Affidare il monitoraggio o la risposta agli incidenti a un fornitore specializzato non trasferisce automaticamente anche la responsabilità del risultato. Quando arriva un attacco, ciò che conta non è la promessa di una copertura continua, ma la capacità di attivare le persone giuste, raccogliere evidenze integre, contenere il danno entro confini autorizzati e consegnare al cliente una chiusura documentata.
È su questo terreno che si colloca EUMSS, il futuro schema europeo di certificazione per i servizi di sicurezza gestiti. ENISA ha aperto fino al 13 settembre 2026 la consultazione pubblica sulla bozza. Il documento non è ancora uno schema definitivo e non crea oggi un nuovo obbligo generale per tutte le imprese. Offre però una griglia molto concreta per capire che cosa distinguere, chiedere e verificare quando si acquista un servizio cyber.
La tempistica è significativa. Il 4 settembre ENISA ha pubblicato la sua nuova strategia, articolata attorno a cooperazione, conoscenza condivisa, preparazione alle crisi, capacità e fiducia nelle soluzioni digitali sicure. EUMSS traduce questi obiettivi in una domanda operativa: come si dimostra che un servizio essenziale alla risposta cyber è affidabile nel tempo?
EUMSS certifica il servizio, non l’intera organizzazione
La prima distinzione evita molte semplificazioni commerciali. La bozza EUMSS v1.1 specifica che l’oggetto della certificazione è un determinato servizio gestito, non l’organizzazione del fornitore nel suo complesso e neppure ogni singola erogazione personalizzata per un cliente.
Questo significa che una certificazione, quando lo schema sarà adottato e applicabile, dovrà essere letta nel suo perimetro: quale profilo di servizio copre, con quale livello di garanzia, quali componenti e dipendenze sono state valutate, quali requisiti si applicano e fino a quando il certificato resta valido. La presenza di un marchio non dovrebbe sostituire l’analisi del contratto, dell’architettura tecnica e del contesto del cliente.
La versione in consultazione si concentra sul ciclo di gestione degli incidenti e, più precisamente, sul profilo di incident response. Future estensioni potrebbero riguardare rilevamento delle minacce, qualificazione ed escalation, ripristino, analisi post-incidente, penetration test, audit, consulenza tecnica, threat intelligence e valutazione del rischio. Parlare oggi di una certificazione europea già completa per qualunque servizio MSS sarebbe quindi scorretto.
Due livelli: una base comune e requisiti specifici
Il modello proposto separa una componente orizzontale da una verticale. La componente orizzontale raccoglie requisiti comuni a tutti i servizi che potranno rientrare nello schema. I cinque domini indicati da ENISA sono progettazione sicura del servizio e della piattaforma, gestione di avvio e transizione, disponibilità e continuità, gestione operativa, miglioramento continuo e manutenzione tecnologica.
La componente verticale aggiunge ciò che serve per uno specifico profilo. Nell’incident response la bozza entra nel merito di accordi e statement of work, scala di classificazione, ruoli e autorità, assegnazione degli analisti, triage, raccolta, catena di custodia, analisi degli artefatti, contenimento, eradicazione, passaggio al ripristino e chiusura.
Questa struttura suggerisce un principio utile anche prima della certificazione: un buon fornitore non è soltanto competente nell’analisi tecnica. Deve saper integrare il proprio servizio nell’ambiente del cliente, mantenerlo disponibile, governare cambiamenti e dipendenze, e produrre evidenze lungo tutte le fasi.
Il contratto deve descrivere anche le decisioni
Molti capitolati si concentrano su orari di copertura, tempi di presa in carico e numero di ticket. Sono indicatori utili, ma non spiegano chi può autorizzare un isolamento, quali sistemi non devono essere spenti, come si gestisce una prova digitale o quando l’incidente passa dal fornitore al team di recovery.
