Regolamento (UE) 2025/38

Regolamento (UE) 2025/38 sulla cibersolidarietà

Il regolamento nasce dall’esigenza, espressamente evidenziata nei considerando, di reagire alla crescita degli incidenti informatici, alla loro rapidità di propagazione e al possibile impatto su servizi pubblici, infrastrutture critiche, attività economiche, fiducia degli utenti e stabilità democratica. L’intervento unionale è costruito come integrazione delle strutture già esistenti e non come sostituzione delle competenze nazionali, con particolare attenzione al coordinamento con la direttiva (UE) 2022/2555, la rete di CSIRT, EU-CyCLONe e il gruppo di cooperazione NIS.

Finalità e architettura generale

L’articolo 1 definisce tre strumenti complementari: il sistema europeo di allerta per la cibersicurezza, il meccanismo per le emergenze di cibersicurezza e il meccanismo europeo di riesame degli incidenti di cibersicurezza. L’obiettivo generale è rafforzare la posizione competitiva dell’industria e dei servizi dell’Unione nell’economia digitale, la sovranità tecnologica e l’autonomia strategica aperta nel campo della cibersicurezza, nonché la resilienza dei soggetti pubblici e privati e le competenze della forza lavoro.

Le azioni previste devono essere realizzate nel rispetto delle competenze degli Stati membri e delle funzioni statali essenziali, in particolare della sicurezza nazionale, che resta competenza esclusiva di ciascuno Stato membro. Lo scambio di informazioni riservate è consentito solo entro limiti di pertinenza e proporzionalità e nel rispetto degli interessi essenziali di sicurezza, della protezione dei dati e della riservatezza commerciale.

Definizioni chiave

L’articolo 2 chiarisce, tra l’altro, i concetti di:

• polo informatico transfrontaliero, quale piattaforma multinazionale che riunisce i poli informatici nazionali di almeno tre Stati membri;
• consorzio ospitante, quale insieme degli Stati membri partecipanti che sostengono l’acquisizione e il funzionamento degli strumenti o servizi;
• CSIRT, soggetti e settori critici secondo la direttiva (UE) 2022/2555;
• incidente di cibersicurezza significativo, incidente di cibersicurezza su vasta scala e incidente equivalente a incidenti su vasta scala;
• paese terzo associato al programma Europa digitale;
• amministrazione aggiudicatrice, che può essere la Commissione o, se delegato, l’ENISA;
• fornitori di fiducia di servizi di sicurezza gestiti, selezionati per la riserva UE.

Sistema europeo di allerta per la cibersicurezza

Il Capo II istituisce una rete paneuropea volontaria di infrastrutture composta da poli informatici nazionali e transfrontalieri. La funzione del sistema è rafforzare il rilevamento, l’analisi, l’aggregazione e la condivisione di dati e informazioni sulle minacce informatiche, migliorando la conoscenza situazionale comune, la prevenzione degli incidenti e il supporto operativo a CSIRT, rete di CSIRT, EU-CyCLONe e autorità competenti.

Ogni Stato membro che aderisce al sistema designa o istituisce un polo informatico nazionale, che agisce sotto la sua autorità e può essere un CSIRT, un’autorità nazionale di gestione delle crisi informatiche o altro soggetto competente. Il polo nazionale funge da punto di accesso e coordinamento per la raccolta delle informazioni da fonti pubbliche e private e può cooperare con soggetti del settore privato, incluse le comunità settoriali e intersettoriali di soggetti essenziali e importanti.

I poli informatici transfrontalieri sono creati da almeno tre Stati membri mediante un accordo di consorzio scritto. Tale accordo disciplina la governance, le regole interne, l’istituzione del polo, la responsabilità e le clausole di condivisione delle informazioni. I poli possono essere ampliati con l’adesione di nuovi Stati membri, senza pregiudicare i diritti dell’ECCC sugli strumenti acquisiti congiuntamente.

Cooperazione e interoperabilità

L’articolo 6 impone ai consorzi ospitanti di condividere tra loro informazioni pertinenti, anche anonimizzate, quali minacce, quasi incidenti, vulnerabilità, tecniche, procedure, indicatori di compromissione, tattiche avversarie e allarmi di cibersicurezza. La condivisione deve migliorare il rilevamento delle minacce e rafforzare la capacità della rete di CSIRT di prevenire, rispondere e attenuare gli impatti.

Tra i poli informatici transfrontalieri devono essere conclusi accordi di cooperazione che fissino principi di interoperabilità e condivisione. L’ENISA deve emanare orientamenti sull’interoperabilità entro il 5 febbraio 2026, con particolare riguardo a formati e protocolli di scambio. I sistemi devono essere compatibili con standard e migliori pratiche internazionali e con il funzionamento dei poli già esistenti.

