(1)

La Commissione ha riconosciuto come il dispiegamento della 5a generazione (5G) delle tecnologie di rete costituisca un fattore abilitante fondamentale per lo sviluppo dei servizi digitali del futuro nonché una priorità per la strategia per il mercato unico digitale. La Commissione ha adottato il piano d'azione per il 5G al fine di garantire che l'Unione disponga delle infrastrutture di connettività necessarie per la sua trasformazione digitale dal 2020 (1).

(2)

Le reti 5G si baseranno sull'attuale 4a generazione (4G) delle tecnologie di rete, fornendo nuove capacità di servizio e diventando l'infrastruttura centrale nonché il fattore abilitante per un'ampia parte dell'economia dell'Unione. Una volta lanciate, le reti 5G costituiranno la struttura portante di una vasta gamma di servizi essenziali per il funzionamento del mercato interno e per il mantenimento e la gestione di funzioni economiche e sociali vitali, quali l'energia, i trasporti, i servizi bancari e sanitari e i sistemi di controllo industriale. Anche l'organizzazione dei processi democratici, quali le elezioni, si baserà sempre di più sulle infrastrutture digitali e sulle reti 5G.

(3)

Poiché molti servizi essenziali dipendono dalle reti 5G, le conseguenze di malfunzionamenti sistemici e diffusi sarebbero particolarmente gravi. Pertanto garantire la cibersicurezza delle reti 5G è una questione di importanza strategica per l'Unione, in un momento in cui gli attacchi informatici sono più numerosi e sofisticati che mai.

(4)

Date la natura interconnessa e transnazionale delle infrastrutture alla base dell'ecosistema digitale e la natura transfrontaliera delle minacce in questione, eventuali vulnerabilità e/o incidenti di cibersicurezza significativi riguardanti le reti 5G che si verificano in uno Stato membro inciderebbero sull'Unione nel suo complesso. Per questo motivo è opportuno prevedere misure che siano alla base di un elevato livello comune di cibersicurezza delle reti 5G.

(5)

Gli Stati membri hanno confermato la necessità di un'azione a livello di Unione. Secondo quanto riportato nelle conclusioni del 21 marzo 2019, il Consiglio europeo attende con interesse la raccomandazione della Commissione su un approccio concertato in materia di sicurezza delle reti 5G (2).

(6)

Garantire la sovranità europea dovrebbe essere un obiettivo fondamentale, nel pieno rispetto dei valori europei di apertura e tolleranza (3). Anche gli investimenti esteri nei settori strategici, l'acquisizione di beni, tecnologie e infrastrutture critici nell'Unione e la fornitura di apparecchiature fondamentali possono mettere a rischio la sicurezza dell'Unione.

(7)

La cibersicurezza delle reti 5G riveste un'importanza fondamentale per garantire l'autonomia strategica dell'Unione, come riconosciuto nella comunicazione congiunta «UE-Cina – Una prospettiva strategica» (4).

(8)

Anche nella risoluzione del Parlamento europeo sulle minacce per la sicurezza connesse all'aumento della presenza tecnologica cinese nell'Unione si invita la Commissione e gli Stati membri ad agire a livello di Unione (5).

(9)

La presente raccomandazione affronta i rischi di cibersicurezza nelle reti 5G presentando orientamenti sulle opportune misure di analisi e gestione dei rischi a livello nazionale, sullo sviluppo di una valutazione dei rischi coordinata a livello europeo e sulla definizione di un processo per lo sviluppo di un insieme di strumenti comuni volti a garantire la migliore gestione dei rischi.

(10)

Le reti di comunicazione elettronica sono protette da un solido quadro legislativo dell'Unione.

(11)

Il quadro dell'Unione nel settore delle comunicazioni elettroniche (6) promuove la concorrenza, il mercato interno e gli interessi degli utenti finali e con il codice europeo delle comunicazioni elettroniche (7) persegue un ulteriore obiettivo in materia di connettività, articolato in termini di risultati: ampio accesso alla connettività fissa e mobile ad altissima capacità e diffusione della stessa per tutti i cittadini e le imprese dell'Unione, tutelando nel contempo gli interessi dei cittadini. La direttiva 2002/21/CE impone agli Stati membri di garantire il mantenimento dell'integrità e della sicurezza delle reti di comunicazione pubbliche e di assicurare che le imprese che forniscono reti pubbliche di comunicazione o servizi di comunicazione elettronica accessibili al pubblico adottino adeguate misure di natura tecnica e organizzativa per gestire adeguatamente i rischi per la sicurezza delle reti e dei servizi. Essa prevede inoltre che le competenti autorità nazionali di regolamentazione abbiano la facoltà di impartire istruzioni vincolanti al fine di garantire il rispetto di tali obblighi.

