Finanziamento ECCC EULEG 2027: dalla normativa cyber alle capacità condivise

Ultima verifica: 2026-09-27
Per: autorità, CSIRT, SOC, attori della certificazione, industria, PMI, startup, ricerca e partner transfrontalieri che valutano DIGITAL-ECCC-2027-DEPLOY-CYBER-11-EULEG.

Il topic EULEG mette a disposizione 20 milioni di euro per progetti che trasformano la normativa UE sulla cybersecurity in capacità operative condivise: strumenti di attuazione, piattaforme di segnalazione, supporto a certificazione e vigilanza del mercato, capacità di audit, scambio sicuro di informazioni, tecnologie per la privacy e programmi di competenze. Il contributo UE atteso è di 3-5 milioni di euro per progetto, la percentuale è del 50% e la durata indicativa è di 36 mesi. Le proposte scadono il 14 gennaio 2027 alle 17:00 CET e devono affrontare almeno uno strumento UE pertinente. La compliance ordinaria di una singola organizzazione, priva di risultati riutilizzabili per l'ecosistema, non è lo scopo centrale del topic (documento ufficiale della call).

In breve

• EULEG sostiene un'attuazione omogenea di CRA, NIS 2, GDPR, DORA, Cybersecurity Act, specifici requisiti dell'AI Act e altre norme UE pertinenti.
• La proposta può riguardare uno o più strumenti, ma deve avere perimetro normativo, destinatari e risultato operativo chiari.
• Le direzioni ammissibili comprendono autovalutazione, segnalazione di incidenti e vulnerabilità, piattaforme di certificazione, capacità di audit e delle autorità, scambio sicuro, formazione, metodi transfrontalieri e tecnologie per la privacy.
• Il topic è una Simple Grant al 50%; i candidati devono pianificare un cofinanziamento credibile della restante quota dei costi ammissibili.
• Un consorzio multinazionale non è obbligatorio, ma secondo la call contribuisce positivamente all'impatto.
• Il KPI obbligatorio conta gli stakeholder supportati nel comprendere, preparare o attuare gli obblighi UE, suddivisi nelle categorie previste.
• Per le attrezzature è ammesso soltanto l'ammortamento secondo le condizioni specifiche del topic.

Ambito e limiti delle fonti

Questa guida spiega come trasformare l'ampio perimetro EULEG in un concept focalizzato, un modello di evidenze e un piano di lavoro. Non costituisce consulenza legale, non determina la conformità a una norma UE e non sostituisce la scheda aggiornata nel Funding & Tenders Portal, il documento ufficiale o i testi giuridici applicabili.

EULEG è uno dei sette topic di DIGITAL-ECCC-2027-DEPLOY-CYBER-11. Il suo obiettivo è la capacità di attuazione, non la sola interpretazione normativa: la proposta dovrebbe consentire a stakeholder, autorità o ecosistemi di applicare i requisiti in modo più coerente ed efficace (panoramica ECCC della call).

EULEG in sintesi

L'intervallo 3-5 milioni è un contributo atteso, non un'assegnazione automatica o un massimale assoluto. Una richiesta diversa può essere considerata se adeguatamente motivata e la sovvenzione assegnata può essere inferiore all'importo richiesto.

I quadri normativi nel perimetro

La call nomina esplicitamente diversi strumenti UE. La proposta dovrebbe individuare obblighi, processi o autorità supportati, evitando un elenco generico di regolamenti.

La sovvenzione non certifica che un partecipante, prodotto o servizio sia conforme. Il progetto deve definire quale capacità costruisce, chi valida il risultato e come l'output sostiene il processo di attuazione pertinente.

Che cosa è progettato per finanziare EULEG

Supporto all'attuazione e autovalutazione

La call sostiene linee guida pratiche e strumenti semplici da usare che aiutano gli stakeholder, in particolare le PMI, a comprendere e attuare i requisiti. Un concept utile supera le spiegazioni statiche collegando obblighi a evidenze, workflow, decisioni, ruoli responsabili e miglioramenti misurabili.

