News - 27/08/2026

Le principali novità del quadro regolatorio europeo su Data Governance e digitale, AI, sicurezza informatica, cyber resilience, CER

Sistemi di IA ad alto rischio, Digital Omnibus, Critical Entities Resilience Directive (CER), NIS2 e supply chain, sicurezza informatica e modello 231

Nel corso delle ultime settimane sono intervenuti diversi aggiornamenti nel quadro europeo e nazionale in materia di intelligenza artificiale, cybersecurity e resilienza, con effetti rilevanti sui percorsi di adeguamento già avviati dalle imprese.

Le novità riguardano, in particolare, l’attuazione della Direttiva CER sulla resilienza dei soggetti critici, la gestione della supply chain nell’ambito della NIS2, le prime indicazioni applicative sul Cyber Resilience Act, la modifica del calendario di applicazione dell’AI Act e le indicazioni della Commissione europea sulla classificazione dei sistemi di intelligenza artificiale ad alto rischio.

A questi temi si aggiunge il progressivo rafforzamento del collegamento tra gestione del rischio informatico e sistemi di governance e controllo interno, anche con riferimento ai Modelli di organizzazione, gestione e controllo previsti dal d.lgs. 231/2001. Vediamo di seguito:

1) Direttiva CER

2 NIS2 e supply chain

3) Cyber Resilience Act

4) AI Act: in vigore il Digital Omnibus on AI

5) il progetto di Linee guida della Commissione sui Sistemi di IA ad alto rischio

6) Sicurezza informatica e Modello 231

1) Direttiva CER: dalla protezione delle infrastrutture alla resilienza dell’organizzazione

La Direttiva (UE) 2022/2557 – Critical Entities Resilience Directive (CER), recepita in Italia con il d.lgs. 4 settembre 2024, n. 134, introduce un approccio alla resilienza basato sulla capacità dei soggetti critici di prevenire, attenuare e assorbire gli incidenti, rispondervi e ripristinare le proprie capacità operative.

Il sistema non è pertanto limitato alla protezione materiale delle infrastrutture. Assume rilievo la capacità complessiva dell’organizzazione di assicurare la continuità dei servizi essenziali attraverso l’individuazione delle dipendenze critiche, la valutazione dei rischi, la predisposizione delle misure di resilienza e la definizione delle responsabilità interne.

La disciplina CER deve inoltre essere coordinata con gli altri sistemi normativi applicabili alla medesima organizzazione, a partire dalla NIS2 e, nei settori interessati, dal Regolamento DORA. Il modello che ne deriva richiede una lettura integrata dei rischi fisici, organizzativi, tecnologici e di continuità operativa. (Partecipa)

2) NIS2 e supply chain: confermato l’approccio basato sul rischio

Sul versante NIS2 assume particolare rilievo la gestione della sicurezza della catena di approvvigionamento.

Le indicazioni applicative intervenute nel corso del 2026 confermano un principio rilevante per le imprese: la valutazione non può essere effettuata esclusivamente sulla base delle caratteristiche generali o delle certificazioni possedute dal fornitore, ma deve considerare il rischio derivante dalla specifica fornitura e dalla relazione concreta con il soggetto NIS.

Tra gli elementi da considerare rientrano, in particolare, il livello di accesso ai sistemi informativi e di rete, l’accesso ai dati e alla proprietà intellettuale, l’impatto derivante da una grave interruzione della fornitura, i tempi e i costi necessari per il ripristino e il ruolo assunto dal fornitore nella gestione dei sistemi.

Ne deriva l’esigenza di mappare non soltanto i fornitori, ma anche le dipendenze tecnologiche e operative effettivamente rilevanti, individuando per ciascuna fornitura il relativo livello di rischio. (Agenda Digitale)

3) Cyber Resilience Act: pubblicate le indicazioni della Commissione europea

Il 27 luglio 2026 la Commissione europea ha pubblicato nuove indicazioni operative per l’attuazione del Regolamento (UE) 2024/2847, il Cyber Resilience Act (CRA).

Gli orientamenti affrontano alcuni dei principali problemi applicativi emersi nella fase preparatoria, tra cui l’individuazione dei prodotti rientranti nel campo di applicazione del Regolamento, le soluzioni di elaborazione remota dei dati, il software libero e open source, la nozione di “modifica sostanziale”, la determinazione del periodo di supporto, la valutazione del rischio e gli obblighi di segnalazione.