(12)

La direttiva 2002/20/CE del Parlamento europeo e del Consiglio (8) consente inoltre agli Stati membri di vincolare l'autorizzazione generale a condizioni relative alla sicurezza delle reti pubbliche contro l'accesso non autorizzato, al fine di tutelare la riservatezza delle comunicazioni conformemente alla direttiva 2002/58/CE del Parlamento europeo e del Consiglio (9).

(13)

Per sostenere l'attuazione di tali obblighi, l'Unione ha istituito una serie di organismi di cooperazione. L'Agenzia dell'Unione europea per la sicurezza delle reti e dell'informazione (ENISA), la Commissione, gli Stati membri e le autorità nazionali di regolamentazione hanno elaborato orientamenti tecnici per le autorità nazionali di regolamentazione in materia di notifica degli incidenti, misure di sicurezza, minacce e risorse (10). Il gruppo di cooperazione istituito dalla direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio (11) («il gruppo di cooperazione») riunisce le autorità competenti al fine di sostenere e facilitare la cooperazione, in particolare fornendo orientamenti strategici per le attività della rete dei gruppi di intervento per la sicurezza informatica in caso di incidente, che agevola la cooperazione operativa a livello tecnico.

(14)

Il futuro quadro europeo di certificazione della cibersicurezza (12) dovrebbe fornire uno strumento di sostegno essenziale per promuovere livelli coerenti di sicurezza. Esso dovrebbe consentire lo sviluppo di sistemi di certificazione della cibersicurezza per rispondere alle esigenze degli utenti di apparecchiature e software legati al 5G. L'importanza fondamentale di tali infrastrutture dovrebbe far sì che lo sviluppo dei pertinenti sistemi europei di certificazione della cibersicurezza per i prodotti, i servizi o i processi delle tecnologie dell'informazione e della comunicazione usati per le reti 5G sia considerato una priorità immediata. Gli Stati membri e gli operatori del mercato dovrebbero impegnarsi attivamente nello sviluppo di tali sistemi di certificazione, anche fornendo sostegno per la definizione di profili di protezione specifici per le reti 5G.

(15)

In assenza di una legislazione armonizzata dell'Unione, gli Stati membri possono specificare, mediante regolamenti tecnici nazionali adottati in conformità alla legislazione dell'Unione, che un sistema europeo di certificazione della cibersicurezza dovrebbe essere obbligatorio. Gli Stati membri ricorrono inoltre ai sistemi europei di certificazione della cibersicurezza nel contesto degli appalti pubblici e della direttiva 2014/24/UE del Parlamento europeo e del Consiglio (13) e potrebbero sostenere lo sviluppo di meccanismi di assistenza, quale un polo di assistenza, per l'acquisto di soluzioni di cibersicurezza da parte di acquirenti pubblici.

(16)

Nel garantire la sicurezza delle reti 5G è fondamentale un livello elevato di protezione dei dati e della vita privata. Sono state inoltre definite norme a livello di Unione che garantiscono la sicurezza del trattamento dei dati personali, anche nelle comunicazioni elettroniche. Il regolamento generale sulla protezione dei dati (14) sancisce l'obbligo di trattare i dati personali in modo da garantirne la sicurezza, anche al fine di prevenire l'accesso non autorizzato ai dati personali o agli strumenti di trattamento dei dati e l'utilizzo non autorizzato degli stessi. La direttiva relativa alla tutela della vita privata nel settore delle comunicazioni elettroniche stabilisce norme specifiche in materia di protezione della riservatezza delle comunicazioni e delle apparecchiature terminali degli utenti finali. Essa impone inoltre ai fornitori dei servizi l'obbligo di adottare misure tecniche e organizzative appropriate per salvaguardare la sicurezza dei servizi da essi offerti.

(17)

L'Unione ha inoltre adottato uno strumento che proteggerà le infrastrutture e le tecnologie critiche, quali quelle utilizzate nelle comunicazioni, consentendo agli Stati membri di controllare gli investimenti esteri diretti per motivi di sicurezza o di ordine pubblico e creando un meccanismo di cooperazione tramite il quale gli Stati membri e la Commissione saranno in grado di scambiare informazioni e manifestare preoccupazione in merito a investimenti specifici (15).

(18)

Gli Stati membri e gli operatori stanno attualmente adottando importanti misure preparatorie volte a consentire il lancio su larga scala delle reti 5G. Diversi Stati membri hanno espresso preoccupazione riguardo ai potenziali rischi di sicurezza relativi alle reti 5G nell'ambito dell'esecuzione di procedure per la concessione di diritti d'uso di bande di frequenza radio designate per le reti 5G (16) e stanno studiando misure per affrontare tali rischi.

