# EPSO Sicurezza: il corpus cyber dietro le domande URL: https://eu-now.com/it/blog/epso-security-specialist-competitions-guide Published: 2026-08-21 · Updated: 2026-08-27 Category: Specialist Competitions Tags: EPSO, sicurezza, cibersicurezza, NIS2, ENISA, ciberresilienza, DORA, soggetti critici, AD7, AST NIS2, regolamento sulla ciberresilienza, regolamento sulla cibersicurezza, direttiva CER e DORA — i termini, le definizioni e le sovrapposizioni con cui sono costruite le domande di sicurezza dell'UE. ## Key takeaways - CAST Permanente copre in modo continuativo Operazioni di sicurezza, Sicurezza tecnica, Sicurezza delle informazioni e dei documenti e Sicurezza informatica, e i contenuti di sicurezza sono verificati anche negli MCQ di settore di Informatica e Diritto - Due termini reggono una quota sproporzionata delle domande su NIS2: un preallarme entro 24 ore da quando si viene a conoscenza di un incidente significativo, e una notifica dell'incidente entro 72 ore - Il quadro europeo di certificazione della cibersicurezza del regolamento (UE) 2019/881 è volontario. Chi lo dà per obbligatorio sbaglia un'intera famiglia di domande - Quattro atti si sovrappongono per costruzione — NIS2 per reti e sistemi informativi, CER per la resilienza fisica dei soggetti critici, il regolamento sulla ciberresilienza per i prodotti con elementi digitali, DORA per le entità finanziarie. Materia d'esame è quale si applica e come si incastrano - In EU-CyCLONe la Commissione è partecipante a pieno titolo solo quando un incidente su vasta scala ha o rischia di avere un impatto significativo; negli altri casi partecipa come osservatore. L'ENISA assicura il segretariato ## Una materia tenuta insieme da cinque atti La sicurezza arriva alle istituzioni da più di una porta. CAST Permanente tiene aperti in modo continuativo i profili Operazioni di sicurezza, Operazioni di sicurezza compresa la sicurezza regionale, Sicurezza tecnica, Sicurezza delle informazioni e dei documenti e Sicurezza informatica, e i contenuti di sicurezza compaiono inoltre negli MCQ di settore di Informatica e Diritto. Per sapere che cosa è aperto in un dato momento, la [pagina dei concorsi](/vacancies) si aggiorna ogni giorno. Il programma ha due metà. Una è istituzionale: Europol, Eurojust, Frontex, l'EU INTCEN, lo spazio di libertà, sicurezza e giustizia, e la differenza tra missioni civili della PSDC e operazioni militari. L'altra è legislativa: il corpo di diritto dell'UE che oggi disciplina cibersicurezza e resilienza. Questa guida copre la seconda, in profondità, perché è lì che vivono le disposizioni precise — termini misurati in ore, categorie definite e atti che si sovrappongono di proposito. Anche la metà istituzionale viene esaminata, e le sue fonti ufficiali sono in fondo. Cinque atti fanno quasi tutto il lavoro: | Atto | Che cosa disciplina | | --- | --- | | **Direttiva (UE) 2022/2555 (NIS2)** | cibersicurezza delle reti e dei sistemi informativi, soggetti essenziali e importanti | | **Direttiva (UE) 2022/2557 (CER)** | resilienza dei soggetti critici; ha abrogato la direttiva 2008/114/CE del Consiglio | | **Regolamento (UE) 2019/881 (regolamento sulla cibersicurezza)** | mandato dell'ENISA e certificazione della cibersicurezza delle TIC; ha abrogato il regolamento (UE) n. 526/2013 | | **Regolamento sulla ciberresilienza** | requisiti di cibersicurezza per i prodotti con elementi digitali | | **DORA** | resilienza operativa digitale delle entità finanziarie e sorveglianza dei fornitori terzi critici di servizi TIC | Per capire come sono strutturati gli MCQ di settore nei percorsi di specialista, consulta la nostra [guida al FRMCQ dei concorsi per specialisti EPSO](/blog/epso-specialist-competitions-frmcq-guide). Il percorso Informatica si sovrappone molto — la nostra [guida allo