{"id":43900,"date":"2026-07-23T12:47:14","date_gmt":"2026-07-23T10:47:14","guid":{"rendered":"https:\/\/smartfense.com\/?p=43900"},"modified":"2026-07-23T12:47:20","modified_gmt":"2026-07-23T10:47:20","slug":"ens-cybersecurity-awareness-formazione-personale","status":"publish","type":"post","link":"https:\/\/smartfense.com\/it\/blog\/ens-cybersecurity-awareness-formazione-personale\/","title":{"rendered":"Cosa richiede l’ENS spagnolo in materia di cybersecurity awareness e come dimostrarlo"},"content":{"rendered":"

Il Real Decreto 311\/2022, del 3 maggio, regola l\u2019Esquema Nacional de Seguridad (ENS), il quadro spagnolo che stabilisce la politica di sicurezza nell\u2019uso dei mezzi elettronici da parte del settore pubblico, e ha fissato un termine di ventiquattro mesi affinch\u00e9 i sistemi gi\u00e0 esistenti raggiungessero la piena conformit\u00e0. Quel termine \u00e8 scaduto a maggio 2024. La conformit\u00e0 all\u2019ENS ha smesso di essere un orizzonte ed \u00e8 diventata uno stato esigibile, verificabile tramite audit per i sistemi di categoria media e alta.<\/p>\n

All\u2019interno di questo quadro, la cybersecurity awareness e la formazione del personale non sono un elemento accessorio. L\u2019ENS le annovera come misure di sicurezza con nome e numero propri, e le tratta come qualsiasi controllo tecnico: vanno applicate e vanno dimostrate.<\/p>\n

Questo articolo non spiega cos\u2019\u00e8 l\u2019amministrazione digitale n\u00e9 come si implementa l\u2019ENS dall\u2019inizio alla fine. D\u00e0 per acquisito quel terreno. Si concentra su un ambito pi\u00f9 circoscritto, ovvero cosa richiede l\u2019Esquema Nacional de Seguridad in materia di cybersecurity awareness e formazione del personale, come tale requisito cresce con la categoria del sistema, e quali evidenze un ente deve poter mettere sul tavolo quando l\u2019auditor inizia a fare domande.<\/p>\n

Chi \u00e8 tenuto a rispettare l\u2019Esquema Nacional de Seguridad?<\/h2>\n

L\u2019Esquema Nacional de Seguridad \u00e8 il quadro che stabilisce la politica di sicurezza nell\u2019uso dei mezzi elettronici delle entit\u00e0 del settore pubblico spagnolo. Vincola tutta l\u2019amministrazione, statale, autonomica o locale, e gli organismi ed enti di diritto pubblico ad essa collegati o da essa dipendenti.<\/p>\n

Il confine rilevante per il settore privato \u00e8 nella catena di fornitura. Il Real Decreto 311\/2022 estende il proprio ambito alle entit\u00e0 private quando forniscono servizi o soluzioni a enti pubblici per l\u2019esercizio delle loro competenze. In pratica, quel requisito entra attraverso i capitolati di gara: un fornitore tecnologico che voglia lavorare con un\u2019amministrazione deve dimostrare la conformit\u00e0 all\u2019ENS per la parte dei propri sistemi che sostiene quel servizio. L\u2019obbligo smette di essere una questione del solo settore pubblico e raggiunge il suo ecosistema di fornitori.<\/p>\n

Cosa richiede l\u2019ENS in materia di cybersecurity awareness e formazione?<\/h2>\n

L\u2019ENS distingue due misure all\u2019interno del gruppo di gestione del personale dell\u2019Allegato II. La misura mp.per.3, \u00abConcienciaci\u00f3n\u00bb, impone di mantenere il personale attento al proprio ruolo nella sicurezza delle informazioni tramite promemoria periodici e azioni di cybersecurity awareness. La misura mp.per.4, \u00abFormaci\u00f3n\u00bb, impone di garantire la formazione regolare di tutto il personale nelle materie necessarie a svolgere la propria funzione in modo sicuro, in misura proporzionata a tale funzione.<\/p>\n

