delle infrastrutture e dei servizi digitali dell'Unione per le pubbliche amministrazioni e di altre infrastrutture critiche, risponde agli obiettivi del mercato unico digitale e della comunicazione congiunta sulla «Strategia europea per la sicurezza economica» (10919/23) (6) e prende in considerazione i rischi per la sicurezza fisica e informatica delle infrastrutture critiche, come pure quelli individuati nell'ambito della valutazione dei rischi per le tecnologie quantistiche, di recente esecuzione (7). La raccomandazione rispetta i diritti fondamentali e osserva i principi riconosciuti in particolare dalla Carta dei diritti fondamentali dell'Unione europea (articoli 7, 8 e 11) e dalla Convenzione europea dei diritti dell'uomo (articoli 8 e 10), che comportano obblighi positivi per i governi affinché riducano al minimo il rischio di accesso alle informazioni e di controllo delle stesse in modo illecito, rendendo così necessarie la tutela e la promozione delle tecnologie crittografiche, |
HA ADOTTATO LA PRESENTE RACCOMANDAZIONE:
1. AMBITO DI APPLICAZIONE E OBIETTIVI
Scopo della presente raccomandazione è promuovere la transizione verso la crittografia post-quantistica per la protezione delle infrastrutture e dei servizi digitali per le pubbliche amministrazioni e di altre infrastrutture critiche nell'Unione, consentendo agli Stati membri di:
(1) |
definire una «tabella di marcia per l'attuazione coordinata della crittografia post-quantistica» volta a sincronizzare gli sforzi degli Stati membri per elaborare e attuare i piani nazionali di transizione, garantendo nel contempo l'interoperabilità transfrontaliera; |
(2) |
sostenere la valutazione e la selezione di pertinenti algoritmi dell'UE di crittografia post-quantistica con l'aiuto di esperti in materia di cibersicurezza, come pure l'ulteriore adozione di tali algoritmi come norme dell'Unione che dovrebbero essere attuate in tutta l'Unione nell'ambito della tabella di marcia per l'attuazione coordinata della crittografia post-quantistica; |
(3) |
adottare misure adeguate e proporzionate per prepararsi a tale transizione. |
2. TABELLA DI MARCIA PER L'ATTUAZIONE COORDINATA DELLA TRANSIZIONE VERSO LA CRITTOGRAFIA POST-QUANTISTICA
(4) |
La presente raccomandazione incoraggia gli Stati membri a coordinare le loro azioni a livello di Unione attraverso un apposito forum degli Stati membri. A tal fine la Commissione raccomanda agli Stati membri di sfruttare le strutture esistenti a livello di Unione nel settore della cibersicurezza e di istituire un sottogruppo del gruppo di cooperazione NIS. Tale sottogruppo potrebbe comprendere rappresentanti delle agenzie nazionali per la sicurezza ed esperti in materia di cibersicurezza, provenienti in particolare dalle autorità nazionali per la cibersicurezza e dall'ENISA. Il sottogruppo può invitare a partecipare ai suoi lavori rappresentanti dei pertinenti portatori di interessi, come quelli degli organi consultivi di organizzazioni pubbliche, dell'industria, dei fornitori di servizi e degli operatori, al fine di raccogliere contributi e scambiare informazioni sulla transizione delle infrastrutture e dei servizi digitali per le pubbliche amministrazioni e di altre infrastrutture critiche verso la crittografia post-quantistica in diversi settori, coordinare i loro sforzi a livello nazionale ed elaborare la tabella di marcia per l'attuazione coordinata della crittografia post-quantistica, conformemente alle norme dell'Unione in materia di concorrenza e al diritto dell'Unione in materia di protezione dei dati. |
(5) |
Tale sottogruppo sulla crittografia post-quantistica dovrebbe esaminare misure adeguate, efficaci e proporzionate per definire e coordinare l'elaborazione della tabella di marcia per l'attuazione coordinata della crittografia post-quantistica. Il sottogruppo sulla crittografia post-quantistica è incoraggiato ad avviare discussioni con altri organi pertinenti quali Europol, NATO, o altri ancora, al fine di evitare la duplicazione degli sforzi e garantire un approccio coeso alla gestione delle sfide emergenti. |
(6) |
A tal fine, subito dopo la pubblicazione della presente raccomandazione gli Stati membri sono invitati a istituire un sottogruppo sulla crittografia post-quantistica a norma della decisione di esecuzione (UE) 2017/179 della Commissione (8) e a nominare rappresentanti esperti che dovrebbero lavorare in stretta collaborazione con la Commissione ed essere incaricati di definire ed elaborare la tabella di marcia per l'attuazione coordinata della crittografia post-quantistica. |
(7) |
La tabella di marcia per l'attuazione coordinata della crittografia post-quantistica dovrebbe essere disponibile dopo un periodo di due anni dalla pubblicazione della presente raccomandazione, che sarà seguita dall'elaborazione e dall'ulteriore adeguamento dei piani di transizione verso la crittografia post-quantistica elaborati dai singoli Stati membri, conformemente ai principi stabiliti nella tabella di marcia per l'attuazione coordinata della crittografia post-quantistica. |
3. AZIONI A LIVELLO DI UNIONE
(8) |
Tutti i lavori saranno monitorati e valutati periodicamente dalla Commissione in collaborazione con i rappresentanti esperti degli Stati membri. |
(9) |
A tal fine la Commissione può chiedere ai rappresentanti degli Stati membri di presentare tutte le informazioni pertinenti che possono ragionevolmente fornire al fine di garantire il monitoraggio dei progressi compiuti nella redazione di tale tabella di marcia per l'attuazione coordinata della crittografia post-quantistica e dell'efficacia di tali misure. |
(10) |
Sulla base di queste e di tutte le altre informazioni disponibili la Commissione valuterà le misure concepite e il funzionamento della rete di rappresentanti degli Stati membri e stabilirà se siano necessarie ulteriori azioni, compresa la proposta di atti vincolanti di diritto dell'Unione. |
4. RIESAME
(11) |
Gli Stati membri dovrebbero collaborare con la Commissione per valutare gli effetti della presente raccomandazione al massimo tre anni dopo la sua pubblicazione al fine di determinare i modi opportuni di procedere. Tale valutazione dovrebbe tenere conto dei risultati dei lavori del sottogruppo di esperti nazionali sulla crittografia post-quantistica. |
Fatto a Bruxelles, l'11 aprile 2024
Per la Commissione
Thierry BRETON
Membro della Commissione
(1) GU L 333 del 27.12.2022, pag. 80.
(2) COM(2020) 67 final.
(3) Decisione (UE) 2022/2481 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, che istituisce il programma strategico per il decennio digitale 2030 (GU L 323 del 19.12.2022, pag. 4).
(4) COM(2020) 605 final.
(5) JOIN(2020) 18 final.
(6) https://data.consilium.europa.eu/doc/document/ST-10919-2023-INIT/it/pdf
(7) JOIN(2023) 20 final.
(8) Decisione di esecuzione (UE) 2017/179 della Commissione, del 1°febbraio 2017, che stabilisce le modalità procedurali necessarie per il funzionamento del gruppo di cooperazione, a norma dell'articolo 11, paragrafo 5, della direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell'Unione (GU L 28 del 2.2.2017, pag. 73).
ELI: http://data.europa.eu/eli/reco/2024/1101/oj
ISSN 1977-0707 (electronic edition)