L’articolo 7 prevede inoltre una cooperazione stretta con la rete di CSIRT. In presenza di incidenti potenziali o in corso su vasta scala, i poli transfrontalieri devono trasmettere senza indebito ritardo informazioni pertinenti e allarmi rapidi alle autorità degli Stati membri e alla Commissione tramite EU-CyCLONe e la rete di CSIRT.

Finanziamento del sistema di allerta

Il finanziamento avviene attraverso il programma Europa digitale. L’ECCC seleziona gli Stati membri e i consorzi ospitanti tramite inviti a manifestare interesse e partecipa agli appalti congiunti di strumenti, infrastrutture o servizi. Il contributo dell’Unione può coprire fino al 50% dei costi di acquisizione e fino al 50% dei costi operativi per i poli nazionali; per i consorzi ospitanti, fino al 75% dei costi di acquisizione e fino al 50% dei costi operativi.

È prevista una condizione di “partecipazione effettiva”: se un polo nazionale selezionato non partecipa a un polo transfrontaliero entro due anni dall’acquisizione o dal ricevimento della sovvenzione, lo Stato membro perde l’ulteriore sostegno UE nell’ambito del capo dedicato al sistema di allerta finché non aderisce a un polo transfrontaliero.

Meccanismo per le emergenze di cibersicurezza

Il Capo III istituisce un meccanismo di sostegno per la resilienza dell’Unione e per la gestione degli effetti a breve termine degli incidenti gravi. Nei confronti degli Stati membri il meccanismo opera su richiesta ed è complementare alle azioni nazionali di prevenzione, risposta e ripresa. Le azioni sono finanziate dal programma Europa digitale, ma attuate principalmente tramite l’ECCC; la riserva UE per la cibersicurezza, invece, è gestita dalla Commissione e, in tutto o in parte, dall’ENISA.

Le azioni finanziabili sono tre: preparazione, risposta/ripresa tramite la riserva UE, e assistenza reciproca. Le azioni di preparazione comprendono verifiche coordinate della preparazione e altre misure come test di penetrazione, monitoraggio delle vulnerabilità, esercitazioni e formazione. La Commissione, previa consultazione di ENISA, gruppo di cooperazione NIS ed EU-CyCLONe, individua i settori o sottosettori ad alta criticità da sottoporre a verifica coordinata.

Riserva dell’UE per la cibersicurezza

La riserva UE consiste in servizi di risposta erogati da fornitori di fiducia di servizi di sicurezza gestiti. Può includere servizi preimpegnati, convertibili in servizi di preparazione se non utilizzati in emergenza. La riserva è mobilitabile negli Stati membri, nelle istituzioni/organismi dell’Unione e, se previsto, nei paesi terzi associati al programma Europa digitale.

Gli utenti legittimati sono le autorità di gestione delle crisi informatiche e i CSIRT degli Stati membri, il CERT-UE e, per i paesi terzi associati, le autorità competenti equivalenti. Le richieste devono contenere informazioni sul soggetto colpito, sull’impatto potenziale, sul servizio richiesto e sulle misure già adottate. L’ENISA elabora un modello di richiesta e la Commissione può adottare atti di esecuzione sulle modalità procedurali.

Criteri di valutazione, priorità e tempi

Le richieste sono valutate dall’amministrazione aggiudicatrice; per Stati membri e istituzioni UE la risposta deve essere trasmessa senza ritardo e comunque entro 48 ore. Nella valutazione si considerano gravità, tipo di soggetto colpito, impatto potenziale, dimensione transfrontaliera e misure già adottate. A parità di valore, prevalgono le richieste degli utenti degli Stati membri.

I servizi sono prestati sulla base di accordi specifici che includono condizioni di responsabilità. Commissione, ENISA e utenti non assumono responsabilità contrattuale per danni a terzi derivanti dai servizi forniti nell’ambito della riserva. L’uso dei servizi è limitato alla risposta all’incidente e alla ripresa iniziale dei soggetti e degli enti espressamente ammessi.

Entro due mesi dalla fine del sostegno, l’utente deve trasmettere una relazione sintetica sui servizi ricevuti, sui risultati e sugli insegnamenti tratti. La Commissione, l’ENISA, la rete di CSIRT, EU-CyCLONe e, se del caso, l’IICB ricevono tali relazioni secondo il tipo di utente coinvolto.

