Le imprese italiane in settori critici devono chiudere sulla piattaforma dell’Agenzia per la cybersicurezza nazionale la categorizzazione di attività e servizi prevista da NIS2.
La Pubblica Amministrazione deve completare la dismissione dei centri dati non conformi verso il Polo Strategico Nazionale.
Due orologi, una sola lancetta: la conformità ha smesso di essere un adempimento e ha una data.
A 6 mesi dall’applicazione piena di NIS2 e DORA, il calendario italiano è diventato certo: elenco dei fornitori rilevanti dovuto entro il 31 maggio, categorizzazione entro il 30 giugno, piena conformità documentabile al 31 ottobre 2026 (Determinazione 155238 dell’Agenzia per la cybersicurezza nazionale, Cybersecurity360, 10 giugno 2026).
Il regolatore non chiede più documenti: misura capacità. E per la prima volta ha date certe entro cui distinguere chi è conforme sulla carta da chi lo è davvero.
La conformità ha smesso di essere un documento
Riavvolgiamo i 6 mesi. NIS2 chiede gestione del rischio della catena di fornitura informatica, supervisione del consiglio di amministrazione con responsabilità personale degli amministratori, notifica degli incidenti con allerta entro 24 ore e segnalazione completa entro 72.
DORA — il Digital Operational Resilience Act per il settore finanziario — chiede mappatura dei sistemi, registro dei contratti con i fornitori terzi, test su scenari di stress. Fin qui, la materia di mille slide.
Il punto di non ritorno è un dettaglio operativo.
L’elenco dei fornitori rilevanti che l’Agenzia per la cybersicurezza nazionale acquisisce non è un allegato volontario: contiene denominazione, codice fiscale, Paese della sede legale e codici di gara di ciascun fornitore, e una volta chiusa la finestra del 30 giugno diventa definitivo.
La due diligence di filiera entra dentro l’adempimento, e il «Paese della sede legale del fornitore» è esattamente il gancio tra conformità e giurisdizione — lo stesso che, sul cloud, ho chiamato l’illusione della residenza.
Chi compila l’elenco «a stima» firma un documento ufficiale, non una dichiarazione interna, e con la firma si espone in proprio.
Che la sostanza conti più della forma non è la tesi di questo numero: è una misura.
Il report NIS360 dell’agenzia europea per la cybersicurezza fotografa una maturità diseguale tra i settori critici — energia e telecomunicazioni avanti, altri indietro — sullo sfondo di 4.875 incidenti registrati tra metà 2024 e metà 2025, con la pubblica amministrazione settore più colpito al 38,2% (ENISA Threat Landscape 2025).
Per la prima volta l’Europa ha lo strumento per dire, settore per settore, chi è pronto e chi no, e l’esercitazione Cyber Europe 2026 è il banco in cui la conformità formale incontra uno scenario reale.
Dal lato opposto del tavolo, la stessa lezione. L’inchiesta di Brian Krebs sul gruppo ransomware The Gentlemen — secondo per numero di vittime nel 2026, oltre 332 dalla metà del 2025 — descrive un modello a ripartizione 90/10 tra affiliato e amministratore che abbassa la barriera di reclutamento e accelera il ritmo degli attacchi contro proprio i soggetti NIS2 e DORA.
L’avversario non si moltiplica per sofisticazione: si moltiplica per incentivo economico
Un soggetto con i registri compilati e il cruscotto verde, ma senza capacità reale di rilevamento e risposta, è esposto a un orologio che corre più veloce del suo calendario d’audit.
E il 30 giugno non è solo NIS2.
Lo stesso giorno il Polo Strategico Nazionale deve completare la dismissione dei centri dati non conformi: oltre 280 amministrazioni coinvolte, con l’obiettivo del PNRR di portare il 75% dei servizi pubblici su cloud sicuro e il 100% dei dati strategici su infrastrutture sovrane (Agenda Digitale, 10 giugno 2026).
Due scadenze, un solo giorno: per l’Italia il 30 giugno 2026 fa convergere conformità cyber e sovranità del cloud in un unico nodo operativo.
