Migliorare la sicurezza informatica o sbarazzarsi dei marchi "indesiderati".

Nel febbraio 2023. Il Parlamento europeo ha esaminato e firmato la direttiva 2022/2555 dell'Unione europea, meglio nota come NIS2, che mira ad aumentare il livello di sicurezza informatica nell'Unione. Le principali disposizioni della direttiva comprendono i seguenti aspetti chiave:

1. Ampliamento della copertura: la NIS2 amplia le categorie di organizzazioni coperte dalla direttiva. Sono ora incluse sia le organizzazioni "essenziali" che quelle "vitali". Le organizzazioni essenziali comprendono le aziende energetiche, i servizi di trasporto, le banche, le infrastrutture dei mercati finanziari, la sanità, le infrastrutture digitali e le agenzie governative. Le organizzazioni importanti includono i servizi postali, l'industria chimica, l'industria alimentare, i produttori di dispositivi medici e altri.
2. Controlli di sicurezza minimi obbligatori: La NIS2 richiede a tutte le organizzazioni di implementare almeno 10 elementi di sicurezza di base, tra cui la gestione degli incidenti, la sicurezza della catena di approvvigionamento, l'uso della crittografia, la continuità operativa e l'igiene informatica di base (come l'autenticazione a più fattori e la formazione del personale)(Infoblox Blog)(DataGuard).
3. Segnalazione degli incidenti informatici: La direttiva stabilisce un sistema di segnalazione degli incidenti a più livelli con scadenze rigorose. Le organizzazioni devono segnalare gli incidenti significativi al proprio CSIRT (Computer Security Incident Response Team) o all'autorità competente entro 24 ore dal rilevamento dell'incidente, seguite da 72 ore per la notifica e, se necessario, la segnalazione intermedia.
4. Gestione del rischio: Le organizzazioni devono effettuare regolarmente valutazioni del rischio dei propri sistemi informatici, identificare le potenziali minacce e vulnerabilità e adottare misure per mitigarle. Ciò include lo sviluppo di piani di continuità operativa e di ripristino in caso di incidente per ridurre al minimo i tempi di inattività e garantire la continuità dei servizi critici.
5. Sanzioni e misure di esecuzione: le autorità nazionali hanno il diritto di applicare misure aggiuntive, come ordini di sospensione o restrizione delle attività di un'organizzazione, al fine di proteggere la sicurezza della rete e dei sistemi informativi(DataGuard).

Cosa significa in termini semplici? Significa che non tutte le apparecchiature possono essere fornite dagli Internet Service Provider (ISP) e dai fornitori di servizi telefonici, ma solo quelle che soddisfano determinati requisiti e certificazioni.
E le apparecchiature di note aziende cinesi, come Huawei e ZTE, rientrano in questa zona a rischio (anche se i documenti non riportano il nome di alcun Paese o azienda). Nel contesto delle apparecchiature di aziende cinesi, le principali preoccupazioni riguardano gli aspetti di sicurezza delle catene di fornitura e i rischi legati all'utilizzo di apparecchiature e tecnologie provenienti da Paesi al di fuori dell'UE, compresa la Cina. Ciò minaccia tutte le apparecchiature già installate di questi marchi cinesi. A coloro che sono ritenuti critici e importanti verranno concessi sette anni di tempo per rimuovere l'hardware o il software in questione. Tuttavia, gli operatori di telecomunicazioni i cui ricavi annuali da attività di telecomunicazione nell'anno finanziario precedente hanno superato i 10 milioni di zloty dovranno farlo entro quattro anni - una disposizione che si applica alle apparecchiature responsabili di servizi critici per la sicurezza della rete. La soglia di 10 milioni di zloty è già stata superata da molti ISP locali di medie dimensioni, il che significa che non saranno solo le aziende di telecomunicazioni più grandi, come quelle che costruiscono reti 5G, a essere soggette al regime.

Come sapete, gli Stati Uniti hanno imposto un divieto sull'uso di apparecchiature di rete di aziende cinesi come Huawei e ZTE, a causa di misure di sicurezza nazionale. La Commissione federale per le comunicazioni (FCC) degli Stati Uniti ha deciso di vietare la concessione di licenze e l'uso delle apparecchiature di queste aziende perché considerate una minaccia per la sicurezza nazionale. La decisione rientra nell'attuazione del SAFE Equipment Act del 2021, che mira a prevenire i rischi associati all'uso di apparecchiature straniere nelle infrastrutture critiche(Federal Communications Commission).

