Vai al contenuto

Managed Security Services certificati: perché EUMSS cambia la scelta dei fornitori cyber

Il 24 luglio 2026 ENISA ha aperto una consultazione pubblica sullo schema candidato europeo di certificazione per i Managed Security Services, indicato come EUMSS. È una notizia tecnica solo in apparenza. In realtà riguarda una scelta molto concreta per imprese, pubbliche amministrazioni e organizzazioni essenziali: come valutare, contrattualizzare e monitorare i fornitori esterni che gestiscono attività critiche di cybersicurezza.

Negli ultimi anni molte organizzazioni hanno aumentato il ricorso a SOC esterni, servizi MDR, incident response, vulnerability management, penetration test, audit di sicurezza, consulenza cyber e monitoraggio continuativo. È una scelta spesso necessaria, perché le competenze interne sono scarse e il rischio cyber cresce più velocemente degli organici. Ma l’esternalizzazione della sicurezza non trasferisce automaticamente la responsabilità. Se un servizio è critico, il committente deve poter dimostrare perché ha scelto quel fornitore, quali requisiti ha preteso, quali evidenze riceve e come controlla nel tempo la qualità del servizio.

Qui entra in gioco EUMSS. La consultazione ENISA, aperta fino al 13 settembre 2026, non introduce da sola un obbligo immediato per tutte le aziende. Segna però una direzione molto chiara: il mercato europeo dei servizi cyber gestiti si sta muovendo verso criteri più armonizzati, confrontabili e verificabili. Per chi compra servizi di sicurezza, è il momento di trasformare la scelta del fornitore da valutazione commerciale a decisione di governance.

Che cosa sta facendo ENISA

ENISA spiega che lo schema EUMSS nasce su richiesta della Commissione europea, ai sensi del Cybersecurity Act, con il supporto di un gruppo di lavoro dedicato. L’obiettivo è ridurre la frammentazione tra approcci e requisiti applicati nei diversi Stati membri alla fornitura di servizi di sicurezza gestiti.

La bozza segue un’impostazione a livelli. Da un lato c’è uno strato orizzontale, cioè un insieme comune di requisiti di base applicabili ai servizi gestiti che potranno essere certificati. Dall’altro c’è uno strato verticale, dedicato a profili di servizio specifici. La prima versione si concentra sul ciclo di gestione degli incidenti, in particolare sul profilo di incident response.

Questo dettaglio è importante. L’incident response non è un servizio accessorio: quando un’organizzazione subisce un attacco, la capacità del fornitore di rilevare, contenere, analizzare, comunicare e ripristinare può determinare l’impatto reale dell’evento. Una certificazione non elimina il rischio, ma può rendere più chiaro quali capacità sono state valutate e con quale livello di assurance.

Perché interessa anche a chi non è un grande gruppo

Molte PMI e molte amministrazioni locali acquistano servizi cyber esterni perché non possono costruire internamente un team completo. Questo rende il fornitore una parte essenziale della postura di sicurezza. La domanda, quindi, non è più soltanto: “quanto costa il servizio?”. Le domande corrette diventano altre:

  • il fornitore ha processi documentati per progettare, erogare e mantenere il servizio in modo sicuro?
  • come gestisce disponibilità, continuità operativa e passaggi di consegne?
  • quali evidenze produce su monitoraggio, incidenti, escalation e miglioramento continuo?
  • quali competenze sono richieste al personale che eroga il servizio?
  • come vengono trattati dati, log, accessi privilegiati e informazioni sensibili del cliente?
  • che cosa succede se il servizio viene trasferito, interrotto o sostituito?

Queste domande non sono burocrazia. Sono parte del controllo del rischio. Un SOC esterno, un servizio MDR o un team di incident response possono vedere log, sistemi, vulnerabilità, credenziali operative, ticket e informazioni molto sensibili. Se il contratto non disciplina bene responsabilità, confini, tempi di intervento, reporting e conservazione delle evidenze, l’organizzazione si accorge del problema solo durante l’incidente.

Il collegamento con NIS2, Cybersecurity Act e Cyber Solidarity Act

EUMSS si inserisce in un quadro europeo più ampio. Il Cybersecurity Act ha creato il framework europeo di certificazione per prodotti, servizi e processi ICT. ENISA ricorda che la certificazione serve a rendere più armonizzato il riconoscimento del livello di sicurezza delle soluzioni nel mercato europeo, aiutando utenti e fornitori a valutare il livello di assurance.

La dimensione dei Managed Security Services è stata poi rafforzata con l’aggiornamento mirato del quadro normativo, perché servizi come incident handling, penetration testing, audit e consulenza sono ormai elementi sensibili della capacità di prevenire, rilevare, rispondere e recuperare da incidenti cyber.

Il comunicato ENISA collega inoltre lo schema alla Cybersecurity Reserve prevista dal Cyber Solidarity Act: una volta che lo schema sarà in vigore, i fornitori che erogano servizi nell’ambito della riserva dovranno essere certificati secondo EUMSS entro due anni. Questo non significa che ogni impresa debba attendere la certificazione per scegliere un fornitore. Significa che il criterio di fiducia si sta spostando verso evidenze più strutturate.

