Regolamento (UE) 2025/37

Modifica del regolamento (UE) 2019/881 per i servizi di sicurezza gestiti

Il regolamento (UE) 2025/37 interviene sul regolamento (UE) 2019/881, che disciplina l’ENISA e il quadro europeo di certificazione della cibersicurezza, per includere espressamente i servizi di sicurezza gestiti tra gli oggetti della certificazione europea. L’obiettivo dichiarato è rafforzare la resilienza dell’Unione agli attacchi informatici, migliorare il funzionamento del mercato interno e offrire al mercato criteri più affidabili di qualità e sicurezza per servizi particolarmente sensibili e strategici.

Finalità e contesto sistematico

Il testo si colloca nel più ampio quadro delle politiche UE in materia di cibersicurezza, in coordinamento con il regolamento (UE) 2024/2847 sulla ciberresilienza e con la direttiva (UE) 2022/2555 (NIS 2). I considerando sottolineano che i fornitori di servizi di sicurezza gestiti svolgono un ruolo essenziale nella prevenzione, rilevazione, risposta e ripresa dagli incidenti, ma sono anche esposti a rischi elevati per la loro integrazione nelle attività dei clienti. La certificazione è quindi concepita come strumento di fiducia, di selezione dei fornitori e di riduzione della frammentazione normativa.

Ambito soggettivo e oggettivo

Le modifiche riguardano i prodotti TIC, i servizi TIC, i processi TIC e, soprattutto, i servizi di sicurezza gestiti. La nozione di servizio di sicurezza gestito viene definita come un servizio reso a terzi che consiste nello svolgimento di attività o nell’assistenza ad attività connesse alla gestione dei rischi di cibersicurezza, includendo esempi quali gestione degli incidenti, test di penetrazione, audit di sicurezza e consulenza tecnica. Le nuove regole incidono su fabbricanti e fornitori, su chi richiede o detiene una certificazione, sugli organismi di valutazione della conformità, sulle autorità nazionali di certificazione della cibersicurezza, sulla Commissione e sull’ENISA.

Quadro europeo di certificazione e ruolo di ENISA

Il regolamento riscrive l’articolo 46 del regolamento (UE) 2019/881 per confermare che il quadro europeo di certificazione mira a creare un approccio armonizzato a livello UE, migliorando le condizioni di funzionamento del mercato interno e la fiducia nel mercato unico digitale. ENISA vede ampliato il proprio ruolo: promuove l’uso della certificazione europea, contribuisce al quadro europeo, elabora orientamenti e buone pratiche e facilita la definizione di norme europee e internazionali. In caso di richieste della Commissione o dell’ECCG, ENISA prepara proposte di sistemi europei di certificazione e, per ciascuna proposta, istituisce un gruppo di lavoro ad hoc con la partecipazione, se del caso, di amministrazioni nazionali, istituzioni/organi/organismi UE e settore privato.

Procedura di adozione dei sistemi di certificazione

La Commissione, sulla base della proposta ENISA, può adottare atti di esecuzione istitutivi di un sistema europeo di certificazione della cibersicurezza. Il regolamento chiarisce che, nella fase preparatoria, la consultazione degli stakeholder deve essere formale, aperta, trasparente e inclusiva. È inoltre introdotto l’articolo 49 bis, che rafforza l’informazione e il dialogo interistituzionale: la Commissione pubblica le richieste all’ENISA; Parlamento europeo e Consiglio possono chiedere informazioni trimestrali sui progetti di proposta; possono inoltre invitare Commissione ed ENISA a discutere questioni sul funzionamento dei sistemi di certificazione.

