Regolamento (UE) 2025/2540

Regolamento di esecuzione (UE) 2025/2540 della Commissione sul piano per la valutazione inter pares delle NCCA

Il regolamento attua l’articolo 59 del regolamento (UE) 2019/881, disciplinando in modo uniforme il meccanismo di revisione tra pari delle autorità nazionali di certificazione della cibersicurezza (NCCA). La finalità è assicurare omogeneità, prevedibilità e coerenza nella valutazione delle pratiche nazionali in materia di certificazione e vigilanza, con il supporto tecnico dell’ENISA e il coinvolgimento dell’ECCG.

Contesto e finalità

I considerando evidenziano che le valutazioni inter pares devono essere svolte da due NCCA di altri Stati membri e dalla Commissione, con la possibilità per ENISA di partecipare come osservatore e di produrre modelli operativi. Il sistema mira a garantire standard equivalenti per i certificati europei di cibersicurezza e per le dichiarazioni UE di conformità, oltre a favorire il mutuo apprendimento tra autorità, l’individuazione di buone pratiche e la gestione sicura delle informazioni trattate durante le verifiche. È inoltre richiamato il profilo dell’interoperabilità ai sensi del regolamento (UE) 2024/903, per cui è stata svolta la relativa valutazione e la relazione deve essere pubblicata sul portale "Europa interoperabile".

Ambito soggettivo e calendario applicativo

Il regolamento riguarda le NCCA degli Stati membri e, per quanto indicato nell’allegato I, anche le NCCA di Liechtenstein, Norvegia e Islanda. Ogni NCCA è sottoposta a valutazione inter pares secondo un calendario prestabilito e poi con periodicità quinquennale. Le prime scadenze fissate nell’allegato I vanno dal 31 dicembre 2026 al 31 dicembre 2030, con gruppi di Stati membri distribuiti per anno. Se uno Stato membro ha designato più NCCA, le valutazioni si svolgono in parallelo; se una NCCA è designata da un altro Stato membro, si applica il calendario dello Stato membro designante o di quello della NCCA designata, a seconda dei compiti di vigilanza interessati.

Pianificazione, rotazione e partecipazione degli osservatori

Ogni valutazione è svolta da due NCCA di altri Stati membri e dalla Commissione. Il regolamento istituisce un sistema di rotazione, imponendo che le NCCA di ciascuno Stato membro partecipino ad almeno due valutazioni per periodo. ENISA, in cooperazione con Commissione ed ECCG, propone e aggiorna l’elenco delle NCCA tenute a svolgere valutazioni e chiede annualmente alle NCCA di indicare l’interesse a partecipare l’anno successivo. Se le candidature sono superiori alle necessità, Commissione ed ENISA selezionano i partecipanti previa consultazione; se sono insufficienti, la Commissione seleziona le NCCA dopo consultazione dell’ECCG, tenendo conto dell’obbligo minimo di partecipazione.

Le NCCA di altri Stati membri possono intervenire come osservatrici con uno o più rappresentanti, ma solo con il consenso della NCCA valutata, delle NCCA valutatrici e della Commissione. Anche un rappresentante ENISA può partecipare come osservatore. Gli osservatori hanno accesso alle stesse informazioni degli altri membri del gruppo, ma non svolgono attività di valutazione.

Requisiti dei valutatori e gestione dei conflitti di interesse

Ciascuna NCCA valutatrice designa un rappresentante, potendo nominarne più di uno se necessario per coprire le competenze richieste. Il rappresentante deve avere almeno due anni di esperienza presso la NCCA o aver preso parte ad almeno due valutazioni come osservatore, avere una conoscenza sufficiente del quadro di certificazione della cibersicurezza, possedere una buona conoscenza pratica dell’inglese e, possibilmente, della lingua o delle lingue del Paese valutato, e agire in modo indipendente dalla NCCA sottoposta a valutazione.

