Una poltrona per (la NIS) 2

Il quadro normativo europeo in ambito cyber è complesso, ma persegue in modo coerente l’obiettivo di aumentare il livello generale di sicurezza.

Il motivo? It’s the market, baby: un mercato digitale europeo che non è in grado di presentarsi come sicuro e affidabile non è appetibile per gli operatori e brillerà per esternalità negative.

Basti pensare alla particolare attenzione che è stata posta alla gestione della supply chaine ai percorsi di implementazione della NIS 2 e parenti prossimi, come DORA.

Il fatto è che la NIS 2 è diventata un’occasione emergente per parlare (in modo più o meno sensato, ammettiamolo) di sicurezza cyber. Sia per necessità di dover rispettare una normativa cogente che per adeguarsi e rimanere sul mercato.

Anche perché molti soggetti che non sono destinatari della norma, soprattutto nell’ambito dei servizi ICT, potrebbero trovarsi coinvolti all’interno di una filiera e dunque si troveranno a subire audit di seconda o terza parte o una ricontrattualizzazione dei rapporti con particolare enfasi destinata agli obblighi di gestione della sicurezza.

Quando la complessità è norma, la convergenza è necessaria.

In ragione della complessità regolatoria, ragionare come silos o isole senza tenere conto dell’ecosistema in cui si è inseriti è il presupposto per un fallimento epico.

Ecco dunque che, ad esempio, nella gestione delle filiere i servizi rilevanti devono essere identificati e classificati per capacità di impatto all’interno del multiverso di evenienze della sicurezza cyber.

Basti pensare alle interazioni fra DORA e Data Act per quanto riguarda la contrattualizzazione della catena dei fornitori, o altrimenti alle norme di governance del rischio cyber di terze parti per comprendere la necessità di una governance convergente.

Anche fra più sistemi, o nell’inquadrare correttamente funzioni quali DPO e CISO nelle matrici RACI.

Anche perché il tutto si riverbera sul piano operativo, come quello della notifica degli incidenti che coinvolgono i fornitori al CSIRT Italia, in cui lo stress test e il rischio di fallimento delle procedure (e dei processi) è di chiara evidenza.

Praticamente, nei tavoli di lavoro che coinvolgono questi servizi è inevitabile che si debba riservare un posto – anzi, una poltrona – per la NIS 2 e i suoi principi.

E che questa non sia meramente decorativa.