Cybersecurity Act: nuove norme in arrivo su certificazione dei prodotti e servizi ICT
Dopo l’approvazione della Direttiva NIS nel 2016 - trasposta in Italia dal D.Lgs. 65/2018 - le istituzioni europee si apprestano ad adottare ulteriori misure intese a rafforzare la sicurezza cibernetica nell’Unione Europea.
Il Cybersecurity Act costituisce una parte fondamentale della nuova strategia dell’UE per la sicurezza cibernetica, che mira a rafforzare la resilienza dell’Unione agli attacchi informatici, a creare un mercato unico della sicurezza cibernetica in termini di prodotti, servizi e processi e ad accrescere la fiducia dei consumatori nelle tecnologie digitali. Lo strumento normativo in questione si affianca, ed è in parte complementare, alla prima normativa in materia di sicurezza cibernetica introdotta a livello dell’Unione, ossia la Direttiva NIS.
La costituzione di schemi di certificazione specifici per prodotti e sistemi ICT non è di per sé una novità. Infatti, numerosi schemi di questo tipo già esistono nella maggior parte degli Stati membri. Ad esempio, in Italia, l’Istituto Superiore delle Comunicazioni e delle Tecnologie dell’Informazione (Iscom, operante presso il Ministero dello Sviluppo Economico) già certifica la sicurezza informatica di prodotti e sistemi ICT secondo lo schema nazionale per la valutazione e la certificazione della sicurezza nel settore della tecnologia dell’informazione istituito dal DPCM del 30 ottobre 2003. Analoghi schemi di certificazione esistono anche in altri Stati membri. Esempi ne sono la Certification de Sécurité de Premier Niveau des Produits des Technologies de l’Information (CSPN), in Francia; il Commercial Product Assurance (CPA), nel Regno Unito; e il Baseline Security Product Assessment (BSPA), in Olanda.
Tuttavia, molti degli schemi di certificazione esistenti non vengono riconosciuti all’estero, o almeno non in tutti gli Stati membri. Ciò obbliga le imprese ad espletare vari processi di certificazione per operare a livello transnazionale. Ad esempio, la Commissione europea ha verificato come un fabbricante di contatori intelligenti (i cosiddetti “smart meter”) che intenda vendere i propri prodotti in Germania, Francia e Regno Unito debba farli certificare secondo tre schemi differenti.
Per ogni chiarimento non esitate a contattare lo Studio Bini Engineering.