specialista IT](/blog/epso-it-specialist-competitions-guide) copre il quadro regolatorio digitale dall'altro lato. ### Il formato 30 domande in 40 minuti, 15 risposte corrette per superare la prova. Con l'attuale modello EPSO l'MCQ di settore è lo strumento di graduatoria; i test di ragionamento sono filtri idoneo/non idoneo che non alimentano il punteggio finale. ## NIS2 — Direttiva (UE) 2022/2555 Adottata il **14 dicembre 2022**, pubblicata nella **GU L 333 del 27 dicembre 2022**. ### Chi è coperto La copertura si costruisce per più vie, e le domande verificano se sai che ce n'è più di una: - soggetti di un tipo di cui all'**allegato I o all'allegato II** che soddisfano i criteri; - altri soggetti di quei tipi **identificati da uno Stato membro** come essenziali ai sensi delle disposizioni di identificazione; - soggetti identificati come **soggetti critici ai sensi della direttiva (UE) 2022/2557**; - se lo Stato membro lo prevede, soggetti che esso aveva identificato **prima del 16 gennaio 2023** come operatori di servizi essenziali ai sensi della **direttiva (UE) 2016/1148** o del diritto nazionale. Quest'ultima via è un ponte transitorio dalla prima direttiva NIS, e la data è abbastanza concreta da costituire una domanda a sé. ### I due termini Quando soggetti essenziali o importanti vengono a conoscenza di un **incidente significativo**, trasmettono al CSIRT o, se del caso, all'autorità competente: - **entro 24 ore** dalla conoscenza — un **preallarme**, che indichi, se del caso, se si sospetta che l'incidente sia dovuto ad **atti illegittimi o malevoli** o se possa avere un **impatto transfrontaliero**; - **entro 72 ore** dalla conoscenza — una **notifica dell'incidente**, che aggiorni il preallarme e fornisca una **valutazione iniziale** dell'incidente. Entrambi sono qualificati da «senza indebito ritardo e comunque entro». Il passaggio a 24 ore è un allarme, non una relazione — il suo contenuto è volutamente sottile, perché il suo compito è la rapidità. Confondere i due è l'errore tipico. Quando si sospetta che un incidente sia collegato ad **attività criminose gravi**, gli Stati membri dovrebbero incoraggiare i soggetti a segnalarlo alle **autorità di contrasto competenti**, sulla base delle norme di procedura penale applicabili e fatte salve le norme di protezione dei dati personali. ### EU-CyCLONe La rete europea delle organizzazioni di collegamento per le crisi informatiche è composta dai **rappresentanti delle autorità di gestione delle crisi informatiche degli Stati membri** e — nei casi in cui un potenziale o effettivo **incidente di cibersicurezza su vasta scala abbia o rischi di avere un impatto significativo** su servizi e attività che rientrano nell'ambito della direttiva — dalla **Commissione**. Negli altri casi la **Commissione partecipa in qualità di osservatore**. L'**ENISA assicura il segretariato** di EU-CyCLONe, sostiene lo scambio sicuro di informazioni e fornisce gli strumenti necessari alla cooperazione. Partecipante a pieno titolo quando è grande, osservatore quando non lo è. Quella condizione è esattamente il tipo di dettaglio che distingue un candidato preparato da uno semplicemente informato. ### I ruoli informativi dell'ENISA L'**ENISA istituisce una banca dati europea delle vulnerabilità**, nella quale i soggetti — **a prescindere dal fatto che rientrino o meno nell'ambito della direttiva** — e i loro fornitori possono registrare vulnerabilità note al pubblico. Un'informazione corretta e tempestiva sulle vulnerabilità serve ai soggetti, agli utenti dei loro servizi, alle autorità competenti e ai CSIRT allo stesso modo. L'ENISA adotta inoltre, in cooperazione con il gruppo di cooperazione, una **relazione sullo stato della cibersicurezza nell'Unione**, che comprende una valutazione del livello generale di **consapevolezza