il Cyber Security Act (CSA), entrato in vigore nel 2018, sta rivoluzionando il panorama della certificazione dei prodotti ICT in Europa. La novità più significativa riguarda l’introduzione di Certification Body (CB) privati, un passo che potrebbe ridefinire il mercato e la qualità delle valutazioni di sicurezza. Questo articolo analizza le implicazioni di questa svolta, i rischi e i benefici, e il ruolo delle autorità nazionali e europee nel nuovo scenario.
Una nuova era per la certificazione dei prodotti ICT in Europa
Il Cyber Security Act, approvato dall’Unione europea nel 2018, ha segnato un punto di svolta nel settore della cybersecurity, introducendo un quadro normativo strutturato e armonizzato per la certificazione dei prodotti ICT. La principale innovazione riguarda la creazione di uno schema europeo di valutazione della sicurezza, denominato EUCC, che sostituisce e integra gli schemi nazionali e regionali precedenti, promuovendo un approccio più uniforme e affidabile. Questo schema si basa sui criteri del standard internazionale Common Criteria, adattato alle esigenze europee, e rappresenta un passo importante verso una maggiore trasparenza e sicurezza nel mercato digitale.
Il nuovo schema EUCC, che entrerà in vigore nel 2025, si inserisce in un contesto più ampio di iniziative volte a rafforzare la resilienza digitale dell’Europa, favorendo sia l’innovazione tecnologica che la protezione dei consumatori e delle imprese.La sua implementazione richiede un sistema di certificazione più flessibile e dinamico, capace di adattarsi alle rapide evoluzioni del settore ICT e alle nuove minacce emergenti. In questo quadro, il ruolo delle autorità di certificazione e di valutazione diventa cruciale, in particolare con l’introduzione di entità private che operano come Certification Body (CB).
Il ruolo emergente dei Certification Body privati
Una delle principali novità del CSA è la possibilità di istituire Certification Body (CB) privati,che possono operare come enti di certificazione autonomi,purché rispettino i requisiti di legge e siano adeguatamente accreditati. Questa innovazione mira a stimolare il mercato, favorendo una maggiore concorrenza e riducendo i tempi di rilascio delle certificazioni. I CB privati possono infatti fungere da Certification Body (CB), ovvero enti autorizzati a emettere certificati di conformità, e da Laboratori di Prova (ITSEF), che eseguono le valutazioni di sicurezza.
Tuttavia,questa apertura al settore privato comporta anche alcuni rischi,legati principalmente alla garanzia di imparzialità e alla obiettività delle valutazioni. La presenza di enti privati richiede un sistema di controllo rigoroso, affinché non si comprometta la credibilità delle certificazioni e si mantenga un elevato standard di affidabilità. La sfida principale consiste nel garantire che i CB privati operino con la stessa imparzialità e competenza degli enti pubblici, evitando conflitti di interesse e assicurando risultati ripetibili e obiettivi.
Limiti e opportunità delle nuove figure di certificazione
I CB privati avranno il compito di rilasciare certificati a livello “Substantial”,ovvero con un grado di sicurezza che garantisce una protezione di base,mentre i certificati di livello “High” saranno riservati esclusivamente a enti pubblici,come l’Agenzia di Cybersicurezza Nazionale (ACN) in Italia. Questa distinzione mira a preservare un livello di controllo più stringente per le valutazioni più critiche, mantenendo comunque una certa flessibilità e apertura nel mercato.
Un’eccezione può essere concessa qualora uno Stato membro non disponga di un CB per il livello “High”, autorizzando un CB privato a operare in tale ambito, previa verifica e accreditamento secondo le stesse regole dei CB pubblici. Questa soluzione permette una certa adattabilità alle specificità nazionali, garantendo comunque l’uniformità e la conformità alle norme europee.
La possibilità di ricorrere a CB privati apre nuove opportunità di mercato e di innovazione, favorendo la nascita di un ecosistema più competitivo e dinamico. Tuttavia, richiede anche un sistema di controllo e supervisione efficace, affinché i processi siano trasparenti e affidabili. La collaborazione tra autorità pubbliche e private diventa fondamentale, così come la definizione di standard condivisi e di procedure di accreditamento rigorose.