La distinzione non \u00e8 cosmetica. La cybersecurity awareness mantiene l\u2019attenzione sui rischi nel quotidiano; la formazione fornisce a ciascuno la conoscenza concreta che il proprio ruolo richiede. L\u2019ENS chiede entrambe le cose, e le chiede in modo continuo, non come un atto unico al momento dell\u2019inserimento.<\/p>\n

Il decreto stesso rafforza questa linea a partire dalla sua prima disposizione aggiuntiva, che affida al Centro Criptol\u00f3gico Nacional (CCN) e all\u2019Instituto Nacional de Administraci\u00f3n P\u00fablica (INAP) lo sviluppo di programmi di cybersecurity awareness e formazione rivolti al personale del settore pubblico. La norma non si limita a richiedere l\u2019attivit\u00e0: riconosce che sostenerla richiede un programma alle spalle.<\/p>\n

I requisiti crescono con la categoria del sistema<\/h2>\n

L\u2019ENS non applica un metro unico. Classifica ogni sistema in una di tre categorie di sicurezza, base, media o alta, in funzione dell\u2019impatto che un incidente avrebbe sulle dimensioni di riservatezza, integrit\u00e0, tracciabilit\u00e0, autenticit\u00e0 e disponibilit\u00e0. Pi\u00f9 alta \u00e8 la categoria, pi\u00f9 stringenti sono le misure e, con esse, la profondit\u00e0 attesa del programma di cybersecurity awareness e formazione.<\/p>\n\n\n\n\n\n\n\n
Categoria<\/th>\nCome si accerta la conformit\u00e0<\/th>\nRequisito sul personale<\/th>\n<\/tr>\n<\/thead>\n
Base<\/td>\nAutovalutazione e dichiarazione di conformit\u00e0<\/td>\nConsapevolezza e formazione proporzionate alla funzione<\/td>\n<\/tr>\n
Media<\/td>\nAudit di certificazione<\/td>\nMaggiore formalizzazione e tracciabilit\u00e0 del programma<\/td>\n<\/tr>\n
Alta<\/td>\nAudit di certificazione<\/td>\nProgramma rafforzato, rivisto ed evidenziato in profondit\u00e0<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

La differenza operativa pi\u00f9 importante sta in come si verifica. I sistemi di categoria media o alta necessitano di un audit per certificare la conformit\u00e0; per la categoria base \u00e8 sufficiente un\u2019autovalutazione con dichiarazione di conformit\u00e0. Per chi gestisce un sistema di categoria media o alta, questo significa che la cybersecurity awareness dovr\u00e0 reggere lo sguardo di un terzo che chiede prove, non solo la buona volont\u00e0 interna.<\/p>\n

La distanza tra la politica dichiarata e il comportamento effettivo<\/h2>\n

Il punto in cui la maggior parte dei programmi si spezza non \u00e8 la mancanza di attivit\u00e0, ma la distanza tra ci\u00f2 che la politica dichiara e ci\u00f2 che il personale fa. Un ente pu\u00f2 avere una politica di sicurezza approvata e impeccabile, un corso annuale e un foglio firme, e comunque non poter dimostrare che quella formazione abbia cambiato qualcosa nella condotta quotidiana.<\/p>\n

\u00c8 l\u00ec che un audit dell\u2019ENS incontra la criticit\u00e0. L\u2019auditor non valuta le buone intenzioni, bens\u00ec mette a confronto la conoscenza dichiarata con il comportamento effettivo. Un programma che accredita solo la presenza risponde alla domanda sbagliata. La domanda che conta \u00e8 se il personale riconosce un tentativo di phishing quando lo ha davanti, se sa a chi segnalare un incidente e se quella reazione migliora nel tempo. \u00c8 il terreno che l\u2019ENS condivide con altri quadri, come abbiamo analizzato scomponendo il controllo 6.3 della ISO 27001:2022<\/a> e i requisiti di cybersecurity awareness della Direttiva NIS2<\/a>.<\/p>\n

Come si dimostra la conformit\u00e0 in un audit dell\u2019ENS?<\/h2>\n

Per le misure mp.per.3 e mp.per.4, l\u2019evidenza che sostiene la conformit\u00e0 si appoggia di solito su questi elementi:<\/p>\n