Normativa dell'UE sulla cibersicurezza

Un nuovo mandato per l'ENISA

L'ENISA, l'Agenzia dell'UE per la cibersicurezza, è ora più forte. Il regolamento dell'UE sulla cibersicurezza conferisce all'Agenzia un mandato permanente e le conferisce maggiori risorse e nuovi compiti.

L'ENISA ha un ruolo chiave nell'istituzione e nel mantenimento del quadro europeo di certificazione della cibersicurezza, preparando il terreno tecnico per specifici sistemi di certificazione. Ha il compito di informare il pubblico sui sistemi di certificazione e sui certificati rilasciati attraverso un apposito sito web. 

L'ENISA è incaricata di rafforzare la cooperazione operativa a livello dell'UE, aiutando gli Stati membri dell'UE che desiderano richiederla a gestire i loro incidenti di cibersicurezza e sostenendo il coordinamento dell'UE in caso di attacchi informatici e crisi transfrontalieri su vasta scala.

Questo compito si basa sul ruolo dell'ENISA quale segretariato della rete nazionale dei gruppi di intervento per la sicurezza informatica in caso di incidente (CSIRT), istituita dalla direttiva sulla sicurezza delle reti e dei sistemi informativi (direttiva NIS).

Nel gennaio 2026 la Commissione ha proposto un nuovo atto sulla cibersicurezza per rafforzare ulteriormente la resilienza e le capacità dell'UE in materia di cibersicurezza. Nell'ambito della proposta, l'ENISA sosterrà ulteriormente le imprese e i portatori di interessi che operano nell'UE emettendo avvisi tempestivi di minacce e incidenti informatici. 

In cooperazione con Europol e i gruppi di intervento per la sicurezza informatica in caso di incidente (CSIRT), sosterrà le imprese nella risposta agli attacchi ransomware e nel recupero dagli stessi.

L'ENISA svilupperà inoltre una capacità comune dell'Unione di servizi di gestione delle vulnerabilità e fornirà servizi di gestione delle vulnerabilità ai portatori di interessi. Gestirà il punto di ingresso unico per la segnalazione degli incidenti proposto nell'omnibus digitale.

Il regolamento riveduto sulla cibersicurezza mira inoltre a ridurre i rischi nella catena di approvvigionamento delle TIC dell'UE derivanti da fornitori di paesi terzi che nutrono preoccupazioni in materia di cibersicurezza. Stabilisce un quadro affidabile per la sicurezza della catena di approvvigionamento delle TIC utilizzando un approccio armonizzato, proporzionato e basato sul rischio. I recenti incidenti di cibersicurezza hanno evidenziato i principali rischi di vulnerabilità nelle catene di approvvigionamento delle TIC, che sono essenziali per i servizi e le infrastrutture critici.

Un quadro europeo di certificazione della cibersicurezza

Il regolamento dell'UE sulla cibersicurezza introduce un quadro di certificazione della cibersicurezza a livello dell'UE per i prodotti, i servizi e i processi TIC. Le imprese che operano nell'UE beneficeranno dell'obbligo di certificare i loro prodotti, processi e servizi TIC una sola volta e di vedere riconosciuti i loro certificati in tutta l'Unione europea.

Con la proposta di revisione del regolamento sulla cibersicurezza, il quadro europeo di certificazione della cibersicurezza rinnovato apporterà maggiore chiarezza e procedure più semplici per lo sviluppo di sistemi entro 12 mesi per impostazione predefinita. 

Modifiche mirate

Il 18 aprile 2023 la Commissione ha proposto una modifica mirata del regolamento dell'UE sulla cibersicurezza. La modifica mirata è stata adottata il 15 gennaio 2025 e mira a consentire la futura adozione di sistemi europei di certificazione per i "servizi di sicurezza gestiti" che coprono settori quali la risposta agli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza. La certificazione è fondamentale per garantire un elevato livello di qualità e affidabilità di questi servizi di cibersicurezza altamente critici e sensibili che aiutano le imprese e le organizzazioni a prevenire, rilevare, rispondere o riprendersi dagli incidenti.

Il 20 gennaio 2026 la Commissione ha inoltre proposto modifiche mirate della direttiva NIS2 per aumentare la chiarezza giuridica. Le modifiche semplificheranno la conformità alle norme dell'UE in materia di cibersicurezza e ai requisiti di gestione dei rischi per le imprese che operano nell'UE. Faciliteranno la conformità per 28.700 aziende, tra cui 6.200 micro e piccole imprese.