Certificare chi ti difende: la bozza europea sui servizi di sicurezza gestiti

Il problema che questo schema prova a risolvere

Chi compra sicurezza informatica come servizio si trova davanti a un problema strutturale: non è in grado di verificare quello che sta comprando.

Un'azienda che affida a un fornitore esterno il monitoraggio della propria rete, la risposta agli incidenti o un test di penetrazione sta acquistando qualcosa che, per definizione, non sa fare da sé. Se lo sapesse fare, non lo comprerebbe. E quando arriva la fattura, il documento che riceve descrive un'attività, non la sua qualità. Un rapporto di monitoraggio impeccabile è indistinguibile, per chi lo legge, da un rapporto di monitoraggio impeccabile su un sistema di monitoraggio che non guardava le cose giuste.

È lo stesso problema che si pone quando si sceglie un revisore contabile o un laboratorio di analisi: la risposta storica è la certificazione di parte terza. Applicata alla cybersicurezza, arriva ora.

Da dove nasce

Lo schema EUMSS non è un'iniziativa autonoma di ENISA. È una richiesta formale della Commissione europea, formalizzata il 25 aprile 2025 ai sensi dell'articolo 48(1) del Cybersecurity Act, la norma che consente alla Commissione di chiedere all'Agenzia di preparare uno schema candidato di certificazione.

A monte c'è un passaggio legislativo: il Regolamento (UE) 2025/37 del 19 dicembre 2024, che modifica il Regolamento (UE) 2019/881 «per quanto riguarda i servizi di sicurezza gestiti». È l'atto che estende il quadro europeo di certificazione a una categoria che prima non vi rientrava — i servizi, appunto, e non solo prodotti e processi.

Il gruppo di lavoro dedicato ha iniziato i lavori il 13 ottobre 2025. Il 24 luglio 2026 ENISA apre la consultazione pubblica, che si chiude il 13 settembre 2026.

1. 19 dicembre 2024
   La base giuridica

   Regolamento (UE) 2025/37: i servizi gestiti entrano nel quadro di certificazione.

2. 25 aprile 2025
   La richiesta

   La Commissione chiede a ENISA lo schema, ex art. 48(1) del Cybersecurity Act.

3. 13 ottobre 2025
   I lavori

   Si insedia il gruppo di lavoro ad hoc EUMSS.

4. 24 luglio 2026
   La consultazione

   ENISA pubblica la bozza e apre i contributi.

5. 13 settembre 2026
   La scadenza

   Termine per rispondere alla consultazione pubblica.

Che cosa copre, e com'è fatto

La definizione di servizi di sicurezza gestiti, secondo la pagina ENISA dedicata, «covers areas such as incident response, penetration testing, security audits and consultancy». È un perimetro largo: non solo il SOC che guarda gli allarmi, ma anche chi viene chiamato quando l'incidente è già successo e chi verifica se le difese tengono.

La struttura è a due livelli.

Il livello orizzontale contiene i requisiti di base, obbligatori per tutti i servizi certificati e — questo è il punto che sorprende — identici per tutti e tre i livelli di affidabilità previsti dal Cybersecurity Act: basic, substantial, high. ENISA lo dice esplicitamente: «These baseline requirements apply as a mandatory prerequisite for each certified service profile». I domini sono cinque: progettazione sicura del servizio e della piattaforma; gestione del rilascio e della transizione; gestione della disponibilità e della continuità; gestione operativa del servizio; miglioramento continuo e manutenzione tecnologica.

Il livello verticale contiene i profili specifici. Oggi ce n'è uno solo: la verticale Incident Management Lifecycle, profilo Incident Response.

Che i requisiti di base non cambino fra i tre livelli è una scelta di impostazione interessante. Dice che esiste un pavimento sotto il quale un servizio di sicurezza non è un servizio di sicurezza, indipendentemente da quanto costa. I livelli di affidabilità distinguono il rigore della verifica, non l'esistenza dei controlli.

1. 01
   Livello orizzontale

   cinque domini, obbligatori per tutti e tre i livelli di affidabilità
2. 02
   Livello verticale

   i profili di servizio · oggi solo Incident Response
3. 03
   Certificazione

   tre livelli — basic, substantial, high — sul rigore della valutazione

L'unico obbligo già scritto

Gli schemi europei di certificazione sono, di regola, volontari: è l'impostazione dell'articolo 56 del Cybersecurity Act, e il comunicato ENISA non qualifica EUMSS come obbligatorio.

Con un'eccezione già fissata, e vale la pena conoscerla perché è il primo appiglio concreto: i fornitori che erogano servizi nell'ambito della EU Cybersecurity Reserve dovranno certificarsi secondo EUMSS «within 2 years once the scheme is in place». La Riserva è il meccanismo europeo che tiene a disposizione fornitori di risposta agli incidenti attivabili in caso di crisi cyber significativa negli Stati membri.

È un dettaglio piccolo con una logica leggibile: si comincia a pretendere la certificazione da chi viene chiamato quando le cose vanno male sul serio.

Perché conviene guardarla adesso anche se non vi riguarda

Chi compra questi servizi ha in mano, in questo momento, un documento utile a prescindere dal suo destino normativo: una lista di domande legittime da fare a un fornitore.

I cinque domini orizzontali si traducono, senza troppa fatica, in altrettante domande contrattuali. Come è progettata la piattaforma su cui girano i miei dati. Cosa succede quando il servizio viene attivato e quando viene dismesso. Che continuità è garantita, e con quali numeri. Come è gestita operativamente la fornitura, e da chi. Come viene mantenuta aggiornata la tecnologia che state pagando.

Sono domande che oggi si possono fare senza aspettare nessuno schema. La differenza che porterà la certificazione, quando e se arriverà, non è che le domande diventeranno possibili: è che la risposta dovrà essere verificata da qualcuno che non sia il fornitore stesso.

Cosa fare

Se erogate servizi di sicurezza gestiti, rispondete alla consultazione entro il 13 settembre. È il momento in cui il testo si può ancora modificare, e i fornitori che partecipano sono anche quelli che arriveranno preparati.

Se li acquistate, leggete i cinque domini e confrontateli con il contratto che avete in essere. Non per contestarlo: per capire quali di quelle cinque aree non sono scritte da nessuna parte.

Non aspettatevi che la certificazione risponda alla domanda più difficile. Un servizio certificato dimostra che un processo è stato descritto e verificato secondo uno standard. Non dimostra che stia funzionando oggi, su di voi, contro chi vi sta attaccando in questo momento. È un miglioramento reale del punto di partenza, non un sostituto del controllo.

Cosa non è ancora vero

Va detto con chiarezza, perché è la cosa che più facilmente si travisa: EUMSS è una bozza in consultazione, non diritto vigente. Diventerà vincolante solo con un atto di esecuzione della Commissione, e non è stata annunciata alcuna data per quel passaggio.

Due precisazioni ulteriori. La descrizione dei cinque domini in questo articolo proviene dal comunicato ENISA del 24 luglio, non dalla lettura del documento tecnico della bozza. E c'è una discrepanza di date fra le fonti che vale la pena segnalare: ENISA scrive «On 15 January 2025 the Commission adopted an amendment», mentre EUR-Lex data il Regolamento 2025/37 al 19 dicembre 2024, con pubblicazione in Gazzetta ufficiale il 15 gennaio 2025. Sono la data di adozione e quella di pubblicazione: non un errore, ma due numeri che a confronto sembrano contraddirsi.