Il ruolo strutturale della soft law nel diritto europeo della cibersicurezza

La tesi analizza il ruolo della soft law nel diritto europeo della cibersicurezza, con particolare riferimento al Regolamento (UE) 2019/881 (Cybersecurity Act), alla Direttiva (UE) 2022/2555 (NIS2) e al Regolamento (UE) 2024/2847 (Cyber Resilience Act). Il lavoro muove dalla constatazione che i tre atti normativi non si limitano a fissare obblighi giuridicamente vincolanti, ma rinviano sistematicamente a strumenti privi di forza vincolante formale: linee guida, schemi di certificazione, standard tecnici internazionali e norme armonizzate attraverso i quali si costruisce in concreto la conformità agli obblighi normativi. La ricerca si fonda su una mappatura articolo per articolo dei rinvii contenuti nei tre atti, classificati per tipo di strumento, funzione e intensità degli effetti prodotti. I risultati mostrano che il ricorso alla soft law non è una scelta occasionale, ma un elemento strutturale della tecnica normativa europea, che assume forme e intensità diverse nei tre atti esaminati. Su questa base, il lavoro esamina in chiave critica due profili emersi dalla mappatura: l'accountability dei soggetti che producono tali strumenti, a partire dall'ENISA, e la tenuta del modello delle norme armonizzate, sotto il profilo del controllo giurisdizionale e dell'accessibilità. Ne emerge uno scarto tra la rilevanza regolatoria assunta da questi strumenti e le garanzie che ne accompagnano l'elaborazione, il controllo e la conoscibilità.