EPSO AD8 in cibersicurezza: EPSO/AD/430/26

Il concorso EPSO/AD/430/26, pubblicato l’8 settembre 2026 (Gazzetta ufficiale C/2026/4668), serve a costituire elenchi di riserva di amministratori AD8 in due settori. Il settore 2 è la cibersicurezza, con 254 posti, il più grande dei due; il settore 1 è l’intelligenza artificiale, con 240 posti e una guida dedicata. Puoi candidarti per un solo settore.

Si rivolge a professionisti con esperienza: AD8 è un grado superiore ai consueti livelli di ingresso, e qualunque combinazione di requisiti richiede almeno cinque anni di esperienza pertinente. Il bando descrive un profilo ampio e tecnico: cinque categorie di funzioni, dalla gestione dei rischi e dall’architettura fino al centro operativo di sicurezza, alla governance e alla consulenza. Ognuna di esse «richiede competenze tecniche».

Oltre alla cittadinanza dell’UE e a due lingue dell’UE (una a livello C1, un’altra a livello B2), ti serve una delle quattro combinazioni di studi ed esperienza. L’esperienza si conta dalla data del titolo di studio e deve corrispondere alle funzioni in materia di cibersicurezza dell’allegato II del bando.

Una laurea magistrale o un dottorato in un ambito ammesso soddisfa le opzioni da quattro e da cinque anni, qualunque sia la tua prima laurea. Gli ambiti ammessi si dividono in tre gruppi:

• Ammessi senza condizioni: cibersicurezza, sicurezza delle informazioni o garanzia delle informazioni; ingegneria della sicurezza; informatica forense e risposta agli incidenti; crittografia e gestione delle chiavi.
• Ammessi con un orientamento verso la sicurezza delle TIC: architettura dei sistemi, ingegneria del software, informatica o elettrica, sistemi informativi, automazione e controllo, sistemi embedded, interazione uomo-macchina, reti, telecomunicazioni, tecnologie operative, IoT e sistemi ciberfisici, governance e gestione delle TIC, audit informatico, gestione dei rischi, informatica gestionale e gestione dei progetti.
• Ammessi con un orientamento verso sicurezza, crittografia, analisi dei rischi o analisi dei dati di sicurezza: scienza o ingegneria dei dati, applicazioni di IA o di apprendimento automatico, matematica applicata o statistica.

L’orientamento si dimostra con una specializzazione riconosciuta indicata sul titolo o nel certificato degli esami, con almeno 30 ECTS (un semestre a tempo pieno), con una tesi, con un articolo sottoposto a revisione paritaria o una relazione a un convegno sulla cibersicurezza, oppure con un contributo principale a un progetto di ricerca nazionale o europeo. Questi ultimi due devono risalire al periodo degli studi.

Tutte le prove si svolgono a distanza e sotto sorveglianza, nelle date indicate nell’invito, e non necessariamente in quest’ordine.

Le prove di ragionamento hanno lo stesso formato e le stesse soglie degli altri concorsi EPSO del 2026. Per la piattaforma e le regole delle prove a distanza, vedi la guida a TAO.

In un ordine rigido, fissato dal bando:

1. Si correggono prima le prove di ragionamento. Se non le superi, non si corregge nient’altro.
2. Per chi ha superato il ragionamento si corregge la prova di specializzazione in cibersicurezza. Chi ottiene almeno 15/30 viene classificato in base a quel punteggio.
3. Partendo dai primi della graduatoria, un numero limitato di candidati, in linea di principio non più di 1,5 volte il numero di posti, ottiene la correzione dell’elaborato e la verifica dell’ammissibilità. In cibersicurezza sono circa 381 candidati, più gli eventuali pari merito all’ultimo posto utile.
4. Chi supera l’elaborato ed è ammissibile entra nell’elenco di riserva, in ordine di graduatoria, fino a coprire i 254 posti.

Quindi la prova di specializzazione è l’unico punteggio che conta. Prima dell’elenco non ci sono né colloquio né centro di valutazione, e i risultati arrivano solo alla fine del concorso, qualunque fase tu abbia raggiunto.

Il bando non pubblica un programma: la prova è «specifica del settore». Il riferimento più vicino è l’allegato II, che definisce cinque categorie di funzioni. È anche il metro con cui si misura la tua esperienza.