Gli esempi comprendono metodologie comuni, valutazioni di maturità o preparazione, mappature su standard aperti, modelli strutturati di evidenze e strumenti che riducono il carico amministrativo. Il valore dovrebbe essere riutilizzabile fra organizzazioni, settori o Stati membri.

Segnalazione e scambio di informazioni

Il perimetro comprende piattaforme per gli incidenti NIS 2, supporto alla segnalazione delle vulnerabilità CRA, punti di accesso unici, canali sicuri e meccanismi di condivisione. Consente anche piattaforme nazionali che federano attori di cyber threat intelligence e autorità competenti, scambi verticali nei settori e collaborazione fra Paesi.

Un progetto di reporting deve definire giurisdizione, campi dati, validazione, riservatezza, instradamento, conferma, escalation e integrazione con le autorità esistenti. Una nuova interfaccia priva di governo e modello operativo non è sufficiente.

Capacità di certificazione e valutazione della conformità

EULEG può rafforzare autorità nazionali di certificazione, autorità di vigilanza e notificanti, organismi di valutazione e laboratori. Può inoltre sostenere strumenti di certificazione e valutazione, inclusa una piattaforma proposta come "Certification and Evaluation as a Service" per gestire la documentazione e accelerare lo scambio.

Il perimetro ufficiale sottolinea interoperabilità, documentazione armonizzata, riconoscimento reciproco e capacità di scalare le valutazioni in sicurezza. I progetti dovrebbero coinvolgere autorità, organismi, laboratori, fornitori e rappresentanti degli utenti necessari per provare il processo end-to-end.

Test CRA, vulnerabilità e supporto ai prodotti

Il topic copre piloti e metodologie per il CRA, inclusi strumenti o librerie open source per valutazione e test. Richiama anche Software Bill of Materials, divulgazione coordinata delle vulnerabilità, contributi alle strutture di reporting CRA e automazione degli avvisi di sicurezza, come il Common Security Advisory Framework.

Questo non rende automaticamente ammissibile qualsiasi test di prodotto. La proposta dovrebbe creare metodi trasferibili, strumenti condivisi, capacità delle autorità o adozione dimostrabile presso un gruppo definito.

Competenze, diversità e collaborazione transfrontaliera

La call sostiene formazione pratica, esercitazioni, benchmarking, peer exchange, fellowship e sfide cyber. Sottolinea giovani professionisti, studenti, docenti, donne e gruppi sottorappresentati, oltre a scambi fra Paesi e sviluppo della leadership.

La formazione deve essere collegata a esigenze normative e operative. Lo European Cybersecurity Skills Framework può aiutare a definire ruoli e risultati di apprendimento, ma servono comunque obiettivi sui partecipanti, metodi di valutazione ed evidenze delle capacità acquisite.

Sicurezza e privacy by design

I progetti possono sostenere tecnologie per sicurezza e privacy in prodotti e servizi ICT, IoT, Operational Technology, identità ed e-government. La call collega le scelte iniziali di progettazione alla riduzione di vulnerabilità e rischi sui dati personali e cita il lavoro ENISA Data Protection Engineering.

Per questa direzione, i consorzi dovrebbero considerare la rappresentazione dell'intera catena: ricercatori, fornitori di tecnologie per la privacy, sviluppatori o integratori ICT e organizzazioni utenti. È una raccomandazione del topic, non il minimo formale stabilito dalle regole comuni.

Che cosa rappresenta una debole coerenza con EULEG

La call ha un perimetro ampio, ma questo non rende finanziabile ogni spesa di compliance. Una proposta rischia di essere debole quando è centrata su:

• redazione ordinaria di policy o gap assessment una tantum per un solo beneficiario;
• pagamento di una certificazione isolata senza creare metodo o capacità condivisa;
• calendario formativo generico privo di risultati normativi o misure sulle competenze;
• ulteriore portale di segnalazione senza integrazione, governo o piano di adozione;
• sintesi legale che non produce strumenti, processi o supporto validato;
• prototipo tecnologico il cui collegamento al problema normativo è dichiarato ma non dimostrato.

