Per anni, nelle riunioni dei vertici aziendali, la sicurezza informatica è comparsa soprattutto sotto forma di costo. Licenze, consulenze, sistemi di monitoraggio, test di vulnerabilità: investimenti difficili da collegare direttamente ai ricavi e spesso approvati soltanto dopo un incidente o una richiesta del regolatore. Il responsabile della cybersecurity veniva chiamato quando qualcosa smetteva di funzionare, quando un dipendente apriva un allegato malevolo o quando un cliente chiedeva garanzie sulla protezione dei propri dati.
Quel modello non regge più. Le imprese dipendono da infrastrutture cloud, piattaforme esterne, software distribuiti lungo catene di fornitura internazionali e sistemi di intelligenza artificiale che elaborano informazioni strategiche. Un’interruzione informatica non riguarda più soltanto il reparto IT: può bloccare una linea produttiva, compromettere una fusione, ritardare il lancio di un prodotto, impedire l’accesso ai servizi o rendere impossibile rispettare un contratto.
In questo scenario, il Chief Information Security Officer — il CISO — sta diventando una figura diversa. Non il dirigente incaricato di dire sempre “no”, ma il professionista che deve spiegare quali rischi l’azienda può assumere, quali deve ridurre e quali renderebbero un progetto economicamente o giuridicamente insostenibile.
LA SICUREZZA CAMBIA QUANDO IL RISCHIO INFORMATICO DIVENTA RISCHIO D’IMPRESA
La trasformazione più importante non riguarda gli strumenti utilizzati, ma il linguaggio. Un CISO che comunica soltanto attraverso vulnerabilità, punteggi tecnici e numero di attacchi bloccati difficilmente può orientare le scelte del consiglio di amministrazione. I vertici devono conoscere l’impatto potenziale di una minaccia sulla continuità operativa, sui ricavi, sulla reputazione, sui rapporti con i clienti e sulla responsabilità degli amministratori.
È la stessa direzione indicata dal National Institute of Standards and Technology statunitense. Nella revisione del 2025 della serie NIST IR 8286, il rischio cyber viene inserito nei processi generali di enterprise risk management: le informazioni provenienti dai sistemi tecnici devono confluire nei registri complessivi dei rischi aziendali ed essere valutate alla luce degli obiettivi strategici, delle responsabilità fiduciarie e della missione dell’organizzazione. Non basta sapere che esiste una vulnerabilità; occorre comprendere quale attività economica dipenda da essa, quanto costerebbe un’interruzione e quale livello di esposizione l’impresa sia disposta ad accettare.
Questa impostazione modifica anche il modo in cui vengono decisi gli investimenti. Aggiornare un sistema obsoleto può apparire meno urgente dell’acquisto di una nuova piattaforma commerciale. Ma se quel sistema sostiene la produzione, la fatturazione o la gestione dei clienti, il suo blocco può generare conseguenze molto superiori al costo della sostituzione. Il CISO deve quindi tradurre una debolezza tecnica in uno scenario aziendale: ore di fermo, penali contrattuali, perdita di dati, obblighi di notifica, contenzioso e danno reputazionale.
La cybersecurity smette così di essere una collezione di controlli e diventa una disciplina di allocazione delle risorse. Le imprese non possono proteggere ogni componente allo stesso modo. Devono individuare i servizi essenziali, le dipendenze invisibili e i punti nei quali un singolo guasto potrebbe propagarsi lungo tutta l’organizzazione.
IL CASO SOLARWINDS HA MOSTRATO QUANTO POSSA ESSERE SOTTILE IL CONFINE TRA SICUREZZA E COMUNICAZIONE SOCIETARIA
L’evoluzione del ruolo del CISO emerge con particolare evidenza dal caso SolarWinds. L’attacco alla supply chain dell’azienda statunitense, scoperto nel 2020, consentì agli aggressori di compromettere gli aggiornamenti del software Orion e di raggiungere numerosi clienti pubblici e privati. Il caso non rimase confinato alla risposta tecnica: aprì un confronto sulla correttezza delle informazioni fornite al mercato, sull’efficacia dei controlli interni e sulla responsabilità personale dei dirigenti.
