Un certificato è un oggetto rassicurante. Ha un numero, una scadenza, un logo che di solito occupa più spazio del necessario. Sta bene in una gara, in un questionario fornitori e nelle slide per il consiglio di amministrazione. Quando arriva un’autorità, però, il suo fascino dura poco. La prima domanda sarà quasi sempre la stessa: che cosa è stato certificato?
Immaginiamo un operatore essenziale NIS2. La società possiede una certificazione ISO/IEC 27001, ha fatto certificare il servizio cloud più importante e, fra qualche anno, potrebbe esibire anche un certificato europeo sulla propria postura cyber. Un attacco colpisce una controllata appena acquisita. L’ambiente compromesso usa credenziali gestite dalla capogruppo, ma non compare nel campo di applicazione dell’ultimo audit. Il certificato è valido. La risposta all’autorità, invece, è tutta da costruire.
È questo il punto dal quale conviene leggere le proposte sul Cybersecurity Act 2 e sulla revisione mirata della NIS2. La Commissione europea vuole trasformare la certificazione in uno strumento di conformità. L’idea è buona. Da anni le imprese riempiono questionari diversi per raccontare gli stessi controlli; subiscono audit che cambiano nome, mentre le domande restano identiche; consegnano a clienti e autorità copie delle stesse procedure, spesso estratte in fretta da repository che nessuno ha pensato come un fascicolo unico.
Una certificazione europea spendibile in più Stati può togliere parecchio rumore perché può anche evitare che l’autorità ripeta un audit già svolto su criteri riconosciuti. Sarebbe un guadagno reale, auspicabile per il panorama delle imprese europee.
Indice degli argomenti
Prima cautela: per ora stiamo leggendo proposte
Il pacchetto è stato presentato dalla Commissione il 20 gennaio 2026. Comprende la proposta di regolamento COM(2026) 11 final, destinata a sostituire il Cybersecurity Act del 2019, e la proposta COM(2026) 13 final, che modifica in alcuni punti la direttiva NIS2. Al 22 agosto entrambe le procedure legislative risultano ancora in corso.
È un dettaglio che negli articoli sulla regolazione europea finisce spesso in fondo, insieme alle note. Qui va tenuto davanti. Un ente NIS2 oggi non può consegnare un certificato e pretendere l’effetto descritto dalla nuova proposta. Parlamento e Consiglio possono cambiare articoli, condizioni e rinvii. Anche l’espressione “NIS2-bis”, comoda e ormai inevitabile, indica una proposta di modifica; non una direttiva già entrata in vigore.
La direzione politica è comunque chiara. Il CSA2 rafforza ENISA, interviene sulle catene di fornitura ICT e ridisegna l’European Cybersecurity Certification Framework. La novità che interessa le organizzazioni è l’ingresso della “cyber posture of entities” fra gli oggetti certificabili.
La definizione proposta è asciutta: il livello di cybersicurezza dell’ente rispetto a specifici requisiti di sicurezza. Quelle ultime parole impediscono di equivocare. Non si certifica un’organizzazione come “sicura” in assoluto. Si valuta la sua postura rispetto a un insieme dichiarato di requisiti.
Questo spostamento dal componente all’ente era atteso. I certificati di prodotto e di servizio servono, però descrivono frammenti. La NIS2 chiede all’organizzazione di governare il rischio: persone, fornitori, continuità, incidenti, sviluppo, accessi, vulnerabilità. Un firewall certificato non risolve una procedura di offboarding che lascia attive le utenze. Un cloud robusto non compensa un backup che nessuno prova da diciotto mesi.
Gli schemi organizzativi dovrebbero essere modulari. Ha senso, perché un ospedale, un operatore energetico e un fornitore di servizi gestiti condividono alcuni rischi e ne hanno molti altri propri. La modularità aiuta anche le imprese a entrare nel sistema senza affrontare da subito un audit enorme. È probabile che il documento più utile non sia il certificato. Sarà il suo allegato: la matrice che collega requisiti legali, controlli dello schema, evidenze verificate e parti dell’organizzazione incluse. Senza quella matrice, “siamo certificati” resta una frase da brochure.
