Cybersecurity Act UE: cos'è il regolamento 2019/881

Il Cybersecurity Act è il regolamento (UE) 2019/881: fissa obiettivi, compiti e organizzazione dell'ENISA e istituisce il quadro europeo di certificazione della cibersicurezza per prodotti, servizi e processi TIC, esteso dal 4 febbraio 2025 ai servizi di sicurezza gestiti. La certificazione è volontaria, salvo che un'altra norma europea o nazionale la renda obbligatoria. A differenza della NIS2 e del Cyber Resilience Act, non impone obblighi alle aziende che non scelgono di certificarsi.

Il nome si confonde con quello del Cyber Resilience Act, e nel 2026 la Commissione ha proposto di sostituirlo. Qui mettiamo in fila cosa dice il testo vigente, cosa ha cambiato la modifica del 2025, a che punto è la revisione e cosa conta per un'azienda italiana che compra o vende tecnologia.

Che cos'è il Cybersecurity Act

Il titolo ufficiale è regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio del 17 aprile 2019 relativo all'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell'informazione e della comunicazione. Nella versione italiana il nome breve è «regolamento sulla cibersicurezza».

È stato pubblicato nella Gazzetta ufficiale dell'Unione europea il 7 giugno 2019 ed è entrato in vigore il ventesimo giorno successivo, il 27 giugno 2019. L'articolo 69 ha rinviato al 28 giugno 2021 gli articoli 58, 60, 61, 63, 64 e 65: autorità nazionali di certificazione, organismi di valutazione della conformità, notifiche, reclami, ricorsi e sanzioni.

Le parti sono due. Il Titolo II riguarda l'ENISA e tocca le aziende solo di riflesso. Il Titolo III istituisce il quadro europeo di certificazione, ed è la parte che arriva sulla scrivania di chi compra o produce tecnologia.

Non è il Cyber Resilience Act

Il Cyber Resilience Act, regolamento (UE) 2024/2847, fissa requisiti di cibersicurezza obbligatori per immettere sul mercato europeo prodotti con elementi digitali, con marcatura CE, obblighi di segnalazione e sanzioni. Il Cybersecurity Act crea invece uno strumento volontario: sistemi di certificazione a cui un fabbricante o un fornitore può aderire per dimostrare un livello di sicurezza. Lo riconosce il considerando 3 del Cyber Resilience Act: il regolamento 2019/881 e la NIS2 non contemplano direttamente requisiti obbligatori per la sicurezza dei prodotti con elementi digitali.

Le due norme però si parlano:

• per l'articolo 27, paragrafo 8, del Cyber Resilience Act, un prodotto certificato in un sistema europeo adottato a norma del regolamento 2019/881 si presume conforme ai requisiti essenziali, nella misura in cui il certificato li copre; il paragrafo 9 affida alla Commissione atti delegati per specificare quali sistemi possono essere usati a questo scopo;
• per l'articolo 8, paragrafo 1, la Commissione può imporre con atti delegati ai prodotti critici dell'Allegato IV un certificato europeo di livello almeno «sostanziale», a condizione che esista un sistema europeo che li copra.

Il Cyber Resilience Act dice cosa un prodotto deve rispettare; il Cybersecurity Act offre uno dei modi per dimostrarlo.

Come funziona la certificazione europea

Volontaria, salvo eccezioni

La regola sta all'articolo 56, paragrafo 2: «La certificazione della cibersicurezza è volontaria, salvo diversamente specificato dal diritto dell’Unione o degli Stati membri». L'obbligo, quando c'è, arriva da un'altra norma.

Tre livelli di affidabilità

Ogni sistema può prevedere i livelli «di base», «sostanziale» o «elevato», commisurati al rischio legato all'uso previsto (articolo 52). Il livello decide chi certifica:

• di base: il sistema può ammettere l'autovalutazione, con una dichiarazione UE di conformità del fabbricante o del fornitore (articolo 53). È l'unico livello in cui l'autovalutazione è possibile;
• sostanziale: il certificato lo rilascia un organismo di valutazione della conformità accreditato (articolo 56, paragrafo 4);
• elevato: lo rilascia l'autorità nazionale di certificazione, oppure un organismo di valutazione con la sua approvazione caso per caso o su sua delega generale (articolo 56, paragrafo 6).