Nel 2023 la Securities and Exchange Commission citò in giudizio SolarWinds e il suo CISO, Timothy Brown, contestando dichiarazioni e comunicazioni sulla postura di sicurezza dell’azienda. Nel luglio 2024 il giudice federale respinse gran parte delle accuse, lasciando aperta una contestazione relativa all’accuratezza di una dichiarazione pubblica sulla sicurezza. La vicenda non ha quindi stabilito una responsabilità generale del CISO per ogni attacco subito, ma ha mostrato che la descrizione dei controlli informatici può diventare materia di vigilanza societaria e di mercato.
La lezione è più ampia del singolo procedimento. Quando la sicurezza viene presentata agli investitori, ai clienti o alle autorità, le dichiarazioni devono essere coerenti con la situazione effettiva dell’organizzazione. Definire un sistema “sicuro”, “robusto” o “conforme” non è più un’operazione puramente commerciale. Può produrre conseguenze legali qualora la rappresentazione fornita non corrisponda ai controlli realmente implementati.
Per questo il CISO deve partecipare non soltanto alle decisioni tecniche, ma anche ai processi di disclosure, alla gestione delle crisi, alla due diligence e alla revisione dei contratti. Un incidente cyber può trasformarsi rapidamente in un problema di comunicazione finanziaria, responsabilità amministrativa, protezione dei dati o adempimento contrattuale.
IN EUROPA LA CYBERSECURITY È ARRIVATA FORMALMENTE NEL CONSIGLIO DI AMMINISTRAZIONE
Nell’Unione europea, questo passaggio non è più soltanto organizzativo. È diventato normativo. L’articolo 20 della direttiva NIS2 impone agli organi di amministrazione dei soggetti essenziali e importanti di approvare le misure di gestione del rischio cyber, vigilare sulla loro attuazione e poter essere chiamati a rispondere delle violazioni secondo le regole nazionali applicabili. Gli stessi componenti degli organi direttivi devono ricevere una formazione adeguata, così da poter comprendere i rischi e valutarne l’impatto sui servizi forniti.
La direttiva richiede un approccio che comprende gestione degli incidenti, continuità operativa, backup, disaster recovery, sicurezza della catena di fornitura, controllo degli accessi, crittografia, formazione e verifica dell’efficacia delle misure adottate. Non si tratta quindi di installare un prodotto o di superare periodicamente un audit, ma di costruire un sistema documentato e proporzionato alla dimensione, all’esposizione e al possibile impatto sociale ed economico dell’organizzazione.
L’Italia ha recepito la NIS2 con il decreto legislativo 4 settembre 2024, n. 138, attribuendo un ruolo centrale all’Agenzia per la cybersicurezza nazionale. Il nuovo quadro estende gli obblighi a una platea molto più ampia rispetto alla precedente disciplina e rende la governance una componente essenziale della conformità, non un elemento accessorio affidato esclusivamente ai tecnici.
Nel settore finanziario, il regolamento DORA compie un passo analogo. L’organo di gestione deve definire, approvare e sorvegliare il quadro di gestione del rischio ICT, stabilire il livello di tolleranza al rischio e assumersi la responsabilità complessiva della strategia di resilienza operativa digitale. I componenti devono inoltre mantenere aggiornate competenze sufficienti per comprendere il rischio tecnologico e il suo impatto sulle attività dell’impresa.
Il CISO diventa così il punto di collegamento tra competenza tecnica e responsabilità dell’organo amministrativo. Non sostituisce il consiglio di amministrazione e non può assorbire da solo ogni responsabilità. Deve però fornire informazioni comprensibili, complete e tempestive, affinché le decisioni siano realmente consapevoli.
L’INTELLIGENZA ARTIFICIALE STA CREANDO UN NUOVO TERRENO DI CONFLITTO INTERNO
La diffusione dell’intelligenza artificiale generativa rende questa funzione ancora più delicata. Molte aziende stanno introducendo assistenti, agenti autonomi e strumenti di analisi senza conoscere pienamente quali dati vengano utilizzati, dove siano elaborati o quali soggetti terzi possano accedervi. Spesso l’adozione avviene direttamente nei reparti operativi, al di fuori dei processi di approvazione dell’IT: è il fenomeno della shadow AI, evoluzione della già nota shadow IT.