Quando il certificato diventa prova giuridica
Nella pratica quotidiana usiamo già le certificazioni come prova. Accade nei contratti, nelle due diligence e nei procedimenti. Una ISO 27001, per esempio, può mostrare che un sistema di gestione della sicurezza esiste, che un organismo lo ha esaminato e che il campo dichiarato ha superato la verifica. Quanto vale quella prova dipende dal caso. Se l’incidente riguarda un sistema escluso, il certificato conserva la sua autenticità e perde gran parte della sua utilità.
Il CSA2 tenta un passaggio più ambizioso. L’articolo 78 della proposta consente al certificato europeo di dimostrare la conformità e di attribuire una presunzione rispetto ai corrispondenti requisiti di un atto dell’Unione. Serve, però, che quello specifico atto giuridico lo preveda.
La presunzione non nasce quindi dal prestigio dello standard. Non basta neppure il fatto che il certificato sia europeo. Occorre un ponte normativo ovverosia una disposizione deve indicare che quel certificato, rilasciato secondo quello schema, vale per quei requisiti. La valutazione deve essere coerente con l’atto che riceve la certificazione. E, quando produce la presunzione, deve intervenire un organismo terzo.
Sembra una finezza per giuristi che diventerà presto un problema per gli uffici acquisti. Nei capitolati si incontra ancora la formula “ISO 27001 o equivalente”, spesso copiata senza chiedersi equivalente rispetto a cosa. Nel nuovo quadro bisognerà essere più precisi. Un sistema di gestione certificato potrà fornire molte evidenze già pronte. Non acquisirà per osmosi gli effetti del CSA2. Per ottenerli servirà la corrispondenza fra requisiti, criteri e attività di valutazione prevista dallo schema europeo.
Anche il livello di garanzia merita attenzione. La proposta mantiene “basic”, “substantial” e “high”. Per casi a basso rischio, uno schema basic può ammettere l’autovalutazione e una dichiarazione UE di conformità sotto la responsabilità dell’ente. È un percorso utile, meno costoso, capace di imporre un po’ d’ordine documentale. Non offre la stessa assurance di una verifica indipendente. Il CSA2 richiede infatti la terza parte quando il certificato deve fondare la presunzione prevista da un atto europeo.
Scrivere in una gara “certificazione europea basic” senza chiarire questo aspetto sarebbe un piccolo capolavoro di ambiguità: il committente pensa a un auditor; l’offerente legge una dichiarazione propria ed entrambi possono sostenere di avere ragione.
La NIS2-bis prova a evitare il secondo audit
La proposta di modifica della NIS2 rende il discorso meno teorico. Aggiunge tre paragrafi all’articolo 24. Gli Stati membri potranno richiedere agli enti essenziali e importanti di ottenere un certificato sulla postura cyber per dimostrare il rispetto dell’articolo 21, cioè delle misure di gestione del rischio.
Poi arriva la parte che interessa davvero alle imprese, ovvero se il certificato dimostra la conformità ai requisiti fissati da un atto di esecuzione adottato ai sensi dell’articolo 21, paragrafo 5, oppure dalla legge nazionale che recepisce i primi due paragrafi dello stesso articolo, l’autorità non dovrà imporre ulteriori misure ai sensi dell’articolo 32, paragrafo 2, lettera b), o dell’articolo 33, paragrafo 2, lettera b), per i requisiti già coperti.
I rinvii portano agli audit di sicurezza e per gli enti essenziali la NIS2 parla di audit regolari e mirati; per gli enti importanti di audit mirati svolti nella vigilanza ex post. Il certificato, in sostanza, può risparmiare una replica. Non è poco. Un audit assorbe persone, consulenti, documenti e settimane di lavoro. Ripeterlo senza un rischio nuovo impoverisce sia l’impresa sia l’autorità.
La disposizione ha però due argini, entrambi espliciti. Il primo è il perimetro: l’effetto riguarda i requisiti coperti dal certificato. Il secondo è la responsabilità: il nuovo paragrafo 6 dice che la certificazione non incide sulla responsabilità dell’ente di rispettare la direttiva.
L’autorità conserva gli altri poteri e può chiedere informazioni e documenti, accedere ai dati necessari alla vigilanza, disporre scansioni, indagare su un incidente o contestare una violazione. Il certificato evita un audit aggiuntivo sul controllo già valutato.
