Da novembre 2025, senza certificazione cyber nessun veicolo nuovo potrà essere venduto in Europa. Il board è pronto a gestire un prerequisito che non ammette deroghe?
Il dato che cambia le regole del gioco
A partire da novembre 2025, per vendere un'automobile nuova nel mercato europeo non basterà rispettare i limiti sulle emissioni. Servirà anche una certificazione di cybersecurity. Il regolamento Euro 7 introduce requisiti obbligatori di sicurezza informatica per tutti i veicoli nuovi: analisi di rischio documentate, mitigazione delle minacce, sviluppo software sicuro lungo l'intero ciclo di vita del prodotto. Il collegamento tecnico è alla UN Regulation No. 155, che disciplina i cybersecurity management systems per l'omologazione dei veicoli. La cybersecurity, quindi, entra per la prima volta dentro una normativa ambientale. Il motivo non è astratto: il problema di fondo, come osserva tra gli altri Liz James, managing security consultant con esperienza diretta nel settore, è garantire l'integrità dei dati sulle emissioni contro la manomissione. E il precedente che ha reso inevitabile questa scelta ha un nome che i board del settore automotive conoscono bene: lo scandalo delle emissioni falsificate che ha travolto l'industria automobilistica europea meno di dieci anni fa. Non si tratta di proteggere le auto dagli hacker. Si tratta di impedire che chi produce i dati sia anche l'unico a garantirne la veridicità.
Da costo di compliance a condizione di accesso al mercato
Il mancato adeguamento a Euro 7 non produce una sanzione amministrativa. Produce un blocco commerciale: nessuna omologazione, nessuna vendita. Per i produttori europei e per chiunque voglia vendere nel mercato UE, la cybersecurity smette di essere una voce di spesa discrezionale e diventa condizione di accesso. Questo cambia radicalmente la posizione della funzione sicurezza all'interno dell'organizzazione. Non è più un centro di costo da giustificare al CFO. È un prerequisito di business continuity e di market access, con impatto diretto su ricavi, catena di fornitura e rapporti con gli investitori. La complessità si moltiplica nella supply chain multi-vendor: ogni fornitore di componenti software deve garantire la propria sicurezza, ma l'integrazione complessiva, e la responsabilità finale verso il regolatore, resta in capo al produttore. In un ecosistema dove decine di fornitori contribuiscono al software di un singolo veicolo, ogni componente è un punto di ingresso potenziale. Ma la firma sull'omologazione è una sola. Questo rende la governance della supply chain un problema di vertice, non un tema da delegare alla funzione acquisti.
Il paradosso del controllato che si controlla
La frizione più profonda è strutturale e non si risolve con un framework documentale. Chi deve certificare l'integrità dei dati sulle emissioni è lo stesso soggetto che ha il massimo incentivo economico a manipolarli. È il paradosso del controllato-controllore, già esploso con conseguenze devastanti nel settore automotive. Euro 7 prova a contenere il rischio chiedendo una dimostrazione documentale di gestione del rischio cyber: risk assessment, processi di sviluppo sicuro, audit trail. Ma la tensione resta intatta. Come si verifica la buona fede di chi si autocertifica, in un ecosistema dove la deviazione tra i dati dichiarati e quelli reali potrebbe nascondere manipolazione e non efficienza? Il regolatore chiede trasparenza a chi ha costruito un intero modello di business sulla proprietà esclusiva dei dati. È una contraddizione che nessun cybersecurity management system può risolvere da solo, perché non è un problema tecnico. È un problema di incentivi, di struttura di governance e di fiducia istituzionale.
Un ecosistema normativo che converge
L'appiglio normativo è diretto. Euro 7 è un regolamento UE vincolante, pubblicato nel 2024, con enforcement operativo da novembre 2025. I requisiti di cybersecurity si agganciano esplicitamente alla UN Regulation No. 155, che definisce gli standard per i sistemi di gestione della cybersecurity necessari all'omologazione dei veicoli. Non è una raccomandazione: è una condizione regolatoria. Sullo sfondo, il quadro si allarga. La direttiva NIS2 include il settore trasporti tra i settori essenziali, imponendo obblighi di sicurezza alla catena di fornitura. Il Cyber Resilience Act spinge nella direzione della sicurezza by design per tutti i prodotti con elementi digitali. Non sono sovrapposizioni casuali: sono convergenze. Per chi siede nel board di un'azienda automotive o di un fornitore di primo livello, il messaggio è che la cybersecurity non è più confinata in un singolo regolamento. È un principio trasversale che attraversa normative ambientali, di sicurezza di prodotto e di resilienza digitale. Ignorare questa convergenza significa trovarsi esposti su più fronti regolatori contemporaneamente, senza un modello di governance capace di reggere l'urto.
La domanda che nessun audit può chiudere
Il vero stress test per i board del settore automotive non è tecnico. Non riguarda la qualità del codice o la robustezza dei firewall. Riguarda il modello di fiducia su cui si regge l'intera architettura regolatoria. Se chi deve certificare la propria integrità è lo stesso soggetto che ha il massimo vantaggio economico nel falsificare i dati, il modello di trust su cui avete costruito la vostra compliance regge davvero? O è solo documentazione che protegge dalla sanzione, non dal rischio? Come osserva Nikhil Gupta, docente di ingegneria meccanica e aerospaziale alla New York University, la sfida non è solo tecnologica ma riguarda la credibilità stessa dei sistemi di verifica. Euro 7 ha il merito di aver posto la domanda giusta. Ma la risposta non può venire da un framework. Deve venire da una scelta di governance: decidere se la cybersecurity è uno strumento di trasparenza reale o un nuovo strato di opacità conforme.
Il regolatore ha smesso di fidarsi dei dati di chi li produce. La vera domanda è se i vostri stakeholder faranno lo stesso, e se il vostro modello di governance è costruito per resistere a quella domanda.