Chi scrive i sistemi e chi vigila

Su richiesta della Commissione l'ENISA prepara la proposta di sistema, che la Commissione adotta con un atto di esecuzione (articoli 48 e 49). In Italia l'autorità nazionale di certificazione dell'articolo 58 è l'Agenzia per la cybersicurezza nazionale, per l'articolo 7, comma 1, lettera e), del decreto-legge 82/2021.

Il certificato non chiude la partita: l'articolo 56, paragrafo 8, chiede al titolare di comunicare a chi lo ha rilasciato le vulnerabilità o irregolarità scoperte in seguito che possono incidere sulla conformità. Le sanzioni le fissano gli Stati membri (articolo 65), in Italia con l'articolo 10 del D.Lgs. 123/2022: per esempio da 60.000 a 300.000 euro per il titolare che non notifica quelle vulnerabilità, da 30.000 a 150.000 euro per chi mette sul mercato un prodotto senza il certificato quando questo è obbligatorio.

L'EUCC, il primo sistema adottato

Il primo sistema europeo è l'EUCC, basato sui Common Criteria, istituito dal regolamento di esecuzione (UE) 2024/482 del 31 gennaio 2024 e applicabile dal 27 febbraio 2025. Certifica prodotti TIC e profili di protezione. Dal testo consolidato al 29 dicembre 2025:

• la valutazione segue le norme ISO/IEC 15408 (criteri comuni) e ISO/IEC 18045 (metodologia di valutazione);
• i certificati si rilasciano ai livelli «sostanziale», che corrisponde ai livelli di analisi delle vulnerabilità AVA_VAN 1 o 2, ed «elevato», che corrisponde ad AVA_VAN 3, 4 o 5;
• la validità non supera i cinque anni, salvo deroga approvata dall'autorità nazionale;
• il regolamento è stato modificato dai regolamenti di esecuzione (UE) 2024/3144 e 2025/2462.

Sui tempi il bilancio lo fa la Commissione, nella relazione alla proposta di revisione: il primo sistema è stato adottato «soltanto all'inizio del 2024, quasi cinque anni dopo l'adozione del regolamento sulla cibersicurezza», ed «è da poco diventato operativo soltanto un sistema di certificazione». Nei metadati del Publications Office, al 29 settembre 2026, l'EUCC resta l'unico sistema di certificazione istituito sulla base del regolamento 2019/881.

La modifica del 2025: i servizi di sicurezza gestiti

Il regolamento 2019/881 ha un solo atto modificativo: il regolamento (UE) 2025/37 del 19 dicembre 2024, in vigore dal 4 febbraio 2025. Estende il quadro ai servizi di sicurezza gestiti, definiti al nuovo articolo 2, punto 14 bis, come «un servizio prestato a un terzo consistente nello svolgimento di attività, o nella fornitura di assistenza per tali attività, legate alla gestione dei rischi in materia di cibersicurezza, ad esempio servizi di gestione degli incidenti, test di penetrazione, audit di sicurezza e consulenza, tra cui consulenza specialistica, relativa all'assistenza tecnica».

Il nuovo articolo 51 bis fissa gli obiettivi di un sistema per questi servizi, tra cui:

• personale con competenza, esperienza e conoscenze tecniche adeguate, e integrità professionale;
• procedure interne che mantengano un livello di qualità adeguato;
• dati dei clienti al riparo da accessi, divulgazioni, perdite o alterazioni non autorizzati;
• ripristino tempestivo di dati e servizi dopo un incidente;
• accessi limitati ai diritti assegnati, con una registrazione di chi ha fatto cosa e quando.

Per il considerando 6 la certificazione è un indicatore di qualità per chi compra questi servizi. Il regolamento però rende possibile un sistema, non lo crea: al 29 settembre 2026 non risulta adottato nessun sistema europeo per i servizi di sicurezza gestiti.

Siamo un MSSP, quindi la questione ci riguarda da vicino. Anche senza un certificato da chiedere, l'articolo 51 bis è una buona griglia per valutare un fornitore di SOC o di risposta agli incidenti: chi lavora sui vostri dati, con quali procedure, con quali tracce degli accessi. Ne parliamo anche nel confronto tra SOC interno e gestito.

