La Commissione europea ha annunciato il 4 novembre 2026 la propria adesione alla Global Cybersecurity Labelling Initiative (GCLI), il progetto internazionale che punta ad avvicinare i criteri utilizzati nei diversi Paesi per valutare e rendere riconoscibile la sicurezza dei dispositivi connessi. La decisione è stata comunicata durante la quinta conferenza dell’iniziativa, accompagnata da una dichiarazione congiunta che conferma l’intenzione dei partecipanti di rafforzare la cooperazione sulla sicurezza dei prodotti digitali.
L’obiettivo è affrontare un problema concreto: un dispositivo intelligente può essere commercializzato in numerosi mercati, ma le garanzie di sicurezza richieste, le procedure di verifica e le informazioni disponibili per gli acquirenti possono cambiare sensibilmente da un Paese all’altro.
L’etichettatura della sicurezza informatica dovrebbe contribuire a rendere queste informazioni più comprensibili e confrontabili, favorendo il riconoscimento di prodotti sottoposti a controlli coerenti con requisiti condivisi.
La dichiarazione del 4 novembre non introduce tuttavia un nuovo certificato internazionale obbligatorio. Definisce un percorso di collaborazione tra autorità pubbliche, con l’ambizione di ridurre le differenze tra i sistemi nazionali e migliorare la protezione dei consumatori.
Dalla cooperazione tra undici Paesi all’ingresso della Commissione europea
La Global Cybersecurity Labelling Initiative ha preso forma ufficialmente il 23 ottobre 2025, durante la Singapore International Cyber Week. In quell’occasione undici amministrazioni pubbliche avevano sottoscritto una prima dichiarazione comune, impegnandosi a collaborare sulla sicurezza dei prodotti appartenenti all’Internet of Things, l’insieme degli oggetti capaci di comunicare attraverso reti digitali.
Tra i partecipanti iniziali figuravano Singapore, Australia, Canada, Giappone, Corea del Sud, Regno Unito, Germania, Finlandia, Ungheria, Brunei ed Emirati Arabi Uniti.
Con l’annuncio del 4 novembre 2026, la Commissione europea entra nella cooperazione internazionale accanto alle amministrazioni degli undici Paesi già coinvolti. La presenza dell’esecutivo comunitario aggiunge una dimensione istituzionale particolarmente rilevante, considerando che l’Unione dispone di una normativa propria sulla sicurezza informatica dei prodotti digitali e di un sistema europeo di certificazione.
Il documento presentato durante la quinta conferenza ribadisce la volontà di costruire un ecosistema internazionale di dispositivi connessi basato su una comprensione condivisa dei requisiti di cybersecurity. I partecipanti intendono inoltre sviluppare un forum multilaterale di cooperazione, capace di facilitare il confronto tra regolatori e amministrazioni competenti.
L’iniziativa parte dal riconoscimento di una difficoltà già evidente nel mercato tecnologico: le catene di produzione sono internazionali, mentre le procedure attraverso cui viene dimostrata la sicurezza di un prodotto rimangono spesso legate ai singoli ordinamenti.
Un produttore può quindi trovarsi a soddisfare requisiti simili attraverso verifiche differenti, sostenendo costi aggiuntivi per accedere a mercati diversi. La GCLI punta a individuare possibili convergenze, senza cancellare le competenze nazionali o sostituire automaticamente le normative esistenti.
Quali caratteristiche dovrebbe riconoscere un’etichetta di sicurezza
L’etichettatura della sicurezza informatica riguarda soprattutto la possibilità di comunicare, attraverso un riconoscimento identificabile, che un dispositivo soddisfa determinati requisiti di protezione.
Il campo di applicazione più immediato è quello dei prodotti connessi destinati al mercato consumer: telecamere di sorveglianza domestica, router, sistemi di illuminazione intelligente, serrature elettroniche, dispositivi per la gestione della casa e altri apparecchi collegati a Internet.