Torniamo all’esempio della società con la controllata appena acquisita: il suo certificato può coprire la gestione degli accessi della capogruppo e dimostrare che il processo risponde allo schema. Se le credenziali della controllata non sono entrate nel perimetro, oppure se l’integrazione è avvenuta senza applicare le procedure certificate, l’autorità avrà ancora parecchie domande da fare.
Lo stesso ragionamento vale per i fornitori poiché l’articolo 21 include la sicurezza della supply chain. Uno schema può verificare che esistano classificazione dei fornitori, requisiti minimi, clausole, monitoraggio e gestione delle dipendenze. Se un contratto critico viene firmato ignorando un rischio emerso nella due diligence, il processo certificato non assolve quella scelta. Anzi, rende più semplice mostrare dove la procedura sia stata abbandonata.
La fotografia deve restare somigliante
Fra l’audit e l’incidente trascorrono mesi. Nel frattempo, l’azienda migra un servizio, cambia il SOC, acquisisce una società, apre una sede, sostituisce il sistema IAM. Il certificato continua a riportare una data di scadenza futura e può già descrivere un’organizzazione che non esiste più.
La proposta CSA2 prova a tenere insieme fotografia e movimento. Gli schemi dovranno disciplinare il monitoraggio della conformità, il rinnovo, il ritiro, la riduzione o l’estensione del campo. Dovranno anche considerare le vulnerabilità e le non conformità scoperte dopo il rilascio. ENISA dovrebbe rendere disponibili le informazioni sui certificati validi, sospesi, ritirati e scaduti.
Per chi gestisce la compliance, questo significa una cosa molto concreta: le modifiche rilevanti devono raggiungere chi governa la certificazione. Oggi spesso non accade. Il CISO conosce il cambio architetturale; il procurement conosce il nuovo fornitore; il DPO vede il trattamento; la funzione qualità parla con l’organismo. Ognuno aggiorna il proprio registro. Il certificato rimane in una cartella e invecchia in silenzio.
Servirà un proprietario del fascicolo probatorio ovvero una funzione capace di collegare l’evento tecnico al perimetro certificato e al requisito legale interessato. Il fascicolo dovrebbe contenere almeno l’estensione del certificato, le esclusioni, la corrispondenza con la NIS2, l’ultimo rapporto di sorveglianza, le non conformità aperte e le modifiche intervenute dal rilascio.
Anche nei contratti con i fornitori cambierà il modo di chiedere la certificazione. Il logo e la data di scadenza non bastano – e sarebbe da chiedersi se sono state sufficienti sino ad oggi – ma bisogna ottenere il campo di applicazione, sapere quale servizio sia incluso, prevedere la comunicazione di sospensioni e riduzioni, disciplinare le modifiche che possono incidere sulla validità. Un fornitore può consegnare un certificato impeccabile che copre la sede centrale, mentre il servizio acquistato gira altrove: questo è un problema attuale e di governance, più che giuridico o tecnico.
Il GDPR non si lascia assorbire
Il raccordo con il GDPR è il passaggio più facile da raccontare male. La sicurezza informatica protegge i dati personali. Molti controlli “cyber” aiutano a dimostrare il rispetto dell’art. 32 GDPR: accessi, cifratura, logging, resilienza, backup, ripristino, gestione degli incidenti, test periodici. In un procedimento su un data breach, un certificato serio può pesare molto.
Da qui a parlare di conformità GDPR completa c’è una distanza evidente. Un sistema può essere protetto in modo eccellente e trattare dati raccolti senza base giuridica. Può cifrare tutto e conservare troppo. Può avere un SOC impeccabile e ignorare una richiesta di accesso. La cybersicurezza risponde ad alcune domande della protezione dei dati; non alle altre.
Nemmeno l’art. 32 GDPR coincide interamente con uno standard tecnico. Il GDPR chiede misure adeguate al rischio, considerando stato dell’arte, costi, natura, ambito, contesto e finalità del trattamento, oltre ai rischi per i diritti e le libertà delle persone. Un certificato può provare che certi controlli esistono e sono stati verificati. Il titolare deve ancora spiegare perché siano adeguati per quel trattamento.