In base alla nuova legislazione, le aziende statunitensi devono dismettere le apparecchiature di aziende cinesi ritenute una minaccia per la sicurezza nazionale. Le misure comprendono la sostituzione delle apparecchiature esistenti e il divieto di acquistarle e utilizzarle ulteriormente(Orrick).

A causa della situazione politica instabile nel mondo, in cui la Cina è più orientata verso l'Oriente, molti Paesi vedono le loro tecnologie come una minaccia da parte della Cina, quindi cercano di limitarsi a utilizzare le apparecchiature cinesi sulle infrastrutture critiche (per paura di spionaggio o sabotaggio).

La Spagna ha già stanziato più di 500 milioni di euro in aiuti per lo sviluppo di reti 5G nelle aree rurali, ma ha dichiarato che alcuni fornitori considerati"ad alto rischio" saranno esclusi dal programma. La filiale spagnola di Huawei ha avviato un cosiddetto. "ricorso amministrativo", sostenendo che l'esclusione di singoli fornitori è "sproporzionata", "politicamente motivata" e semplicemente illegale. Dal giugno 2023. La Commissione europea ha esercitato pressioni sui Paesi dell'UE, incoraggiandoli ad abbandonare le apparecchiature di Huawei e ZTE. Allo stesso tempo, la Germania e, in misura minore, la Spagna si affidano più pesantemente di altri Paesi dell'UE ad apparecchiature di alcuni marchi cinesi, al punto che l'UE ritiene che ciò sia "inaccettabile". La Germania sta già valutando di abbandonare tali apparecchiature e l'ambasciata cinese ha dichiarato che la RPC "non rimarrà indifferente" a tali mosse ostili.

In Spagna, il 38% delle reti 5G a dicembre 2022 è costruito su apparecchiature Huawei, mentre in Germania si parla del 59% (17% in Francia e 51% in Italia). È noto che Huawei ha già presentato un ricorso in Portogallo contro una decisione che vieta agli operatori locali di utilizzare le apparecchiature dell'azienda per costruire reti 5G.

Cosa significano per l'utente medio di Internet tutte queste parole di moda sulla sicurezza informatica e cosa cambierà per lui? Sì, fondamentalmente non cambierà nulla, perché tutte queste leggi e gli emendamenti sono a carico dei fornitori di servizi Internet e di comunicazione. Tuttavia, se la legge entrerà in vigore e il vostro provider non cambierà le apparecchiature o semplicemente non sarà pronto, il vostro internet domestico probabilmente sparirà, il vostro internet mobile sparirà e la vostra connessione 5G sarà interrotta. E la cosa peggiore è che l'utente medio non potrà cambiare nulla; dovrà solo aspettare che l'operatore prenda le misure necessarie per risolvere rapidamente la situazione attuale. E se l'operatore non dispone di apparecchiature sostitutive, la disconnessione dalle comunicazioni e da Internet può durare non solo alcune ore, ma anche diversi giorni o addirittura mesi.

La direttiva NIS2 dell'Unione Europea fissa obiettivi ambiziosi per migliorare la sicurezza informatica, ampliando l'ambito delle organizzazioni interessate e stabilendo requisiti di sicurezza e di rendicontazione rigorosi. Una conseguenza importante di queste misure è l'inasprimento dei requisiti per le apparecchiature utilizzate dagli ISP e dalle società di telecomunicazioni, particolarmente significativo alla luce delle attuali restrizioni imposte alle apparecchiature di produttori cinesi come Huawei e ZTE. Questi cambiamenti potrebbero avere un impatto significativo sulla struttura del mercato delle telecomunicazioni in Europa, accelerando l'aggiornamento delle apparecchiature di rete e aumentando il livello generale di resilienza informatica in settori strategicamente importanti. Allo stesso tempo, la direttiva rafforza la posizione dell'Unione Europea nell'arena globale della sicurezza informatica, fornendo un controllo più stretto sulle fonti di potenziali minacce e allineando i requisiti di sicurezza ai principali standard mondiali.
La direttiva potrebbe anche avere un impatto significativo sulle apparecchiature degli ISP nel mercato polacco delle telecomunicazioni. Gli ISP e gli operatori di telecomunicazioni sperano che il Ministro della Digitalizzazione non cerchi di stigmatizzare le aziende cinesi come fornitori ad alto rischio e che le norme siano solo una minaccia. Tuttavia, è sempre bene tenere presente che la politica e la situazione internazionale potrebbero spingere il governo polacco ad agire ancora più rapidamente e a prendere decisioni concrete.

Autore:
Aliaksandr Roslikau