Michael Aim
Tre norme, gli stessi team
L'Europa ha costruito la propria ciber-resilienza in tre blocchi. NIS2 riguarda le entità essenziali e importanti di diciotto settori critici: è una direttiva, quindi richiede un recepimento nazionale, e la versione francese si fa attendere al punto che la Commissione ha deferito la Francia alla Corte di giustizia il 9 luglio. DORA riguarda le entità finanziarie, banche, assicurazioni, società di gestione: è un regolamento, applicabile direttamente dal 17 gennaio 2025, vigilato in Francia dall'ACPR. Il CRA riguarda i prodotti: qualsiasi hardware o software con elementi digitali immesso sul mercato europeo, con una prima scadenza vincolante l'11 settembre 2026, la notifica delle vulnerabilità attivamente sfruttate, e la Commissione ne ha appena pubblicato la prima guida applicativa.
Visti da Bruxelles, tre perimetri distinti. Visti dall'interno di un gruppo, le stesse persone: il CISO, il team conformità, la direzione rischi, spesso gli stessi fornitori. Una banca che sviluppa applicazioni proprie rientra in DORA per il proprio dispositivo, nel CRA per i propri prodotti, e il suo gruppo può contare filiali soggette a NIS2. Il testo prevede peraltro il coordinamento: per le entità finanziarie, DORA prevale su NIS2, in quanto normativa settoriale specifica. Resta però da capire con precisione chi, nel gruppo, rientra in cosa.
Ciò che le tre norme chiedono in comune
Al netto del vocabolario proprio di ciascuna, le tre norme richiedono lo stesso nucleo. Una governance nominata: gli organi di direzione sono responsabili, personalmente in NIS2 e DORA, dell'approvazione e della supervisione del dispositivo. Una gestione dei rischi ICT documentata: identificare gli asset, valutare le minacce, correggere gli scostamenti. Un processo per gli incidenti: rilevare, qualificare, notificare, trarre le lezioni. E un controllo dei fornitori terzi: la catena di approvvigionamento in NIS2, il registro dei fornitori ICT in DORA, consegnato ai supervisori dall'aprile 2025, la catena dei componenti nel CRA.
Le differenze reali riguardano le scadenze e i canali. Un incidente rilevante si notifica all'ANSSI sotto NIS2 (allerta precoce entro 24 ore, notifica entro 72 ore), al supervisore finanziario sotto DORA secondo i propri modelli armonizzati, all'ENISA sotto il CRA per una vulnerabilità di prodotto attivamente sfruttata, entro 24 ore. Tre moduli, tre orologi, un solo incidente reale.
La trappola dei tre percorsi paralleli
La gestione a compartimenti stagni produce qui i suoi danni più concreti. Tre progetti di conformità costruiscono tre inventari di asset che divergono, tre mappature di rischio su scale incompatibili, tre procedure di notifica di cui nessuno sa quale si applichi alle due del mattino quando l'incidente è reale e i tre orologi corrono contemporaneamente.
È il test che non perdona: un incidente rilevante presso un operatore finanziario che sviluppa software può far scattare simultaneamente una notifica DORA al supervisore e una notifica CRA all'ENISA, mentre le filiali del gruppo si interrogano sui propri obblighi NIS2. Le organizzazioni che hanno provato questo scenario su un dispositivo unificato lo affrontano; le altre lo scoprono subendolo.
Un nucleo misurato, tre viste normative
La risposta metodologica è quella che descrivevamo per lo stratificarsi normativo in generale: separare il nucleo, che si misura una sola volta, dalle viste normative, che si declinano per norma. Una diagnosi di maturità di ciber-resilienza valuta le capacità comuni, governance, rischi, incidenti, fornitori terzi, test, su una scala omogenea; ogni criterio è collegato alle norme a cui serve, e le tre conformità si leggono come tre proiezioni della stessa fotografia iniziale.
Questo incrocio rende visibili le sinergie utili: un processo di gestione degli incidenti unificato, con le sue soglie di qualificazione e il suo elenco di canali, fa avanzare le tre norme in un colpo solo. Un registro dei fornitori terzi ben costruito serve DORA oggi e la catena di approvvigionamento NIS2 domani. E un linguaggio del rischio comune, quello di ISO 27005 ad esempio, evita che ogni norma reinventi la propria scala di gravità.
Da dove iniziare prima dell'11 settembre
La scadenza CRA dell'11 settembre è l'occasione giusta, perché è vicina, vincolante e operativa. Tre passi in ordine: chiarire chi, nel gruppo, rientra in quale norma, entità per entità e prodotto per prodotto. Unificare il processo di notifica, un'unica procedura interna, tre canali di uscita, responsabili nominati e reperibili. Poi misurare la maturità del nucleo e trasformare gli scostamenti in un piano d'azione con scadenze, dando priorità a ciò che serve le tre norme contemporaneamente.
Il calendario non si fermerà qui: gli obblighi principali del CRA arrivano a dicembre 2027, la legge francese sulla Resilienza finirà per essere approvata, DORA continua a innalzare le richieste sui test. Le organizzazioni che governano questo trio da un'unica diagnosi assorbiranno ogni nuovo gradino. Le altre ricominceranno un percorso a ogni scadenza.