Prova del settore Cibersicurezza EPSO: 10 domande al ritmo dell’esame

Scarica le 10 domande in PDF →

Cosa copre la prova del settore — la guida completa → · Scheda del concorso e scadenze →

Le dieci domande, con risposte e fonti

Le stesse dieci domande con risposte e fonti, da leggere e per i motori di ricerca. Domande vere della banca EU-now, scritte a partire dai testi ufficiali. Senza account.

1. 1. Un soggetto essenziale ai sensi della direttiva (UE) 2022/2555 (NIS 2) viene a conoscenza di un incidente significativo lunedì alle 9:00. Quale sequenza di notifiche al proprio CSIRT impone la direttiva?

   • A Una notifica dell’incidente entro 72 ore e una relazione finale entro tre mesi; non serve alcun preallarme.
   • B Un preallarme entro 24 ore, una notifica dell’incidente entro 72 ore, una relazione finale un mese dopo tale notifica.
   • C Preallarme entro 72 ore, notifica dell’incidente entro 24 ore dal contenimento, relazione finale entro un mese.
   • D Una notifica all’autorità nazionale per la protezione dei dati entro 72 ore, come per una violazione dei dati personali ai sensi del GDPR.
   Risposta corretta: B

   L’articolo 23 della NIS 2 prevede uno schema graduale: un preallarme senza indebito ritardo e comunque entro 24 ore dalla conoscenza dell’incidente significativo, una notifica dell’incidente entro 72 ore che aggiorna il preallarme e fornisce una valutazione iniziale, e una relazione finale entro un mese dalla notifica. Fonte: direttiva (UE) 2022/2555, articolo 23 e considerando 102.

   • A — Prima viene un preallarme a 24 ore, e la relazione finale è dovuta un mese dopo la notifica dell’incidente.
   • B — Corretto: 24 ore, 72 ore, un mese.
   • C — I termini sono invertiti: il preallarme è il passaggio a 24 ore e la notifica dell’incidente quello a 72.
   • D — La notifica della violazione all’autorità per la protezione dei dati entro 72 ore è l’articolo 33 del GDPR, altro strumento e altro destinatario.

2. 2. Secondo il regolamento (UE, Euratom) 2023/2841 sulla cibersicurezza delle istituzioni, degli organi e degli organismi dell’Unione, con quale frequenza ogni entità dell’Unione deve effettuare una valutazione della maturità in materia di cibersicurezza dopo la prima?

   • A Almeno ogni due anni, includendo tutti gli elementi del proprio ambiente TIC.
   • B Ogni anno, come capitolo della relazione annuale di attività.
   • C Almeno ogni tre anni, in linea con il ciclo di vigilanza della NIS 2.
   • D Solo su richiesta del CERT-UE dopo un incidente significativo.
   Risposta corretta: A

   L’articolo 7 del regolamento 2023/2841 impone a ogni entità dell’Unione di effettuare, entro l’8 luglio 2025 e poi almeno ogni due anni, una valutazione della maturità in materia di cibersicurezza che includa tutti gli elementi del proprio ambiente TIC, se del caso con l’assistenza di un terzo specializzato. Il quadro interno di gestione dei rischi, governance e controllo doveva essere istituito entro l’8 aprile 2025 (articolo 6). Fonte: regolamento (UE, Euratom) 2023/2841, articoli 6 e 7.

   • A — Corretto: entro l’8 luglio 2025 e poi almeno ogni due anni.
   • B — Il regolamento non lega la valutazione alla relazione annuale né a un ciclo annuale.
   • C — Tre anni è una cifra in stile NIS 2; il regolamento dice due.
   • D — La valutazione è un obbligo permanente dell’entità, non qualcosa che il CERT-UE attiva.

3. 3. Un fabbricante scopre che una vulnerabilità di uno dei suoi prodotti con elementi digitali è attivamente sfruttata. Secondo il regolamento (UE) 2024/2847 (regolamento sulla ciberresilienza), cosa deve fare?

