Le norme in materia di sicurezza informatica elaborate negli ultimi anni per le più grandi istituzioni europee stanno esercitando pressioni su migliaia di aziende di dimensioni più ridotte affinché rafforzino le proprie difese digitali.
Man mano che le nuove normative , quali la NIS2 e la DORA, si diffondono nei vari settori, anche i fornitori di dimensioni più modeste devono adeguarsi per mantenere i contratti e i clienti, dando vita a una sorta di “effetto a cascata della sicurezza”, in cui la pressione alla conformità esercitata ai livelli più alti rafforza la resilienza dell’intera economia.
Questo è quanto affermano gli esperti di sicurezza informatica e gli analisti del settore di aver osservato in tutta l’UE e nel Regno Unito, una regione che — nonostante le proprie rivalità interne e le tensioni burocratiche — è riuscita negli ultimi anni ad adottare una serie di norme e quadri normativi internazionali nel tentativo di armonizzare i protocolli di sicurezza informatica a livello transfrontaliero.
Sebbene ogni nuova legge o norma possa presentare dei difetti e avere la sua buona dose di detrattori —due terzi dei professionisti del settore informatico citano il crescente volume e la complessità delle normative come uno dei principali ostacoli alla conformità, secondo il Forum economico mondiale — questa legislazione si pone in netto contrasto con gli sforzi più contenuti provenienti dagli Stati Uniti, che (in linea di massima) sono restii alle normative E come rivela questa nuova tendenza a cascata, le imprese che guardano oltre la complessità e danno priorità alla conformità IT ne traggono vantaggi nel lungo periodo.
Gli esperti di sicurezza informatica sottolineano le normative rivolte ai settori critici e varate negli ultimi anni, quali…
- NIS2—Con l’obiettivo di garantire i servizi essenziali e le infrastrutture critiche in tutti gli Stati membri dell’UE, questo aggiornamento della direttiva sulla sicurezza delle reti e dell’informazione (NIS) è stato adottato nel 2023 e recepito nella legislazione nazionale nel 2024.
- DORA — Il Digital Operations Resilience Act, concepito per rafforzare la resilienza degli istituti finanziari, è entrato in vigore nel 2023.
- La legge dell’UE sull’intelligenza artificiale — La prima legge al mondo in materia di intelligenza artificiale è stata adottata nel 2024.
- GDPR—Il Regolamento generale sulla protezione dei dati, considerato la normativa più rigorosa al mondo in materia di protezione dei dati personali, è entrato in vigore nel 2018.
- Progetto di legge britannico sulla sicurezza informatica e la resilienza — Un quadro normativo volto a modernizzare il sostegno alle infrastrutture nazionali critiche e a rafforzare la supervisione dei rischi legati alla catena di approvvigionamento, attualmente all’esame del Parlamento britannico e la cui approvazione è prevista nel corso del 2026.
…che hanno tutte iniziato a produrre un effetto sottile (e talvolta non così sottile) sull’intera catena di approvvigionamento informatica.
L'impatto sta raggiungendo una massa critica e si estende ben oltre i confini dell'Europa: anche le imprese statunitensi e quelle di altri paesi non appartenenti all'UE sono tenute a tenere conto di tali normative quando operano sul mercato europeo.
«Non si tratta solo di un approccio dall’alto verso il basso; è un fenomeno che si propaga a cascata lungo l’intera catena di approvvigionamento», afferma Marc Vael, presidente della sezione belga della CISO Community dell’European Cyber Security Organisation (ECSO), la più grande federazione indipendente pubblico-privata per i responsabili della sicurezza informatica (CISO) in Europa. «Non solo terze parti», aggiunge, «ma anche quarte e quinte parti».
Punti critici: quando le normative in materia di sicurezza informatica diventano più rigorose
Ciascuna delle nuove normative comporta una propria forma di pressione.
«. Non si tratta solo di un approccio dall’alto verso il basso; è un fenomeno che si propaga a cascata lungo l’intera catena di approvvigionamento.» Non solo terze parti, ma anche quarte e quinte parti.”Marc Vael, presidente della sezione belga della Comunità dei CISO dell’Organizzazione europea per la sicurezza informatica (ECSO)
La direttiva NIS2 amplia il campo di applicazione della direttiva originale per includere una gamma più ampia di soggetti essenziali e rilevanti. DORA introduce nel settore dei servizi finanziari rigorosi requisiti in materia di segnalazione degli incidenti ,, , governance e , nonché requisiti relativi ai rischi di terze parti . La legge sull’intelligenza artificiale (AI Act) e la legge sulla protezione dei dati personali ( GDPR ) si spingono ancora oltre, introducendo ulteriori requisiti in materia di trasparenza e responsabilità. Il mancato rispetto delle norme non comporta solo l'applicazione di sanzioni pecuniarie. In molti casi, i membri del consiglio di amministrazione possono essere ritenuti personalmente responsabili, e le organizzazioni rischiano un reale danno alla reputazione o la perdita di affari.
