La proposta di Raccomandazione del Consiglio per un Blueprint dell’Unione europea sulla gestione delle crisi informatiche (COM(2025) 66 final), (premere qui per leggere), rappresenta un passaggio importante nell’evoluzione della governance europea in materia di cybersicurezza.
Il documento, adottato dalla Commissione il 24 febbraio 2025, aggiorna e sostituisce la Raccomandazione (UE) 2017/1584, ampliandone il perimetro e introducendo un approccio più strutturato e integrato.
Le ragioni dell’intervento normativo
Il Consiglio, già con le Conclusioni del 22 maggio 2024 sul futuro della cybersicurezza, aveva richiesto alla Commissione di elaborare un nuovo strumento capace di fronteggiare la complessità della minaccia cibernetica, rafforzare le reti esistenti ed evitare la frammentazione.
L’obiettivo è delineare in modo chiaro, accessibile e operativo il quadro di riferimento che consenta a Stati membri, istituzioni e agenzie di cooperare nell’intero ciclo di gestione della crisi: prevenzione, risposta, ripristino.
Il concetto di cyber crisis, mutuato dalla Direttiva (UE) 2022/2555 (NIS 2), viene qui definito come un incidente di portata tale da eccedere la capacità di risposta di un singolo Stato membro o che abbia impatti significativi su almeno due Stati, con possibili conseguenze sul funzionamento del mercato interno e sulla sicurezza pubblica.
Struttura e principi del Blueprint
Il nuovo Cyber Blueprint si fonda su alcuni assi portanti:
- proporzionalità, sussidiarietà, complementarità e riservatezza delle informazioni come principi guida;
- integrazione con gli strumenti esistenti, quali l’IPCR (Integrated Political Crisis Response), il Cyber Diplomacy Toolbox, il Law Enforcement Emergency Response Protocol (LERP), il Critical Infrastructure Blueprint;
- rafforzamento del coordinamento inter-istituzionale, con il coinvolgimento di Commissione, Alto Rappresentante, ENISA, Europol, CERT-EU, EU-CyCLONe e rete CSIRTs;
- sinergia civile-militare, anche in cooperazione con la NATO, riconoscendo la dipendenza delle infrastrutture militari da quelle civili.
Preparazione, rilevazione e risposta
La Raccomandazione dedica ampio spazio alla fase di preparedness, imponendo esercitazioni cicliche, sviluppo di tassonomie comuni e promozione di strategie di diversificazione del DNS, per garantire continuità dei servizi anche durante attacchi gravi.
Particolare attenzione è posta alla condivisione tempestiva delle informazioni, con cluster collaborativi volontari tra Stati e un maggiore coinvolgimento del settore privato, inclusi sviluppatori open-source e gestori di infrastrutture critiche.
Sul piano della detection, il documento incoraggia l’adozione di strategie avanzate basate su minacce, capaci di individuare attività di pre-positioning da parte di attori statali o sponsorizzati, con obbligo di cooperazione tra CSIRTs, cyber hubs e reti transfrontaliere.
La fase di risposta si innesta nei meccanismi esistenti, prevedendo il ricorso alla Riserva di cybersicurezza europea entro 24 ore dalla richiesta e l’attivazione di protocolli di diplomazia cibernetica per contrastare le attività malevole persistenti.
Recupero e comunicazioni sicure
Il Blueprint disciplina anche la fase di recovery, con un focus sull’European Cybersecurity Incident Review Mechanism e sulla capitalizzazione delle lezioni apprese.
Un pilastro strategico riguarda le comunicazioni sicure: entro il 2026 gli attori unionali dovranno convergere su un set interoperabile di soluzioni cifrate, basate sul protocollo Matrix, in grado di garantire resilienza anche in scenari di blackout totale delle reti tradizionali.
Implicazioni giuridiche e politiche
Pur non avendo natura vincolante, la Raccomandazione consolida un impegno politico forte degli Stati membri verso una governance coordinata della cybersicurezza.
Essa si inserisce in un mosaico normativo che comprende il Cyber Solidarity Act, il Cyber Resilience Act e la Direttiva NIS 2, configurandosi come uno strumento di armonizzazione operativa e diplomatica.
L’approccio olistico, che include dimensioni giuridiche, tecniche, militari e di politica estera, rafforza l’Unione nella sua capacità di prevenire, gestire e recuperare da crisi informatiche di portata transnazionale.
The post Cyber Blueprint: una nuova architettura per la gestione delle crisi informatiche first appeared on Osservatorio Italiano sul Diritto delle Nuove Tecnologie.
