Indice dei contenuti
- Una nuova era per la cyber security nel Regno Unito
- Managed service provider sotto i riflettori
- Nuovi obblighi nella catena di fornitura
- Poteri potenziati per i regolatori
- Più potere informativo per l’ICO
- Focus su data center, priorità strategiche e poteri straordinari
- Verso una nuova governance della resilienza digitale
Una nuova era per la cyber security nel Regno Unito
Il governo britannico ha pubblicato il 1° aprile 2025 il Cyber Security and Resilience Policy Statement, documento che anticipa le linee guida del prossimo Cyber Security and Resilience Bill.
Annunciato per la prima volta nel luglio 2024, il disegno di legge mira a riformare in profondità l’attuale impianto normativo rappresentato dalle NIS Regulations 2018, nate come recepimento della prima direttiva europea sulla sicurezza delle reti (NIS) prima della Brexit.
Pur mantenendo l’indipendenza normativa, Londra ha deciso di allinearsi in parte alla nuova Direttiva NIS2 adottata dall’Unione Europea, traendo spunto dalle sue migliori pratiche. L’obiettivo? Affrontare le sfide cibernetiche con una risposta flessibile, proporzionata ma soprattutto strategica.
Managed service provider sotto i riflettori
Uno dei cambiamenti più rilevanti previsti dal disegno di legge riguarda l’estensione dell’ambito di applicazione delle NIS Regulations. In particolare, rientreranno nella nuova cornice i managed service provider (MSP), considerati soggetti ad alto rischio a causa dell’accesso diretto a infrastrutture, reti e dati dei clienti.
Il Policy Statement definisce i servizi gestiti come attività esterne che implicano connessione alle reti del cliente e supporto continuativo nella gestione, amministrazione o monitoraggio di sistemi e infrastrutture informatiche, anche a fini di cyber security.
Nuovi obblighi nella catena di fornitura
Il disegno di legge rafforzerà inoltre le responsabilità nella supply chain per gli operatori di servizi essenziali (OES) e i fornitori di servizi digitali rilevanti (RDSP). I regolatori potranno designare come “critici” quei fornitori la cui interruzione causerebbe impatti gravi sui servizi digitali o essenziali.
Si tratterà di una minoranza selezionata, ma il messaggio è chiaro: il governo intende chiudere ogni potenziale falla nella catena, rendendo ogni anello responsabile della resilienza complessiva.
Poteri potenziati per i regolatori
Il Cyber Security and Resilience Bill prevede anche un rafforzamento dei poteri di supervisione per le autorità competenti. In particolare, il governo propone l’introduzione di requisiti tecnici obbligatori, supportati dal Cyber Assessment Framework sviluppato dal National Cyber Security Centre (NCSC).
Tra le novità spicca il nuovo schema di notifica degli incidenti: le entità regolamentate dovranno avvisare l’autorità e il NCSC entro 24 ore da un incidente rilevante, e inviare una relazione dettagliata entro 72 ore. Un approccio che riprende le tempistiche previste dalla NIS2, ma calibrato sulla realtà britannica.
Più potere informativo per l’ICO
Il disegno di legge attribuirà nuovi compiti anche all’Information Commissioner’s Office (ICO), già responsabile per la protezione dei dati e la regolamentazione dei servizi digitali.
L’ICO avrà più strumenti per raccogliere informazioni sulle attività dei fornitori gestiti, valutare la criticità dei servizi digitali e intervenire in modo più incisivo grazie a notifiche obbligatorie e nuovi criteri di indagine.
Focus su data center, priorità strategiche e poteri straordinari
Il Policy Statement preannuncia ulteriori novità che potrebbero entrare a far parte del disegno di legge o essere sviluppate con provvedimenti separati:
- Inquadramento normativo per i data center
Le strutture che rispondono a determinati criteri dovranno rispettare obblighi di segnalazione e adozione di misure di sicurezza proporzionate.
- Piano strategico quinquennale
Il Segretario di Stato potrà pubblicare dichiarazioni periodiche con obiettivi per i regolatori, da aggiornare ogni 3-5 anni.
- Poteri esecutivi eccezionali
Il governo potrà intervenire direttamente in caso di minacce cyber gravi, ordinando azioni immediate alle aziende o indirizzando le autorità su specifici fronti, in nome della sicurezza nazionale.
Verso una nuova governance della resilienza digitale
Il Cyber Security and Resilience Bill, atteso nei prossimi mesi, promette di ridefinire la governance della cybersicurezza nel Regno Unito. Più vigilanza, più trasparenza e più responsabilità per tutti gli attori dell’ecosistema digitale.
Se attuato come previsto, il disegno di legge potrebbe diventare un modello alternativo alla strategia europea, ma ugualmente ambizioso, per proteggere reti, dati e infrastrutture critiche in un’epoca di minacce sempre più sofisticate.