Obiettivi di sicurezza per i servizi di sicurezza gestiti

Una delle innovazioni centrali è l’inserimento dell’articolo 51 bis, che definisce gli obiettivi di sicurezza specifici per i sistemi europei di certificazione relativi ai servizi di sicurezza gestiti. Tali sistemi devono assicurare, se del caso:

• competenza, perizia ed esperienza adeguate del personale che presta il servizio;
• procedure interne idonee a garantire una qualità sufficiente e costante;
• protezione dei dati consultati, conservati, trasmessi o trattati;
• ripristino tempestivo della disponibilità e dell’accesso ai dati, servizi e funzioni in caso di incidente;
• controllo rigoroso degli accessi da parte di soggetti autorizzati;
• tracciabilità delle operazioni e delle persone che hanno avuto accesso ai dati o ai servizi;
• sicurezza by design e by default dei prodotti TIC, servizi TIC e processi TIC impiegati nella prestazione, con aggiornamenti di sicurezza e assenza di vulnerabilità note.

Livelli di affidabilità e valutazione della conformità

Il regolamento estende ai servizi di sicurezza gestiti i tre livelli di affidabilità del sistema europeo: "di base", "sostanziale" ed "elevato", parametrati al rischio dell’uso previsto. Per il livello "di base" è sufficiente, in linea generale, un riesame della documentazione tecnica; per il livello "sostanziale" sono richiesti almeno un riesame per escludere vulnerabilità note e un test sulle funzionalità di sicurezza; per il livello "elevato" è richiesta anche una valutazione della resistenza agli attacchi condotti da soggetti qualificati mediante test di penetrazione. L’autovalutazione della conformità è ammessa solo per i casi a basso rischio corrispondenti al livello "di base".

Effetti della certificazione, obblighi del fornitore e controllo successivo

Un prodotto, servizio, processo o servizio di sicurezza gestito certificato secondo un sistema europeo è considerato conforme ai requisiti del sistema. Il soggetto che presenta il servizio alla certificazione deve fornire tutte le informazioni necessarie all’autorità competente o all’organismo di valutazione della conformità. Il titolare del certificato deve segnalare eventuali vulnerabilità o irregolarità rilevate successivamente che possano incidere sulla conformità; le informazioni devono essere trasmesse senza ritardo all’autorità nazionale interessata.

Coordinamento con i sistemi nazionali e vigilanza

L’articolo 57 è modificato per stabilire che, per le categorie coperte da un sistema europeo, i corrispondenti sistemi nazionali cessano di produrre effetti dalla data fissata nell’atto di esecuzione. Gli Stati membri non possono istituire nuovi sistemi nazionali per prodotti, servizi, processi e servizi di sicurezza gestiti già coperti da un sistema europeo. Le autorità nazionali di certificazione rafforzano il controllo della conformità, la cooperazione reciproca e lo scambio di informazioni con la Commissione e con le altre autorità pubbliche competenti, anche in relazione a prodotti o servizi non conformi.

Revisione periodica e possibili sviluppi futuri

L’articolo 56, paragrafo 3, e l’articolo 67 sono aggiornati per prevedere una valutazione periodica dell’efficacia e dell’utilizzo dei sistemi europei di certificazione, nonché dell’eventuale necessità di rendere obbligatori specifici sistemi tramite diritto dell’Unione. La prima valutazione è richiamata come effettuata entro il 31 dicembre 2023 e le successive devono avvenire almeno ogni due anni. La Commissione deve inoltre esaminare se siano necessari requisiti essenziali di cibersicurezza per l’accesso al mercato interno, al fine di evitare l’ingresso di prodotti e servizi non conformi ai requisiti di base.

Modifiche all’allegato sul soggetto di valutazione della conformità

L’allegato del regolamento (UE) 2019/881 è aggiornato per rafforzare i requisiti di indipendenza, imparzialità, assenza di conflitti di interesse e adeguatezza delle risorse degli organismi di valutazione della conformità e dei laboratori di prova. Viene ribadito che tali organismi devono essere terzi e indipendenti rispetto all’oggetto valutato e che le attività di consulenza sono incompatibili con l’indipendenza di giudizio richiesta.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. Si tratta quindi di una modifica normativa immediatamente vincolante, destinata a operare nel quadro del regolamento (UE) 2019/881 così come aggiornato.