Regolamento sulla cibersicurezza: potenziamento dell’ENISA + quadro di certificazione

Il regolamento dell’UE sulla cibersicurezza conferisce all’ENISA un mandato permanente e maggiori risorse, trasformandola da agenzia temporanea nel polo centrale dell’Unione per la cibersicurezza. Crea inoltre un quadro di certificazione a livello europeo per i prodotti, i servizi e i processi TIC. A differenza della NIS2, che si concentra sulla segnalazione degli incidenti e sulla gestione dei rischi nei settori critici, questo regolamento mira a stabilire norme comuni di sicurezza affinché, ad esempio, un servizio cloud certificato goda di fiducia in tutti gli Stati membri senza ulteriori verifiche nazionali.

Un’insidia d’esame comune consiste nel confondere i sistemi di certificazione previsti dal regolamento con gli obblighi della NIS2. Si ricordi: se la domanda menziona i «livelli di affidabilità» (di base, sostanziale ed elevato) o i «sistemi europei di certificazione della cibersicurezza», si tratta del regolamento sulla cibersicurezza. Se menziona i «termini per la notifica degli incidenti» o la «sicurezza della catena di approvvigionamento per i soggetti essenziali», si tratta della NIS2. Un altro indizio: il regolamento non impone direttamente sanzioni alle imprese; queste derivano dalle normative nazionali che attuano i sistemi di certificazione.

Per fissare il concetto, si pensi al regolamento come al corpus normativo per un «marchio di qualità della cibersicurezza» valido in tutta l’UE. Quando si incontra una domanda sul ruolo permanente dell’ENISA o sui livelli di certificazione, la si associ immediatamente a questo regolamento e non alla NIS2. Un rapido test mentale: «Riguarda un certificato per un prodotto o un servizio?». Se sì, si tratta del regolamento sulla cibersicurezza.