EPSO Sicurezza: il corpus cyber dietro le domande

Una materia tenuta insieme da cinque atti

Non esiste alcun concorso EPSO dedicato alla Sicurezza. Ciò che esiste, e resta aperto in modo continuativo, è CAST Permanente — con profili che coprono Operazioni di sicurezza, Operazioni di sicurezza compresa la sicurezza regionale, Sicurezza tecnica, Sicurezza delle informazioni e dei documenti e Sicurezza informatica. I contenuti di sicurezza compaiono inoltre negli MCQ di settore di Informatica e Diritto.

Il programma ha due metà. Una è istituzionale: Europol, Eurojust, Frontex, l'EU INTCEN, lo spazio di libertà, sicurezza e giustizia, e la differenza tra missioni civili della PSDC e operazioni militari. L'altra è legislativa: il corpo di diritto dell'UE che oggi disciplina cibersicurezza e resilienza.

Questa guida copre la seconda, in profondità, perché è lì che vivono le disposizioni precise — termini misurati in ore, categorie definite e atti che si sovrappongono di proposito. Anche la metà istituzionale viene esaminata, e le sue fonti ufficiali sono in fondo.

Cinque atti fanno quasi tutto il lavoro:

Per capire come sono strutturati gli MCQ di settore nei percorsi di specialista, consulta la nostra guida al FRMCQ dei concorsi per specialisti EPSO. Il percorso Informatica si sovrappone molto — la nostra guida allo specialista IT copre il quadro regolatorio digitale dall'altro lato.

Il formato

30 domande in 40 minuti, 15 risposte corrette per superare la prova. Con l'attuale modello EPSO l'MCQ di settore è lo strumento di graduatoria; i test di ragionamento sono filtri idoneo/non idoneo che non alimentano il punteggio finale.

NIS2 — Direttiva (UE) 2022/2555

Adottata il 14 dicembre 2022, pubblicata nella GU L 333 del 27 dicembre 2022.

Chi è coperto

La copertura si costruisce per più vie, e le domande verificano se sai che ce n'è più di una:

• soggetti di un tipo di cui all'allegato I o all'allegato II che soddisfano i criteri;
• altri soggetti di quei tipi identificati da uno Stato membro come essenziali ai sensi delle disposizioni di identificazione;
• soggetti identificati come soggetti critici ai sensi della direttiva (UE) 2022/2557;
• se lo Stato membro lo prevede, soggetti che esso aveva identificato prima del 16 gennaio 2023 come operatori di servizi essenziali ai sensi della direttiva (UE) 2016/1148 o del diritto nazionale.

Quest'ultima via è un ponte transitorio dalla prima direttiva NIS, e la data è abbastanza concreta da costituire una domanda a sé.

I due termini

Quando soggetti essenziali o importanti vengono a conoscenza di un incidente significativo, trasmettono al CSIRT o, se del caso, all'autorità competente:

• entro 24 ore dalla conoscenza — un preallarme, che indichi, se del caso, se si sospetta che l'incidente sia dovuto ad atti illegittimi o malevoli o se possa avere un impatto transfrontaliero;
• entro 72 ore dalla conoscenza — una notifica dell'incidente, che aggiorni il preallarme e fornisca una valutazione iniziale dell'incidente.

Entrambi sono qualificati da «senza indebito ritardo e comunque entro». Il passaggio a 24 ore è un allarme, non una relazione — il suo contenuto è volutamente sottile, perché il suo compito è la rapidità. Confondere i due è l'errore tipico.

Quando si sospetta che un incidente sia collegato ad attività criminose gravi, gli Stati membri dovrebbero incoraggiare i soggetti a segnalarlo alle autorità di contrasto competenti, sulla base delle norme di procedura penale applicabili e fatte salve le norme di protezione dei dati personali.

EU-CyCLONe

La rete europea delle organizzazioni di collegamento per le crisi informatiche è composta dai rappresentanti delle autorità di gestione delle crisi informatiche degli Stati membri e — nei casi in cui un potenziale o effettivo incidente di cibersicurezza su vasta scala abbia o rischi di avere un impatto significativo su servizi e attività che rientrano nell'ambito della direttiva — dalla Commissione. Negli altri casi la Commissione partecipa in qualità di osservatore.