Il documento contiene numerosi esempi e casi applicativi ed è destinato ad accompagnare imprese e sviluppatori nella progressiva attuazione del nuovo quadro normativo. (Strategia Digitale Europea)

Particolare attenzione deve essere riservata al calendario. Le principali disposizioni del CRA saranno applicabili dall’11 dicembre 2027, ma gli obblighi di segnalazione previsti dall’articolo 14 diventeranno applicabili già dall’11 settembre 2026. Per le imprese interessate si rende quindi necessario verificare sin da ora l’ambito di applicazione del Regolamento, i prodotti coinvolti, i processi di vulnerability management e le procedure interne necessarie per assicurare il rispetto dei nuovi obblighi di reporting. (Strategia Digitale Europea)

4) AI Act: in vigore il Digital Omnibus on AI

Un ulteriore intervento riguarda il calendario di applicazione dell’AI Act.

Nella Gazzetta ufficiale dell’Unione europea del 24 luglio 2026 è stato pubblicato il Regolamento (UE) 2026/1744 dell’8 luglio 2026, cosiddetto “Digital Omnibus on AI”, entrato in vigore il 27 luglio.

Il Regolamento modifica il Regolamento (UE) 2024/1689 e interviene, tra l’altro, sulle scadenze relative ai sistemi di IA ad alto rischio.

In particolare, le disposizioni delle sezioni 1, 2 e 3 del Capo III dell’AI Act si applicheranno dal 2 dicembre 2027 ai sistemi classificati ad alto rischio ai sensi dell’articolo 6, paragrafo 2, e dell’Allegato III e dal 2 agosto 2028 ai sistemi ad alto rischio collegati ai prodotti disciplinati dalla normativa di armonizzazione dell’Unione di cui all’articolo 6, paragrafo 1, e all’Allegato I. (EUR-Lex)

Il differimento non determina tuttavia un rinvio generalizzato dell’AI Act. Restano pertanto da verificare separatamente le disposizioni già applicabili e quelle per le quali il Regolamento 2026/1744 ha modificato il calendario originario.

Per le imprese è quindi opportuno proseguire nella mappatura dei sistemi di IA utilizzati, nell’individuazione del ruolo assunto rispetto a ciascun sistema e nella classificazione dei relativi casi d’uso.

5) il progetto di Linee guida della Commissione sui Sistemi di IA ad alto rischio

Parallelamente alla modifica del calendario, la Commissione europea ha predisposto un progetto di Linee guida sulla classificazione dei sistemi di IA ad alto rischio.

Il documento fornisce indicazioni per l’applicazione dell’articolo 6 dell’AI Act e contiene esempi destinati ad assistere provider, deployer e autorità di vigilanza nella qualificazione dei sistemi.

La verifica deve partire dalla qualificazione dello strumento come “sistema di IA” ai sensi dell’AI Act e dall’individuazione della sua finalità prevista. Occorre successivamente verificare l’eventuale riconducibilità alle due categorie di sistemi ad alto rischio previste dall’articolo 6: sistemi incorporati nei prodotti o componenti di sicurezza disciplinati dalla normativa dell’Allegato I e casi d’uso ricompresi nell’Allegato III. (Strategia Digitale Europea)

La classificazione assume una funzione centrale nell’assetto di AI governance dell’impresa, poiché costituisce il presupposto per determinare gli obblighi applicabili al singolo sistema e le conseguenti responsabilità organizzative.

6) Cybersecurity e Modello 231: il rischio informatico nella governance aziendale

Il quadro delineato da NIS2, CER e CRA conferma una progressiva evoluzione della cybersecurity da materia prevalentemente tecnica a componente della governance aziendale.

La gestione del rischio informatico coinvolge ormai l’attribuzione delle responsabilità, i processi decisionali, la gestione dei fornitori, la continuità operativa, la sicurezza dei prodotti e la capacità dell’organizzazione di documentare le misure adottate.

Questo processo presenta evidenti punti di contatto anche con il sistema previsto dal d.lgs. 231/2001, considerata sia la presenza dei reati informatici nel catalogo dei reati presupposto sia la rilevanza dell’assetto organizzativo e dei controlli adottati dall’ente ai fini della prevenzione del rischio.

Per le organizzazioni soggette a più discipline, l’obiettivo operativo diventa quindi evitare la costruzione di sistemi paralleli e non comunicanti. Risk assessment, responsabilità, procedure, controlli, gestione dei fornitori, incident management, business continuity e flussi informativi possono presentare aree significative di sovrapposizione tra NIS2, CER, CRA, AI Act, GDPR e Modello 231.

In questa prospettiva, gli aggiornamenti intervenuti nelle ultime settimane possono essere utilizzati dalle imprese anche per verificare la coerenza complessiva del proprio sistema di governance e controllo, individuando gli adempimenti specifici richiesti dalle singole normative e, al tempo stesso, le componenti organizzative e di gestione del rischio che possono essere coordinate all’interno di un quadro unitario.

Il percorso di adeguamento assume particolare rilievo nel secondo semestre del 2026, anche in considerazione delle prime scadenze applicative del Cyber Resilience Act, dell’entrata in applicazione di ulteriori disposizioni dell’AI Act e della progressiva implementazione nazionale dei sistemi NIS2 e CER.