Standard di riferimento e linee guida europee
Per garantire coerenza e qualità delle valutazioni, l’accreditamento dei CB privati si basa sulla norma ISO/IEC 17065, uno standard internazionale che definisce i requisiti per gli organismi di certificazione. Questa norma, già ampiamente utilizzata in altri settori, garantisce che i CB rispettino principi fondamentali come indipendenza, competenza, imparzialità e riservatezza.
Per favorire l’interpretazione corretta di questi requisiti, l’ENISA ha elaborato un documento di linee guida che fornisce alle Autorità di Accreditamento nazionali (NAB) indicazioni pratiche e interpretative.Questo strumento aiuta le autorità a valutare se un CB privato soddisfa i requisiti, assicurando uniformità e trasparenza nel processo di accreditamento.
Inoltre, le autorità nazionali di accreditamento, come ACCREDIA in Italia, devono svolgere un ruolo attivo nel monitoraggio delle attività dei CB e nel mantenimento della qualità, attraverso programmi di verifica continui e azioni correttive in caso di non conformità. La collaborazione tra i vari attori europei e l’uso di banche dati condivise garantiscono un elevato livello di sicurezza e affidabilità del sistema di certificazione.
Le sfide dei controlli e delle competenze nel mercato privato
Se da un lato l’introduzione di CB privati rappresenta un passo avanti verso un mercato più aperto e competitivo, dall’altro solleva alcune criticità di fondo. In primis, la scarsità di professionisti qualificati in ambito valutazioni di sicurezza ICT, un settore di nicchia che richiede competenze altamente specializzate e aggiornate. La formazione di valutatori e certificatori è un processo lungo e costoso, e molte università stanno ancora sviluppando programmi specifici per questa figura professionale, spesso assente nei curricula standard.
Inoltre, le autorità di supervisione devono affrontare il compito di garantire che i CB privati mantengano elevati standard di qualità e imparzialità nel tempo. La trasparenza nelle procedure, la verifica dei risultati e la gestione dei conflitti di interesse sono aspetti fondamentali per preservare la credibilità del sistema. La collaborazione tra enti pubblici e privati, così come l’implementazione di sistemi di audit periodici, saranno cruciali per evitare che l’interesse commerciale possa compromettere la qualità delle valutazioni.
va considerato che la maturità del mercato e la disponibilità di risorse umane qualificate sono ancora in fase di sviluppo, e potrebbe richiedere alcuni anni prima che il sistema si stabilizzi e garantisca un livello di affidabilità paragonabile a quello degli enti pubblici tradizionali. Tuttavia, questa evoluzione rappresenta una sfida necessaria per rispondere alle crescenti esigenze di sicurezza e innovazione digitale in Europa.
Prospettive future e impatti sul mercato della cybersecurity
Guardando avanti, è evidente che l’introduzione di CB privati nel quadro del Cyber Security Act avrà un impatto profondo sul mercato europeo delle certificazioni di sicurezza ICT. La maggiore presenza di soggetti certificatori, combinata con le iniziative normative come il Cyber Resilience act e le future schede di certificazione per le reti 5G, contribuirà a creare un ecosistema più dinamico e competitivo.
Questa evoluzione favorirà l’innovazione tecnologica e il rafforzamento delle capacità di difesa digitale delle imprese e delle istituzioni pubbliche. Al contempo, richiederà una maggiore attenzione da parte delle autorità di regolamentazione, che dovranno continuare a perfezionare le procedure di accreditamento, vigilanza e controllo.
Nel medio termine, l’obiettivo è quello di raggiungere un equilibrio tra flessibilità e garanzia di qualità, affinché il mercato possa prosperare senza compromettere la sicurezza. La sfida principale sarà quella di sviluppare un sistema di formazione e certificazione delle competenze che possa sostenere la crescita di professionisti qualificati, in grado di operare con autonomia e responsabilità.
il futuro della certificazione dei prodotti ICT in Europa appare promettente ma complesso, e richiederà l’impegno congiunto di istituzioni pubbliche, enti di certificazione e mercato privato. Solo così si potrà garantire un livello di sicurezza digitale adeguato alle sfide di una società sempre più interconnessa e vulnerabile.