Questa distinzione è un'inferenza dagli obiettivi e risultati ufficiali. L'ammissibilità finale dipende dal testo della call e dalla valutazione.

Stakeholder e progettazione del consorzio

I destinatari sono volutamente ampi: industria, PMI, startup, soggetti NIS 2, autorità competenti, CSIRT nazionali e settoriali, SOC, operatori di servizi essenziali, fornitori digitali, ISAC, organismi di certificazione e altri attori coinvolti nella normativa UE pertinente.

Un consorzio multinazionale non è obbligatorio, ma la composizione transfrontaliera può rafforzare l'Impatto. La sola geografia non crea impatto: occorrono metodi condivisi, output interoperabili, piloti replicati, twinning o adozione in più Stati membri.

Modello di finanziamento e costi

EULEG è una Simple Grant con percentuale del 50%. Ogni beneficiario deve quindi pianificare cofinanziamento, capacità finanziaria e flussi di cassa. Il contributo UE atteso è di 3-5 milioni di euro per progetto, con durata indicativa di 36 mesi.

La sovvenzione è a budget e rimborsa costi effettivi ammissibili con gli elementi a costo unitario e forfettari definiti dalla call. Le regole rilevanti comprendono:

• costi indiretti al 7% dei costi diretti ammissibili applicabili;
• attrezzature rimborsate soltanto tramite ammortamento;
• divieto di profitto e possibile riduzione per mancato rispetto della convenzione;
• lavoro e subappalto limitati ai Paesi ammissibili per effetto delle restrizioni di sicurezza;
• accordo di consorzio quando partecipa più di un beneficiario.

Il modello finanziario deve collegare ogni costo a work package, deliverable e risultato atteso. Un budget elevato per una piattaforma non diventa credibile soltanto perché rientra nell'intervallo previsto, se mancano adozione, governo e validazione.

Risultati attesi e modello di evidenze

L'elenco ufficiale è esteso. Una proposta focalizzata dovrebbe scegliere un sottoinsieme coerente e mostrare una catena completa di evidenze.

Non bisogna contare pubblicazione o partecipazione come impatto finale quando il topic richiede capacità. Le misure migliori distinguono portata, uso attivo, attuazione completata e risultato sostenuto.

Contratto dei KPI

Il KPI obbligatorio è il numero di stakeholder supportati nel comprendere, prepararsi o attuare la normativa UE pertinente. La rendicontazione deve distinguere:

• PMI e startup;
• autorità competenti e CSIRT;
• autorità di vigilanza del mercato e notificanti;
• autorità nazionali di certificazione cybersecurity;
• organismi di valutazione della conformità e laboratori;
• altri soggetti interessati o di supporto all'attuazione.

La call elenca inoltre indicatori facoltativi su soluzioni distribuite per gli incidenti, cooperazione e formazione, twinning fra Stati, strumenti CRA per le vulnerabilità, automazione della compliance, uso da parte delle PMI di strumenti aperti o a basso costo, supporto alle autorità, adozione di prodotti conformi al CRA, strumenti NIS 2 e supporto alla certificazione.

Per ogni KPI applicabile occorre definire baseline, obiettivo, unità, fonte dati, frequenza e responsabile. Se non è applicabile perché l'attività o il risultato è fuori perimetro, bisogna dichiararlo e motivarlo. Sono ammessi KPI aggiuntivi quando misurabili e collegati ai deliverable.

Un modello pratico di work package

La struttura seguente è uno schema di pianificazione, non un template obbligatorio ECCC.

Le regole comuni richiedono un deliverable su diffusione e sfruttamento entro i primi sei mesi e deliverable annuali sui KPI e sugli output pertinenti. Le milestone specifiche dovrebbero mostrare il passaggio da metodologia a capacità utilizzabile e adozione validata.

Come i valutatori leggeranno la proposta

Tre sottocriteri standard sono esplicitamente non applicabili a EULEG: rafforzamento della supply chain tecnologica UE, superamento della carenza di finanziamento di mercato e sostenibilità ambientale o obiettivi del Green Deal. I criteri restanti richiedono comunque un caso solido di realizzazione e impatto.

Superare le soglie non garantisce la sovvenzione. Le proposte vengono ordinate entro il budget e le verifiche giuridiche, finanziarie, di esclusione e sicurezza continuano durante la preparazione.

Ammissibilità, sicurezza e pacchetto di candidatura

Beneficiari ed entità affiliate devono in generale essere persone giuridiche ammissibili stabilite negli Stati membri UE o in Norvegia, Islanda o Liechtenstein. Le restrizioni dell'articolo 12, paragrafo 5, si applicano a tutti i ruoli: i soggetti devono essere stabiliti e controllati da Paesi ammessi e le attività, inclusi i lavori subappaltati, devono svolgersi in tali Paesi.

La candidatura comprende Parte A online, Parte B tecnica limitata a 70 pagine e dichiarazioni su proprietà e controllo generate dal Submission System aggiornato. L'iscrizione alla European Cybersecurity Competence Community è incoraggiata ma non obbligatoria.

Checklist di preparazione

1. Scegliere almeno uno strumento UE e definire precisamente il problema di attuazione.
2. Selezionare un percorso coerente invece di tentare di coprire l'intero perimetro EULEG.
3. Individuare lo stakeholder la cui capacità cambia e l'autorità o processo che valida il risultato.
4. Distinguere la compliance ordinaria dalla capacità riutilizzabile per l'ecosistema.
5. Progettare il consorzio sull'intera catena di attuazione e motivare la struttura transfrontaliera.
6. Trasformare i requisiti in work package, deliverable, piloti e criteri misurabili di accettazione.
7. Includere il KPI obbligatorio con le categorie previste e definire gli indicatori facoltativi applicabili.
8. Costruire un cofinanziamento credibile al 50% e applicare alle attrezzature il solo ammortamento.
9. Completare verifiche su proprietà, controllo, Paese e subappaltatori per ogni ruolo.
10. Usare i template aggiornati, mantenere la Parte B entro 70 pagine e trasmettere prima della scadenza.

Domande frequenti

Conclusione

EULEG è progettato per rendere operativa la normativa UE sulla cybersecurity su scala di ecosistema. Le proposte forti scelgono una barriera concreta, costruiscono un metodo o una capacità condivisa, la validano con autorità e utenti pertinenti e misurano quanti stakeholder riescono ad applicarla efficacemente.

Possiamo affiancarvi nella strutturazione di mappature normative, modelli di evidenze e workflow di audit per NIS 2 e ISO/IEC 27001, con la Cyber Console come piattaforma di conformità. Le decisioni finali su interpretazione, ammissibilità, costi e trasmissione devono restare ancorate alla normativa applicabile, al documento ufficiale e alla scheda aggiornata nel Funding & Tenders Portal.

Le guide della serie ECCC 2027

• Call ECCC Digital Europe 2027: 96 milioni per sette topic cybersecurity
• Call ECCC Cybersecurity 2027: guida ad ammissibilità e candidatura
• Finanziamento ECCC AI4SME 2027: guida per PMI e fornitori cybersecurity
• Finanziamento ECCC CYBERAI 2027: AI sicura per le operazioni cyber europee
• Finanziamenti ECCC COORDPREP 2027 per test coordinati di preparazione cyber
• Finanziamenti ECCC NCC Network 2027: come i Centri nazionali sostengono gli ecosistemi cyber
• ECCC Regional Cable Hubs 2027: finanziamenti per la sicurezza transfrontaliera dei cavi sottomarini
• Finanziamenti ECCC dual-use 2027: dalla cooperazione civile-difesa al deployment

Fonti ufficiali

• ECCC - Documento ufficiale della call, versione 1.0
• ECCC - Panoramica della call e sintesi EULEG
• ENISA - European Cybersecurity Skills Framework
• ENISA - Data Protection Engineering
• Commissione europea - Ricerca della call nel Funding & Tenders Portal