Il rapporto IBM “Cost of a Data Breach 2025”, basato sull’analisi di 600 organizzazioni colpite da violazioni in 17 settori, stima in 4,4 milioni di dollari il costo medio globale di un data breach. Il 63% delle organizzazioni considerate non disponeva di politiche di governance dell’intelligenza artificiale, mentre il 97% di quelle che avevano segnalato un incidente collegato all’AI non aveva adeguati controlli di accesso. Lo stesso rapporto rileva tuttavia un risparmio medio di 1,9 milioni di dollari per le organizzazioni che utilizzano estensivamente l’AI nelle attività di sicurezza.
Il dato evidenzia una contraddizione soltanto apparente. L’intelligenza artificiale può accelerare il rilevamento delle minacce, automatizzare l’analisi degli eventi e supportare la risposta agli incidenti. Ma, quando viene implementata senza inventario, controllo degli accessi e responsabilità definite, crea nuovi punti di esposizione.
Il compito del CISO non può consistere nel vietare ogni strumento. Un divieto generalizzato spingerebbe i dipendenti verso servizi non autorizzati e renderebbe l’uso dell’AI ancora meno visibile. La strategia più efficace è costruire percorsi approvati: classificare i dati che possono essere utilizzati, selezionare i fornitori, definire le condizioni contrattuali, registrare gli accessi, verificare i modelli e stabilire procedure per gli incidenti.
La sicurezza diventa così un fattore abilitante. Un’azienda che conosce i propri dati e le proprie dipendenze può adottare l’intelligenza artificiale più velocemente di un concorrente costretto a ricostruire ogni volta da zero le condizioni di utilizzo.
LA SUPPLY CHAIN È IL LUOGO IN CUI LA SICUREZZA INCONTRA CONTRATTI E STRATEGIA INDUSTRIALE
Poche imprese controllano direttamente l’intera infrastruttura digitale sulla quale operano. Il cloud, i servizi gestiti, i software-as-a-service e le piattaforme di pagamento hanno trasferito all’esterno una parte crescente delle funzioni aziendali. L’esternalizzazione del servizio, tuttavia, non elimina il rischio: lo redistribuisce.
La NIS2 considera espressamente la sicurezza della catena di fornitura e invita le organizzazioni a valutare le pratiche dei fornitori, le procedure di sviluppo sicuro e la resilienza dei servizi acquistati. La direttiva riconosce inoltre che gli stessi fornitori di servizi di sicurezza gestiti possono diventare bersagli particolarmente rilevanti, proprio perché profondamente integrati nelle reti dei clienti.
Qui il CISO deve lavorare con acquisti, funzione legale e direzione finanziaria. Un contratto tecnologico non può essere valutato soltanto sulla base del prezzo e delle funzionalità. Occorre definire tempi di notifica degli incidenti, diritto di audit, gestione delle vulnerabilità, localizzazione dei dati, subfornitori, livelli di servizio, portabilità e procedure di uscita.
La crescita aziendale dipende anche dalla capacità di cambiare fornitore senza perdere dati o interrompere servizi essenziali. Un’impresa fortemente dipendente da una piattaforma, ma priva di un piano di migrazione, non dispone di una vera resilienza: possiede soltanto una continuità temporaneamente concessa dal proprio fornitore.
IL CISO CHE BLOCCA TUTTO È INEFFICACE. QUELLO CHE APPROVA TUTTO È PERICOLOSO
La nuova centralità della funzione comporta anche un rischio organizzativo. Nel tentativo di diventare “business partner”, il responsabile della sicurezza potrebbe essere spinto a ridurre la propria indipendenza o ad approvare iniziative prive di controlli adeguati. Al contrario, una funzione percepita come ostacolo sistematico verrà aggirata dai reparti, generando progetti invisibili e soluzioni non autorizzate.
