Fino al 13 settembre 2026 ENISA raccoglie osservazioni sulla prima bozza dello schema europeo EUMSS per la certificazione dei servizi di cybersecurity gestiti. Il documento non introduce oggi un bollino obbligatorio e non sostituisce la verifica di un fornitore. Rende però più leggibili aspetti che una PMI dovrebbe già pretendere: responsabilità definite, continuità del servizio, gestione degli accessi, comunicazioni durante gli incidenti e miglioramento verificabile nel tempo.
La novità: una base europea comune per valutare i servizi gestiti
ENISA ha pubblicato il 24 luglio 2026 la versione 1.1 del candidato schema EUMSS, European Cybersecurity Certification Scheme for Managed Security Services. È una bozza destinata alla revisione pubblica: principi, organizzazione e requisiti possono ancora cambiare e la consultazione resta aperta fino a domenica 13 settembre.
Il lavoro nasce dall’estensione del Cybersecurity Act europeo ai servizi di sicurezza gestiti. La definizione comprende attività svolte per terzi o a loro supporto, come gestione degli incidenti, penetration test, audit di sicurezza, consulenza e assistenza tecnica collegata alla gestione del rischio cyber. Non coincide quindi con qualsiasi contratto IT e non trasforma automaticamente un fornitore di assistenza in un servizio certificato.
L’obiettivo dichiarato è ridurre la frammentazione tra requisiti nazionali e costruire un riferimento comune. Per chi acquista il servizio, il valore potenziale è confrontare offerte valutate secondo criteri più omogenei. Per chi lo eroga, significa rendere dimostrabili organizzazione, competenze e controlli, non soltanto descriverli in una proposta commerciale.
Come è costruita la bozza: requisiti comuni e profili specifici
La proposta segue un’architettura a due livelli. Lo strato orizzontale raccoglie i requisiti di base comuni a tutti i servizi gestiti che potranno rientrare nello schema. ENISA indica cinque aree: progettazione sicura del servizio e della piattaforma, distribuzione e transizione, disponibilità e continuità, gestione operativa, miglioramento continuo e manutenzione tecnologica.
Lo strato verticale aggiunge requisiti legati a un servizio preciso. La prima versione si concentra sul ciclo di gestione degli incidenti e, in particolare, sul profilo di incident response. La scelta è significativa: quando un attacco è in corso, una PMI non ha tempo per scoprire chi conserva i log, chi può isolare un dispositivo o chi deve avvisare clienti e responsabili interni.
La bozza usa i livelli di assurance basic, substantial e high. Il Cybersecurity Act chiarisce però che un livello di assurance indica quanto è stata approfondita la valutazione rispetto ai requisiti dello schema; non misura da solo la sicurezza assoluta del servizio. Un’etichetta non elimina rischi, dipendenze o errori di configurazione e non garantisce che un’offerta sia adatta a ogni impresa.
- Requisiti orizzontali: organizzazione e qualità comuni al servizio.
- Requisiti verticali: controlli collegati a uno specifico profilo operativo.
- Assurance: profondità della valutazione, non promessa di invulnerabilità.
- Perimetro: servizi di sicurezza gestiti, non l’intera assistenza informatica indistintamente.
Perché interessa anche a una PMI che non sarà mai certificata
Molte piccole imprese non hanno un team cyber interno e affidano parte della protezione a un partner esterno. L’esternalizzazione può aumentare competenza e continuità, ma concentra anche informazioni, accessi privilegiati e capacità operative presso un soggetto terzo. ENISA osserva che gli investimenti si stanno spostando verso tecnologie e servizi esterni: proprio per questo servono criteri verificabili.
La bozza EUMSS offre un linguaggio utile per leggere un contratto. Disponibilità, transizione, manutenzione e miglioramento continuo non sono dettagli burocratici. Descrivono cosa accade quando cambia un fornitore, una piattaforma raggiunge fine vita, una persona chiave è assente o un incidente richiede attività fuori orario.
Una PMI non deve copiare centinaia di requisiti tecnici nel capitolato. Può invece usare le aree dello schema per trasformare una promessa generica, come “monitoriamo la sicurezza”, in domande concrete: cosa viene monitorato, con quale copertura, chi riceve l’allarme, entro quanto tempo avviene la presa in carico e quali prove restano disponibili.
Dieci domande da fare prima di affidare un servizio di sicurezza
La qualità si vede prima dell’incidente, nella chiarezza del perimetro. Le risposte dovrebbero finire nell’offerta, nel contratto o in un allegato operativo; una rassicurazione verbale non è sufficiente quando occorre ricostruire responsabilità e tempi.
- Quali sistemi, sedi, account e fasce orarie sono inclusi e quali restano esclusi?
- Chi può accedere agli ambienti del cliente, con quali privilegi, MFA, registrazione e revisione periodica?
- Quali eventi generano un allarme e quali tempi sono previsti per rilevazione, presa in carico e aggiornamento?
- Chi decide contenimento, isolamento, ripristino e comunicazione durante un incidente?
- Dove vengono conservati log, evidenze e dati del cliente, per quanto tempo e con quali protezioni?
- Come viene garantita la continuità se una persona, una piattaforma o un subfornitore non è disponibile?