«In pratica, molte aziende iniziano chiedendosi: “Soddisfiamo i requisiti minimi per essere conformi?”» afferma Edwin van den Heuvel, direttore dell’ ServiceNow rchitetto di soluzioni presso Tanium, uno dei principali fornitori mondiali di soluzioni per la sicurezza informatica (nonché editore di questa rivista). «Ricevono una revisione contabile cartacea da un importante consulente e poi si rendono conto di non avere ancora la minima idea di quali siano le risorse fondamentali di cui dispongono». A quanto pare, la resilienza informatica inizia con una visibilità al 100% dei dispositivi connessi alla propria rete. Una volta che sapete cosa state utilizzando, potete iniziare a proteggerlo.
Una volta che le aziende individuano le lacune, iniziano a mappare ciò che è interconnesso, ciò che è fondamentale e ciò che è a rischio, osserva van den Heuvel.
Le normative in materia di sicurezza informatica e la reazione a catena della responsabilità
Tuttavia, le normative non si limitano a incentivare gli audit interni, ma ridefiniscono anche i rapporti con l’esterno.
”La vera domanda è: in che modo i fornitori gestiscono i propri subappaltatori? La sicurezza informatica non riguarda solo la propria casa, ma anche le chiavi che si affidano agli altri.”Sven Hutse, CISO e consulente del CIO, Birkin&Barre
Le aziende soggette a regolamentazione, a loro volta sotto pressione, avanzano richieste sempre più esigenti nei confronti dei propri fornitori. Inviate questionari — a volte brevi, altre volte composti da centinaia di voci — alle caselle di posta elettronica dei partner commerciali in tutti i settori dell’economia. In un dato anno, il CISO di un’azienda di medie dimensioni potrebbe dover rispondere a questionari provenienti da oltre 160 clienti, per un totale di più di 8.000 richieste individuali, secondo le stime di Vael. «È travolgente», afferma. «O fornite una risposta puntuale, oppure pubblicate in modo proattivo sul vostro sito le certificazioni, i risultati degli audit o i documenti del centro di fiducia.»
Osservatori come Vael stanno assistendo sempre più spesso a questo tipo di divulgazione proattiva delle misure di sicurezza informatica, poiché la pressione esercitata dall’alto spinge i partner ad adottare difese più rigorose e una maggiore trasparenza.
I fornitori che non riescono a stare al passo potrebbero vedersi esclusi. E le aspettative non si fermano qui.
«La vera domanda è: in che modo tali fornitori gestiscono i propri subappaltatori?» afferma Sven Hutse, CISO e consulente del CIO presso la società di consulenza Birkin&Barre. «La sicurezza informatica non riguarda solo la propria casa; riguarda le chiavi che si affidano a tutti gli altri.»
Van den Heuvel conferma questa dinamica: «Nel momento in cui, in qualità di fornitore, non si soddisfano i requisiti, vi comunicano semplicemente che il contratto non verrà rinnovato». Tale pressione commerciale fa sì che anche i piccoli fornitori inizino a rispettare gli standard originariamente destinati a settori critici.
Questa spinta verso la responsabilità crea un nuovo tipo di ecosistema digitale, in cui la conformità è contagiosa. Man mano che le grandi aziende impongono standard di sicurezza più elevati a valle, i loro fornitori (e i fornitori dei loro fornitori) iniziano ad adeguarsi. L'effetto ricorda ciò che gli epidemiologi potrebbero definire un a forma di immunità di gregge digitale.
«In tutta Europa si vedono sempre meno aziende con la porta d’ingresso spalancata», afferma Vael. «Cinque anni fa, si trovava sempre qualcosa che non andava. «Ora, è l’eccezione.» Egli incoraggia le organizzazioni a ricorrere all’intelligence open source per verificare l’onestà dei subappaltatori nella compilazione dei questionari menzionati in precedenza.