e igiene informatica** tra cittadini e soggetti, comprese le PMI; una **valutazione aggregata degli esiti delle valutazioni tra pari**; e una valutazione aggregata del **livello di maturità delle capacità e delle risorse di cibersicurezza** nell'Unione, anche a livello settoriale, e del grado di allineamento delle strategie nazionali di cibersicurezza. La relazione include **raccomandazioni politiche specifiche**. ### Paesi terzi L'Unione può, se del caso, concludere **accordi internazionali a norma dell'articolo 218 TFUE** con paesi terzi o organizzazioni internazionali, che consentano e organizzino la loro partecipazione a determinate attività del **gruppo di cooperazione, della rete di CSIRT e di EU-CyCLONe**. Tali accordi **devono rispettare il diritto dell'Unione in materia di protezione dei dati**. ### Norme tecniche Per promuovere un'attuazione convergente delle misure di gestione del rischio, gli Stati membri **incoraggiano l'uso di norme europee e internazionali** — **senza imporre né discriminare a favore dell'uso di un tipo particolare di tecnologia**. La neutralità tecnologica è scritta dentro l'incoraggiamento stesso. Quando **non sia disponibile un sistema europeo di certificazione della cibersicurezza adeguato** ai fini della disposizione pertinente, la Commissione può — previa consultazione del **gruppo di cooperazione** e del **gruppo europeo per la certificazione della cibersicurezza** — chiedere all'ENISA di preparare un **sistema candidato** a norma dell'**articolo 48, paragrafo 2, del regolamento (UE) 2019/881**. ## Il regolamento sulla cibersicurezza — Regolamento (UE) 2019/881 Del **17 aprile 2019**, relativo all'ENISA e alla certificazione della cibersicurezza per le TIC, che abroga il **regolamento (UE) n. 526/2013**, pubblicato nella **GU L 151 del 7 giugno 2019**. Istituisce un quadro europeo **volontario** di certificazione della cibersicurezza per **prodotti TIC, processi TIC e servizi TIC**. I sistemi europei forniscono agli utenti un quadro comune di fiducia. **Volontario** è la parola da sottolineare. Buona parte del valore d'esame sta nel resistere all'assunto che un quadro europeo di certificazione debba essere obbligatorio. Ciò che il quadro fa è creare presunzioni e criteri comuni — non un obbligo di certificarsi. Le **autorità nazionali di certificazione della cibersicurezza** sono designate a norma dell'**articolo 58**. I sistemi candidati sono preparati dall'ENISA a norma dell'**articolo 48, paragrafo 2**, su richiesta della Commissione. ## Il regolamento sulla ciberresilienza — prodotti con elementi digitali Il regolamento sulla ciberresilienza poggia direttamente sul regolamento sulla cibersicurezza, e l'incastro è materia d'esame. I prodotti con elementi digitali, e i processi predisposti dal fabbricante, **per i quali sia stata rilasciata una dichiarazione di conformità UE o un certificato nell'ambito di un sistema europeo di certificazione della cibersicurezza adottato ai sensi del regolamento (UE) 2019/881, si presumono conformi** ai requisiti essenziali di cibersicurezza di cui all'allegato I — **nella misura in cui** tale dichiarazione o certificato, o parti di essi, **coprano quei requisiti**. Una presunzione, e parziale. La certificazione non assolve l'obbligo in blocco; lo assolve nella misura di ciò che è stato effettivamente certificato. Le **autorità di vigilanza del mercato** cooperano con le autorità nazionali di certificazione della cibersicurezza designate a norma dell'articolo 58 del regolamento (UE) 2019/881 e si scambiano informazioni con regolarità. Per la vigilanza sugli obblighi di segnalazione cooperano e si scambiano informazioni con i **CSIRT designati come coordinatori** e con l'**ENISA**, e possono chiedere l'assistenza di un CSIRT designato. Il ruolo dell'ENISA qui è