L'ENISA assicura il segretariato di EU-CyCLONe, sostiene lo scambio sicuro di informazioni e fornisce gli strumenti necessari alla cooperazione.

Partecipante a pieno titolo quando è grande, osservatore quando non lo è. Quella condizione è esattamente il tipo di dettaglio che distingue un candidato preparato da uno semplicemente informato.

I ruoli informativi dell'ENISA

L'ENISA istituisce una banca dati europea delle vulnerabilità, nella quale i soggetti — a prescindere dal fatto che rientrino o meno nell'ambito della direttiva — e i loro fornitori possono registrare vulnerabilità note al pubblico. Un'informazione corretta e tempestiva sulle vulnerabilità serve ai soggetti, agli utenti dei loro servizi, alle autorità competenti e ai CSIRT allo stesso modo.

L'ENISA adotta inoltre, in cooperazione con il gruppo di cooperazione, una relazione sullo stato della cibersicurezza nell'Unione, che comprende una valutazione del livello generale di consapevolezza e igiene informatica tra cittadini e soggetti, comprese le PMI; una valutazione aggregata degli esiti delle valutazioni tra pari; e una valutazione aggregata del livello di maturità delle capacità e delle risorse di cibersicurezza nell'Unione, anche a livello settoriale, e del grado di allineamento delle strategie nazionali di cibersicurezza. La relazione include raccomandazioni politiche specifiche.

Paesi terzi

L'Unione può, se del caso, concludere accordi internazionali a norma dell'articolo 218 TFUE con paesi terzi o organizzazioni internazionali, che consentano e organizzino la loro partecipazione a determinate attività del gruppo di cooperazione, della rete di CSIRT e di EU-CyCLONe. Tali accordi devono rispettare il diritto dell'Unione in materia di protezione dei dati.

Norme tecniche

Per promuovere un'attuazione convergente delle misure di gestione del rischio, gli Stati membri incoraggiano l'uso di norme europee e internazionali — senza imporre né discriminare a favore dell'uso di un tipo particolare di tecnologia. La neutralità tecnologica è scritta dentro l'incoraggiamento stesso.

Quando non sia disponibile un sistema europeo di certificazione della cibersicurezza adeguato ai fini della disposizione pertinente, la Commissione può — previa consultazione del gruppo di cooperazione e del gruppo europeo per la certificazione della cibersicurezza — chiedere all'ENISA di preparare un sistema candidato a norma dell'articolo 48, paragrafo 2, del regolamento (UE) 2019/881.

Il regolamento sulla cibersicurezza — Regolamento (UE) 2019/881

Del 17 aprile 2019, relativo all'ENISA e alla certificazione della cibersicurezza per le TIC, che abroga il regolamento (UE) n. 526/2013, pubblicato nella GU L 151 del 7 giugno 2019.

Istituisce un quadro europeo volontario di certificazione della cibersicurezza per prodotti TIC, processi TIC e servizi TIC. I sistemi europei forniscono agli utenti un quadro comune di fiducia.

Volontario è la parola da sottolineare. Buona parte del valore d'esame sta nel resistere all'assunto che un quadro europeo di certificazione debba essere obbligatorio. Ciò che il quadro fa è creare presunzioni e criteri comuni — non un obbligo di certificarsi.

Le autorità nazionali di certificazione della cibersicurezza sono designate a norma dell'articolo 58. I sistemi candidati sono preparati dall'ENISA a norma dell'articolo 48, paragrafo 2, su richiesta della Commissione.

Il regolamento sulla ciberresilienza — prodotti con elementi digitali

Il regolamento sulla ciberresilienza poggia direttamente sul regolamento sulla cibersicurezza, e l'incastro è materia d'esame.