Per le organizzazioni soggette o vicine alla NIS2, il messaggio è ancora più operativo. La direttiva rafforza l’attenzione sulla gestione dei rischi cyber, sulla continuità, sugli incidenti e sulla supply chain. Un fornitore cyber gestito non è un semplice subappaltatore IT: è un presidio di sicurezza. Va quindi inserito nel modello di risk management, nel registro dei fornitori critici, nelle procedure di incident response e nei controlli periodici.

Che cosa cambia nel procurement cyber

Il punto più concreto è il procurement. Oggi molti capitolati e contratti cyber descrivono strumenti, ore, SLA e prezzo, ma sono più deboli sulle evidenze. EUMSS suggerisce un cambio di prospettiva: chiedere non solo la promessa del servizio, ma la dimostrabilità del servizio.

In pratica, una richiesta di offerta per servizi gestiti dovrebbe includere requisiti su:

  • progettazione sicura del servizio e della piattaforma usata dal fornitore;
  • gestione del deployment, della transizione iniziale e dell’eventuale uscita dal contratto;
  • disponibilità, continuità e gestione delle escalation;
  • processi operativi, ticketing, responsabilità e tracciabilità delle decisioni;
  • manutenzione tecnologica e miglioramento continuo;
  • competenze del personale assegnato;
  • modalità di reporting verso direzione, IT, DPO, compliance e organi di controllo;
  • regole su log, riservatezza, accessi privilegiati e segregazione dei clienti;
  • test periodici, lezioni apprese e aggiornamento dei playbook.

Questi elementi aiutano a evitare un errore frequente: acquistare una “capacità cyber” senza sapere come sarà misurata. Un servizio di incident response non vale solo perché promette tempi rapidi. Vale se esistono ruoli, procedure, canali, reperibilità, criteri di severità, evidenze forensi, comunicazioni e miglioramento post-incidente.

Una checklist per aziende e PA

In attesa dell’evoluzione dello schema, le organizzazioni possono già usare EUMSS come riferimento culturale per rafforzare le proprie scelte. Una checklist pragmatica può partire da cinque passaggi.

Primo: mappare i servizi cyber esternalizzati. Non solo il SOC, ma anche vulnerability assessment, MDR, monitoraggio cloud, gestione firewall, penetration test, consulenza NIS2, risposta agli incidenti, formazione e audit.

Secondo: classificare la criticità del fornitore. Un servizio che ha accesso a log, endpoint, sistemi cloud o informazioni sugli incidenti deve essere trattato in modo diverso da una consulenza occasionale.

Terzo: rivedere contratti e capitolati. SLA, responsabilità, escalation, livelli di servizio, riservatezza, gestione degli accessi e diritto di audit devono essere scritti in modo chiaro.

Quarto: chiedere evidenze periodiche. Report tecnici, executive summary, lesson learned, trend sugli incidenti, copertura degli asset, tempi di presa in carico, remediation e miglioramento continuo devono diventare materiali di governance, non allegati dimenticati.

Quinto: collegare il fornitore al piano di incident response. Se accade un incidente, non ci deve essere incertezza su chi chiama chi, con quali tempi, quali dati vengono condivisi, chi parla con management, DPO, legale, CSIRT, autorità o clienti.

Il rischio da evitare: outsourcing senza governo

Affidarsi a un fornitore specializzato è spesso una scelta corretta. Il problema nasce quando l’organizzazione usa l’outsourcing per non decidere. La sicurezza gestita funziona solo se il cliente conserva capacità di indirizzo, controllo e verifica.

Una certificazione europea potrà aiutare il mercato a diventare più comparabile, ma non sostituirà il governo interno. Il committente dovrà comunque sapere quali asset sono coperti, quali eventi vengono monitorati, quali soglie attivano una risposta, quali report arrivano alla direzione e quali decisioni restano interne.

Per questo EUMSS è un segnale utile anche prima della sua adozione definitiva. Spinge imprese e PA a guardare i Managed Security Services come una componente del sistema di controllo, non come un acquisto tecnico isolato.

Conclusione

La fiducia in un fornitore cyber non dovrebbe basarsi solo su reputazione, brochure o promessa commerciale. Dovrebbe poggiare su requisiti, processi, evidenze e responsabilità verificabili. La consultazione ENISA sullo schema EUMSS va letta in questa direzione: più armonizzazione, più comparabilità, più qualità nei servizi che aiutano le organizzazioni a prevenire, rilevare, rispondere e recuperare dagli incidenti.

Se vuoi rivedere contratti, capitolati e controlli sui fornitori cyber in chiave NIS2, governance e continuità operativa, scrivimi o seguimi: posso aiutarti a costruire criteri concreti per scegliere e monitorare partner davvero affidabili.

Fonti

Tag:

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *