Il cybersecurity act 2 segna un cambio di passo nella strategia europea: non solo risposta agli attacchi, ma capacità industriale, supply-chain sicure e regole più chiare su certificazioni e cloud. Per l’Italia – già impegnata su NIS2, cloud della PA e rafforzamento del settore – è un’occasione per trasformare gli obblighi in vantaggi competitivi. In questa guida riassumiamo novità, snodi sulla sovranità digitale, impatti su NIS2/CRA e mosse operative per le imprese. 

Che cos’è (in breve) il Cybersecurity Act 2

La proposta della Commissione aggiorna e sostituisce il regolamento 2019/881, con l’obiettivo di:

• potenziare ENISA e il framework di certificazione europeo,
• semplificare percorsi e livelli di certificazione,
• rafforzare la gestione del rischio di fornitore (fino all’esclusione di fornitori “ad alto rischio” in determinati ambiti),
• coordinarsi con NIS2 per ridurre frammentazione e oneri duplicati. Dopo la proposta, seguiranno negoziati e recepimenti; gli Stati avranno circa un anno per adeguarsi una volta approvata. 

Sovranità digitale: il nodo EUCS (cloud)

Nel dibattito europeo, la sovranità del cloud resta il punto più sensibile. L’EU Cloud Services Scheme (EUCS) – schema di certificazione in via di finalizzazione – ha visto nel tempo versioni con e senza requisiti di “immunità/sovereignty” per i livelli più alti. Alcune bozze hanno eliminato tali vincoli, spingendo verso criteri più tecnici; altre parti dell’industria chiedono invece garanzie forti sugli effetti extraterritoriali (es. CLOUD Act USA). Il risultato è un equilibrio delicato tra apertura del mercato e autonomia strategica. 

Perché conta per le aziende? Le scelte su EUCS influenzeranno gare pubbliche, settori regolati e i requisiti minimi per far girare workload critici nel cloud (localizzazione, controllo della supply-chain, sub-processor).

Come si incastra con NIS2, CRA e Cyber Solidarity Act

• NIS2 (Italia): il d.lgs. 138/2024 ha recepito la direttiva; le imprese essenziali/importanti devono alzare governance e controlli, con responsabilità del management e sanzioni severe. Il pacchetto cybersecurity act 2 punta a ridurre sovrapposizioni e a dare una cornice più lineare alla compliance. 
• Cyber Resilience Act (CRA): in vigore dal 2024, applicazioni principali dal 2027; impone requisiti di cyber-by-design e vulnerability handling per prodotti/IoT. Coordinamento con le certificazioni è atteso per evitare duplicazioni. 
• Cyber Solidarity Act: rete di SOC transfrontalieri e capacità comuni per allerta e risposta, per elevare la prontezza UE su incidenti di grande scala. 

Cybersecurity Act 2: impatti concreti per le imprese (UE/Italia)

1. Procurement e vendor risk: tender e audit chiederanno prove di certificazione o piani credibili; nei settori più critici potranno comparire esclusioni di fornitori a rischio. Preparare matrice rischio-fornitore e percorsi di certificazione/qualifica. 
2. Cloud strategy: fate chiarezza su dove risiedono i dati, quali leggi si applicano e quali sub-processorintervengono; anticipate i requisiti EUCS (log, cifratura, residenza, governance chiavi). 
3. Allineamento normativo: mappa congiunta NIS2 + CRA + (future) certificazioni per evitare doppioni, con un Single Compliance Program (policy, controlli, audit, reporting). 
4. Gestione incidenti: esercizi con i SOC nazionali/transfrontalieri e procedure di segnalazione allineate ai nuovi standard. 
5. Filiera italiana/PA: per chi lavora con la Pubblica Amministrazione, attenzione ai percorsi del Polo Strategico Nazionale e alle qualificazioni cloud. 

Cosa fare adesso: percorso in 6 step

1) Gap analysis “regolatoria”
Incrocia cybersecurity act 2, NIS2 e CRA con i tuoi processi. Identifica cosa è già coperto (es. ISO 27001) e dove servono controlli aggiuntivi. 

2) Mappa fornitori e dati (cloud-first)
Per ogni servizio, chiarisci residenza dei dati, leggi applicabili e catena dei sub-fornitori. Prepara clausole contrattuali DPA e opzioni di reversibilità. 

3) Roadmap certificazioni
Valuta schemi utili (p.es. EUCS quando sarà adottato), obiettivi per i prossimi 12–24 mesi e milestone integrate con audit interni.

4) Governance e responsabilità
Con NIS2 in Italia, board e C-level devono approvare il piano e possono rispondere di violazioni: formalizza ruoli, budget e reporting. 

5) Resilience & detection
Allinea SOC/MDR, logging e playbook con i meccanismi europei (Cyber Solidarity) e con i requisiti di notifica del CRA. 

6) Formazione e cultura
Corsi mirati per supply-chain, legale e procurement: saper leggere requisiti cloud, contratti e certificazioni è ormai core.

Errori da evitare

• Aspettare i decreti attuativi per partire: le dipendenze da NIS2/CRA e la catena cloud richiedono mesi di lavoro. 
• Affidarsi solo a badge marketing: verificare ambito delle certificazioni, livelli e controlli effettivi. 
• Non coinvolgere il procurement: gran parte del rischio passa dai contratti e dai sub-processor.

Conclusione

Il cybersecurity act 2 è la cornice con cui l’Europa prova a coniugare apertura e autonomia: standard comuni, filiere più sicure e una spinta concreta alle competenze. Per le aziende italiane la partita si gioca ora: mappare i rischi del cloud, allineare NIS2/CRA e prepararsi agli schemi di certificazione significherà competere meglio in gare e supply-chain.

Vuoi capire come impostare roadmap, contratti e controlli nella tua realtà (anche con cloud PA/PSN)? Parliamone qui: www.picomputers.it.

Proposta ufficiale della Commissione europea per il “revised Cybersecurity Act“