THE VIEW - Cybersicurezza: la fiducia è un vantaggio competitivo

Un'impresa non vende soltanto ciò che produce: vende la certezza che domani continuerà a consegnarlo. Per molti anni la sicurezza informatica è stata pensata come una serratura, da installare, pagare e sperare di non usare. Oggi somiglia a una firma in calce a ogni contratto, e il cliente la legge prima ancora del prezzo. Ross Anderson, dell'Università di Cambridge, nel 2001 aveva spiegato perché per tanto tempo non fosse così: l'insicurezza digitale nasce dagli incentivi sbagliati almeno quanto dalle falle tecniche, perché chi potrebbe proteggere un sistema di rado è chi ne paga il fallimento.

L'obiezione più seria viene da Bruxelles. Con l'Omnibus digitale del 19 novembre 2025 la Commissione europea ha riconosciuto che le regole si sono accavallate, fino a imporre cinque notifiche diverse per un solo incidente, e ha proposto uno sportello unico. Gabriele Faggioli, responsabile scientifico dell'Osservatorio sulla cybersecurity del Politecnico di Milano, il 26 febbraio 2026 ha avvertito che la materia rischia di ridursi a «un mero esercizio di adempimento». È un'obiezione fondata. Per una media impresa la sicurezza è fatta di moduli, scadenze e sanzioni, e finché la si vive così resta un costo.

Il costo della conformità si legge in bilancio l'anno stesso; il costo dell'insicurezza si legge nelle quote di mercato, qualche anno dopo.

Nessuna impresa è più un'isola. Chi produce, chi trasporta, chi custodisce i dati, chi fornisce il software vive dentro catene in cui l'anello debole non deve essere il più importante per fermare gli altri. L'ENISA, l'agenzia europea per la cybersicurezza, nel rapporto del 22 settembre 2026 segnala che gli attacchi sfruttano sempre più le dipendenze tra soggetti: un solo ingresso, molte vittime. E l'ingresso, spesso, è banale. Secondo l'Agenzia per la cybersicurezza nazionale, nel 2025 in Italia quattro attacchi su dieci sono partiti da un'e-mail e uno su quattro da credenziali valide, non da una falla sofisticata.

Per questo la sicurezza è diventata un criterio di scelta. Il grande committente, pubblico o privato, risponde della propria resilienza e la pretende dai fornitori; le norme europee, dalla NIS2 al Cyber Resilience Act, che dal dicembre 2027 vale per intero, trasformano la pretesa in obbligo. L'impresa che non sa dimostrare come si protegge non viene colpita dall'attaccante: viene scartata dal cliente, molto prima, con un contratto che non arriva. Chi invece sa raccontare le proprie difese parla una lingua che banche, assicuratori e grandi clienti capiscono, e questo apre mercati.

C'è poi una questione che riguarda il Paese. Se la vulnerabilità viaggia lungo le dipendenze, scegliere da chi si compra la tecnologia è un atto di sicurezza prima ancora che di acquisto: è la Sovranità Tecnologica applicata alla vita quotidiana delle imprese. L'Italia ha cominciato a tradurla in regole, con un decreto dell'aprile 2025 che premia negli appalti strategici le tecnologie di cybersicurezza nazionali, europee e dei Paesi alleati. E sulla resilienza comune i concorrenti possono sedersi allo stesso tavolo senza smettere di competere sul resto: è la Coopetizione, e l'esercitazione nazionale del dicembre 2025, con energia e telecomunicazioni sotto stress, ne è stata una prova.

Resta il fattore che nessun regolamento produce e nessun fornitore vende chiavi in mano: le persone. Una tecnologia difensiva vale quanto la capacità di chi la governa, e nell'indagine ISC2 di dicembre 2025 il 95% dei professionisti intervistati dichiara almeno una lacuna di competenze nella propria squadra. Formare, e trattenere, chi sa leggere un'anomalia prima che diventi un danno è l'investimento meno visibile e più redditizio che un'impresa possa fare.

Credo che spetti ai grandi committenti, che oggi chiedono sicurezza, offrire anche la strada per raggiungerla: standard condivisi, formazione, tempi ragionevoli per le piccole imprese della filiera. Una catena vale quanto il suo anello più debole, e un mercato sceglie le catene.