Dall’11 settembre il Cyber Resilience Act smette di essere per le imprese una normativa da studiare in vista del 2027 e diventa una prova concreta della loro capacità di governo. I produttori di dispositivi e software con elementi digitali dovranno trasmettere entro 24 ore un primo avviso relativo alle vulnerabilità e agli incidenti gravi che incidono sulla sicurezza dei prodotti, seguito da una notifica più completa entro 72 ore. Il dato significativo non è la brevità del termine ma ciò che un’azienda deve aver costruito prima perché quelle 24 ore possano essere rispettate. Bisogna conoscere i prodotti che rientrano nel perimetro del regolamento, ricostruirne le componenti, governare le informazioni provenienti da sviluppatori e fornitori, valutare l’impatto di una vulnerabilità e stabilire chi ha il potere di decidere.

La notifica è solo l’ultimo anello visibile di una catena organizzativa molto più lunga. In questo senso l’11 settembre sarà un test non solo per i responsabili della cybersicurezza ma per l’intera governance aziendale. Un’impresa può acquistare tecnologie avanzate di protezione e rimanere vulnerabile se le informazioni non raggiungono in tempo chi deve decidere, se le responsabilità sono frammentate o se nessuno ha una visione completa della catena di fornitura digitale. È qui che il Cyber Resilience Act cambia la grammatica della sicurezza: non domanda solo se l’azienda è protetta ma se è organizzata per conoscere, valutare e comunicare tempestivamente le proprie fragilità.

Così la sicurezza diventa una qualità industriale del prodotto

La cybersicurezza entra così nella qualità industriale del prodotto. Finora molte imprese hanno considerato la sicurezza come una funzione trasversale, importante ma distinta da progettazione e sviluppo. Il regolamento europeo segue una logica diversa: il prodotto deve essere pensato, aggiornato e mantenuto tenendo conto dei rischi cyber durante il ciclo di vita. Questo modifica anche la distribuzione dei costi. Risparmiare nella fase di progettazione può significare dover affrontare successivamente interventi correttivi, incidenti, interruzioni operative e danni reputazionali molto più onerosi.

La sicurezza by design non è quindi solo una formula giuridica ma una scelta di allocazione anticipata del rischio. Da questa prospettiva la compliance smette di coincidere con la produzione di documenti e si avvicina alla gestione strategica dell’impresa. La capacità di ricostruire le dipendenze tecnologiche, individuare tempestivamente una vulnerabilità e fornire aggiornamenti diventa un indicatore della qualità dell’organizzazione.

Può incidere sulla fiducia dei clienti, sulle relazioni con i partner, sulle verifiche condotte nelle acquisizioni e sull’analisi dei rischi compiuta da investitori e assicuratori. Non perché il regolamento trasformi ogni vulnerabilità in una responsabilità finanziaria, ma perché rende più difficile considerare la fragilità digitale come una variabile invisibile. Quando esistono obblighi di monitoraggio e segnalazione anche il cda deve poter comprendere quale rischio tecnologico l’impresa sta assumendo e quale rischio sta trasferendo sui clienti. L’intelligenza artificiale rende questo passaggio ancora più delicato. L’AI è ormai presente nei processi di sviluppo del software, negli strumenti di rilevazione delle anomalie e in un numero crescente di prodotti digitali. Può rafforzare la capacità di difesa ma anche ampliare la superficie di attacco e aumentare la velocità con cui le vulnerabilità vengono sfruttate.

Inoltre un sistema basato sull’AI raramente coincide con un unico prodotto autosufficiente. Dipende da modelli, dati, librerie, infrastrutture cloud, interfacce e componenti fornite da soggetti diversi. Governare la sicurezza significa allora governare una rete di dipendenze che attraversa i confini dell’impresa. È questa la ragione per cui Cyber Resilience Act, AI Act e direttiva NIS2, pur avendo ambiti e destinatari differenti, non possono essere attuati come tre progetti indipendenti. Il Cyber Resilience Act guarda alla sicurezza dei prodotti con elementi digitali; l’AI Act prevede requisiti di robustezza e cybersicurezza per i sistemi ad alto rischio e obblighi relativi ai rischi sistemici dei modelli di uso generale più avanzati; la NIS2 si concentra sulla resilienza delle organizzazioni che operano nei settori compresi nel suo campo di applicazione.

• Leggi anche: L’algoritmo entra nell’organizzazione. E la responsabilità torna umana

Uno stress test di 24 ore per le aziende

Le norme non si sovrappongono perfettamente ma i rischi che intendono governare possono incontrarsi nello stesso prodotto, nella stessa catena di fornitura e nello stesso incidente. Per le imprese la soluzione non può essere la moltiplicazione delle compliance parallele; serve una regia che colleghi sicurezza informatica, protezione dei dati, governo dell’intelligenza artificiale, gestione dei fornitori e continuità operativa. In assenza di questa visione ogni funzione aziendale può essere formalmente adempiente e l’organizzazione rimanere incapace di reagire.

Il vero tema manageriale diventa quindi la qualità delle connessioni tra tecnici e giuristi, tra chi sviluppa e chi acquista tecnologia, tra la prima linea operativa e il vertice, tra l’impresa e i fornitori dai quali dipende. Le 24 ore previste per il primo avviso misurano la solidità di queste connessioni. Nessuna procedura scritta può sostituirle se non sono state sperimentate prima dell’incidente. Il Cyber Resilience Act offre così anche una chiave per comprendere il modello europeo di innovazione. La sicurezza non è concepita come il prezzo da pagare dopo la crescita ma come una condizione della crescita.

In un’economia in cui ogni prodotto tende a diventare un prodotto digitale la fiducia non deriva dall’assenza assoluta di vulnerabilità (promessa che nessun operatore serio può formulare) ma dalla capacità dell’impresa di cercarle, riconoscerle, correggerle e comunicarle senza nasconderle. È questa capacità a trasformare la resilienza da costo regolatorio in patrimonio industriale. L’11 settembre dunque non scatta solo un nuovo obbligo di segnalazione ma comincia una verifica della maturità digitale delle aziende europee.

Quelle che interpreteranno la scadenza come un esercizio formale proveranno a comprimere il problema dentro un flusso autorizzativo. Quelle che ne comprenderanno la portata useranno invece le 24 ore come uno stress test della propria organizzazione. Perché nell’impresa governata dagli algoritmi il vantaggio competitivo non consisterà solo nell’innovare più rapidamente ma nel sapere con altrettanta rapidità dove l’innovazione può rompersi. (riproduzione riservata)

*professore di Diritto Costituzionale e Regolamentazione dell’AI all’Università Bocconi e fondatore di Pollicino Aidvisory

• Leggi anche: La tua banca è sicura? Ecco le nove regole d’oro per neutralizzare le minacce dell’Ai su conti e transazioni