Mentre Washington smantella la compliance, NIS2 e DORA scaricano sulla governance europea il rischio di un'asimmetria che nessuno ha previsto
Due continenti, due direzioni opposte
Sette pagine. Tanto basta alla nuova strategia cyber statunitense per ribaltare un paradigma. Dove la precedente amministrazione aveva costruito un impianto di trentanove pagine orientato alla regolamentazione e alla protezione delle infrastrutture critiche, il nuovo documento sceglie un registro diverso: meno compliance, più deterrenza offensiva, alleggerimento normativo per il settore privato. Bruce Jenkins, CISO di Black Duck, la definisce una dichiarazione di postura, non un playbook operativo. Dave Gerry, CEO di Bugcrowd, osserva che al documento manca la specificità necessaria per tradursi in decisioni concrete. Il punto non è se la strategia funzionerà per gli Stati Uniti. Il punto è cosa produce per chi sta dall'altra parte dell'Atlantico. L'Europa, nello stesso momento, accelera nella direzione opposta: obblighi crescenti, responsabilità estese, vigilanza sulla catena di fornitura. Due vettori divergenti che insistono sulla stessa infrastruttura digitale globale. Non è un problema di politica estera. È un problema di governance operativa che si materializza nei contratti, nei fornitori, nelle dipendenze tecnologiche che il vostro board approva ogni trimestre.
Quando il fornitore non gioca più con le vostre regole
Per le organizzazioni europee con supply chain che attraversano l'Atlantico, e oggi sono la maggioranza, il disallineamento regolatorio si traduce in un problema di budget, di responsabilità e di continuità. Se i vostri fornitori tecnologici statunitensi operano in un regime dove la compliance è percepita come un peso da ridurre, la distanza tra i loro standard operativi e i vostri obblighi normativi si allarga. Questa distanza non è astratta: si misura in clausole contrattuali che non reggono più, in audit che restituiscono meno garanzie, in rischi residui che nessuno ha quantificato. La responsabilità di colmare quel gap non ricade sul fornitore americano. Ricade su di voi. Le scelte di vendor management, la due diligence sulla supply chain, l'allocazione del budget di sicurezza diventano più complesse e più costose. Non perché le vostre regole siano cambiate, ma perché l'ecosistema in cui operate ha cambiato le sue. Il rischio non è che Washington riscriva le vostre norme. È che i vostri partner americani non siano più allineati ad esse.
Il gap di accountability che il board non può delegare
La frizione reale è strutturale. L'Europa impone responsabilità crescenti sulla sicurezza della catena di approvvigionamento. Gli Stati Uniti alleggeriscono i vincoli sui propri operatori economici. Il risultato è un'asimmetria di accountability che attraversa ogni rapporto di fornitura transatlantico. Chi si assume la responsabilità del rischio residuo generato da una supply chain regolata in modo disomogeneo? Il CISO europeo si trova nella posizione di dover garantire conformità in un ecosistema dove una parte dei fornitori potrebbe progressivamente ridurre i propri investimenti in compliance. Non per negligenza, ma per allineamento a una politica nazionale che li incoraggia a farlo. Questa non è una tensione che si risolve con un aggiornamento delle policy interne. È una questione di governo del rischio che richiede una presa di posizione esplicita da parte del consiglio di amministrazione. Il board europeo non può trattare il disallineamento regolatorio come un problema tecnico da delegare alla funzione sicurezza. È un rischio strategico che tocca la continuità operativa, la postura regolatoria e la credibilità verso gli stakeholder.
NIS2 e DORA: l'obbligo europeo che diventa più oneroso
Il quadro normativo europeo non lascia margini di ambiguità. La Direttiva NIS2 (2022/2555), all'articolo 21, impone alle organizzazioni soggette di adottare misure adeguate per la sicurezza della catena di approvvigionamento, includendo la gestione del rischio derivante dai rapporti con fornitori e prestatori di servizi. Il Regolamento DORA (2022/2554), nel Capo V, disciplina in modo dettagliato il rischio ICT derivante da fornitori terzi, con obblighi di due diligence, monitoraggio continuo e valutazione del livello di concentrazione. In un contesto in cui i fornitori statunitensi operano sotto vincoli stabili o crescenti, questi obblighi sono gestibili. In un contesto di deregolamentazione progressiva, diventano più critici e più costosi da soddisfare. Non si tratta di una violazione in atto: nessuna norma europea è stata infranta dal cambio di postura americano. Si tratta di un rischio emergente che altera il calcolo della due diligence e rende più gravosa la dimostrazione di conformità. Il collegamento non è diretto, ma l'effetto asimmetria è reale e misurabile nei processi di audit e nella documentazione di gestione del rischio di terze parti.
La domanda che manca all'ordine del giorno
Se il vostro principale fornitore tecnologico opera in un Paese che ha appena dichiarato la cybersecurity basata sulla compliance un peso da eliminare, chi nel vostro consiglio di amministrazione si sta occupando di ricalcolare il rischio residuo della vostra supply chain? La domanda non è retorica. È operativa. Riguarda chi firma la valutazione del rischio, chi approva il rinnovo dei contratti di fornitura strategica, chi risponde davanti al regolatore europeo se la catena si spezza in un punto che non avevate monitorato. Ido Geffen, CEO di Novee, sottolinea come il divario tra postura dichiarata e capacità operativa resti il nodo irrisolto di ogni strategia che privilegia la deterrenza sulla struttura. La governance della sicurezza non vive nei documenti strategici di Washington o di Bruxelles. Vive nelle decisioni che il vostro board prende, o non prende, sul rischio che attraversa i confini regolatori. E quel rischio, oggi, ha cambiato forma.
La prossima volta che il board approverà il rinnovo di un contratto con un fornitore tecnologico americano, chiedetevi se la due diligence riflette il mondo di ieri o quello che si sta formando. La risposta potrebbe non essere nelle slide che avete davanti.