   • A Notificarlo all’autorità di vigilanza del mercato del proprio Stato membro entro 30 giorni, poi pubblicare un avviso di sicurezza con la patch.
   • B Preallarme entro 24 ore, notifica dell’incidente entro 72 ore e relazione finale entro un mese, come per gli incidenti NIS 2.
   • C Segnalarlo solo all’ENISA, entro 72 ore, una volta rilasciata la patch, e informare gli utenti al prossimo aggiornamento.
   • D Preallarme entro 24 ore, notifica della vulnerabilità entro 72 ore, relazione finale 14 giorni dopo la disponibilità di una correzione.
   Risposta corretta: D

   L’articolo 14 del regolamento sulla ciberresilienza impone al fabbricante di notificare una vulnerabilità attivamente sfruttata simultaneamente al CSIRT designato come coordinatore e all’ENISA, tramite la piattaforma unica di segnalazione: preallarme entro 24 ore dalla conoscenza, notifica della vulnerabilità entro 72 ore e relazione finale entro 14 giorni dalla disponibilità di una misura correttiva o di attenuazione. Fonte: regolamento (UE) 2024/2847, articoli 14 e 16.

   • A — Le autorità di vigilanza del mercato controllano la conformità; l’obbligo di segnalazione va al CSIRT coordinatore e all’ENISA, con termini molto più brevi.
   • B — È lo schema degli incidenti NIS 2; per una vulnerabilità attivamente sfruttata il regolamento sulla ciberresilienza fissa la relazione finale 14 giorni dopo la disponibilità di una misura correttiva.
   • C — La notifica non dipende dalla patch e va simultaneamente al CSIRT e all’ENISA.
   • D — Corretto: 24 ore, 72 ore, 14 giorni, tramite la piattaforma unica.

4. 4. Quale affermazione descrive correttamente il sistema europeo di allerta per la cibersicurezza istituito dal regolamento (UE) 2025/38 (regolamento sulla cibersolidarietà)?

   • A Un unico centro operativo di sicurezza a livello UE, gestito dall’ENISA, che sostituisce i SOC nazionali degli Stati membri.
   • B Una riserva di fornitori fidati di servizi di sicurezza gestiti a cui gli Stati membri possono ricorrere dopo un incidente di cibersicurezza su vasta scala.
   • C Poli informatici transfrontalieri, ciascuno con almeno tre poli nazionali, che rilevano le minacce e condividono le informazioni.
   • D Il meccanismo con cui l’ENISA, su richiesta della Commissione, riesamina a posteriori gli incidenti significativi o su vasta scala.
   Risposta corretta: C

   Il regolamento sulla cibersolidarietà costruisce il sistema europeo di allerta come più poli informatici transfrontalieri interoperabili, ciascuno dei quali raggruppa tre o più poli nazionali, per rafforzare il rilevamento e la condivisione delle informazioni. La riserva di fornitori fidati è la riserva dell’UE per la cibersicurezza, parte del meccanismo di emergenza per la cibersicurezza, e il riesame a posteriori è il meccanismo di riesame degli incidenti di cibersicurezza. Fonte: regolamento (UE) 2025/38, considerando e capo II.

   • A — Non esiste un SOC unico dell’UE; il sistema federa poli nazionali e transfrontalieri senza sostituire le capacità nazionali.
   • B — Quella è la riserva dell’UE per la cibersicurezza, un altro pilastro.
   • C — Corretto: poli transfrontalieri che raggruppano tre o più poli nazionali.
   • D — Quello è il meccanismo di riesame degli incidenti di cibersicurezza.

5. 5. Nell’architettura zero trust del NIST SP 800-207, quali componenti si collocano tra un soggetto che richiede l’accesso e la risorsa aziendale, e cosa fanno?

   • A Un policy decision point che decide su ogni sessione e un policy enforcement point che apre, monitora e chiude la connessione.
   • B Un firewall e un concentratore VPN, che concedono l’accesso al segmento di rete interno una volta che il dispositivo è dentro il perimetro.
   • C Un SIEM e un agente XDR, che registrano ogni sessione e la bloccano automaticamente non appena scatta un allarme correlato.
   • D Un’autorità di certificazione e un servizio di directory, che autenticano l’utente una volta al giorno e poi si fidano del dispositivo fino al logout.
   Risposta corretta: A

   SP 800-207 modella l’accesso zero trust tramite un policy decision point e il corrispondente policy enforcement point: il PDP valuta ogni richiesta rispetto alla policy e il PEP instaura, monitora e chiude la connessione. I principi aggiungono che tutte le fonti di dati e i servizi di calcolo sono risorse e che l’accesso è concesso per sessione, quindi né la posizione in rete né un accesso giornaliero conferiscono fiducia di per sé. Fonte: NIST SP 800-207, sezioni 2 e 3.