Questi prodotti possono conservare informazioni personali, gestire credenziali di accesso o interagire con altri sistemi. Una vulnerabilità non corretta potrebbe consentire accessi non autorizzati, compromettere dati o trasformare un dispositivo in un punto di ingresso verso una rete più ampia.
La valutazione della loro sicurezza richiede quindi di considerare caratteristiche che vanno oltre il semplice funzionamento dell’apparecchio.
Tra i criteri tecnici già presenti nei principali schemi e quadri normativi di riferimento figurano la protezione delle credenziali, la gestione delle vulnerabilità, la disponibilità di aggiornamenti di sicurezza e la capacità di impedire accessi non autorizzati.
Altrettanto importante è la durata del supporto garantito dal produttore. Un dispositivo può rispettare requisiti adeguati al momento della commercializzazione e diventare progressivamente vulnerabile se non riceve più aggiornamenti.
La dichiarazione GCLI non equivale però all’approvazione di un elenco uniforme e definitivo di criteri tecnici applicabile a tutti i prodotti. L’individuazione di requisiti condivisi e delle modalità con cui verificarli rientra negli obiettivi della cooperazione.
Rimane inoltre essenziale distinguere tra una semplice autodichiarazione del produttore e una certificazione rilasciata dopo una valutazione indipendente. Le due procedure possono offrire livelli differenti di garanzia, anche quando vengono utilizzati simboli graficamente simili.
Perché il riconoscimento internazionale interessa anche i produttori
La questione assume particolare importanza per le imprese che commercializzano gli stessi dispositivi in Europa, Asia e altri mercati internazionali.
Negli ultimi anni diversi Paesi hanno sviluppato sistemi di etichettatura o regole specifiche per i prodotti intelligenti. Singapore dispone del Cybersecurity Labelling Scheme, mentre il Giappone ha avviato nel marzo 2025 il programma JC-STAR, dedicato alla valutazione della sicurezza dei dispositivi IoT.
Queste esperienze mostrano come le autorità possano adottare strumenti differenti per perseguire finalità sostanzialmente analoghe.
Un passaggio significativo è arrivato nel marzo 2026, quando Giappone e Singapore hanno formalizzato un accordo di riconoscimento reciproco relativo ai rispettivi sistemi di etichettatura. L’esperienza dimostra che la cooperazione può tradursi in procedure operative tra singoli Paesi, anche se non comporta automaticamente l’equivalenza di tutti i livelli di valutazione o di ogni categoria di prodotto.
La GCLI intende sviluppare il confronto su scala multilaterale.
Per le imprese, una maggiore convergenza potrebbe ridurre duplicazioni nelle verifiche, semplificare la documentazione richiesta e rendere più prevedibili i percorsi di accesso ai mercati esteri.
I vantaggi dipenderanno tuttavia dagli accordi concretamente raggiunti. L’adesione alla GCLI non determina, da sola, il riconoscimento automatico di un’etichetta nazionale in tutti i Paesi partecipanti.
Restano da definire gli aspetti tecnici e amministrativi dell’eventuale interoperabilità: quali requisiti considerare equivalenti, quali organismi possano effettuare le verifiche e come gestire il mantenimento delle garanzie nel tempo.
La dichiarazione congiunta riconosce espressamente la necessità di rispettare le competenze e i quadri giuridici dei singoli partecipanti. È un elemento decisivo per comprendere la natura dell’iniziativa, che si presenta come sede di coordinamento e non come autorità sovranazionale di certificazione.
Il rapporto con le certificazioni europee e il ruolo dell’ENISA
L’ingresso della Commissione europea nella GCLI si colloca all’interno di un sistema comunitario già strutturato.
Il riferimento principale è il Cybersecurity Act, il regolamento europeo del 2019 che ha introdotto un quadro comune per la certificazione della sicurezza informatica di prodotti, servizi e processi ICT.