Il collegamento con la NIS2

L'articolo 24 della direttiva (UE) 2022/2555 permette agli Stati membri di imporre ai soggetti essenziali e importanti l'uso di prodotti, servizi e processi TIC certificati nei sistemi del Cybersecurity Act. In Italia lo prevede l'articolo 27 del D.Lgs. 138/2024: l'Autorità nazionale competente NIS può imporlo, e nelle more dei sistemi europei può riferirsi anche a schemi riconosciuti a livello nazionale o europeo. Per chi è nel perimetro della NIS2, quindi, la certificazione può diventare obbligatoria per decisione dell'autorità, non per effetto diretto del Cybersecurity Act.

Il Cybersecurity Act 2: la revisione in corso

Il 20 gennaio 2026 la Commissione ha presentato la proposta COM(2026) 11, un nuovo regolamento che abrogherebbe il regolamento (UE) 2019/881. Tra i problemi che indica ci sono lo stallo nell'attuazione del quadro di certificazione e i rischi per le catene di approvvigionamento delle TIC. Le novità principali:

• una riforma del mandato dell'ENISA, con più risorse e un ruolo di sostegno alla cooperazione operativa tra gli Stati membri;
• la certificazione della postura di cibersicurezza dei soggetti, cioè dell'organizzazione e non solo del prodotto, pensata anche per dimostrare il rispetto degli obblighi di gestione del rischio della NIS2;
• un quadro europeo per ridurre i rischi legati ai fornitori TIC di paesi terzi che la proposta chiama fornitori ad alto rischio.

Con la proposta COM(2026) 13, procedura 2026/0012(COD), la Commissione propone di modificare anche la NIS2, per semplificarla e allinearla al Cybersecurity Act 2. Sull'Osservatorio legislativo del Parlamento europeo la procedura 2026/0011(COD) è in prima lettura, in commissione ITRE, con un progetto di relazione del 18 settembre 2026. Finché il nuovo testo non è adottato e pubblicato, vale il regolamento 2019/881 come modificato dal 2025/37.

Cybersecurity Act e ISO 27001

La certificazione europea oggi non sostituisce la ISO/IEC 27001, perché certificano oggetti diversi. I sistemi del Cybersecurity Act valutano un prodotto, un servizio, un processo TIC o un servizio di sicurezza gestito. La ISO/IEC 27001:2022 certifica il sistema di gestione della sicurezza delle informazioni di un'organizzazione.

La certificazione della postura proposta nel Cybersecurity Act 2 avvicina i due mondi, ma è una proposta: non c'è ancora un sistema, e non si sa che rapporto avrà con le certificazioni ISO. Per un'azienda del mid-market che deve mostrare a clienti e autorità come gestisce la sicurezza, oggi lo strumento disponibile resta la ISO 27001.

Cosa fare adesso, a seconda del ruolo

1. Se compri tecnologia di sicurezza: nei questionari fornitori chiedi se il prodotto ha un certificato EUCC, a quale livello e fino a quando è valido.
2. Se produci prodotti TIC: valuta se l'EUCC ti serve per il Cyber Resilience Act, soprattutto per prodotti importanti o critici, seguendo gli atti con cui la Commissione indicherà quali sistemi valgono. Dopo la certificazione resta l'obbligo di comunicare le vulnerabilità scoperte.
3. Se compri servizi di sicurezza gestiti: usa gli obiettivi dell'articolo 51 bis come criteri di selezione e mettili nel contratto.
4. Se sei un soggetto NIS2: segui i provvedimenti dell'ACN, da cui può arrivare l'obbligo di usare prodotti certificati, e il cammino del Cybersecurity Act 2.

Se state costruendo il sistema di gestione che clienti e autorità chiedono di vedere, partendo da quello che avete già in casa, guardate come lavoriamo sulla ISO 27001.

In sintesi: il Cybersecurity Act è il regolamento (UE) 2019/881, in vigore dal 27 giugno 2019 e modificato una sola volta, dal regolamento (UE) 2025/37, per includere i servizi di sicurezza gestiti. Istituisce una certificazione europea volontaria su tre livelli, con l'ACN come autorità nazionale e l'EUCC come unico sistema adottato. Il Cybersecurity Act 2 è in discussione al Parlamento europeo: fino all'adozione vale il testo attuale.