   • A — Corretto: il PDP decide, il PEP applica, sessione per sessione.
   • B — Un perimetro che si fida di ciò che sta dentro è esattamente ciò che lo zero trust elimina.
   • C — Gli strumenti di monitoraggio alimentano la decisione, ma non sono i componenti di controllo degli accessi del modello.
   • D — Lo zero trust valuta ogni sessione; autenticare una volta al giorno contraddice i principi.

6. 6. Un’istituzione dell’UE vuole che gli amministratori privilegiati si autentichino al livello di garanzia dell’autenticazione 3 (AAL3) definito nel NIST SP 800-63B-4. Quale configurazione di autenticatore soddisfa l’AAL3?

   • A Una password più un codice monouso inviato via SMS al cellulare registrato dell’amministratore.
   • B Una passkey sincronizzabile conservata in un portachiavi cloud: resistente al phishing e utilizzabile su qualsiasi dispositivo dell’amministratore.
   • C Un autenticatore resistente al phishing, legato all’hardware, con chiave non esportabile e due fattori distinti.
   • D Un segreto memorizzato di almeno 15 caratteri, verificato contro una lista di blocco e cambiato ogni 90 giorni.
   Risposta corretta: C

   SP 800-63B-4 richiede che l’autenticazione AAL3 si basi sulla prova del possesso di una chiave tramite un protocollo a chiave pubblica, con un autenticatore resistente al phishing la cui chiave non sia esportabile e resti in un ambiente isolato protetto dall’hardware, e con la prova di due fattori distinti. Poiché gli autenticatori sincronizzabili richiedono una chiave privata esportabile, NON DEVONO essere usati all’AAL3. Fonte: NIST SP 800-63B-4 (luglio 2025), sezione 2.

   • A — Un codice SMS non è resistente al phishing né legato all’hardware; non raggiunge l’AAL3.
   • B — Gli autenticatori sincronizzabili sono esplicitamente esclusi all’AAL3 perché la chiave deve essere esportabile per sincronizzarsi.
   • C — Corretto: resistente al phishing, non esportabile, protetto dall’hardware, due fattori.
   • D — Un segreto memorizzato è un solo fattore, e l’SP 800-63B-4 vieta di imporre cambi periodici della password.

7. 7. Un architetto della sicurezza deve scegliere algoritmi post-quantistici per due esigenze: stabilire una chiave condivisa per sessioni cifrate e firmare aggiornamenti software. Quali standard del NIST corrispondono a ciascuna esigenza?

   • A Uno qualsiasi dei tre indifferentemente, perché sono tutti schemi di firma basati su reticoli.
   • B FIPS 204 (ML-DSA) per lo scambio di chiavi; FIPS 203 (ML-KEM) per le firme digitali.
   • C FIPS 205 (SLH-DSA) per lo scambio di chiavi; FIPS 203 (ML-KEM) per le firme, perché gli schemi basati su hash incapsulano chiavi.
   • D FIPS 203 (ML-KEM) per lo scambio di chiavi; FIPS 204 (ML-DSA) o FIPS 205 (SLH-DSA) per le firme digitali.
   Risposta corretta: D

   FIPS 203 è lo standard del meccanismo di incapsulamento di chiavi basato su reticoli modulari (ML-KEM), usato per stabilire chiavi segrete condivise. FIPS 204 è lo standard di firma digitale basato su reticoli modulari (ML-DSA) e FIPS 205 lo standard di firma digitale basato su hash senza stato (SLH-DSA), entrambi per le firme. La raccomandazione (UE) 2024/1101 chiede agli Stati membri di pianificare una transizione coordinata verso questi algoritmi. Fonte: NIST FIPS 203, 204 e 205 (agosto 2024).

   • A — SLH-DSA è basato su hash, non su reticoli, e ML-KEM non è uno schema di firma.
   • B — Invertito: ML-DSA firma, ML-KEM stabilisce chiavi.
   • C — SLH-DSA è uno schema di firma basato su hash, non un KEM.
   • D — Corretto: ML-KEM incapsula chiavi; ML-DSA e SLH-DSA firmano.

8. 8. Come struttura il NIST SP 800-61 revisione 3 (2025) la risposta agli incidenti rispetto al precedente ciclo di vita in quattro fasi?

