NIST porta l'AI dentro l'analisi del Cybersecurity Framework 2.0
Cosa è cambiato
NIST ha pubblicato la bozza iniziale (Initial Public Draft) della Special Publication 1353, una quick-start guide che illustra modi pratici e concreti in cui l'AI e prompt strutturati possono supportare l'analisi, la pianificazione, l'implementazione e il monitoraggio degli obiettivi del Cybersecurity Framework 2.0.
Perché conta
L'AI entra in un workflow formale di governance e valutazione della cybersecurity, non solo in un uso generico di produttività — con la richiesta esplicita di validare manualmente ogni output e di proteggere i dati organizzativi condivisi con il modello.
L'introduzione di prompt strutturati per artefatti CSF non elimina il giudizio umano nel processo di assessment — lo sposta a valle, dalla produzione del documento alla sua validazione. È un compito diverso, non necessariamente più semplice da presidiare — una lettura manageriale ESL, non una conclusione formulata da NIST.
Cosa osservare
Altri segnali
AI Act: il rinvio high-risk non rinvia la governance
Dal 2 agosto 2026 l'AI Act è nella fase generale di applicazione. L'AI Omnibus, Regolamento (UE) 2026/1744, entrato in vigore il 27 luglio 2026, ha esteso le scadenze high-risk: 2 dicembre 2027 per i sistemi standalone dell'Allegato III, 2 agosto 2028 per i sistemi incorporati in prodotti già coperti dalla normativa di sicurezza di prodotto (Allegato I). Restano operative le disposizioni già applicabili, incluse quelle di trasparenza dell'art. 50 e gli obblighi GPAI.
AI Act: obblighi di trasparenza operativi dal 2 agosto 2026
La Commissione europea ha avviato l'applicazione delle regole di trasparenza dell'AI Act: i sistemi generativi devono segnalare i contenuti generati o alterati dall'AI con marcature leggibili da macchina, non solo dichiararlo nei termini di servizio.
Il controllo degli accessi si sposta dentro il database
NIST ha pubblicato l'Internal Report 8611, "m-NGAC: Transcending Traditional Database Security Models", che descrive un'implementazione del Next Generation Access Control embedded direttamente nel database, con applicazione della policy a livello di riga, colonna e campo, indipendentemente dallo strumento con cui il dato viene interrogato.