Ecco la strategia dell'Ue sulla cybersicurezza

La pandemia di Covid-19 è servita all’Unione europea anche a riscoprire l’importanza della cybersicurezza in un contesto geopolitico nel quale Russia e Cina non esitano a usare hacker, propaganda e disinformazione per sottrarre informazioni preziose o seminare dubbi sull’efficacia del modello democratico. L’episodio più clamoroso è stato l’attacco contro l’Agenzia europea dei medicinali, svelato nel dicembre del 2020. L’inchiesta nei Paesi Bassi è ancora in corso, ma secondo la stampa olandese l’operazione sarebbe stata condotta da hacker russi. Sono stati sottratti documenti sul vaccino Pfizer-BioNTech e alcune email sulla strategia vaccinale dell’Ue. A settembre alcuni ospedali in Germania sono stati colpiti da “ransomware” (i virus che bloccano i sistemi informatici per chiedere riscatti). Tra febbraio e marzo lo stesso è accaduto a tre ospedali in Francia. Il 4 maggio in Belgio è stata colpita Belnet, la rete che connette le amministrazioni pubbliche, le scuole e i centri di ricerca. Quel giorno la commissione Esteri della Camera stava per dibattere una risoluzione per qualificare come genocidio la repressione degli uiguri nello Xinjiang.

Le istituzioni dell’Ue non sono immuni. “Ci sono attacchi ogni giorno di varia natura e intensità”, spiega al Foglio una fonte europea. I dettagli non vengono resi pubblici per ragioni di sicurezza. Ad aprile un portavoce della Commissione ha confermato un attacco più grave del solito. Le istituzioni europee sono rimaste coinvolte anche nell’attacco a SolarWinds.

La risposta dell’Ue sulla cybersicurezza si articola sia sul fronte interno sia sul quello esterno. A dicembre i commissari Margrethe Vestager e Thierry Breton e l’Alto rappresentante Josep Borrell hanno presentato la nuova strategia per la cybersicurezza. Due proposte di direttive dovrebbero ampliare il campo delle infrastrutture critiche da proteggere: sanità, trasporti, banche, digitale, acqua, energia, spazio, comunicazioni elettroniche, poste, pubblica amministrazione, industrie strategiche (farmaceutica, prodotti medici, chimica). La Commissione nei prossimi mesi proporrà la creazione di una Joint Cyber Unit per coordinare la risposta in caso di grandi attacchi. Nel frattempo, il Parlamento europeo dovrebbe approvare il regolamento per istituire una rete di centri operativi per la sicurezza  che dovrebbe costituire uno scudo in grado di rilevare i segnali di un attacco informatico e consentire un’azione proattiva prima che si verifichino danni.

La Commissione, inoltre, ha chiesto agli stati membri di attuare un pacchetto di strumenti per rafforzare la sicurezza delle reti 5G di prossima generazione per ridurre al minimo l’esposizione ed evitare la dipendenza dai fornitori ad alto rischio (vedi: la cinese Huawei). “Abbiamo identificato un certo numero di rischi, incluse interferenze di paesi o attori non-Ue nella catena di approvvigionamento”, dice al Foglio un portavoce della Commissione: “La sicurezza delle reti 5G è essenziale. Devono essere sicure e resilienti, in particolare le infrastrutture critiche come energia, trasporti, finanza e sanità”. 

Sul piano esterno, l’elemento centrale è la “Cyber Diplomacy Toolbox” del 2017. Dal 2019 l’Ue si è dotata dell’arma delle sanzioni  volte a scoraggiare e contrastare gli attacchi informatici. Nella lista nera sono finiti cittadini e organizzazioni russe per gli attacchi contro l’Organizzazione per la proibizione delle armi chimiche e il Bundestag tedesco. Borrell vorrebbe passare dall’unanimità al voto a maggioranza per prendere decisioni più rapide sulle cybersanzioni. Ci sono armi esterne meno efficaci, come la diplomazia declaratoria o i negoziati all’Onu per un cyberspazio sicuro.

C’è infine  il lavoro discreto di cyberintelligence e quello meno avanzato sulla cyberdifesa (che rimane di competenza nazionale). “Sulla cybersicurezza non c’è un big bang: è un lavoro continuo”, spiega un funzionario europeo. L’ultimo esempio è arrivato ieri. I governi dell’Ue hanno adottato un nuovo regolamento per modernizzare il sistema di controllo delle esportazioni sui prodotti a duplice uso (applicazioni sia civili sia militari) adeguandolo a software e tecnologie. L’obiettivo è impedire che sistemi di sorveglianza e software per attacchi informatici finiscano in mano a paesi come Russia e Cina.
 

• David Carretta