L’obiettivo europeo è consentire il riconoscimento delle certificazioni rilasciate nell’ambito degli schemi comunitari, evitando la frammentazione del mercato interno.
L’ENISA, l’Agenzia dell’Unione europea per la cibersicurezza, svolge un ruolo centrale nella preparazione e nel supporto tecnico dei sistemi di certificazione.
Il primo schema europeo adottato è EUCC, European Union Cybersecurity Certification Scheme on Common Criteria, formalizzato nel 2024 e operativo per il rilascio delle certificazioni dal febbraio 2025.
EUCC riguarda prodotti ICT, compresi componenti hardware e software, e utilizza criteri di valutazione riconosciuti a livello internazionale. Prevede livelli di garanzia denominati substantial e high, collegati al rischio e alla robustezza delle verifiche effettuate.
La certificazione nell’ambito di questo schema ha carattere volontario, salvo eventuali obblighi derivanti da specifiche disposizioni normative applicabili.
L’ENISA è inoltre impegnata nello sviluppo di altri schemi europei, relativi a settori quali i servizi cloud, le reti 5G, i portafogli europei di identità digitale e i servizi di sicurezza gestiti. Questi programmi si trovano in fasi differenti di elaborazione e non devono essere considerati indistintamente già adottati.
Il rapporto tra tali strumenti e l’etichettatura della sicurezza informatica promossa dalla GCLI richiederà un confronto tecnico approfondito.
Una certificazione come EUCC può prevedere verifiche articolate, condotte secondo metodologie specifiche e riferite a determinate caratteristiche di sicurezza. Un’etichetta destinata al mercato consumer deve invece riuscire a comunicare informazioni comprensibili anche a chi non possiede competenze specialistiche.
Le due esigenze possono essere complementari, ma non coincidono necessariamente.
L’eventuale utilizzo di risultati di valutazioni europee all’interno di sistemi internazionali dipenderà dalla compatibilità delle procedure e dagli accordi di riconoscimento applicabili.
Il Cyber Resilience Act introduce obblighi distinti dall’iniziativa globale
La distinzione tra cooperazione volontaria e requisiti giuridicamente vincolanti diventa particolarmente importante considerando l’evoluzione della normativa europea.
Il Cyber Resilience Act, entrato in vigore il 10 dicembre 2024, stabilisce requisiti orizzontali di sicurezza per un’ampia categoria di prodotti con elementi digitali.
La normativa riguarda la progettazione, lo sviluppo, la commercializzazione e la gestione delle vulnerabilità durante il periodo di supporto del prodotto.
Gli obblighi principali del Cyber Resilience Act si applicheranno dall’11 dicembre 2027, mentre alcune disposizioni sono entrate in applicazione anticipatamente.
Dall’11 settembre 2026 sono già operative le prescrizioni relative alla segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi che incidono sulla sicurezza dei prodotti.
I produttori interessati devono rispettare termini specifici per le comunicazioni alle autorità attraverso la piattaforma europea predisposta con il coinvolgimento dell’ENISA.
Il regolamento prevede inoltre che i prodotti soggetti alle sue disposizioni rispettino requisiti essenziali di cybersecurity e seguano le procedure di valutazione della conformità pertinenti.
La marcatura CE avrà la funzione di indicare la conformità alle prescrizioni applicabili, comprese quelle del Cyber Resilience Act.
Questo elemento non deve essere confuso con l’etichettatura della sicurezza informatica discussa nell’ambito della GCLI.
La marcatura CE appartiene al quadro regolatorio europeo e attesta la conformità del prodotto alla normativa applicabile. Un’eventuale etichetta internazionale di cybersecurity avrebbe invece caratteristiche e presupposti da definire attraverso il confronto tra i partecipanti.
