NIS2 incontra il legacy: perché più spesa non significa più resilienza
Cosa è cambiato
NIS Investments 2025 di ENISA raccoglie le risposte di 1.080 professionisti nei settori ad alta criticità. Gli investimenti cyber restano intorno al 9% del budget IT; le difficoltà principali sono vulnerability e patch management (50%), business continuity e disaster recovery (49%) e supply-chain risk management (37%). Il 27% indica legacy e vincoli OT come barriera principale.
Perché conta
La simultaneità delle criticità mostra che il problema non è l'assenza di un singolo controllo, ma la difficoltà di cambiare sistemi, dipendenze e responsabilità senza interrompere il servizio. Sovrapporre strumenti a un'architettura poco modificabile può aumentare visibilità e reporting senza ridurre il rischio residuo.
Il piano NIS2 dovrebbe condividere priorità e budget con la modernizzazione degli asset. Le eccezioni al patching andrebbero trattate come debito di resilienza — esposizione quantificata, owner, controllo compensativo, scadenza e decisione di sostituzione — non come deroghe implicite. Recovery e fallback vanno testati sul servizio, non solo sul server.
Cosa osservare
Altri segnali
NIS2: misure di sicurezza di base operative dal 31 ottobre 2026 per i soggetti già censiti
La Determinazione ACN n. 379907/2025 (19 dicembre 2025) fissa le misure di sicurezza di base — con evidenza documentale — che i soggetti NIS già censiti nel 2025 devono avere operative entro il 31 ottobre 2026.
AI Act: il rinvio high-risk non rinvia la governance
Dal 2 agosto 2026 l'AI Act è nella fase generale di applicazione. L'AI Omnibus, Regolamento (UE) 2026/1744, entrato in vigore il 27 luglio 2026, ha esteso le scadenze high-risk: 2 dicembre 2027 per i sistemi standalone dell'Allegato III, 2 agosto 2028 per i sistemi incorporati in prodotti già coperti dalla normativa di sicurezza di prodotto (Allegato I). Restano operative le disposizioni già applicabili, incluse quelle di trasparenza dell'art. 50 e gli obblighi GPAI.
AI Act: obblighi di trasparenza operativi dal 2 agosto 2026
La Commissione europea ha avviato l'applicazione delle regole di trasparenza dell'AI Act: i sistemi generativi devono segnalare i contenuti generati o alterati dall'AI con marcature leggibili da macchina, non solo dichiararlo nei termini di servizio.