Dalla compliance alla sicurezza in tempo reale
Tra l’8 e il 9 giugno l’agenzia statunitense per la cybersicurezza ha inserito nel catalogo delle vulnerabilità attivamente sfruttate quella di LiteLLM (CVE-2026-42271), il gateway open source che instrada le chiamate verso i modelli linguistici, con exploit confermato e concatenabile a esecuzione di codice da remoto.
È la prima volta che un componente di orchestrazione dell’intelligenza artificiale entra in quel catalogo.
Non sapere cosa instrada le chiamate ai modelli è il nuovo non sapere cosa c’è dentro il software.
Chi ha messo in produzione un gateway di questo tipo deve trattarlo come asset critico nel registro DORA e nell’elenco dei fornitori NIS2, non come una libreria tra le tante.
Qui la differenza tra forma e sostanza diventa una scelta di architettura.
Mappare la filiera informatica come un grafo vivo dei fornitori, dei loro Paesi e delle loro dipendenze — aggiornato in continuo, non ricostruito una volta l’anno per l’audit — è un asset di conformità trasferibile: regge la verifica dell’Agenzia oggi e il prossimo strato regolatorio domani.
Una catena di evidenze che attestano di continuo lo stato dei controlli vale più di un raccoglitore di policy aggiornato a ridosso della scadenza.
È la differenza tra avere un orologio e guardare un calendario.
C’è un secondo livello, e indica una direzione.
L’Agenzia ha dichiarato la convergenza verso uno sportello unico per le notifiche di NIS2, DORA, della direttiva sulle entità critiche (CER) e del regolamento sulla protezione dei dati: chi tratta i quattro regimi come compartimenti separati lavora contro la direzione di marcia.
L’elenco dei fornitori del 31 maggio va riconciliato con il registro dei terzi di DORA, e la categorizzazione del 30 giugno tenuta allineata ai contratti reali.
È lavoro che paga due volte — abbassa il costo della prossima notifica e costruisce il dato strutturato su cui le verifiche si appoggeranno.
Critical Note, perché conta. L’obiezione: «abbiamo passato l’audit annuale, il cruscotto è verde, siamo a posto». Due problematiche.
La prima: l’audit certifica un istante, mentre la minaccia è continua, e tra due audit c’è un anno in cui l’elenco fornitori invecchia, le dipendenze cambiano, i gateway si aggiornano.
La seconda, più scomoda: l’Agenzia ora acquisisce dati strutturati e datati — la categorizzazione del 30 giugno, l’elenco del 31 maggio — e su quelli costruirà le verifiche.
La mia riflessione parte da una convinzione: il primo ciclo di controlli non guarderà se il registro esiste, ma se corrisponde alla realtà dei sistemi.
Dove la conformità si ferma alla compilazione, la capacità di reggere un attacco resta non misurata.
Dove la catena di fornitura si ferma al cloud tradizionale, il livello dell’intelligenza artificiale resta un fornitore non mappato.
La responsabilità personale resta una firma su un dato che non corrisponde. Al 30 giugno, tutte e tre le omissioni hanno una data di scadenza.
Il primo metro di una torre che sale
La conformità di oggi è il primo gradino di una torre che continua a salire.
Il Cloud and AI Development Act presentato il 3 giugno introduce quattro livelli di sovranità per il cloud dei settori critici, con criteri — indipendenza da paesi terzi, trasparenza della filiera software, controllo societario europeo — che sono già oggi requisiti sostanziali di NIS2 e DORA.
Gli hyperscaler statunitensi valgono il 70-72% del mercato cloud europeo, e la maggior parte dei carichi pubblici sta al livello più basso, la sola localizzazione.
La distanza dal traguardo del 2028 è enorme, e si percorre solo passando prima dal metro sostanziale di oggi.
C’è anche una tensione da non nascondere: requisiti di sovranità troppo rigidi possono escludere gli stessi clienti critici dai servizi più avanzati che dovrebbero proteggerli (RUSI, 9 giugno 2026).
La sovranità non è autarchia: è la capacità di scegliere da chi dipende, a quali condizioni, con quale possibilità di tornare indietro.
La domanda che ci si deve porre è se i registri sono completi.
È se reggono il primo incidente, e quanti giorni mancano al 30 giugno. Tutto il resto è conformità sulla carta.