Il controllo dei fornitori, da SolarWinds ai supermercati
Episodi come l’attacco informatico del 2020 ai danni del fornitore di software SolarWinds, una violazione che ha compromesso la sicurezza di 18.000 organizzazioni, hanno costretto le autorità di regolamentazione e le grandi imprese ad ampliare il controllo sulla catena di approvvigionamento, obbligando le aziende più piccole a rafforzare le proprie difese. Ogni violazione e le sue conseguenze rendono sempre più fitta la rete delle aspettative.
«Nel momento in cui non si soddisfano i requisiti richiesti ai fornitori, vi comunicano semplicemente che non vi rinnoveranno il contratto.»Edwin van den Heuvel, Direttore, ServiceNow Solution Architect, Tanium
E non sono solo le aziende tecnologiche a essere vulnerabili per quanto riguarda le loro catene di approvvigionamento. Van den Heuvel, che opera ad Amsterdam, ricorda un incidente causato dal ransomware presso un’azienda di trasporti olandese che ha bloccato le consegne di formaggio ai supermercati e ha compromesso la rete logistica alimentare dei Paesi Bassi.
«Non avere formaggio sugli scaffali, nei Paesi Bassi, è praticamente un’emergenza nazionale», scherza Van den Heuvel. Ma la lezione, aggiunge, è seria: la resilienza dipende ormai tanto dalla sicurezza informatica dei propri fornitori quanto da quella della propria azienda.
Il caso del formaggio non è un episodio isolato: quest’anno un’ondata di attacchi informatici di tipo “ ” ha colpito le consegne della “catena del freddo” di prodotti deperibili nell’Unione Europea e nel Regno Unito, e gli analisti prevedono che potrebbero presto colpire anche gli Stati Uniti. Questo tipo di incidenti evidenzia la fragilità dei sistemi interconnessi. «Le aziende vogliono garantire la sicurezza, ma dipendono in larga misura da terzi», afferma Vael. «La fiducia deve essere reciproca, sia a monte che a valle .»
Mantenere tale fiducia comporta costi elevati e richiede un notevole impiego di risorse. Le imprese di dimensioni più ridotte rischiano di essere escluse non perché non attribuiscano importanza alla sicurezza, ma perché il costo necessario per dimostrarla è troppo elevato. Hutse riconosce la sfida: «Non tutte le PMI [piccole e medie imprese] dispongono dei mezzi necessari per ottenere la certificazione ISO ISO 27001 », afferma Hutse, riferendosi a uno dei principali standard internazionali per i sistemi di gestione della sicurezza delle informazioni. «Ecco perché la classificazione è importante: livelli diversi di controllo in base al tipo di dati o di accesso in questione.»
In altre parole, in assenza di proporzionalità, la regolamentazione potrebbe rivelarsi controproducente. La legge dell’UE sull’intelligenza artificiale, ad esempio, affronta questo tema attraverso il proprio quadro normativo basato sul rischio che disciplina lo sviluppo, l’implementazione e l’utilizzo dei sistemi di intelligenza artificiale in Europa. (Le norme, che entrano in vigore in più fasi, vengono applicate fino al 2026.) «Se disponete di un sistema di intelligenza artificiale che in qualche modo avrà ripercussioni sull’Europa, dovete tenere conto della legge dell’UE sull’intelligenza artificiale», ha affermato Gretchen Scott, partner specializzata in tecnologia presso lo studio legale Goodwin, in un’intervista pubblicata su con il punto di riferimento dell’ lo scorso anno, quando la legge è stata adottata dal Parlamento europeo. Scott, che opera a Londra, e altri avvocati incoraggiano le imprese a valutare il livello di rischio dei propri sistemi di intelligenza artificiale sulla base dei quattro livelli previsti dal regolamento.
I responsabili della sicurezza possono adottare lo stesso approccio quando esaminano la propria catena di fornitura. La classificazione dei fornitori in base al rischio, come suggerisce Hutse, garantisce che l’ecosistema sia al tempo stesso sicuro e inclusivo.
In definitiva, le aziende si trovano a dover trovare un equilibrio tra due pressioni: il costo dell’implementazione della sicurezza informatica e il costo della perdita di fiducia. «O si investe adesso, oppure si perdono opportunità di business in futuro», afferma Vael.
Le normative in materia di sicurezza informatica e il ruolo degli strumenti
I progressi nel campo della sicurezza informatica, come la gestione autonoma dell’ endpoint , che integra l’automazione con gli strumenti di gestione dell’ endpoint , possono aiutare le aziende a mantenere il controllo su una superficie di attacco in continua espansione. «Non basta un semplice inventario», afferma van den Heuvel, «occorre un inventario “ ” e “ ”, ovvero un inventario in continua evoluzione e costantemente aggiornato».
