LET’S TALK & CONNECT

Il legislatore europeo sta ponendo le aziende di fronte a una contemporaneità di scadenze e adempimenti che richiedono un impegno crescente e, in particolar modo, una capacità di coordinamento tra competenze diverse. NIS2, AI Act e Cyber Resilience Act rappresentano tre tasselli di un quadro normativo sempre più complesso, nel quale gestione del rischio, cybersecurity e intelligenza artificiale, responsabilità e tutela dei dati non possono più essere considerati come ambiti separati. La vera sfida per le organizzazioni consiste nel costruire un sistema di governance capace di mettere in relazione gli obblighi, le responsabilità e i processi aziendali, cambiando la prospettiva e trasformando la compliance da strumento improntato a evitare sanzioni a strumento pensato per la gestione del rischio e protezione del valore aziendale.

Per quanto concerne la NIS2, entro la fine del mese dovrà essere formalizzato, attraverso una specifica delibera del board, il modello organizzativo. Per le strutture soggette alla normativa questo significa arrivare alla scadenza avendo completato una serie di attività: gap analysis, adeguamento e implementazione delle necessarie misure di sicurezza. Un passaggio cruciale è rappresentato anche dall’approvazione da parte del board, che dovrà garantire una precisa tracciabilità di quanto approvato. Ottobre rappresenta quindi il passaggio alla fase di applicazione e mantenimento della norma, infatti, le aziende dovranno essere in grado di gestire nel tempo i processi e le procedure, intervenendo con le necessarie attività di manutenzione. La gestione del rischio e delle vulnerabilità, dunque, non può essere considerata un’attività una tantum, ma deve diventare un processo continuo. In questo scenario rimane centrale la gestione degli incidenti: la notifica entro 24 ore rappresenta uno degli elementi più rilevanti e deve essere coordinata, quando necessario, con gli ulteriori obblighi previsti in materia di data breach, per i quali è previsto il termine di 72 ore. Diventa quindi essenziale disporre di strumenti tecnologici adeguati e di procedure organizzative chiare, ruoli definiti e capacità decisionale tempestiva.

Per quanto riguarda l’AI Act, il punto di partenza per le organizzazioni è condurre un censimento degli utilizzi dell’AI, per arrivare a comprendere realmente come e dove l’intelligenza artificiale viene utilizzata all’interno dell’azienda. Mappare gli strumenti impiegati significa acquisire consapevolezza delle decisioni che l’azienda sta assumendo e verificare se le politiche interne siano effettivamente coerenti con il comportamento reale dei dipendenti. Ad esempio, il divieto generalizzato dell’utilizzo dell’intelligenza artificiale non garantisce che i dipendenti non adottino comunque questi strumenti, potrebbero farlo attraverso dispositivi personali o piattaforme esterne, con il rischio di trasferire informazioni aziendali verso ambienti sui quali l’organizzazione non ha alcun controllo. Una scelta apparentemente prudenziale può quindi trasformarsi, paradossalmente, in un nuovo elemento di rischio. Un’ulteriore fonte di esposizione è rappresentata da fornitori e partner, in particolar modo sotto aspetti come la cybersecurity, la continuità operativa anche in caso di attacco, la gestione delle informazioni e dei dati. Infatti, nel contesto dell’intelligenza artificiale, non è sufficiente verificare se uno strumento funziona dal punto di vista tecnologico: occorre comprendere chi è responsabile delle diverse attività, quali garanzie vengono offerte, quali obblighi sono previsti nei contratti e quali conseguenze possono derivare da un incidente o da un malfunzionamento. Per costruire una governance AI realmente efficace serve una regia comune, è necessario superare una gestione per compartimenti stagni: la componente legale deve dialogare con la componente tecnologica, così come con la cybersecurity, il procurement, la gestione dei dati e l’organizzazione.

Infine, è opportuno far luce sul Cyber Resilience Act, ossia la normativa europea che introduce requisiti di cybersecurity per i prodotti con elementi digitali immessi sul mercato dell’Unione Europea. Il CRA disciplina la sicurezza direttamente all’interno del ciclo di vita del prodotto: dalla progettazione alla produzione, fino alla gestione delle vulnerabilità. In questo senso presenta un legame particolarmente stretto con la NIS2, perché l’acquisto e l’utilizzo di un prodotto non allineato ai requisiti di sicurezza può generare rischi per l’organizzazione e contribuire a creare nuove possibilità di attacco.

Gli obblighi coinvolgono diversi soggetti della catena del prodotto, dando rilevanza alla sicurezza fin dalle fasi iniziali. Infatti, il fabbricante assume una responsabilità centrale perché realizza il prodotto, l’importatore per essere il soggetto che ne determina l’immissione sul mercato europeo e infine il distributore ha il compito di verificare gli elementi di conformità di sua competenza. Si evince quindi che la valutazione dei rischi cyber e la relativa documentazione diventano elementi essenziali.

Il disegno che emerge dalle tre normative è quello di un’evoluzione della compliance europea: non si tratta più soltanto di dimostrare formalmente di avere adottato determinate procedure, ma di costruire organizzazioni capaci di prevenire, individuare e gestire i rischi.

Per le aziende la priorità immediata è quindi completare le attività già richieste e, soprattutto, creare le condizioni organizzative per mantenerle nel tempo. Parallelamente è necessario guardare alle scadenze future, predisponendo per tempo le evidenze, i sistemi di supervisione, i test e le valutazioni d’impatto necessari per affrontare gli obblighi relativi ai sistemi ad alto rischio.

NIS2, AI Act e Cyber Resilience Act impongono nuovi obblighi, ma possono anche rappresentare un’occasione per ripensare i processi aziendali. Conoscere i propri sistemi, sapere dove sono i dati, comprendere le responsabilità dei fornitori, definire i ruoli in caso di incidente e mantenere sotto controllo l’avanzamento delle tecnologie è finalizzato ad aumentare la capacità dell’organizzazione di governare il proprio rischio.

Una compliance efficace, ossia un processo continuo, fatto di monitoraggio, aggiornamento, formazione e coordinamento è l’unico modo per garantire resilienza. In un contesto nel quale le scadenze normative si sovrappongono e la tecnologia evolve rapidamente, tutto questo si trasforma nel vero elemento di competitività e affidabilità per le organizzazioni.

Avv. Valentina Frediani
Founder & CEO, Colin & Partners