proattivo: può **proporre attività congiunte** alle autorità di vigilanza del mercato sulla base di indicazioni di possibile non conformità in più Stati membri, o **individuare categorie di prodotti per le quali organizzare azioni a tappeto**. In **circostanze eccezionali**, su richiesta della Commissione, l'ENISA può **effettuare valutazioni** su prodotti specifici. Nell'istituire la **piattaforma unica di segnalazione**, l'ENISA dovrebbe consultare altre istituzioni o agenzie dell'Unione che gestiscono piattaforme o banche dati soggette a requisiti di sicurezza rigorosi — è nominata **eu-LISA**, l'agenzia per i sistemi IT su larga scala nello spazio di libertà, sicurezza e giustizia — e analizzare le complementarità con la banca dati europea delle vulnerabilità. ## CER — Direttiva (UE) 2022/2557 Del **14 dicembre 2022**, sulla resilienza dei soggetti critici, che **abroga la direttiva 2008/114/CE del Consiglio**. Materia d'esame è il rapporto con NIS2. Quando le autorità competenti ai sensi di NIS2 esercitano i propri poteri di vigilanza ed esecuzione per assicurare la conformità di un soggetto **identificato come critico ai sensi della CER**, ne **informano le pertinenti autorità CER dello stesso Stato membro**. Se del caso, le **autorità CER possono chiedere alle autorità NIS2 di esercitare i propri poteri di vigilanza ed esecuzione** nei confronti di tale soggetto. Per razionalizzare la vigilanza e ridurre al minimo l'onere amministrativo, entrambi i gruppi di autorità competenti dovrebbero **adoperarsi per armonizzare i modelli di notifica degli incidenti e i processi di vigilanza**. La divisione dei compiti: NIS2 disciplina la resilienza informatica, CER la resilienza fisica, e un soggetto può essere entrambe le cose. Le direttive sono costruite per passarsi il lavoro anziché duplicarlo. ## DORA — le entità finanziarie DORA affronta la **resilienza operativa digitale** delle entità finanziarie, e il suo tratto distintivo è il **quadro di sorveglianza** dei fornitori terzi di servizi TIC. **Ambito.** Il quadro di sorveglianza si applica **soltanto ai fornitori terzi critici di servizi TIC**. Un **meccanismo di designazione** tiene conto della dimensione e della natura della dipendenza del settore finanziario da tali fornitori, mediante **criteri quantitativi e qualitativi** che fissano i parametri di criticità — valutati a prescindere dalla struttura societaria del fornitore. **L'autorità di sorveglianza capofila.** Il quadro dipende dalla collaborazione tra l'**autorità di sorveglianza capofila** e il fornitore critico, e dalla capacità di quest'ultima di condurre **missioni di monitoraggio e ispezioni** che valutino regole, controlli e processi utilizzati, nonché il **potenziale impatto cumulativo** delle attività del fornitore. **Ciò che non fa.** Il quadro **non sostituisce** l'obbligo proprio delle entità finanziarie di gestire i rischi derivanti dal ricorso a fornitori terzi di servizi TIC, compreso il **monitoraggio continuo degli accordi contrattuali** con i fornitori critici. Né incide sulla loro piena responsabilità di rispettare i propri obblighi giuridici. E si intende **fatta salva la competenza degli Stati membri** a sorvegliare fornitori non designati come critici ma considerati importanti a livello nazionale. **Coordinamento.** Il **comitato congiunto delle AEV** continua ad assicurare il coordinamento intersettoriale complessivo su tutte le questioni relative al rischio TIC. **Consolidamento.** DORA, insieme alla **direttiva (UE) 2022/2556**, consolida le disposizioni sulla gestione del rischio TIC nell'acquis dei servizi finanziari, modificando i regolamenti **(CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014, (UE) n. 909/2014** e **(UE) 2016/1011** per chiarire le regole applicabili. **Resilienza fisica.