(19)

Per affrontare i rischi di cibersicurezza nelle reti 5G si dovrebbe tener conto dei fattori sia tecnici che di altro tipo. I fattori tecnici possono includere le vulnerabilità di cibersicurezza che possono essere sfruttate per l'accesso non autorizzato alle informazioni (ciberspionaggio, per motivi tanto economici quanto politici) o per altri scopi dolosi (attacchi informatici volti a distruggere sistemi e dati o a provocarne il malfunzionamento). Aspetti importanti di cui tenere conto dovrebbero essere la necessità di proteggere le reti nel corso del loro intero ciclo di vita e la necessità di considerare tutte le pertinenti apparecchiature, anche nelle fasi di progettazione, sviluppo, appalto, diffusione, funzionamento e manutenzione delle reti 5G.

(20)

Altri fattori possono includere requisiti normativi o di altro tipo imposti ai fornitori di apparecchiature per le tecnologie dell'informazione e della comunicazione. Una valutazione dell'importanza di tali fattori dovrebbe tener conto, tra l'altro, del rischio generale di influenza da parte di un paese terzo, in particolare in relazione al suo modello di governance, all'assenza di accordi di cooperazione sulla sicurezza o di disposizioni analoghe, quali le decisioni di adeguatezza, tra l'Unione e il paese terzo interessato per quanto riguarda la protezione dei dati, e dovrebbe esaminare se tale paese sia parte di accordi multilaterali, internazionali o bilaterali in materia di cibersicurezza, lotta alla criminalità informatica o protezione dei dati.

(21)

Dovrebbe essere effettuata e completata una valutazione dei rischi a livello nazionale, come passo importante verso lo sviluppo di un approccio dell'Unione in materia di cibersicurezza delle reti 5G. Ciò aiuterebbe gli Stati membri ad adeguare le misure nazionali in materia di requisiti di sicurezza e di gestione dei rischi alla luce di tale valutazione.

(22)

È opportuno sviluppare un coordinamento per garantire l'efficacia delle misure volte ad affrontare tali minacce di cibersicurezza, misure che sono essenziali per il corretto funzionamento del mercato interno e per la protezione dei dati personali e della vita privata.

(23)

Le valutazioni nazionali dei rischi dovrebbero costituire la base per una valutazione dei rischi coordinata a livello di Unione, costituita da una mappatura del panorama delle minacce e da una revisione congiunta condotta dagli Stati membri, con il sostegno della Commissione e in collaborazione con l'Agenzia dell'Unione europea per la cibersicurezza (ENISA).

(24)

Tenendo conto delle valutazioni dei rischi a livello nazionale e di Unione, il gruppo di cooperazione dovrebbe istituire un insieme di strumenti che identifichino i tipi di rischi di cibersicurezza e le possibili misure di attenuazione dei rischi in settori quali la certificazione, le prove e i controlli degli accessi. Tale insieme di strumenti dovrebbe inoltre identificare eventuali misure specifiche adeguate per far fronte ai rischi individuati da uno o più Stati membri. Il gruppo di cooperazione dovrebbe avvalersi del sostegno dell'Agenzia dell'Unione europea per la cibersicurezza (ENISA), di Europol, dell'Organismo dei regolatori europei delle comunicazioni elettroniche (BEREC) e del Centro dell'UE di situazione e intelligence. Tale insieme di strumenti dovrebbe orientare la Commissione in merito allo sviluppo di requisiti minimi comuni a ulteriore garanzia di un elevato livello di cibersicurezza delle reti 5G in tutta l'Unione.

(25)

Nell'adottare misure volte ad affrontare i rischi di cibersicurezza si dovrebbe prendere in considerazione la promozione della cibersicurezza mediante la selezione di fornitori diversi al momento della costruzione di ogni singola rete.

(26)

La presente raccomandazione lascia impregiudicate le competenze degli Stati membri per quanto riguarda le attività relative alla sicurezza pubblica, alla difesa, alla sicurezza nazionale e alle attività dello Stato in materia di diritto penale, compreso il diritto degli Stati membri di escludere determinati fornitori dai loro mercati per motivi di sicurezza nazionale,

(1)

(2)

a)   «reti 5G»: un insieme di tutti gli elementi pertinenti delle infrastrutture di rete per le tecnologie delle comunicazioni mobili e senza fili utilizzati per la connettività e per servizi a valore aggiunto con caratteristiche di prestazione avanzate, quali capacità e velocità di trasmissione dei dati molto elevate, comunicazioni a bassa latenza, affidabilità ultra-elevata o capacità di supportare un numero elevato di dispositivi connessi. Tale insieme può includere elementi di rete tradizionali basati sulle precedenti generazioni di tecnologie delle comunicazioni mobili e senza fili, come il 4G o il 3G. Le reti 5G dovrebbero essere intese in modo da includere tutte le parti pertinenti della rete;

b)   «infrastrutture alla base dell'ecosistema digitale»: le infrastrutture utilizzate per consentire la digitalizzazione in un'ampia gamma di applicazioni critiche nell'economia e nella società.

(3)

(4)

(5)

(6)

(7)

(8)

(9)

(10)

(11)

(12)

(13)

(14)

(15)

(16)

(17)

(18)

(19)