- Quali competenze sono assegnate al servizio e come vengono mantenute aggiornate?
- Come vengono gestite vulnerabilità, aggiornamenti, eccezioni e tecnologie a fine supporto?
- Quali report riceve il cliente e come vengono tracciate azioni, scadenze e rischi accettati?
- Come avviene l’uscita dal contratto e in quale formato vengono restituiti configurazioni, evidenze e accessi?
SLA, responsabilità e prove: il contratto deve diventare operativo
Uno SLA utile non promette soltanto una percentuale di disponibilità. Definisce priorità, canali, orari, tempi di presa in carico e frequenza degli aggiornamenti. Deve inoltre distinguere il ripristino tecnico dalla risoluzione completa: contenere un account compromesso in trenta minuti non significa aver già ricostruito la causa e chiuso il rischio.
Anche le responsabilità condivise vanno rese esplicite. Il fornitore può gestire gli aggiornamenti dei dispositivi inclusi, ma il cliente deve comunicare nuovi computer e persone. Può controllare i backup, ma qualcuno deve approvare obiettivi di recupero e verificare periodicamente una prova di ripristino. Può analizzare un allarme, ma non sempre può spegnere autonomamente un server essenziale.
Le prove trasformano il servizio in governance: inventario aggiornato, report degli accessi privilegiati, esito dei ripristini, ticket degli incidenti, vulnerabilità aperte e chiuse, eccezioni approvate. Non serve accumulare documenti; serve conservare evidenze che aiutino a decidere e a ricostruire gli eventi.
Incident response: preparare decisioni prima dell’emergenza
Il primo profilo verticale proposto da ENISA riguarda l’incident response. Per una PMI è un invito a predisporre una scheda breve: referenti principali e sostituti, numeri utilizzabili fuori dall’email aziendale, sistemi critici, assicurazione cyber se presente, consulenti legali e privacy, fornitori da coinvolgere e autorità competenti da valutare caso per caso.
Il playbook deve chiarire quali azioni sono preautorizzate. Bloccare un account sospetto può essere accettabile; interrompere produzione o vendite richiede spesso una decisione aziendale. Senza queste soglie, il partner tecnico rischia di agire troppo tardi oppure di causare un impatto operativo evitabile.
Una simulazione da tavolo di sessanta minuti è più utile di un documento mai provato. Si sceglie uno scenario plausibile, come furto di credenziali o cifratura di un file server, e si verifica chi chiama chi, dove sono le copie, quali dati servono e come si aggiorna la direzione. Le lacune diventano attività con proprietario e scadenza.
Un piano pratico in trenta giorni
Nella prima settimana si raccolgono contratti, referenti, asset coperti, accessi concessi e servizi esterni. Nella seconda si confronta il materiale con le cinque aree orizzontali EUMSS, annotando esclusioni e responsabilità non definite. Nella terza si verificano due prove: un ripristino e una gestione simulata dell’incidente. Nella quarta si concordano priorità, scadenze e modalità di report.
Chi sta selezionando un partner può usare lo stesso percorso per confrontare offerte. Il prezzo va letto insieme a perimetro, orari, strumenti, competenze, dipendenze e condizioni di uscita. Due canoni simili possono coprire servizi molto diversi; un costo inferiore può semplicemente lasciare al cliente attività che non sa di dover svolgere.
La visual editoriale di questo articolo è stata creata con il supporto di strumenti di intelligenza artificiale generativa e direzione creativa umana, senza testo o loghi di terzi. Rappresenta più imprese collegate a un nucleo operativo, protetto da livelli distinti di controllo: la sicurezza gestita crea valore quando connessioni, confini e responsabilità restano visibili.
Sai chi interviene, come e con quali tempi quando qualcosa si ferma?
Mettiamo ordine in responsabilità, monitoraggio, backup, accessi e continuità operativa con un’assistenza informatica leggibile anche prima dell’emergenza.
Domande frequenti
In breve.
01La certificazione EUMSS è già disponibile o obbligatoria?
No. Al momento ENISA ha pubblicato una bozza di schema candidato sottoposta a revisione pubblica. Non va presentata come certificazione già ottenibile né come obbligo generale già in vigore.
02Quali servizi rientrano nella definizione europea di managed security service?
Il Cybersecurity Act cita servizi forniti a terzi per svolgere o supportare la gestione del rischio cyber, tra cui gestione degli incidenti, penetration test, audit, consulenza ed assistenza tecnica collegata alla sicurezza.
03Un livello di assurance high significa che il servizio è invulnerabile?
No. Il livello indica la base di fiducia e la profondità con cui il servizio è stato valutato rispetto ai requisiti dello schema; non misura da solo la sicurezza assoluta e non elimina il rischio residuo.
04Cosa può fare subito una PMI?
Può verificare perimetro, accessi, tempi, responsabilità, continuità, prove di ripristino, report e uscita dal contratto. Sono controlli utili anche prima della versione definitiva dello schema.
05La normale assistenza informatica coincide con un servizio di cybersecurity gestito?
Non necessariamente. Dipende dalle attività effettivamente erogate e dal perimetro contrattuale. Manutenzione IT, monitoraggio, incident response e consulenza cyber possono sovrapporsi, ma non sono sinonimi automatici.
Fonti primarie