Anche un prodotto già dotato di un riconoscimento di sicurezza estero potrebbe quindi dover dimostrare autonomamente il rispetto delle prescrizioni europee, a meno che specifiche disposizioni consentano di valorizzare risultati di valutazioni già effettuate.
Le informazioni che possono rendere utile un’etichetta ai consumatori
L’efficacia pratica dell’etichettatura della sicurezza informatica dipenderà dalla capacità di trasformare controlli tecnici complessi in informazioni utilizzabili durante l’acquisto.
Un’indicazione generica di prodotto sicuro avrebbe un valore limitato se non permettesse di comprendere quali caratteristiche siano state effettivamente verificate.
Un sistema informativo utile dovrebbe chiarire il perimetro della valutazione, distinguere le garanzie relative al dispositivo da quelle riferite ai servizi collegati e rendere verificabile l’identità del soggetto responsabile del riconoscimento.
La durata del supporto software rappresenta uno degli elementi più concreti. Due dispositivi con funzionalità equivalenti possono offrire condizioni di sicurezza differenti se uno dispone di aggiornamenti garantiti per un periodo più lungo.
Anche le modifiche successive alla commercializzazione pongono interrogativi rilevanti.
Un aggiornamento del firmware, la sostituzione di componenti o un cambiamento nell’infrastruttura cloud potrebbero incidere sulle condizioni valutate inizialmente. I sistemi di certificazione devono quindi prevedere procedure adeguate per gestire le modifiche che influiscono sulla sicurezza.
Per il consumatore sarebbe utile conoscere anche l’eventuale scadenza del riconoscimento e le condizioni che ne determinano il mantenimento.
Questi aspetti rappresentano questioni tecniche da affrontare nella progettazione di sistemi interoperabili, non requisiti che la dichiarazione del 4 novembre abbia già reso obbligatori.
Il rischio da evitare è che la proliferazione di simboli differenti produca l’effetto opposto a quello desiderato, rendendo difficile distinguere tra verifiche indipendenti, autodichiarazioni e semplici messaggi commerciali.
La prossima sfida riguarda l’equivalenza delle verifiche
La partecipazione europea alla Global Cybersecurity Labelling Initiative apre un confronto che riguarda direttamente la competitività dei produttori, l’attività degli organismi di valutazione e le informazioni disponibili sul mercato.
Un sistema internazionale efficace dovrebbe consentire di utilizzare risultati tecnici già riconosciuti, senza abbassare il livello di sicurezza richiesto nei diversi ordinamenti.
La difficoltà principale consiste nel confrontare procedure costruite con impostazioni differenti. Un Paese potrebbe privilegiare verifiche sui requisiti essenziali dei dispositivi destinati ai consumatori, mentre un altro potrebbe prevedere valutazioni più approfondite per specifiche categorie tecnologiche.
L’armonizzazione non richiede necessariamente di rendere identici tutti gli schemi. Può svilupparsi anche attraverso il riconoscimento di requisiti equivalenti, l’allineamento delle metodologie di prova o la condivisione delle informazioni sugli organismi incaricati delle verifiche.
La dichiarazione del 4 novembre 2026 individua proprio nella cooperazione multilaterale lo strumento per superare progressivamente queste difficoltà.
L’etichettatura della sicurezza informatica potrebbe così diventare un elemento più facilmente riconoscibile negli scambi internazionali, mantenendo la distinzione tra le garanzie offerte dai diversi sistemi.
Per il mercato europeo, il risultato concreto dipenderà dalla compatibilità che sarà possibile costruire con il Cybersecurity Act, gli schemi elaborati dall’ENISA e gli obblighi del Cyber Resilience Act.
Il passaggio da una dichiarazione politica a un riconoscimento operativo richiederà soprattutto accordi su criteri tecnici, procedure di verifica e responsabilità degli organismi competenti. Fino a quel momento, i marchi di sicurezza già disponibili continueranno a essere valutati secondo le regole dei rispettivi sistemi nazionali o comunitari.