L’equilibrio passa attraverso criteri trasparenti. Il CISO dovrebbe poter indicare quali condizioni rendono accettabile un progetto, quali misure compensative siano necessarie e quali rischi residui debbano essere formalmente accettati dal livello decisionale competente. La scelta finale non può essere nascosta dietro una valutazione tecnica: quando il rischio coinvolge obiettivi aziendali, investimenti o continuità operativa, deve emergere chiaramente chi lo ha assunto e sulla base di quali informazioni.
Anche la qualità degli indicatori è decisiva. Il numero di tentativi di attacco bloccati può essere impressionante, ma dice poco sulla resilienza dell’impresa. Sono più utili dati come il tempo necessario per isolare un sistema compromesso, la percentuale di servizi critici coperti da piani di continuità testati, la capacità di ripristinare i dati, la dipendenza da fornitori strategici o il tempo richiesto per correggere le vulnerabilità più rilevanti.
Il World Economic Forum descrive il panorama del 2026 come caratterizzato da accelerazione tecnologica, instabilità geopolitica e crescente complessità delle filiere. Incidenti avvenuti nel commercio, nella manifattura, nell’aviazione e nei sistemi pubblici hanno mostrato come un problema locale possa propagarsi rapidamente attraverso ecosistemi digitali interconnessi. In questo contesto, la cybersecurity non è più una funzione di supporto, ma una componente della strategia economica e industriale.
LA CRESCITA PIÙ SOLIDA SARÀ QUELLA PROGETTATA PER SOPRAVVIVERE AGLI INCIDENTI
Il CISO del prossimo futuro non sarà giudicato soltanto per l’assenza di attacchi, un obiettivo impossibile in qualsiasi organizzazione complessa. Sarà valutato per la capacità dell’impresa di continuare a operare quando un attacco avviene, di prendere decisioni informate e di recuperare senza perdere il controllo della crisi.
Questo richiederà competenze più ampie: tecnologia, diritto, gestione del rischio, comunicazione, economia aziendale e comprensione dei processi industriali. Le organizzazioni dovranno garantire al CISO accesso ai vertici, autonomia sufficiente e informazioni provenienti da tutte le funzioni rilevanti. Affidargli responsabilità crescenti senza risorse, budget o potere decisionale significherebbe creare soltanto un capro espiatorio più qualificato.
La vera maturità non consiste nel promettere che nulla accadrà. Consiste nel sapere quali attività non possono fermarsi, quali dati non possono essere persi, quali dipendenze possono diventare critiche e quanto rischio l’organizzazione è davvero disposta ad assumere.
Quando queste domande entrano stabilmente nelle decisioni sugli investimenti, sui fornitori, sull’intelligenza artificiale e sull’espansione dei servizi, la cybersecurity smette di essere il prezzo inevitabile della digitalizzazione. Diventa una delle condizioni che permettono all’impresa di crescere senza perdere, insieme ai dati, anche la propria capacità di decidere.
A cura degli studenti sotto la Facoltà di Giurisprudenza e Ingegneria Informatica
NOTE E RIFERIMENTI
-
National Institute of Standards and Technology, Integrating Cybersecurity and Enterprise Risk Management (ERM), NIST IR 8286 Rev. 1, dicembre 2025.
-
National Institute of Standards and Technology, Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight, NIST IR 8286C Rev. 1, dicembre 2025.
-
Unione europea, Direttiva (UE) 2022/2555, articoli 20 e 21, relativa a misure per un livello comune elevato di cibersicurezza nell’Unione.
-
Decreto legislativo 4 settembre 2024, n. 138, recepimento italiano della direttiva NIS2.
-
Unione europea, Regolamento (UE) 2022/2554 sulla resilienza operativa digitale del settore finanziario, DORA.
-
ENISA, ENISA Threat Landscape 2025, analisi di 4.875 incidenti rilevati tra luglio 2024 e giugno 2025.
-
IBM Security e Ponemon Institute, Cost of a Data Breach Report 2025.
-
World Economic Forum, Global Cybersecurity Outlook 2026, gennaio 2026.
-
SolarWinds Corporation, comunicazioni societarie relative al procedimento avviato dalla Securities and Exchange Commission contro la società e il suo CISO.
