Al via la EU Cybersecurity Reserve

L'Unione Europa ha fatto un importante passo in avanti nella costituzione della cosiddetta EU Cybersecurity Reserve, una "riserva" di forze cyber da far scendere in campo quando si verificano incidenti cyber significativi e su larga scala. Si tratta in sostanza di un meccanismo di supporto in cui i "riservisti" sono servizi di Incident Response e recovery forniti da provider europei riconosciuti.

La Cybersecurity Reserve è previsto sia gestita dall'Agenzia europea per la cybersecurity - Enisa - e la novità in questo senso è che la UE ha finalmente stanziato la somma che Enisa userà per assicurarsi i necessari servizi. In totale sono 36 milioni di euro per i prossimi tre anni, una cifra cha va ad aggiungersi al normale budget annuale di cui l'Agenzia già dispone (quasi 27 milioni di euro nel 2025).

I 36 milioni stanziati per la Riserva cyber saranno usati per acquistare i servizi di Incident Response e per monitorarne l'erogazione. Per questo partirà presto una specifica gara rivolta ai Managed Service Provider europei giudicati "affidabili". Esiste già un elenco di MSP selezionati per la Riserva, con diversi nomi italiani quali CY4Gate, Tinexta, Reply. Tutti hanno passato una fase di verifica - tecnicamente l'Ownership Control Assessment - per garantire che non siano controllati, direttamente o indirettamente, da aziende o persone di nazioni non UE o comunque non ammissibili.

Più generale Enisa sta lavorando a uno schema di certificazione europeo specifico per i Managed Security Service (MSS) che aiuterà anche nella selezione dei futuri "riservisti". Denominato EUMSS, questo schema di certificazione dovrebbe coprire la fornitura di servizi di sicurezza gestiti traguardandola da due punti di vista complementari: un livello orizzontale di requisiti minimi per tutti i MSS e vari livelli verticali che raggruppino requisiti tecnici specifici su misura per i diversi tipi di MSS. Il primo di questi livelli verticali si concentrerà sul ciclo di vita della gestione degli incidenti.

L'allocazione dei fondi della EU Cybersecurity Reserve non è comunque rigida. I servizi di Incident Response possono ad esempio essere convertiti in servizi di awareness e formazione nel campo della prevenzione e della risposta agli incidenti, se Enisa caso per caso ritiene che questa opzione sia più utile per le organizzazioni coinvolte. Inoltre, è anche previsto che i fondi della Riserva possano tradursi in investimenti in ricerca e innovazione in campo cybersecurity, a favore di microimprese, PMI, startup.

La EU Cybersecurity Reserve dovrebbe essere completamente operativa entro fine 2025. I suoi servizi non saranno aperti a chiunque ma solo alle aziende e alle organizzazioni europee considerate critiche secondo i criteri della Direttiva NIS2 e alle istituzioni e alle agenzie dell'Unione Europea. C'è anche la possibilità che la Riserva possa essere attivata per proteggere una nazione non UE, se questa opzione è prevista in modo specifico da accordi bilaterali.

Operativamente sarà Enisa a controllare l'acquisto dei servizi di cybersecurity e la loro erogazione in caso di emergenza, valutando le richieste che dovessero di volta in volta arrivare dalle unità di crisi o dagli Csirt delle nazioni coinvolte, come anche da Cert-EU se l'entità attaccata è una organizzazione o agenzia UE. Enisa ha già messo in piedi un meccanismo per semplificare, e si spera velocizzare, la gestione delle richieste di intervento della Riserva cyber.