1. Gestione dei rischi e garanzia della sicurezza. Quadri di gestione dei rischi, dall’identificazione al monitoraggio; modelli di capacità e di maturità; valutazioni della sicurezza, gestione delle vulnerabilità, test di penetrazione e revisioni degli accessi; metriche e rendicontazione sui controlli.
2. Architettura, progettazione e tecnologia. Architettura di sicurezza lungo tutto il ciclo di vita dei sistemi informatici, compresi cloud e ambienti ibridi; prodotti e controlli di sicurezza come dispositivi di sicurezza di rete, SIEM, XDR, rilevamento e risposta nel cloud, IAM e PAM, commisurati al rischio; sviluppo sicuro, revisione del codice, crittografia e gestione delle chiavi, DevSecOps; e l’uso dell’IA, dell’apprendimento automatico e del calcolo quantistico nella sicurezza.
3. Operazioni di sicurezza e risposta agli incidenti. Monitoraggio, rilevamento e threat hunting; informatica forense e risposta agli incidenti, dall’analisi forense di reti e sistemi all’analisi dei log; miglioramento di un centro operativo di sicurezza (ingegneria, automazione della threat intelligence, red teaming, ingegneria del rilevamento); e servizi della capacità di risposta agli incidenti (CSIRC).
4. Governance, politiche e coordinamento. Gestione di progetti, programmi e portafogli; guida di gruppi di lavoro; una strategia di sicurezza pluriennale a scorrimento; politiche, standard e procedure; conformità, audit e attestazioni; rappresentanza dell’istituzione in gruppi interistituzionali e di esperti; miglioramento continuo.
5. Sensibilizzazione, competenze e consulenza. Campagne di sensibilizzazione e formazione; consulenza specialistica su gestione delle identità e degli accessi, firme elettroniche e servizi fiduciari.

Il punto è proprio l’ampiezza: chi viene da un SOC deve coprire governance e strategia, e chi viene dalla governance deve coprire rilevamento e analisi forense. Il bando non cita alcuna normativa, ma queste funzioni si svolgono nel quadro di norme dell’UE che conviene tenere a portata di mano: il regolamento (UE, Euratom) 2023/2841, sulla cibersicurezza nelle istituzioni, negli organi e negli organismi dell’Unione; la direttiva NIS 2 (direttiva (UE) 2022/2555); il regolamento sulla cibersicurezza (regolamento (UE) 2019/881); il regolamento sulla ciberresilienza (regolamento (UE) 2024/2847); e il regolamento eIDAS (regolamento (UE) n. 910/2014), per le firme elettroniche e i servizi fiduciari.

1. Verifica subito la tua ammissibilità. Conta gli anni di esperienza dalla data del titolo di studio. Se la tua laurea rientra nel secondo o nel terzo gruppo, raccogli le prove del tuo orientamento verso la sicurezza: certificato degli esami, ECTS, tesi o pubblicazione. I documenti vanno presentati entro il 14 gennaio 2027, ma una lacuna scoperta a quel punto non si può più colmare.
2. Non sottovalutare il ragionamento. Basta superarlo, ma viene per primo, e un professionista esperto che non fa un test psicometrico da anni può non superarlo, pur con un curriculum da primo in graduatoria. Esercitati sul formato reale: 40 domande in 65 minuti, divise in tre prove a tempo.
3. Dedica la maggior parte del tempo alla prova di specializzazione. È l’unico punteggio che ti classifica: 30 domande in 40 minuti, circa 80 secondi ciascuna, nella tua lingua 2. Studia le cinque categorie dell’allegato II e comincia da quella più lontana dal tuo lavoro.
4. Impara il lessico nella tua lingua 2. Trattamento del rischio, threat hunting o gestione delle chiavi ti arriveranno in quella lingua, non in quella in cui lavori.
5. Leggi la documentazione per l’elaborato appena EPSO la pubblica. L’EUFTE si basa su documentazione dell’UE che EPSO mette sul suo sito prima della prova. Si valuta la comunicazione scritta, non i fatti né la lingua.
6. Candidati prima dell’ultimo giorno. La scadenza è il 13 ottobre 2026 alle ore 12:00, ora di Bruxelles, e anche la copia del documento d’identità va caricata entro quel termine.