Prima dell’avvio conviene trasformare questi punti in decisioni esplicite:
- classificazione condivisa degli incidenti e criteri di escalation;
- responsabilità del cliente e del fornitore, comprese le deleghe fuori orario;
- sistemi, identità e log necessari all’indagine, con modalità di accesso controllate;
- azioni di contenimento preautorizzate e azioni che richiedono un via libera;
- formato, destinatari e tempi dei rapporti intermedi e finali;
- gestione, conservazione e restituzione delle evidenze alla chiusura.
Lo SLA misura una prestazione; lo statement of work chiarisce il perimetro; le procedure definiscono come si agisce. Se uno dei tre elementi resta generico, il cliente rischia di scoprire durante la crisi che il servizio acquistato non comprende una decisione indispensabile.
La certificazione può essere un’evidenza, non una delega di conformità
La bozza collega alcuni controlli orizzontali al Regolamento di esecuzione (UE) 2024/2690, che dettaglia misure NIS2 per categorie specifiche di soggetti, tra cui fornitori di servizi gestiti e di sicurezza gestiti. Ma ENISA chiarisce che un certificato EUMSS potrà offrire evidenze pertinenti solo dove i requisiti risultano allineati: non sostituirà la conformità alla NIS2 né la vigilanza delle autorità competenti.
Per l’impresa cliente la conseguenza è pratica. La certificazione potrà ridurre l’incertezza su un servizio, rendere più confrontabili le offerte e rafforzare una due diligence. Non potrà decidere se quel servizio copre i rischi specifici dell’organizzazione, se le integrazioni sono complete o se le responsabilità interne funzionano davvero.
Anche un servizio certificato può essere configurato male, ricevere dati incompleti o incontrare un cliente incapace di autorizzare rapidamente il contenimento. La governance resta condivisa e deve essere provata con esercitazioni, controlli sulle integrazioni e revisioni periodiche.
Continuità e dipendenze entrano nella valutazione
Un servizio gestito si appoggia spesso a piattaforme di ticketing, raccolta log, threat intelligence, infrastrutture cloud, strumenti di accesso remoto e subfornitori. EUMSS dedica attenzione ai sottoservizi e all’analisi delle dipendenze. Per chi acquista, è un invito a non fermarsi al nome del fornitore principale.
Occorre sapere quali componenti sono necessarie per erogare il servizio, dove si trovano i punti singoli di guasto, come viene gestita l’indisponibilità di una piattaforma e quali cambiamenti richiedono una nuova valutazione. La continuità non coincide con un generico disaster recovery: comprende la possibilità di mantenere la risposta durante picchi, incidenti simultanei, problemi di connettività o compromissioni degli stessi strumenti di sicurezza.
La proposta prevede inoltre sorveglianza periodica, rivalutazione e gestione delle non conformità. Il valore della certificazione, quindi, non starebbe soltanto nella fotografia iniziale, ma nel ciclo di mantenimento. È un criterio che le imprese possono già applicare chiedendo report di servizio, miglioramenti concordati, aggiornamenti sulle dipendenze e prove di chiusura delle anomalie.
Dalla consultazione a una checklist di acquisto
EUMSS è collegato anche alla Riserva europea di cybersicurezza, istituita dal Cyber Solidarity Act per sostenere la risposta a incidenti significativi e su larga scala. Una volta operativo lo schema, i fornitori della Riserva dovranno certificarsi entro due anni dalla sua applicazione. È un vincolo specifico di quel meccanismo europeo, non una scadenza universale per qualsiasi MSSP.
Per un’impresa, il lavoro utile oggi è rivedere la selezione dei servizi cyber con cinque domande: che cosa è realmente incluso; quali decisioni restano al cliente; quali dipendenze sostengono l’erogazione; quali evidenze vengono prodotte; come si verifica nel tempo che il servizio continui a funzionare.
La certificazione EUMSS potrà diventare un segnale di fiducia più leggibile nel mercato europeo. Non renderà però superflua la capacità di fare domande, progettare integrazioni e provare la risposta. Il passaggio maturo è proprio questo: comprare meno promesse astratte e governare più evidenze operative.
Nota di trasparenza: questo articolo e le immagini collegate sono stati realizzati in parte con l’utilizzo dell’intelligenza artificiale, con supervisione e responsabilità editoriale umana.