Criteri per i fornitori e regole di appalto

L’articolo 17 detta requisiti molto stringenti per i fornitori di fiducia: integrità professionale, indipendenza, competenza tecnica, trasparenza della governance, adeguata protezione delle informazioni classificate e riservate, sicurezza dei sistemi, esperienza in servizi analoghi, capacità di operare rapidamente e in più lingue, conformità al regolamento sulla ciberresilienza 2024/2847 e, quando applicabile, futura certificazione secondo un sistema UE di certificazione per i servizi di sicurezza gestiti. È inoltre richiesto che l’offerta disciplini la convertibilità dei servizi non utilizzati in servizi di preparazione.

Assistenza reciproca

L’articolo 18 disciplina il sostegno finanziario all’assistenza tecnica prestata da uno Stato membro a un altro in caso di incidente significativo o su vasta scala. Il sostegno avviene sotto forma di sovvenzioni, secondo le condizioni dei programmi di lavoro del programma Europa digitale. Tra i costi ammissibili possono rientrare viaggio, alloggio e indennità giornaliera degli esperti.

Paesi terzi associati al programma Europa digitale

L’articolo 19 consente l’accesso alla riserva UE da parte dei paesi terzi associati solo se l’accordo di associazione lo prevede espressamente. Il paese terzo deve fornire informazioni sulle proprie capacità di resilienza e gestione del rischio entro tre mesi dalla conclusione dell’accordo e poi almeno annualmente. La Commissione valuta annualmente tre criteri: rispetto dell’accordo, adeguate misure di preparazione e coerenza del sostegno con la politica estera e di sicurezza dell’Unione. La decisione di autorizzazione spetta al Consiglio tramite atto di esecuzione, generalmente valido per un anno e rinnovabile.

Coordinamento con i meccanismi di crisi UE

L’articolo 20 chiarisce che, se l’incidente cyber è causato da una catastrofe o la produce, il sostegno del regolamento integra le azioni della decisione n. 1313/2013/UE sul meccanismo unionale di protezione civile. Se invece l’incidente attiva i dispositivi IPCR, il sostegno è gestito secondo le relative procedure. Il regolamento si presenta quindi come strumento complementare, non sostitutivo, degli altri meccanismi di crisi dell’Unione.

Riesame degli incidenti di cibersicurezza

Il Capo IV istituisce un meccanismo di riesame affidato all’ENISA, su richiesta della Commissione o di EU-CyCLONe e con l’approvazione degli Stati membri interessati. Il riesame verte su minacce, vulnerabilità sfruttabili e azioni di attenuazione riferite a incidenti significativi o su vasta scala. La relazione finale deve analizzare cause, impatto, vulnerabilità e insegnamenti, rispettando le norme su informazioni sensibili o classificate; può contenere raccomandazioni e una versione pubblica, quando consentito.

Modifiche al regolamento Europa digitale e copertura finanziaria

L’articolo 22 modifica il regolamento (UE) 2021/694 per inserire tra gli obiettivi operativi del programma il sostegno al sistema europeo di allerta e al meccanismo per le emergenze di cibersicurezza, compresa la riserva UE. Vengono inoltre aggiornati gli importi dell’obiettivo specifico 3 (“Cibersicurezza e fiducia”) e introdotta la possibilità di riportare gli stanziamenti non utilizzati per la riserva UE e l’assistenza reciproca fino al 31 dicembre dell’esercizio successivo.

Sono anche previste deroghe specifiche sulla partecipazione di soggetti giuridici stabiliti nell’Unione ma controllati da paesi terzi, ammettendoli solo quando la mappatura confermi una reale carenza di strumenti/tecnologie/competenze nell’Unione e quando il rischio per la sicurezza sia proporzionato e non comprometta gli interessi essenziali di sicurezza. L’articolo 16 bis, introdotto nel regolamento 2021/694, stabilisce inoltre la prevalenza delle norme speciali del nuovo regolamento in caso di conflitto.

Governanza, deleghe e controlli

Il regolamento conferisce alla Commissione una delega quinquennale, a decorrere dal 5 febbraio 2025, per precisare i tipi e il numero di servizi di risposta richiesti per la riserva UE. La Commissione può adottare atti di esecuzione sulle modalità procedurali e opera con il supporto del comitato di coordinamento del programma Europa digitale. Le valutazioni della Commissione devono essere effettuate entro il 5 febbraio 2027 e poi almeno ogni quattro anni, con possibile proposta legislativa di revisione.

Nel complesso, il testo costruisce un sistema di solidarietà cyber fondato su prevenzione, rilevamento condiviso, risposta rapida e apprendimento dagli incidenti, combinando strumenti finanziari, governance multinazionale e rigide garanzie di sicurezza e riservatezza. Il suo impatto pratico per professionisti e imprese è rilevante soprattutto per gli operatori di settori critici, per i soggetti coinvolti in gare e appalti cyber, per i consulenti in materia di compliance e per gli operatori che assistono Stati membri, enti pubblici e soggetti privati in situazioni di crisi informatica.