Cosa fa l'Europa quando l'attacco è troppo grande per un solo Stato: dentro il Cyber Solidarity Act

La domanda che le altre norme non fanno

La produzione normativa europea in materia di cybersicurezza degli ultimi anni ha un tratto comune: dice a qualcuno cosa deve fare. NIS2 dice alle entità essenziali e importanti quali misure adottare e cosa notificare. DORA lo dice al settore finanziario. Il Cyber Resilience Act lo dice a chi fabbrica prodotti. CER lo dice ai soggetti critici.

Sono tutte norme che presuppongono una cosa: che chi è colpito sia in grado di reagire. C'è però uno scenario in cui quel presupposto salta, ed è quello che nessuna delle norme precedenti affronta: un incidente su larga scala che supera la capacità di risposta di uno Stato membro.

Il Regolamento (UE) 2025/38 — adottato il 19 dicembre 2024 e pubblicato in Gazzetta ufficiale il 15 gennaio 2025 — è la risposta a quella domanda. Stabilisce misure per rafforzare la solidarietà e le capacità dell'Unione di rilevare le minacce e gli incidenti informatici, di prepararsi e di rispondere, e modifica il Regolamento (UE) 2021/694 sul programma Europa digitale.

Le tre cose che costruisce

1. 01
   Sistema europeo di allarme

   rete paneuropea di centri che rilevano e condividono
2. 02
   Meccanismo di emergenza

   mobilitazione rapida di assistenza in circostanze definite
3. 03
   Riserva UE di cibersicurezza

   servizi di risposta ingaggiati prima, attivabili su richiesta

Il sistema europeo di allarme in materia di cibersicurezza è una rete paneuropea di centri che opera per il rilevamento coordinato e la condivisione delle informazioni sulla situazione. L'idea, tradotta in termini pratici, è che la stessa campagna non venga scoperta ventisette volte da capo. Se una infrastruttura in uno Stato membro vede un indicatore, quel dato deve poter arrivare agli altri prima che l'attacco arrivi a loro — che è, in fondo, l'unico vantaggio strutturale che la difesa può avere su un attaccante che replica la stessa tecnica.

Il meccanismo di emergenza per la cibersicurezza è la parte più delicata. Deve permettere una mobilitazione rapida ed efficace dell'assistenza in circostanze definite e a condizioni specifiche, e insieme consentire un monitoraggio e una valutazione accurati di come le risorse vengono usate. Le due esigenze tirano in direzioni opposte — la velocità e il controllo — ed è per questo che le condizioni sono scritte invece che lasciate al momento.

La riserva UE di cibersicurezza è la parte più concreta. Sono servizi di risposta agli incidenti forniti da soggetti fidati, contrattualizzati in anticipo, attivabili quando uno Stato membro o un'entità ammissibile lo richiede. Il principio è banale e spesso disatteso nella gestione delle crisi: le squadre non si cercano nel momento in cui servono, si tengono pronte prima.

Il limite scritto nella norma, e perché è importante

C'è una precisazione nel regolamento che merita più attenzione di quanta ne riceva: il sostegno della riserva UE di cibersicurezza dovrebbe essere limitato alla fase iniziale del processo di ripristino, quella che porta al recupero delle funzionalità di base dei sistemi.

È un limite che a prima lettura sembra restrittivo e che è invece la ragione per cui il meccanismo può funzionare. Una riserva che si impegnasse a portare a termine ogni ripristino sarebbe consumata dal primo incidente grande. Limitandola alla rimessa in piedi delle funzioni essenziali, resta disponibile per il secondo — e la storia degli incidenti su larga scala suggerisce che il secondo arriva spesso mentre il primo non è finito.

Il regolamento è altrettanto esplicito sull'architettura di responsabilità: la responsabilità primaria della prevenzione degli incidenti e delle crisi, e della preparazione e risposta, resta degli Stati membri. Il meccanismo di emergenza promuove la solidarietà, non la sostituisce alla capacità nazionale. Chi legge questo regolamento come un servizio di soccorso europeo lo legge male: è una rete di sicurezza, e le reti di sicurezza si tendono sotto qualcuno che sta comunque camminando.

Dove tocca chi non è uno Stato membro

Una PMI italiana non ha obblighi diretti da questo regolamento, e questa è la prima cosa da dire per evitare l'ansia da adempimento. Il regolamento non aggiunge righe alla vostra checklist.

Tocca però il contesto in cui quella PMI opera, in due modi che vale la pena capire.

Il primo: l'assistenza attivabile passa dalle strutture nazionali. La capacità di un Paese di beneficiare di questi strumenti dipende dal fatto che il proprio CSIRT nazionale sappia cosa sta succedendo, e questo dipende dalle notifiche che riceve. Le segnalazioni che sembrano burocrazia — quelle previste da NIS2, quelle al CSIRT — sono l'input del sistema che poi, nello scenario grave, decide se e come chiedere assistenza. Non notificare non è solo un'inadempienza: è togliere un dato al meccanismo.

Il secondo: la Commissione collabora con l'alto rappresentante per le richieste ricevute e per l'attuazione del sostegno concesso ai paesi terzi associati al programma Europa digitale. È il segnale che il perimetro di questa solidarietà non coincide esattamente con quello dell'Unione, e che la cibersicurezza è trattata anche come materia di politica estera.

Cosa portarsi via

Il Cyber Solidarity Act non cambia cosa dovete fare domani. Cambia il quadro in cui va letto il resto: NIS2 dice cosa deve fare l'entità, questo regolamento dice cosa succede quando l'entità, o lo Stato, non ce la fa da sola. Sono i due lati della stessa politica, ed è utile sapere che il secondo esiste — soprattutto per chi, in una crisi, dovrà decidere a chi telefonare.

Nota sulle fonti e sui limiti: questo approfondimento si basa sul testo del Regolamento (UE) 2025/38 come pubblicato su EUR-Lex. Non entra nel dettaglio dei singoli articoli, delle dotazioni finanziarie e degli atti di esecuzione, che vanno letti nella fonte: abbiamo preferito riportare l'architettura per quello che è, senza attribuire alla norma numeri o meccanismi che non abbiamo verificato direttamente nel testo.