Riforma ENISA: l’agenzia europea diventa il braccio operativo della cyber UE
C’è uno scarto preciso tra coordinare e agire, e la riforma ENISA lo attraversa tutto. Il 9 giugno il Consiglio Trasporti, Telecomunicazioni ed Energia ha esaminato il pacchetto cyber della Commissione, il dossier che riscrive il Cybersecurity Act e ritocca la NIS2, e il punto politico non è la semplificazione annunciata ma il cambio di natura dell’agenzia europea: da soggetto che pubblica linee guida e report a infrastruttura che gestisce piattaforme, allerte e capacità mobilitabili. Per i soggetti NIS2 italiani, una platea ampia di imprese e Pubblica Amministrazione distribuita su diciotto settori, la questione non è teorica: ridefinisce a chi si notifica un incidente e come viaggia l’allerta nel resto d’Europa.
Dal parere all’azione
La Commissione ha presentato il pacchetto il 20 gennaio 2026: revisione del Cybersecurity Act, emendamenti mirati alla NIS2 e un nuovo quadro europeo per la sicurezza della catena di fornitura ICT. L’esame del 9 giugno in Consiglio è un passaggio dell’iter, non un via libera: gli Stati membri hanno accolto con favore il rafforzamento di ENISA, ma le riserve emerse si sono concentrate proprio sulle sue responsabilità operative ampliate. Il consenso, in altre parole, riguarda la direzione più del mandato. La logica dichiarata resta duplice: autonomia strategica e snellimento, già al centro del Digital Omnibus.
Il baricentro si sposta su ENISA. Nella versione riformata l’agenzia gestirebbe i repository europei di minacce e incidenti, emetterebbe allerte precoci valide in tutta l’Unione e coordinerebbe le esercitazioni. Più che inventare strumenti, il pacchetto consolida sotto l’agenzia capacità nate altrove: la European Vulnerability Database, già operativa dal 2025, verrebbe rafforzata, non istituita; la riserva europea di cybersicurezza e il servizio di assistenza contro il ransomware, in cooperazione con Europol e i CSIRT, discendono dal Cyber Solidarity Act; la piattaforma unica di notifica completa il single entry point previsto dal Digital Omnibus. Il risultato è un solo punto di ingresso, pensato per accorciare i tempi e rendere comparabile ciò che oggi arriva frammentato da ventisette ordinamenti.
Quanto pesa la riforma ENISA
Il salto si legge sul bilancio. La dotazione dell’agenzia crescerebbe di oltre il 75 per cento secondo la Commissione; la scheda di procedura dell’Osservatorio legislativo del Parlamento europeo, che sintetizza la scheda finanziaria allegata alla proposta, stima un bilancio di 341 milioni di euro per sette anni, una media annua intorno ai 49 milioni nella proiezione 2028-2034, pari a un incremento dell’81,5 per cento rispetto al 2025; un’analisi di GLOBSEC proietta l’organico verso i 118 addetti a tempo pieno. Sono cifre da maneggiare come stime di un testo ancora in discussione, non come dato consolidato. Sul versante della cooperazione, e sempre secondo la Commissione, ogni Stato membro designerebbe due funzionari di collegamento per lo scambio operativo di informazioni.
Il punto non è la dimensione in sé, ma cosa la giustifica: un’agenzia che emette allerte tempestive valide a livello di Unione e gestisce un database delle vulnerabilità ha bisogno di personale, infrastruttura e una catena di responsabilità che prima non le competeva.
La NIS2 ritoccata, non riaperta
Gli emendamenti alla direttiva non ne toccano l’impianto, ma intervengono sugli attriti applicativi che un anno di recepimenti disomogenei ha reso evidenti. Chiariscono le regole di giurisdizione per le entità transfrontaliere, razionalizzano la raccolta dei dati sugli attacchi ransomware e affidano a una ENISA rinforzata il coordinamento della vigilanza. È la stessa direzione tracciata dall’analisi della proposta nota come Cybersecurity Act 2: un registro europeo alimentato dai punti di contatto nazionali, con obbligo di trasmissione senza ritardi. Gli emendamenti estendono inoltre, più esplicitamente, la copertura della direttiva alle infrastrutture di cavi dati sottomarini. La semplificazione, qui, è anche centralizzazione.
Cosa cambia per l’Italia
Per chi presidia la sicurezza in azienda o nella PA, la posta in gioco è operativa prima che politica. Un punto di ingresso unico e un database comune promettono reazione più rapida e un quadro di minaccia condiviso, ma spostano equilibri di sovranità: più Bruxelles coordina, più i flussi nazionali devono integrarsi senza perdere governo del dato. Il raccordo italiano passerà dall’Agenzia per la Cybersicurezza Nazionale, che dovrà allineare le notifiche al nuovo canale europeo, come già osservato un anno dopo l’avvio dell’implementazione della NIS2. Il dossier resta in iter, e il vero banco di prova della riforma ENISA non sarà il voto ma la prima crisi gestita davvero a livello continentale: lì si vedrà se l’agenzia è diventata regista o è rimasta consigliera con un budget più grande.