I potenziali conflitti di interesse devono essere comunicati preventivamente alla Commissione, alle altre NCCA e a ENISA. La NCCA sottoposta a valutazione può opporsi alla nomina di specifici rappresentanti entro due settimane dalla comunicazione dei nomi e dei recapiti. In caso di ritardi indebiti dovuti a circostanze eccezionali, la Commissione, dopo consultazione di ENISA ed ECCG, decide sulla composizione del gruppo. Le NCCA valutatrici scelgono inoltre un capogruppo responsabile del coordinamento della valutazione.

Metodologia della valutazione

La valutazione inter pares verte sugli aspetti elencati nell’allegato II e, in particolare, su quattro blocchi tematici: separazione tra funzioni di certificazione e vigilanza; vigilanza e applicazione delle regole di conformità dei prodotti, servizi, processi TIC e servizi di sicurezza gestiti; monitoraggio e applicazione degli obblighi dei fabbricanti o fornitori che effettuano autovalutazione; monitoraggio, autorizzazione e vigilanza degli organismi di valutazione della conformità.

La procedura deve sempre includere:

• un questionario di autovalutazione;
• l’esame della documentazione pertinente;
• colloqui online o in presenza, o entrambi;
• una visita in loco.

La durata della visita in loco non può superare tre giorni lavorativi, salvo diverso accordo complessivo sulla durata della valutazione in funzione di dimensioni e complessità della NCCA valutata. La lingua di lavoro è l’inglese, salvo diverso accordo, e la relazione deve essere redatta almeno in inglese. La NCCA valutata deve collaborare pienamente, mettendo a disposizione le informazioni e i documenti necessari; il questionario di autovalutazione e l’ultima relazione sintetica annuale devono essere trasmessi almeno 21 giorni prima della visita in loco, mentre gli ulteriori documenti richiesti devono essere forniti entro 7 giorni. Prima della stesura della relazione, il gruppo discute con la NCCA valutata i risultati preliminari.

Relazione, osservazioni e pubblicazione

Entro 21 giorni dalla valutazione il gruppo redige un progetto di relazione contenente i dettagli sugli attori coinvolti, i risultati e le conclusioni, con eventuali raccomandazioni di miglioramento. Il progetto è trasmesso alla NCCA valutata, che ha 14 giorni per formulare osservazioni. Le osservazioni sono valutate e, se possibile, integrate nella relazione finale; in caso di disaccordo, la risposta della NCCA è allegata alla relazione.

La relazione finale, comprensiva della sintesi pubblicabile, è inviata all’ECCG entro due mesi dallo svolgimento della valutazione. L’ECCG esamina la relazione e approva la sintesi, che viene pubblicata sul sito web dedicato ai sistemi europei di certificazione della cibersicurezza. La sintesi può includere anche la risposta della NCCA valutata, previo accordo con quest’ultima. I dati personali eventualmente raccolti devono essere anonimizzati prima che la relazione sia diffusa al di fuori del gruppo di valutazione.

Riservatezza e sicurezza delle informazioni

Tutte le parti coinvolte devono garantire la riservatezza delle informazioni ottenute, con particolare tutela dei diritti di proprietà intellettuale, delle informazioni commerciali riservate e dei segreti commerciali, dell’efficace attuazione del regolamento, degli interessi di sicurezza pubblica e nazionale e dell’integrità dei procedimenti penali o amministrativi. Il gruppo deve adottare misure di trattamento sicuro delle informazioni e, una volta predisposte relazione finale e sintesi, deve eliminare o distruggere tutti i documenti raccolti o prodotti, salvo tali elaborati finali.

ENISA può, insieme all’ECCG, predisporre orientamenti sulle comunicazioni sicure e riservate, tenendo conto delle migliori pratiche esistenti delle NCCA.

Sviluppo delle capacità e ruolo di ENISA

Il regolamento attribuisce a ENISA il compito di analizzare i risultati aggregati delle valutazioni inter pares per individuare insegnamenti e buone pratiche utili allo sviluppo delle capacità delle NCCA e al mantenimento dei sistemi europei di certificazione della cibersicurezza. Tale analisi può tradursi in attività formative o in ulteriori orientamenti, elaborati in cooperazione con l’ECCG.

Entrata in vigore e applicabilità

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.