La “EuroCyber” leadership e la standardizzazione per il prossimo decennio digitale

di Davide Maniscalco, coordinatore regionale Aidr per la Sicilia, Head
of public affairs di Swascan – Tinexta Group

“Trust” è la stella polare che orienta i policy makers nella
configurazione di un mercato unico digitale europeo che venga
percipito “safe” dagli utenti digitali, in uno scenario sempre più
interconnesso.

In questa direzione, l’articolo 8 del Cybersecurity Act ha conferito
all’Agenzia dell’Unione europea per la sicurezza informatica, nel
nuovo introdotto mandato permanente, di monitorare gli sviluppi nel
settore della standardizzazione, anche in vista della prossima
“entrata a regime”, nel giugno 2021, della certificazione europea di
prodotti e processi.

Il lavoro dell’Enisa si è dunque focalizzato sul supporto alle
attività di standardizzazione ancora on going delle organizzazioni
europee di normazione CEN, CENELEC, ETSI, nonché del gruppo di
coordinamento della sicurezza informatica ed anche con l’opportuna
collaborazione con le organizzazioni per lo sviluppo di standard (SDO)
come ad esempio ISO SC27 (Liaison) nonché con la Commissione Europea
ed altri Stakeholders.

Di questo si è parlato nella conferenza annuale sulla
standardizzazione in relazione alla direttiva sulle apparecchiature
radio (RED) e la certificazione secondo le disposizioni del
Cybersecurity Act (CSA) organizzata dall’Enisa che si è conclusa lo
scorso 4 febbraio dopo una intensa “tre giorni” di lavori con oltre
2000 partecipanti dall’UE e da tutto il mondo.

La costruzione del Digital Single Market passa inevitabilmente da tre
importanti linee di azione:
· favorire un confronto costruttivo tra il livello politico,
l’industria, la ricerca, e le Organizzazione di standardizzazione e
certificazione
· allargare il dialogo anche a tutti i soggetti a vario titolo
coinvolti nello sviluppo del quadro di certificazione delle ICT in
Europa;
· rendere efficace l’attuazione del Cybersecurity Act.

Frattanto, il recente avvio dell’iter di revisione della Direttiva
Europea NIS, attraverso la NIS2 inserita nel più ampio framework della
EU Cybersecurity Strategy per il prossimo decennio digitale,
rilasciata lo scorso dicembre, ha posto le condizioni per un convinto
rilancio della public private partnership come strumento di efficace
info-sharing e, in ultimo, di complessivo enhancement della protezione
e resilienza nell’ambito del quinto dominio su scala europea.

A ciò si aggiunga che lo scorso 24 luglio 2020, è stata adottata la
nuova strategia UE della sicurezza 2020-2025 relativa alla protezione
e resilienza delle infrastrutture che va nella direzione di una
importante revisione della Direttiva europea 2008/114/CE dell’8
dicembre 2008 relativa alle infrastrutture critiche europee.

E’ pertanto intuitivo che in tale scenario le normative e le
regolamentazioni esistenti in materia di sicurezza delle reti e dei
sistemi diventano un punto di riferimento per tutte le imprese che
intendono aumentare il loro livello di sicurezza e la consapevolezza
riguardante le minacce e i rischi informatici e, pertanto, diventa
fondamentale configurare un efficace approccio alla mitigazione del
rischio e alla resilienza dei processi primari di business.

Se tuttavia, da un lato, la strategia europea sulla cybersecurity mira
a rafforzare la sovranità digitale e la leadership su norme e
standards internazionali afferenti il dominio cibernetico, dall’altro
pone un importante interrogativo sul quale può essere utile stimolare
un dibattito: come favorire il concreto (cyber)sviluppo delle PMI?

E’ vero che la strategia europea intende valorizzazione le PMI
nell’ambito dei poli dell’innovazione digitale preordinati a
migliorare le competenze a stimolare l’innovazione e la competitività.

E’ vero altresì che l’Europa ha messo in campo un budget senza
precedenti tra programma Europa digitale, Orizzonte Europa ed il piano
per la ripresa dell’Europa, avuto anche riguardo allo sviluppo del
Centro di competenza sulla cybersecurity e della rete dei centri di
coordinamento.

Tuttavia, appare necessario che la strategia di sostegno economico
agli investimenti venga opportunamente innestata in un framework di
accountability soprattutto degli operatori della PMI.

Ciò può rivelarsi particolarmente strategico per migliorare gli
standard di security delle PMI italiane e, più in generale, delle loro
vulnerabilità, laddove coinvolte nelle supply chain, con conseguenti
esternalità negative per l’intera filiera di riferimento.

E’ notorio, infatti, che una delle principali vulnerabilità delle
supply chain è rappresentata proprio dalla presenza di PMI con scarsa
sensibilità verso il tema della cyber.

La strategia che pretende di far conseguire l’aumento dei budgets
delle PMI sull’information security ad una crescita di awareness, si è
rivelata nel tempo non del tutto efficace.

In tale prospettiva, ha senso far crescere ipertroficamente l’offerta
di tecnologie e standards se le PMI non possiedono ancora le
necessarie skills per orientare i propri auspicabili investimenti in
termini di cost-effectiveness?

Può essere più efficace, piuttosto, individuare e selezionare le
migliori leve da azionare per creare dapprima una domanda
“qualificata” ed orientarla poi verso la più congrua e coerente
offerta per favorire in ultimo la crescita equilibrata della security
e, in generale, l’affidabilità della supply chain.