Come imparare a gestire il quantum risk. Società alla prova della fiducia digitale e del debito crittografico

Non serve attendere il primo «computer quantistico malevolo» per parlare di quantum governance. Il rischio è già attuale perché insito nel modello harvest now, decrypt later: intercettare oggi dati cifrati, conservarli e leggerli domani, quando un computer quantistico crittograficamente rilevante potrà violare Rsa, Diffie-Hellman, Ecdsa o Eddsa, ovvero gli algoritmi di crittografia asimmetrica che consentono a due o più parti di scambiare informazioni e chiavi critiche in modo sicuro anche su reti pubbliche come Internet.

Sebbene allo stato attuale, queste tecnologie garantiscono autenticazione dell’identità, riservatezza delle comunicazioni e integrità dei dati, si deve tener presente che per banche, assicurazioni, sanità, difesa, studi professionali, infrastrutture critiche e grandi gruppi, la riservatezza non si misura più sul ciclo di vita del server, sul tempo per cui le informazioni devono rimanere segrete.

La quantum governance è la risposta manageriale, legale e tecnica a questo salto: inventario degli asset crittografici, mappatura dei dati a lunga confidenzialità, responsabilità del board, procurement quantum-safe, test sui fornitori, continuità operativa, clausole contrattuali, audit e disclosure. Il rischio quantistico non è una suggestione futuristica, ma una voce dei controlli interni.

• Leggi anche: Claudia Buch (Bce): l’AI amplifica i rischi, le banche europee si dotino subito di un piano d’azione

Il punto delicato è che il quantum risk colpisce la fiducia digitale alla radice. Se, difatti, la crittografia asimmetrica diventa vulnerabile, non saltano solo le comunicazioni riservate, ma diventano esposti identità digitali, firme, certificati, Pki, firmware, pagamenti, tokenizzazione, smart contract, archivi Kyc, segreti industriali e data room M&A. In tal modo, un certificato compromesso può diventare un lasciapassare, come una firma forgiabile può trasformare un ordine falso in un ordine apparentemente valido e un archivio cifrato oggi può diventare, tra anni, una fuga di dati leggibile.

La compliance e il «debito crittografico»

La compliance non può ridursi all’aggiornamento degli algoritmi «quando sarà il momento», perché «quel momento», per le imprese vigilate (e non solo), è già iniziato.

L’Unione Europea si muove su due piani. La Quantum Europe Strategy, adottata il 2 luglio 2025, punta a fare dell’Europa un polo quantistico entro il 2030 su ricerca, infrastrutture, startup, sicurezza, difesa e competenze. Nel mentre, il mosaico vigente impone alle imprese di governare il rischio anche quando la parola «quantum» non compare.

In Italia, banche, utility, Tlc, sanità, trasporti, cloud, PA e filiere industriali sono già dentro un perimetro in cui cybersicurezza, continuità e segnalazione degli incidenti sono materia da consiglio.

La quantum governance dovrà entrare nei modelli 231 quando il rischio toccherà processi sensibili, nei presidi privacy by design, nei contratti con outsourcer e cloud provider, nelle policy di conservazione documentale e nelle due diligence M&A. Ne segue che chi compra una società deve chiedere non solo «che debito ha?», ma anche «che debito crittografico porta in pancia?». (riproduzione riservata)

*Professore di Diritto privato presso l’Università degli Studi di Firenze -

of Counsel presso Gitti&Partners Studio Legale Associato

• Leggi anche: Copiare l’America non basta: perché l’Europa digitale deve restare europea