Una bozza, una data di settembre e un solo profilo di servizio

Il 24 luglio l'ENISA ha messo in consultazione pubblica la bozza dello schema europeo per i servizi gestiti di sicurezza, noto come EUMSS. Juhan Lepassaar, direttore esecutivo dell'agenzia, ha riassunto lo scopo in una riga: "Common baselines can guarantee a level of confidence in services offered." La consultazione passa dal portale EU Survey e si chiude il 13 settembre 2026.

La base giuridica è l'articolo 48, paragrafo 1, del Cybersecurity Act come modificato dal regolamento (UE) 2025/37, che la Commissione ha adottato il 15 gennaio 2025 proprio per consentire la certificazione europea dei servizi e non dei soli prodotti. La Commissione ha incaricato l'ENISA dello schema candidato il 25 aprile 2025. Il 25 giugno 2025 è stato aperto l'invito agli esperti e il 13 ottobre 2025 si è tenuta la riunione inaugurale del gruppo di lavoro ad hoc.

Ciò che è emerso nove mesi dopo è più stretto del mandato. La bozza affronta l'ambito verticale del ciclo di vita della gestione degli incidenti e, al suo interno, un unico profilo di servizio: la risposta agli incidenti.

Le cinque che la legge nomina, l'unica che la bozza copre

La definizione di servizi gestiti di sicurezza contenuta nell'atto modificato arriva a cinque attività: monitoraggio della sicurezza e rilevamento degli incidenti, risposta agli incidenti, test di penetrazione, audit di sicurezza e consulenza di cibersicurezza. La bozza certifica la seconda. Le altre quattro non sono escluse in linea di principio, perché la struttura è costruita apposta per accogliere ulteriori profili di servizio, ma nella prima versione non ci sono.

Quell'ordine merita un momento. La risposta agli incidenti è il servizio che attivate quando qualcosa è già andato storto. Il monitoraggio e il rilevamento sono il servizio che pagate ogni mese perché non vada storto. Tra poco un fornitore potrà dire, con piena esattezza, di possedere un certificato europeo per i servizi gestiti di sicurezza mentre la parte continuativa del suo contratto con voi non è mai stata valutata sotto lo schema.

Più che una critica alla sequenza è un avvertimento su come il marchio verrà letto. I marchi di certificazione viaggiano più lontano e più in fretta delle loro dichiarazioni di ambito.

Perché basic e high non dicono nulla sulla piattaforma

Lo schema ha un impianto a strati. Uno strato orizzontale fissa i requisiti di base validi per ogni servizio gestito di sicurezza certificato, uno strato verticale porta i requisiti propri di ciascun profilo. La base orizzontale comprende la progettazione sicura del servizio e della piattaforma, la gestione del rilascio e della transizione, la gestione della disponibilità e della continuità, la gestione operativa del servizio e il miglioramento continuo con la manutenzione tecnologica.

I livelli di affidabilità sono tre: basic, substantial e high. Il dettaglio che vale la pena estrarre dalla bozza è che quei requisiti orizzontali sono un prerequisito obbligatorio per ogni profilo certificato e sono identici a tutti e tre i livelli. Il livello quindi fa variare lo strato verticale, non le fondamenta. Detto senza giri di parole: un fornitore certificato high ha dimostrato di più su come conduce un intervento di risposta agli incidenti, ed esattamente quanto un fornitore basic su come è progettata e mantenuta disponibile la sua piattaforma.

Diciotto mesi per una bozza, e il cliente di riferimento è Bruxelles

Fate il conto del calendario. Dalla base giuridica del 15 gennaio 2025 a una bozza aperta ai commenti il 24 luglio 2026 passano diciotto mesi. I commenti si chiudono il 13 settembre, poi arriva l'adozione. I fornitori che riforniscono la Riserva di cibersicurezza dell'UE hanno poi due anni dall'entrata in vigore per ottenere il certificato.

Quest'ultima clausola è il meccanismo, e va nominata con precisione. Per il mercato privato lo schema è volontario. Per i fornitori che riforniscono la riserva di capacità di risposta dell'Unione non lo è. L'UE si è resa cliente di riferimento e ha lasciato il marchio facoltativo per tutti gli altri, che è la strada consueta con cui uno schema volontario diventa un requisito di fatto nelle gare senza che nessuno lo imponga per legge. Aspettatevi di vedere EUMSS come voce di punteggio negli appalti pubblici molto prima che sia completo.

Che cosa chiedere al fornitore prima del 13 settembre

Tre cose vanno chiuse adesso. Primo: chiedete rispetto a quale profilo di servizio il fornitore intende certificarsi e se il servizio che comprate davvero rientra. Se il contratto riguarda monitoraggio e rilevamento, oggi la risposta onesta è no. Secondo: chiedete a quale livello di affidabilità punta e fatevi spiegare che cosa cambia, visto che la base non si muove fra i livelli.

Terzo: trattate la consultazione come un canale aperto e non come un avviso. I commenti si chiudono il 13 settembre e ciò che è aperto è proprio l'ambito della prima versione. I compratori sono sistematicamente sottorappresentati in queste consultazioni rispetto ai fornitori e agli organismi di valutazione della conformità. In Italia l'Agenzia per la Cybersicurezza Nazionale ordina già buona parte di questa materia, quindi un fornitore italiano finirà per convivere con un riferimento nazionale e uno europeo. L'obbligo sulla catena di fornitura previsto da NIS2 ricade comunque su di voi, il che rende l'ambito di questo schema qualcosa che non potete delegare a un fornitore.

Da leggere ora: L'UE valuterà da sé l'IA di frontiera  |  Fornitore sovrano riprende in licenza il suo codice