** Poiché la resilienza fisica delle entità finanziarie è affrontata in modo esaustivo dagli obblighi DORA di gestione del rischio TIC e di segnalazione, gli obblighi dei capi III e IV della direttiva CER sono gestiti in coerenza con essa anziché sovrapposti. ## Cinque punti in cui si perdono punti **24 contro 72.** Preallarme in 24 ore, notifica dell'incidente in 72. Entrambi «senza indebito ritardo e comunque entro». Documenti diversi, finalità diverse. **Certificazione volontaria.** Il quadro europeo di certificazione della cibersicurezza è volontario. La certificazione crea presunzioni di conformità, e solo nella misura di ciò che copre. **Partecipante a pieno titolo contro osservatore.** La Commissione siede in EU-CyCLONe come membro a pieno titolo solo per incidenti su vasta scala con impatto significativo; altrimenti come osservatore. L'ENISA è il segretariato, non un'autorità di uno Stato membro. **Quale atto si applica.** Reti e sistemi informativi, resilienza fisica dei soggetti critici, prodotti con elementi digitali, entità finanziarie. Quattro atti, quattro ambiti, sovrapposizioni volute e doveri di rinvio incrociato anziché duplicazione. **La sorveglianza non trasferisce la responsabilità.** Designare critico un fornitore e sorvegliarlo non solleva l'entità finanziaria dal gestire quel rischio da sé. Il regolamento lo dice esplicitamente, e una domanda può essere costruita interamente su candidati che assumono il contrario. ## Come studiare questa materia Leggi prima NIS2 — le definizioni, le disposizioni sull'ambito, le misure di gestione del rischio e l'articolo sulla notifica. È l'atto di ancoraggio, e gli altri tre testi cyber si definiscono rispetto a esso. Poi leggi le disposizioni di incastro anziché per intero CER, il regolamento sulla ciberresilienza e DORA. Il contenuto d'esame è dove si toccano: presunzione di conformità, informazione incrociata tra autorità competenti, confine del quadro di sorveglianza. Poi affronta separatamente la metà istituzionale — i regolamenti istitutivi di Europol, Eurojust e dell'Agenzia europea della guardia di frontiera e costiera, e il materiale del SEAE su missioni civili e operazioni militari della PSDC. Quella metà non è coperta qui, e viene esaminata. Poi esercitati a cronometro. Ottanta secondi a domanda è ciò che trasforma cinque atti in punti. Il blocco sicurezza lo puoi allenare su [EU-now](https://eu-now.com) in sessioni brevi, e chiedere a [EUgenio](/tutor) quando due atti sembrano dire la stessa cosa — risponde dagli stessi testi ufficiali citati qui, e dice quando non ha una fonte invece di inventarne una. ### Riferimenti e fonti Tutte le citazioni di questo articolo provengono da fonti ufficiali dell'UE: - [Direttiva (UE) 2022/2555 — NIS2 (GU L 333, 27.12.2022)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) - [Direttiva (UE) 2022/2557 — resilienza dei soggetti critici](https://eur-lex.europa.eu/eli/dir/2022/2557/oj) - [Regolamento (UE) 2019/881 — regolamento sulla cibersicurezza (GU L 151, 7.6.2019)](https://eur-lex.europa.eu/eli/reg/2019/881/oj) - [Regolamento (UE) 2022/2554 — DORA](https://eur-lex.europa.eu/eli/reg/2022/2554/oj) - [ENISA — Agenzia dell'Unione europea per la cibersicurezza](https://www.enisa.europa.eu) - [Europol](https://www.europol.europa.eu) - [SEAE — Sicurezza e difesa](https://www.eeas.europa.eu/eeas/common-security-and-defence-policy_en) Dove questo articolo descrive che cosa è probabile che una domanda verifichi, si tratta del nostro giudizio editoriale basato sul formato degli MCQ di settore pubblicati — non di testo tratto da un bando di concorso. Le disposizioni, i termini e le definizioni sono citati dagli strumenti elencati sopra. ## FAQ ### Esiste un concorso EPSO per specialisti di sicurezza? Al momento nessuno come concorso autonomo aperto. CAST Permanente