«Non vi serve semplicemente un inventario, ma un inventario dinamico, qualcosa che venga aggiornato continuamente.»van den Heuvel
Ma nemmeno gli strumenti migliori riescono a prevenire la vulnerabilità più antica che esista: il comportamento umano. Gli esperti esortano le aziende a fornire una formazione e un'istruzione continue in materia di consapevolezza, ma molte imprese non sono all'altezza. «Meno della metà delle aziende dispone di programmi di formazione strutturati in materia di sicurezza informatica», afferma Hutse. «E oltre il 90% degli attacchi riusciti è dovuto a un errore umano. “Ne siamo consapevoli, eppure continuiamo a investire troppo poco nelle persone.”
Van den Heuvel sostiene che i requisiti di segnalazione degli incidenti previsti dal DORA potrebbero modificare tale mentalità, obbligando le organizzazioni a mettere in pratica la collaborazione, anziché limitarsi a prometterla: «Le aziende devono disporre di una procedura che preveda quanto segue: si verifica un incidente, ne valutiamo l’impatto e lo segnaliamo all’esterno». “Ciò consente di avvertire gli altri giocatori.” Quel riflesso di cooperazione, ormai integrato nel DORA, potrebbe rappresentare uno degli effetti a catena più discreti ma al tempo stesso più potenti del regolamento.
Tale consapevolezza deve estendersi fino ai vertici. I consigli di amministrazione stanno iniziando a prestare attenzione alla questione, non solo per via delle normative, ma anche perché ora è in gioco la loro stessa responsabilità. Ciononostante, alcuni dirigenti considerano la conformità come una semplice lista di controllo piuttosto che come un approccio strategico alla gestione del rischio. «Il vero obiettivo non è semplicemente quello di spuntare delle caselle», afferma van den Heuvel. «Si tratta di garantire la resilienza operativa. “Se dovesse verificarsi un problema, con quale rapidità siete in grado di Detect, contenerlo e ripristinare la situazione?”
E con quale rapidità è in grado di informare gli altri? DORA, in particolare, sottolinea la necessità di una rapida segnalazione alle autorità di regolamentazione, ma anche agli operatori del settore. «Se viene colpito, gli altri soggetti del Suo ecosistema meritano un avvertimento», aggiunge van den Heuvel.
Verso un’economia digitale più sicura
Come nel caso della sostenibilità, dove le grandi aziende hanno promosso pratiche più ecologiche all’interno delle proprie reti, anche la sicurezza informatica sta entrando in una fase in cui la responsabilità si estende verso l’esterno. Molte aziende non stanno aspettando che siano le leggi a indicare loro cosa fare. Agiscono in risposta alle pressioni del mercato, al rischio reputazionale e, sì, al buon senso.
«: La sicurezza perfetta non esiste.» Ma le normative, gli audit e la pressione dei colleghi vi inducono a riflettere... E pensare è già metà della battaglia.”Vael
«Molte aziende stanno già adottando misure di propria iniziativa», afferma van den Heuvel. «Per questo non servono né leggi né regolamenti.» Hutse fa lo stesso paragone con la sostenibilità: molte aziende hanno iniziato a ridurre il proprio impatto ambientale molto prima che la normativa le obbligasse a farlo. Lo stesso cambiamento culturale, sostengono, si sta ora verificando nel campo della sicurezza informatica.
«La sicurezza perfetta non esiste», ammette Vael. “Ma le normative, gli audit e la pressione dei colleghi vi inducono a riflettere . In merito a backup, inserimento dei nuovi assunti, formazione, rischi legati a soggetti terzi e continuità operativa. «E riflettere è già metà della battaglia.»
In questo nuovo contesto, non si tratta solo di conformità, ma di fiducia. Abbiate fiducia nel fatto che i vostri fornitori non vi metteranno in difficoltà. Si assicuri che i Suoi strumenti siano aggiornati. Si fidi del fatto che il Suo personale non collegherà un dispositivo compromesso al registratore di cassa. La sicurezza informatica può partire dai vertici, ma non si ferma lì. Si diffonde gradualmente, attraverso moduli, verifiche, contratti e conversazioni, finché anche la più piccola azienda della catena inizia a chiedersi: cosa devo proteggere e in che modo?
Alla fine, il formaggio deve essere consegnato. E nell’economia digitale, ciò significa che tutti contribuiscono a garantire la sicurezza della catena di approvvigionamento.