Gli articoli 42 e 43 costruiscono poi un sistema di certificazione proprio. L’articolo 42 riguarda meccanismi, sigilli e marchi destinati a dimostrare la conformità delle attività di trattamento. I criteri sono approvati dall’autorità di controllo competente o dal Comitato europeo per la protezione dei dati. Il titolare o il responsabile apre all’organismo le attività di trattamento necessarie alla valutazione. Il certificato dura al massimo tre anni e può essere revocato se i requisiti vengono meno.
L’articolo 43 disciplina gli organismi. Richiede competenza specifica nella protezione dei dati, indipendenza, procedure di riesame e ritiro, gestione dei reclami, assenza di conflitti. L’accreditamento può coinvolgere l’autorità di controllo, l’organismo nazionale di accreditamento secondo la EN ISO/IEC 17065 con requisiti aggiuntivi privacy, oppure entrambi.
L’oggetto cambia. Il certificato sulla postura di sicurezza informatica guarda all’ente rispetto a requisiti di sicurezza. La certificazione GDPR – al momento unicamente Europrivacy – riguarda operazioni di trattamento definite e criteri privacy approvati nel circuito del Regolamento. Cambia anche il mandato dell’organismo. La stessa società di certificazione potrebbe, in futuro, possedere entrambi gli accreditamenti; entrerebbe comunque nei due audit con regole e competenze diverse.
Il punto è stato sollevato dal Comitato europeo e dal Garante europeo nel parere congiunto 4/2026. Il giudizio sull’uso della certificazione di cybersecurity è favorevole, accompagnato da una richiesta piuttosto eloquente: chiarire il rapporto con la certificazione GDPR. EDPB ed EDPS suggeriscono che ENISA consulti il Comitato prima di adottare schemi relativi alla sicurezza del trattamento di dati personali. Chiedono inoltre che gli schemi per prodotti, servizi e processi usati nei trattamenti considerino, per quanto possibile, controlli utili a dimostrare requisiti del GDPR.
È un raccordo ragionevole. Lo stesso test sulla cifratura non va eseguito tre volte soltanto perché cambia il fascicolo nel quale sarà inserito. L’evidenza tecnica può essere riusata. La conclusione giuridica richiede un passaggio proprio.
Anche la certificazione ex articolo 42, del resto, non riduce la responsabilità del titolare o del responsabile e lascia intatti i poteri delle autorità di controllo. Se persino il certificato GDPR non funziona come uno scudo generale, attribuire quell’effetto a un certificato cyber sarebbe difficile da sostenere.
Cosa conviene fare adesso
Le imprese non devono correre ad ottenere un certificato che ancora non esiste. Possono fare un lavoro meno visibile e più utile: capire quali prove possiedono già e che cosa provano davvero.
Prendiamo una ISO 27001. Il campo include la società italiana o tutto il gruppo? Quali sedi? Il servizio erogato ai clienti compare nell’estensione? Lo statement of applicability esclude controlli che la NIS2 considera rilevanti? L’ultimo audit ha lasciato osservazioni o non conformità? Nel frattempo, sono cambiati infrastruttura, fornitori o responsabilità?
Poi serve la mappa: da un lato i requisiti dell’articolo 21 NIS2 e delle norme nazionali, dall’altro i controlli certificati, le evidenze disponibili e le parti dell’organizzazione alle quali si applicano. I vuoti devono rimanere visibili. Coprirli con formule generiche rende la tabella più bella e il procedimento più rischioso.
Sul GDPR occorre aggiungere il concetto di trattamento. Quali dati? Quali persone? Quale rischio? Il certificato cyber può entrare nella valutazione delle misure tecniche e organizzative. La decisione sull’adeguatezza resta del titolare o del responsabile, e deve tenere conto del contesto. Se esiste una certificazione ai sensi degli articoli 42 e 43 -ed esiste – va letta secondo il proprio perimetro, senza estenderla all’intera organizzazione per comodità comunicativa.
Tale disciplina sarà utile anche prima che il CSA2 diventi legge. Migliora i contratti, riduce i questionari inutili e prepara risposte più oneste alle autorità. Soprattutto, impedisce che la certificazione diventi un modo elegante per non guardare ciò che è rimasto fuori.
La riforma europea promette di dare ai certificati una nuova forza che le aziende dovranno saper sfruttare per dimostrare la propria conformità.
Partecipa alla community