comprende i profili Operazioni di sicurezza, Operazioni di sicurezza compresa la sicurezza regionale, Sicurezza tecnica, Sicurezza delle informazioni e dei documenti e Sicurezza informatica, e restano aperti in modo continuativo. I contenuti di sicurezza compaiono inoltre negli MCQ di settore di Informatica e Diritto. ### Che cosa copre questa guida e che cosa no? Copre la legislazione dell'UE su cibersicurezza e resilienza — NIS2, il regolamento sulla cibersicurezza, il regolamento sulla ciberresilienza, la direttiva CER e DORA — perché è lì che stanno le disposizioni precise e verificabili. Non copre la metà PSDC e giustizia-affari interni del programma: i mandati di Europol, Eurojust e Frontex, l'EU INTCEN, e le missioni civili rispetto alle operazioni militari. Anche quella metà viene esaminata; leggila nei regolamenti istitutivi delle agenzie e nelle pagine del SEAE citate in fondo. ### Qual è la differenza tra soggetto essenziale e soggetto importante? Entrambi rientrano in NIS2 e portano gli obblighi di gestione del rischio e di notifica; la differenza sta nel regime di vigilanza, ex ante per i soggetti essenziali e sostanzialmente ex post per quelli importanti. Quale soggetto rientri in quale categoria discende dai tipi elencati negli allegati I e II, dalle soglie dimensionali e da specifiche vie di identificazione — inclusi i soggetti identificati come critici ai sensi della direttiva CER e quelli che uno Stato membro aveva identificato prima del 16 gennaio 2023 come operatori di servizi essenziali ai sensi della vecchia direttiva NIS. ### Un certificato europeo di cibersicurezza soddisfa il regolamento sulla ciberresilienza? Crea una presunzione. I prodotti con elementi digitali, e i processi predisposti dal fabbricante, per i quali sia stata rilasciata una dichiarazione di conformità UE o un certificato nell'ambito di un sistema europeo di certificazione della cibersicurezza adottato ai sensi del regolamento (UE) 2019/881 si presumono conformi ai requisiti essenziali di cibersicurezza — ma soltanto nella misura in cui tale dichiarazione o certificato, o parti di essi, coprano effettivamente quei requisiti. ### A chi si applica il quadro di sorveglianza DORA? Soltanto ai fornitori terzi critici di servizi TIC, designati mediante un meccanismo che usa criteri quantitativi e qualitativi di criticità. Il quadro non sostituisce l'obbligo proprio delle entità finanziarie di gestire i rischi derivanti dal ricorso a fornitori terzi di servizi TIC, compreso il monitoraggio continuo dei loro accordi contrattuali. Gli Stati membri mantengono la competenza a sorvegliare i fornitori importanti a livello nazionale ma non designati come critici. ## Official sources - Directive (EU) 2022/2555 — NIS2 (OJ L 333, 27.12.2022): https://eur-lex.europa.eu/eli/dir/2022/2555/oj - Directive (EU) 2022/2557 — resilience of critical entities: https://eur-lex.europa.eu/eli/dir/2022/2557/oj - Regulation (EU) 2019/881 — Cybersecurity Act (OJ L 151, 7.6.2019): https://eur-lex.europa.eu/eli/reg/2019/881/oj - Regulation (EU) 2022/2554 — DORA: https://eur-lex.europa.eu/eli/reg/2022/2554/oj - EEAS — Security and Defence: https://www.eeas.europa.eu/eeas/common-security-and-defence-policy_en ## This article in other languages - English: https://eu-now.com/en/blog/epso-security-specialist-competitions-guide/llms.txt - French: https://eu-now.com/fr/blog/epso-security-specialist-competitions-guide/llms.txt - German: https://eu-now.com/de/blog/epso-security-specialist-competitions-guide/llms.txt - Spanish: https://eu-now.com/es/blog/epso-security-specialist-competitions-guide/llms.txt Source of record: https://eu-now.com/it/blog/epso-security-specialist-competitions-guide — published by EU-now (eu-now.com), which is not EPSO and not affiliated with the European Commission.