I prodotti con elementi digitali, e i processi predisposti dal fabbricante, per i quali sia stata rilasciata una dichiarazione di conformità UE o un certificato nell'ambito di un sistema europeo di certificazione della cibersicurezza adottato ai sensi del regolamento (UE) 2019/881, si presumono conformi ai requisiti essenziali di cibersicurezza di cui all'allegato I — nella misura in cui tale dichiarazione o certificato, o parti di essi, coprano quei requisiti.

Una presunzione, e parziale. La certificazione non assolve l'obbligo in blocco; lo assolve nella misura di ciò che è stato effettivamente certificato.

Le autorità di vigilanza del mercato cooperano con le autorità nazionali di certificazione della cibersicurezza designate a norma dell'articolo 58 del regolamento (UE) 2019/881 e si scambiano informazioni con regolarità. Per la vigilanza sugli obblighi di segnalazione cooperano e si scambiano informazioni con i CSIRT designati come coordinatori e con l'ENISA, e possono chiedere l'assistenza di un CSIRT designato.

Il ruolo dell'ENISA qui è proattivo: può proporre attività congiunte alle autorità di vigilanza del mercato sulla base di indicazioni di possibile non conformità in più Stati membri, o individuare categorie di prodotti per le quali organizzare azioni a tappeto. In circostanze eccezionali, su richiesta della Commissione, l'ENISA può effettuare valutazioni su prodotti specifici.

Nell'istituire la piattaforma unica di segnalazione, l'ENISA dovrebbe consultare altre istituzioni o agenzie dell'Unione che gestiscono piattaforme o banche dati soggette a requisiti di sicurezza rigorosi — è nominata eu-LISA, l'agenzia per i sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia — e analizzare le complementarità con la banca dati europea delle vulnerabilità.

CER — Direttiva (UE) 2022/2557

Del 14 dicembre 2022, sulla resilienza dei soggetti critici, che abroga la direttiva 2008/114/CE del Consiglio.

Materia d'esame è il rapporto con NIS2. Quando le autorità competenti ai sensi di NIS2 esercitano i propri poteri di vigilanza ed esecuzione per assicurare la conformità di un soggetto identificato come critico ai sensi della CER, ne informano le pertinenti autorità CER dello stesso Stato membro. Se del caso, le autorità CER possono chiedere alle autorità NIS2 di esercitare i propri poteri di vigilanza ed esecuzione nei confronti di tale soggetto.

Per razionalizzare la vigilanza e ridurre al minimo l'onere amministrativo, entrambi i gruppi di autorità competenti dovrebbero adoperarsi per armonizzare i modelli di notifica degli incidenti e i processi di vigilanza.

La divisione dei compiti: NIS2 disciplina la resilienza informatica, CER la resilienza fisica, e un soggetto può essere entrambe le cose. Le direttive sono costruite per passarsi il lavoro anziché duplicarlo.

DORA — le entità finanziarie

DORA affronta la resilienza operativa digitale delle entità finanziarie, e il suo tratto distintivo è il quadro di sorveglianza dei fornitori terzi di servizi TIC.

Ambito. Il quadro di sorveglianza si applica soltanto ai fornitori terzi critici di servizi TIC. Un meccanismo di designazione tiene conto della dimensione e della natura della dipendenza del settore finanziario da tali fornitori, mediante criteri quantitativi e qualitativi che fissano i parametri di criticità — valutati a prescindere dalla struttura societaria del fornitore.

L'autorità di sorveglianza capofila. Il quadro dipende dalla collaborazione tra l'autorità di sorveglianza capofila e il fornitore critico, e dalla capacità di quest'ultima di condurre missioni di monitoraggio e ispezioni che valutino regole, controlli e processi utilizzati, nonché il potenziale impatto cumulativo delle attività del fornitore.

Ciò che non fa. Il quadro non sostituisce l'obbligo proprio delle entità finanziarie di gestire i rischi derivanti dal ricorso a fornitori terzi di servizi TIC, compreso il monitoraggio continuo degli accordi contrattuali con i fornitori critici. Né incide sulla loro piena responsabilità di rispettare i propri obblighi giuridici. E si intende fatta salva la competenza degli Stati membri a sorvegliare fornitori non designati come critici ma considerati importanti a livello nazionale.

