I Paesi Bassi sono stati portati in tribunale dalla Commissione Europea. Il motivo: il governo non ha ancora convertito nella legislazione nazionale la direttiva per la protezione di settori vitali come l’energia, i trasporti, la sanità e le infrastrutture digitali. Il Ministero di Giustizia e Sicurezza risponde che ‘occorre innanzitutto una buona base’. Questa risposta merita uno sguardo più attento.

Il quadro degli standard di sicurezza delle informazioni su cui si basa, ISO 27001, esiste nella forma dei suoi predecessori dagli anni ‘90. La direttiva europea è sul tavolo da anni. Inoltre, la legislazione inizia a Bruxelles e i Paesi Bassi sono membri e possono semplicemente partecipare, non solo una volta che il testo sarà definitivo. Una fondazione avrebbe potuto e dovuto esistere molto tempo fa. Quanto tempo ancora vuole il governo?

Il gabinetto non ha i propri gioielli della corona

Durante il dibattito sull’acquisizione di Solvinity, il gabinetto è apparso incapace di indicare quali siano i fiori all’occhiello del governo centrale. L’elenco era ancora in fase di compilazione. Allo stesso tempo, lo stesso governo ora invita le organizzazioni vitali ad armarsi contro le minacce. Una sequenza notevole: prima incoraggiare gli altri, poi fare un inventario di ciò che deve essere protetto.

La pratica ora è sconcertante. Le autorità fiscali non possono mettere in ordine la propria posta elettronica e devono esternalizzarla. Strutture critiche come DigiD e Message Box non possono essere spostate entro pochi mesi. Gli incidenti presso la Procura, il Ministero delle Finanze, Odido, Rituals e il Sondaggio sulla popolazione olandese hanno ripetutamente messo in luce la vulnerabilità.

“Anche altri Paesi sono in ritardo”

Il portavoce sottolinea al Telegraaf che i Paesi Bassi non sono soli: sono stati convocati anche Bulgaria, Francia, Lussemburgo, Polonia, Spagna e Svezia. Questo è il ragionamento dell’automobilista che punta ad altri automobilisti che hanno ricevuto anche loro una multa. Ciò non cambia il fatto che paesi come Grecia, Italia, Croazia, Cipro, Ungheria, Malta, Romania, Slovenia e Slovacchia hanno introdotto la direttiva. Siamo in ritardo rispetto ai paesi che l’Aia vorrebbe emulare, e rispetto ai paesi che preferirebbe non emulare.

Non è complesso, è una questione di volontà

Il governo definisce il processo “ampio e complesso”. Ma il succo è noto: attenersi agli standard, avviare l’attuazione non appena Bruxelles determina la direzione e garantire che i processi vitali possano resistere al fallimento. E ciò che viene chiesto sono i fondamenti della sicurezza informatica e non sono affatto una novità. Questa non è una competenza speciale. Questo è il lavoro manuale amministrativo. O, in termini di Rotterdam: non parlare, lucida e basta.

La minaccia, nel frattempo, non è astratta. Il MIVD, l’AIVD, l’NCTV e i servizi segreti stranieri mettono continuamente in guardia contro gli attacchi informatici, il sabotaggio e lo spionaggio da parte di Russia, Cina e Iran. Il direttore del MIVD parla di azioni che restano appena al di sotto della soglia di un conflitto militare aperto. Il gabinetto lo sente, annuisce e fa riferimento alla fondazione successiva.

E allora?

Due proposte sono ovvie. Chiedere al governo di riferire mensilmente alla Camera dei Rappresentanti su ciò che è stato fatto, cosa è in corso e cosa accadrà nel prossimo mese per garantire che la sicurezza delle informazioni e la resilienza siano in ordine. Concretamente, a livello organizzativo, con scadenze. E: sospendere le nuove ambizioni politiche finché la privacy, la sicurezza delle informazioni e gli obblighi europei non saranno effettivamente in ordine. Chi non ha la casa chiusa a chiave non compra mobili nuovi.

Una causa da parte della Commissione Europea dovrebbe essere un campanello d’allarme. Quando si tratta di resilienza, siamo dei fanatici dell’acqua di rose. Per il momento sembra che si tratti soprattutto di una nuova regola sul dossier su cui il governo sta scrivendo. Il conto non verrà pagato all’Aia, ma durante il primo grande fallimento di un settore vitale.

Questo articolo è apparso in precedenza AG Connetti.