Dal progetto al processo continuo: il nuovo paradigma normativo

NIS2 e Cyber Resilience Act (CRA) rappresentano una svolta radicale nella gestione della sicurezza informatica. Fino a poco tempo fa la maggior parte delle aziende seguiva una logica a progetto: assessment, piano di interventi, certificazione e chiusura dell’attività. Con l’introduzione di queste due normative, tale modello risulta insufficiente perché la sicurezza diventa un processo continuo, misurabile e soggetto a verifica esterna.

Il cambiamento non è solo burocratico: è un vero e proprio shift operativo che ridefinisce responsabilità legali, industriali e reputazionali. Il tempismo è preciso: dal 11 settembre 2026 i fabbricanti dovranno rispettare gli obblighi di segnalazione del CRA anche per i prodotti già in commercio, mentre l’applicazione completa del regolamento scatterà l’11 dicembre 2027.

In Italia, il D.Lgs. 138/2024 di recepimento della NIS2 è già operativo sotto la supervisione dell’Agenzia per la Cybersicurezza Nazionale (ACN). La NIS2 si concentra sull’organizzazione e sui servizi erogati, mentre il CRA si focalizza sui prodotti digitali immessi sul mercato.

Il punto d’incontro: la filiera

Chi è soggetto a NIS2 deve governare il rischio dei propri fornitori; il CRA impone a chi fabbrica hardware e software requisiti di sicurezza verificabili. Non è la prima volta che la sicurezza di ciò che si acquista entra nel diritto: il GDPR già chiedeva garanzie ai responsabili del trattamento, e dal 2025 gli apparecchi radio dovranno rispettare requisiti di cybersecurity per la marcatura CE. Tuttavia, è la prima volta che la domanda “quanto è sicuro ciò che compro?” riceve una risposta giuridica sistematica, estesa a quasi tutti i prodotti digitali.

Governance: la sicurezza al livello del consiglio di amministrazione

La NIS2 richiede agli organi di amministrazione di approvare le misure di gestione del rischio, sovrintendere l’attuazione e rispondere in caso di violazione. La sicurezza esce così dal perimetro del reparto IT ed entra nell’agenda del consiglio come rischio d’impresa di primario livello.

Gli amministratori delegati e i membri del CDA non possono più limitarsi a ratificare le spese: devono frequentare corsi di formazione specifica. Nei casi più gravi, la normativa prevede persino la sospensione temporanea dalle funzioni dirigenziali per i soggetti essenziali.

    • Reportistica comprensibile per chi non è tecnico
    • Monitoraggio costante degli indicatori di rischio
    • Legame esplicito tra rischio cyber, continuità operativa e strategia industriale

Da perimetro a filiera: due diligence estesa

La due diligence sui fornitori cambia natura: ora sono richieste dichiarazioni di conformità CRA, periodi di supporto garantito, distinta dei componenti software (SBOM) e processi di gestione delle vulnerabilità. La SBOM, imposta dal CRA, entrerà sempre più spesso nelle richieste contrattuali dei clienti.

Per i fornitori di servizi, non coperti dal CRA, la leva resta quella contrattuale che la NIS2 impone ai propri clienti. L’effetto si propaga a cascata anche alle piccole e medie imprese che non rientrano direttamente nei criteri dimensionali della NIS2: i loro clienti soggetti agli obblighi chiederanno garanzie formali e verificabili, altrimenti rischiano l’estromissione dai contratti di fornitura.

Sicurezza lungo l’intero ciclo di vita del prodotto

Il CRA supera l’idea del prodotto “sicuro al rilascio”. Impone:

    • Security by design e by default fin dalla fase ideativa
    • Conoscenza meticolosa dei componenti di terze parti e open source
    • Aggiornamenti tempestivi per l’intero periodo di supporto dichiarato

Gli obblighi di segnalazione si estendono anche ai prodotti già in commercio da anni. Le aziende devono integrare pratiche DevSecOps, mantenere una SBOM costantemente aggiornata e dotarsi di un processo strutturato di gestione delle vulnerabilità, con politica di divulgazione coordinata e punto di contatto per le segnalazioni esterne.

Team di risposta e gestione delle vulnerabilità

Le grandi aziende spesso istituiscono un PSIRT (Product Security Incident Response Team). Nelle PMI può trattarsi di un processo più snello, purché reale. Il silenzio non è più tollerabile: una vulnerabilità attivamente sfruttata deve essere segnalata alle autorità entro i tempi previsti e corretta, anche se la divulgazione pubblica è coordinata e posticipata fino alla disponibilità della patch.

Processi di risposta agli incidenti: tempistiche e canali

Entrambe le norme prevedono una prima segnalazione d’allerta (early warning) entro 24 ore dall’individuazione dell’evento e una notifica più completa con analisi di impatto entro 72 ore, ma su oggetti e canali diversi.

La NIS2 riguarda gli incidenti significativi che colpiscono i servizi dell’organizzazione: la notifica va al CSIRT nazionale (in Italia CSIRT Italia, presso l’ACN) con una relazione finale entro un mese.

Il CRA riguarda le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza di un prodotto: la notifica avviene tramite la piattaforma unica gestita dall’ENISA, con relazione finale entro 14 giorni dalla disponibilità della correzione e entro un mese per gli incidenti.

Gestione di più regimi di notifica

Un fabbricante soggetto sia a NIS2 sia al CRA può trovarsi a gestire più regimi di notifica paralleli per lo stesso evento, a cui si aggiunge il GDPR con la notifica al Garante entro 72 ore in caso di violazione di dati personali. A livello europeo si discute di un punto di accesso unico per ridurre le duplicazioni, ma le soglie, i contenuti e le scadenze rimarrebbero distinti.

Dalla compliance documentale alla dimostrabilità

Le due norme non si accontentano di policy ben scritte o di manuali archiviati. Contano le evidenze oggettive:

    • Log di sistema immutabili
    • Registri delle vulnerabilità censite
    • Test d’impatto e di ripristino (disaster recovery)
    • Verbali delle decisioni del vertice

Un processo di notifica o un piano di continuità mai esercitato tramite simulazioni sul campo è considerato inesistente. Il cambiamento è culturale prima ancora che tecnologico.

Unicità contro la moltiplicazione dei framework

Le imprese devono affrontare NIS2, CRA, DORA (per il settore finanziario), GDPR e il recente AI Act. Gestirli uno alla volta genera duplicazioni di costi, inefficienze operative e contraddizioni pericolose.

La risposta più intelligente ed efficiente è la creazione di un unico sistema integrato di controlli, capace di:

    • Raccogliere e correlare le evidenze richieste da tutte le normative
    • Automatizzare le notifiche verso i diversi canali (CSIRT nazionale, ENISA, Garante)
    • Fornire reportistica unificata per il consiglio di amministrazione e per gli auditor esterni
    • Gestire la filiera con contratti standardizzati che includano dichiarazioni di conformità CRA e requisiti NIS2

Solo con un approccio trasversale le aziende potranno trasformare la cybersecurity da semplice obbligo normativo a vero driver di resilienza operativa e competitività sul mercato.