Tre cornici, tre orologi
Un’organizzazione subisce un attacco informatico riconducibile a una matrice ibrida compromette i sistemi, esfiltra dati personali e degrada il servizio essenziale.
Facciamo l’inventario degli obblighi che lo stesso incidente può attivare:
- GDPR: se la violazione riguarda dati personali, la notifica al Garante va effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore (art. 33); se il rischio per gli interessati è elevato, si aggiunge la comunicazione agli interessati (art. 34);
- NIS2 (D.Lgs. 138/2024): per i soggetti che vi rientrano, l’incidente significativo va segnalato al CSIRT Italia secondo la scansione dell’art. 25: pre-notifica entro 24 ore, notifica completa entro 72 ore, relazione finale entro un mese;
- decreto CER (D.Lgs. 134/2024): gli incidenti rilevanti vanno notificati all’autorità settoriale competente (ASC) e al punto di contatto unico (PCU) entro 24 ore dalla conoscenza, con relazione dettagliata entro i successivi 30 giorni.
A queste si possono sommare, a seconda del settore, le discipline speciali: il regolamento DORA per il comparto finanziario, gli obblighi verso le autorità di settore, gli adempimenti verso il mercato per i soggetti quotati.
Tre orologi che corrono a velocità diverse, tre destinatari istituzionali diversi, tre nozioni di “incidente” non coincidenti: ciò che è rilevante per la continuità del servizio può non riguardare dati personali, e viceversa.
La mappa, peraltro, non è nemmeno uniforme dentro il perimetro CER: per i soggetti critici dei settori bancario, delle infrastrutture dei mercati finanziari e delle infrastrutture digitali, il decreto rinvia in larga parte alla disciplina settoriale – DORA e NIS2 in testa – quanto agli obblighi di resilienza e alla vigilanza.
Il risultato è che due soggetti critici di settori diversi possono trovarsi davanti a combinazioni di obblighi sensibilmente differenti.
Una ragione in più, come dirò tra poco, per costruirsi in casa una bussola unica invece di confidare in una semplificazione che non arriverà.
Il rischio dei silos: quando le notifiche si contraddicono
Nella pratica che osservo, la risposta organizzativa a questa stratificazione è quasi sempre la stessa: ogni funzione presidia il proprio adempimento.
La funzione Data Protection scrive al Garante, il Referente CSIRT scrive al CSIRT, chi segue la resilienza scrive all’autorità settoriale.
Tre penne, tre vocabolari, tre ricostruzioni dello stesso evento.
Il problema è che quelle tre ricostruzioni, prima o poi, si incontrano.
Si incontrano nei procedimenti, quando un’autorità acquisisce ciò che è stato dichiarato a un’altra; e si incontrano – è questo il punto che più mi interessa, alla luce della tesi di questa serie – nello spazio informativo. In un contesto di minacce ibride, un aggressore che punta a erodere la fiducia non potrebbe chiedere regalo migliore di un soggetto critico che racconta tre versioni diverse dello stesso attacco.
L’incoerenza tra notifiche non è solo un rischio legale: è materiale narrativo pronto per la disinformazione.
La cascata sanzionatoria di cui ho scritto nel secondo articolo si innesta esattamente qui e ogni contraddizione documentale la alimenta.
Dai tre silos al modello integrato
La soluzione, a mio giudizio, non sta nell’invocare un improbabile testo unico, ma nel costruire in casa ciò che il legislatore non ha unificato.
Quattro elementi mi sembrano essenziali.
Primo: un’unica anagrafe degli scenari di rischio. La valutazione ex art. 13 del decreto CER, l’analisi dei rischi NIS2 e le valutazioni privacy devono attingere allo stesso catalogo di scenari, ciascuna leggendolo con la propria lente. Lo scenario “attacco ibrido con esfiltrazione di dati e degrado del servizio” dovrebbe esistere una volta sola, con tre proiezioni regolatorie, non tre volte in tre documenti che non si parlano.
Il comma 4 dell’art. 13, di cui ho scritto nel terzo contributo, è la copertura giuridica di questa unificazione.
Secondo: una matrice obblighi-autorità-termini. Un documento operativo, aggiornato e testato, che per ciascuna tipologia di incidente dica chi notifica che cosa, a chi, entro quando e con quali contenuti minimi. Sembra banale; nella concitazione delle prime 24 ore, è la differenza tra governare gli orologi e subirli.
Terzo: un processo unico di incident management con viste regolatorie. La ricostruzione dei fatti – timeline, sistemi coinvolti, dati impattati, misure adottate – dovrebbe essere una sola, validata da una regia unica, dalla quale le singole notifiche vengono derivate come estratti coerenti. Nessuna autorità dovrebbe mai leggere un fatto che un’altra autorità non possa ritrovare.
Quarto: una governance delle persone, prima che delle carte. Il comitato resilienza di cui ho scritto nel contributo sul DPO è la sede naturale: la funzione resilienza con la regia, il CISO, il Privacy Lead, il legale, la comunicazione; il DPO in funzione consultiva e di presidio del canale con il Garante. Le tre discipline convergono se, e solo se, convergono le funzioni che le presidiano.
Il dividendo strategico della coerenza
Vale la pena esplicitare il guadagno che questo modello può produrre sul piano della tesi che attraversa la serie.
Un soggetto critico che si presenta alle tre autorità con una ricostruzione unica e coerente non solo riduce il rischio sanzionatorio ma sottrae anche materia prima alla strategia dell’aggressore.
La coerenza documentale è pre-bunking istituzionale: rende più difficile costruire la narrazione del “soggetto critico allo sbando” che l’attacco ibrido punta ad accreditare; e davanti al Garante, una gestione ordinata e cooperativa dell’incidente pesa sulle circostanze ex art. 83 del GDPR – e quindi, in ultima analisi, sulla probabilità e sulla forma di quella pubblicazione ex art. 166 da cui questa serie è partita.
Conclusioni. L’integrazione come vantaggio competitivo
Nella mia prospettiva, la frammentazione normativa che i soggetti critici lamentano – tre discipline, tre autorità, tre orologi – è insieme un onere e un test.
Un test di maturità organizzativa che le autorità, i mercati e, in un senso più profondo, gli stessi aggressori somministrano continuamente.
Solo chi lo supera riesce a trasformare la compliance stratificata in un sistema nervoso unico, capace di reagire a un attacco con una sola voce.
La resilienza, ancora una volta, non è la somma degli adempimenti ma la coerenza che li tiene insieme; quella coerenza che – in un conflitto che si combatte sulla fiducia – è la prima linea di difesa.