   • A Mantiene il ciclo di vita in quattro fasi della revisione 2 come unico modello valido e aggiunge una quinta fase per gli incidenti legati all’IA.
   • B Proietta la risposta agli incidenti sulle sei funzioni del CSF 2.0 e rende continue la preparazione e le lezioni apprese.
   • C Sostituisce il ciclo di vita con il processo ISO/IEC 27035 e affida tutte le attività di risposta a un CSIRT esterno.
   • D Elimina del tutto la fase post-incidente, perché le lezioni apprese sono ora interamente coperte dai controlli dell’SP 800-53.
   Risposta corretta: B

   La revisione 3 presenta un modello di ciclo di vita della risposta agli incidenti basato sulle funzioni del CSF 2.0 e vi proietta le fasi del modello precedente; preparazione e lezioni apprese diventano attività continue dell’intera organizzazione anziché tappe di un singolo incidente. Fonte: NIST SP 800-61r3, sezioni 1 e 2 (tabella 1, figure 1 e 2).

   • A — Il modello a quattro fasi della revisione 2 è presentato come il modello precedente; non si aggiunge alcuna fase IA.
   • B — Corretto: un modello basato sul CSF 2.0 con preparazione e lezioni apprese come attività continue.
   • C — SP 800-61r3 è una guida del NIST, non un rinvio a ISO 27035 né a un team esterno.
   • D — L’apprendimento post-incidente è mantenuto e ampliato, non eliminato.

9. 9. Secondo il regolamento (UE) 2019/881 (regolamento sulla cibersicurezza), per quale livello di affidabilità un fabbricante può ricorrere a un’autovalutazione della conformità anziché a una certificazione di terzi?

   • A Qualsiasi livello, purché ne sia informata l’ENISA.
   • B I livelli di affidabilità «di base» e «sostanziale».
   • C Solo il livello di affidabilità «di base».
   • D Nessuno: la certificazione europea della cibersicurezza è sempre rilasciata da un organismo di valutazione della conformità.
   Risposta corretta: C

   Il regolamento sulla cibersicurezza definisce tre livelli di affidabilità, «di base», «sostanziale» ed «elevato», e ammette l’autovalutazione della conformità solo quando il prodotto, servizio o processo TIC corrisponde al livello «di base»; i livelli superiori richiedono la valutazione da parte di un organismo di valutazione della conformità. Il primo sistema adottato in questo quadro è l’EUCC (regolamento di esecuzione (UE) 2024/482). Fonte: regolamento (UE) 2019/881, considerando 79 e 80 e articolo 53.

   • A — L’ENISA prepara i sistemi; non certifica né riceve notifiche di autovalutazione in tal senso.
   • B — Il livello «sostanziale» richiede la valutazione di terzi.
   • C — Corretto: l’autovalutazione è ammessa solo per il livello «di base».
   • D — L’autovalutazione esiste, ma solo per il livello più basso.

10. 10. Secondo il regolamento (UE) 2022/2554 (DORA), con quale frequenza le entità finanziarie individuate dalla propria autorità competente devono effettuare test di penetrazione basati sulle minacce (TLPT)?

    • A Almeno ogni 3 anni, o più spesso se l’autorità competente lo richiede.
    • B Ogni anno, nell’ambito del riesame annuale del quadro di gestione dei rischi informatici.
    • C Solo dopo aver segnalato all’autorità competente un grave incidente connesso alle TIC.
    • D Ogni 5 anni, in linea con il ciclo di audit dei soggetti essenziali ai sensi della NIS 2.
    Risposta corretta: A

    L’articolo 26 del DORA impone alle entità finanziarie individuate ai sensi del suo paragrafo 8 (escluse le microimprese) di effettuare test avanzati mediante TLPT almeno ogni 3 anni; l’autorità competente può richiedere una frequenza maggiore in base al profilo di rischio e alle circostanze operative dell’entità. Fonte: regolamento (UE) 2022/2554, articolo 26.

    • A — Corretto: almeno ogni 3 anni, più spesso su richiesta.
    • B — I test annuali rientrano nel programma generale di test dell’articolo 24; i TLPT hanno un ritmo triennale proprio.
    • C — I TLPT sono un requisito programmato, non attivato da incidenti.
    • D — Né i cinque anni né il ciclo NIS 2 compaiono nel DORA.

Ogni spiegazione cita il testo ufficiale da cui deriva: il bando C/2026/4668 e i regolamenti e le pubblicazioni NIST ed ENISA elencati nella guida del settore.