Coordinamento. Il comitato congiunto delle AEV continua ad assicurare il coordinamento intersettoriale complessivo su tutte le questioni relative al rischio TIC.

Consolidamento. DORA, insieme alla direttiva (UE) 2022/2556, consolida le disposizioni sulla gestione del rischio TIC nell'acquis dei servizi finanziari, modificando i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014, (UE) n. 909/2014 e (UE) 2016/1011 per chiarire le regole applicabili.

Resilienza fisica. Poiché la resilienza fisica delle entità finanziarie è affrontata in modo esaustivo dagli obblighi DORA di gestione del rischio TIC e di segnalazione, gli obblighi dei capi III e IV della direttiva CER sono gestiti in coerenza con essa anziché sovrapposti.

Cinque punti in cui si perdono punti

24 contro 72. Preallarme in 24 ore, notifica dell'incidente in 72. Entrambi «senza indebito ritardo e comunque entro». Documenti diversi, finalità diverse.

Certificazione volontaria. Il quadro europeo di certificazione della cibersicurezza è volontario. La certificazione crea presunzioni di conformità, e solo nella misura di ciò che copre.

Partecipante a pieno titolo contro osservatore. La Commissione siede in EU-CyCLONe come membro a pieno titolo solo per incidenti su vasta scala con impatto significativo; altrimenti come osservatore. L'ENISA è il segretariato, non un'autorità di uno Stato membro.

Quale atto si applica. Reti e sistemi informativi, resilienza fisica dei soggetti critici, prodotti con elementi digitali, entità finanziarie. Quattro atti, quattro ambiti, sovrapposizioni volute e doveri di rinvio incrociato anziché duplicazione.

La sorveglianza non trasferisce la responsabilità. Designare critico un fornitore e sorvegliarlo non solleva l'entità finanziaria dal gestire quel rischio da sé. Il regolamento lo dice esplicitamente, e una domanda può essere costruita interamente su candidati che assumono il contrario.

Come studiare questa materia

Leggi prima NIS2 — le definizioni, le disposizioni sull'ambito, le misure di gestione del rischio e l'articolo sulla notifica. È l'atto di ancoraggio, e gli altri tre testi cyber si definiscono rispetto a esso.

Poi leggi le disposizioni di incastro anziché per intero CER, il regolamento sulla ciberresilienza e DORA. Il contenuto d'esame è dove si toccano: presunzione di conformità, informazione incrociata tra autorità competenti, confine del quadro di sorveglianza.

Poi affronta separatamente la metà istituzionale — i regolamenti istitutivi di Europol, Eurojust e dell'Agenzia europea della guardia di frontiera e costiera, e il materiale del SEAE su missioni civili e operazioni militari della PSDC. Quella metà non è coperta qui, e viene esaminata.

Poi esercitati a cronometro. Ottanta secondi a domanda è ciò che trasforma cinque atti in punti. Il blocco sicurezza lo puoi allenare su EU-now in sessioni brevi, e chiedere a EUgenio quando due atti sembrano dire la stessa cosa — risponde dagli stessi testi ufficiali citati qui, e dice quando non ha una fonte invece di inventarne una.

Riferimenti e fonti

Tutte le citazioni di questo articolo provengono da fonti ufficiali dell'UE:

• Direttiva (UE) 2022/2555 — NIS2 (GU L 333, 27.12.2022)
• Direttiva (UE) 2022/2557 — resilienza dei soggetti critici
• Regolamento (UE) 2019/881 — regolamento sulla cibersicurezza (GU L 151, 7.6.2019)
• Regolamento (UE) 2022/2554 — DORA
• ENISA — Agenzia dell'Unione europea per la cibersicurezza
• Europol
• SEAE — Sicurezza e difesa

Dove questo articolo descrive che cosa è probabile che una domanda verifichi, si tratta del nostro giudizio editoriale basato sul formato degli MCQ di settore pubblicati — non di testo tratto da un bando di concorso. Le disposizioni, i termini e le definizioni sono citati dagli strumenti elencati sopra.