ENISA — Agenzia dell’Unione europea per la cibersicurezza
L’ENISA (Agenzia dell’Unione europea per la cibersicurezza) è l’organismo centrale dell’UE per le competenze e il coordinamento in materia di cibersicurezza. Ai sensi del Cyber Resilience Act, l’ENISA gestisce la piattaforma unica di segnalazione attraverso la quale i fabbricanti devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi — con un preallarme entro 24 ore dal momento in cui ne vengono a conoscenza — simultaneamente al CSIRT designato come coordinatore e all’ENISA.
Fatti chiave
| Dettaglio | Informazione |
|---|---|
| Nome completo | Agenzia dell’Unione europea per la cibersicurezza |
| Nome precedente | Agenzia europea per la sicurezza delle reti e dell’informazione (fino al 2019) |
| Istituita | 2004 |
| Mandato permanente | Regolamento sulla cibersicurezza dell’UE (Regolamento 2019/881) |
| Sede | Atene, Grecia (centro operativo a Heraklion, Creta) |
| Bilancio (2024) | ~25 milioni di € |
| Personale | ~100 esperti |
| Ruolo chiave ai sensi del CRA | Gestisce la piattaforma unica di segnalazione (articolo 16) |
Il ruolo dell’ENISA nell’ecosistema del CRA
1. Hub di segnalazione delle vulnerabilità
Ai sensi del CRA, l’ENISA gestisce la piattaforma unica di segnalazione per l’UE:
| Segnalazione | Scadenza | Informazioni richieste |
|---|---|---|
| Preallarme (vulnerabilità attivamente sfruttata o incidente grave) | 24 ore dalla conoscenza — tramite la piattaforma al CSIRT coordinatore e all’ENISA | Stati membri in cui il prodotto è disponibile; per gli incidenti, se si sospettano atti malevoli |
| Notifica della vulnerabilità / dell’incidente | 72 ore dalla conoscenza | Informazioni generali sul prodotto, sull’exploit e sulla vulnerabilità o sull’incidente, e misure correttive o di mitigazione |
| Rapporto finale | Vulnerabilità: 14 giorni dopo la disponibilità di una misura correttiva o di mitigazione; incidente grave: un mese dopo la notifica a 72 ore | Descrizione, gravità e impatto; misure correttive; per gli incidenti, probabile causa principale |
Fondamentale per i fabbricanti: se il vostro prodotto è distribuito in tutta l’UE e viene pubblicata una CVE per uno dei componenti della vostra SBOM, dovete trasmettere un preallarme tramite la piattaforma unica di segnalazione entro 24 ore dal momento in cui venite a conoscenza del fatto che la vulnerabilità è attivamente sfruttata nel vostro prodotto. Ciò richiede un monitoraggio automatizzato delle vulnerabilità — il monitoraggio manuale è insufficiente su larga scala.
2. Certificazione della cibersicurezza dell’UE
L’ENISA sviluppa schemi di certificazione a livello UE ai sensi del Regolamento sulla cibersicurezza:
| Schema | Stato | Ambito |
|---|---|---|
| EUCC (EU Common Criteria) | Adottato | Prodotti TIC valutati secondo i Common Criteria |
| EUCS (EU Cloud Services) | In sviluppo | Fornitori di servizi cloud |
| EU5G (5G Security) | In sviluppo | Apparecchiature e componenti di rete 5G |
| Certificazione CRA | Prevista | Categorie di prodotti critici ai sensi del CRA |
3. Coordinamento e consulenza
| Funzione | Descrizione |
|---|---|
| Rete CSIRT | Coordina i team nazionali di risposta agli incidenti di sicurezza informatica (Computer Security Incident Response Teams) |
| EU-CyCLONe | Gestione delle crisi informatiche per gli incidenti su larga scala |
| Panorama delle minacce | Rapporto annuale “ENISA Threat Landscape” — la principale pubblicazione di intelligence sulle minacce dell’UE |
| Orientamenti | Pubblica linee guida di attuazione per NIS2, CRA e norme di cibersicurezza |
| Formazione | ENISA Academy — formazione sulla cibersicurezza per professionisti e responsabili politici |
ENISA e la Direttiva NIS2
Mentre il CRA copre la segnalazione delle vulnerabilità di prodotto tramite la piattaforma unica di segnalazione, la NIS2 copre la segnalazione degli incidenti a livello organizzativo:
| Aspetto | CRA → CSIRT coordinatore + ENISA | NIS2 → CSIRT |
|---|---|---|
| Chi segnala | Fabbricanti di prodotti | Soggetti essenziali/importanti |
| Cosa si segnala | Vulnerabilità attivamente sfruttate e incidenti gravi che incidono sulla sicurezza del prodotto | Incidenti di cibersicurezza che interessano l’organizzazione |
| Scadenza | 24 ore (preallarme) | 24 ore (notifica iniziale) |
| Cosa accade in seguito | Il CSIRT che riceve la notifica la condivide con i CSIRT degli altri Stati membri tramite la piattaforma | Il CSIRT nazionale coordina la risposta locale |
| Sovrapposizione | Una vulnerabilità di prodotto che causa un incidente organizzativo attiva entrambi gli obblighi di segnalazione |
Impatto sui fabbricanti di hardware
Per le aziende che realizzano prodotti hardware connessi per il mercato dell’UE:
- Istituire il processo di segnalazione CRA — Stabilire procedure interne per il preallarme entro 24 ore, la notifica entro 72 ore e il rapporto finale.
- Automatizzare il monitoraggio delle vulnerabilità — Utilizzare il monitoraggio dell’SBOM per confrontare continuamente i componenti con il database CVE.
- Designare un PSIRT — Il Product Security Incident Response Team è l’interfaccia del fabbricante con il CSIRT coordinatore e l’ENISA.
- Testare il processo — Condurre esercitazioni a tavolino simulando una divulgazione di vulnerabilità per validare i tempi di risposta.
È esattamente ciò che automatizza il nostro Servizio di monitoraggio SBOM — confronto continuo delle CVE rispetto alla SBOM del vostro prodotto, con notifiche CRA preformattate e pronte per l’invio.
Termini correlati
- CRA — Il regolamento che richiede un preallarme entro 24 ore per le vulnerabilità attivamente sfruttate, trasmesso al CSIRT coordinatore e all’ENISA.
- NIS2 — La direttiva che richiede la segnalazione degli incidenti a livello organizzativo al CSIRT nazionale o all’autorità competente.
- CVE — Gli identificatori utilizzati per tracciare le vulnerabilità; è lo sfruttamento attivo, non la CVE in sé, ad attivare la segnalazione CRA.
- SBOM — L’inventario dei componenti utilizzato per confrontare i prodotti con le vulnerabilità note ai fini della segnalazione CRA.
Riferimenti ufficiali
- ENISA — Agenzia dell’Unione europea per la cibersicurezza — Sito web ufficiale dell’ENISA