Antonio Point of View

3,136 subscribers

2026 e 2027: il digitale non può più essere gestito in modo reattivo

Antonio Ieranò

Information & Cybersecurity Strategist | Digital Sovereignty • AI Governance • Complex Systems | Author, Researcher & Occasional Philosopher | Views stubbornly my own. 🧠

October 8, 2026

Il 2026 si sta confermando come un anno di forte discontinuità per la gestione del digitale. Il 2027 non sarà una pausa, né un ritorno alla normalità: sarà l’anno in cui molte trasformazioni oggi avviate diventeranno ancora più operative, verificabili e difficili da ignorare.

Per anni, in molte organizzazioni, l’informatica è stata trattata come una funzione prevalentemente tecnica. Doveva far funzionare sistemi, applicazioni, reti, dispositivi, fornitori e piattaforme. Doveva garantire continuità, risolvere problemi, aggiornare quando necessario e intervenire quando qualcosa si rompeva.

In molte realtà il principio implicito era semplice: se funziona, non si tocca.

Quel modello oggi non basta più.

La gestione del mondo digitale è in rapida evoluzione non solo dal punto di vista tecnologico, ma anche dal punto di vista normativo. L’Unione europea sta introducendo un insieme sempre più articolato di regolamenti, direttive e obblighi che incidono su dati, sicurezza, intelligenza artificiale, prodotti digitali, tracciabilità, fornitori, supply chain, responsabilità aziendale e tutela degli utenti.

Non si tratta più di singoli adeguamenti isolati. Si tratta di un cambio strutturale nel modo in cui il digitale deve essere progettato, acquistato, governato, documentato e controllato.

Guardando al calendario, il quadro è molto chiaro.

Nel 2026, il primo passaggio rilevante arriva il 18 febbraio con la direttiva e-evidence, che avvia il quadro per agevolare l’accesso transfrontaliero alle prove elettroniche nelle indagini penali. Il regolamento collegato si applica dal 18 agosto 2026. L’impatto riguarda soprattutto prestatori di servizi digitali, cloud provider, hosting provider, piattaforme online, telecomunicazioni e funzioni legali o compliance chiamate a gestire richieste transfrontaliere.

Il 12 giugno 2026 entra in applicazione il Patto europeo su migrazione e asilo. È una normativa rivolta in primo luogo agli Stati e alle amministrazioni pubbliche, ma ha ricadute sui sistemi informativi, sulle banche dati, sulle tecnologie di identificazione, sulle soluzioni biometriche e sui fornitori che operano nell’ambito dei servizi pubblici e della gestione dei processi amministrativi complessi.

Il 2 agosto 2026 l’AI Act entra in una fase centrale di applicazione. L’impatto è molto rilevante per sviluppatori, integratori, aziende che utilizzano sistemi di intelligenza artificiale, funzioni HR, marketing, customer service, legal, compliance, sicurezza e risk management. Non si tratta solo di sapere se si usa “IA”, ma di capire per quali finalità, con quali dati, con quali controlli, con quali rischi e con quali responsabilità.

Il 12 agosto 2026 si applica il nuovo regolamento su imballaggi e rifiuti di imballaggio. Il collegamento con l’informatica è meno diretto, ma l’impatto aziendale può essere significativo per produttori, importatori, retail, e-commerce, logistica e supply chain. Anche qui serviranno dati, rendicontazione, tracciabilità e capacità di coordinamento tra funzioni diverse.

L’11 settembre 2026 scattano gli obblighi di segnalazione del Cyber Resilience Act per vulnerabilità sfruttate attivamente e incidenti gravi nei prodotti con elementi digitali. L’impatto è molto forte per vendor software, produttori hardware, dispositivi IoT, importatori, distributori e aziende che acquistano prodotti digitali. Diventa necessario strutturare vulnerability management, canali di segnalazione, gestione delle patch, documentazione tecnica, rapporti con i clienti e procedure di comunicazione verso le autorità.

Il 12 settembre 2026 il Data Act porta nuovi obblighi legati all’accesso e all’utilizzo dei dati generati da prodotti connessi e servizi digitali. L’impatto riguarda produttori di dispositivi connessi, IoT, automotive, industria, sanità digitale, cloud, SaaS e piattaforme dati. Per le aziende significa interrogarsi su portabilità, accesso ai dati, contratti, interoperabilità, lock-in tecnologico e modelli di business basati sull’informazione.

Il 30 dicembre 2026 entra in applicazione l’EUDR per grandi e medie imprese e per alcuni operatori già coperti dal precedente regolamento legno. Pur non essendo una norma informatica in senso stretto, l’impatto digitale è evidente: dati di filiera, geolocalizzazione, tracciabilità, dichiarazioni di due diligence, gestione dei fornitori e capacità di produrre evidenze. Per molte imprese coinvolte non sarà un tema solo ambientale, ma anche organizzativo e informativo.

Nel 2027 il calendario conferma che non siamo davanti a una parentesi temporanea.

Il 18 febbraio 2027 diventa obbligatorio il passaporto digitale per alcune categorie di batterie. L’impatto riguarda produttori, importatori, automotive, energy storage, elettronica, logistica e filiere industriali. Il tema centrale sarà la capacità di raccogliere, aggiornare, condividere e rendere interoperabili dati tecnici, ambientali e di supply chain.

Il 30 giugno 2027 l’EUDR si estende a molte micro e piccole imprese. Questo passaggio è importante perché porta obblighi di tracciabilità e due diligence anche dentro organizzazioni che spesso non hanno strutture mature di compliance, sistemi informativi evoluti o competenze interne dedicate alla gestione dei dati di filiera.

Il 18 agosto 2027 entrano in applicazione gli obblighi di due diligence nel settore batterie. L’impatto riguarda non solo produttori ed esportatori, ma anche fornitori, filiere industriali, procurement, qualità, sostenibilità e sistemi informativi. Ancora una volta, la conformità passa dalla capacità di gestire dati affidabili lungo la catena del valore.

L’11 dicembre 2027 arriva l’applicazione piena del Cyber Resilience Act. È una delle scadenze più importanti per il mondo digitale. I prodotti con elementi digitali dovranno essere progettati, sviluppati, mantenuti e documentati secondo requisiti di cybersicurezza più stringenti. Per i vendor significa ripensare sviluppo, testing, gestione delle vulnerabilità, aggiornamenti, supporto, documentazione e valutazione di conformità. Per le aziende clienti significa rivedere criteri di acquisto, contratti, requisiti di sicurezza, clausole di responsabilità e processi di gestione dei fornitori tecnologici.

Nel corso del 2027 continuerà inoltre l’attuazione progressiva dell’AI Act, con particolare attenzione ai sistemi ad alto rischio e alla governance operativa dell’intelligenza artificiale. Le organizzazioni dovranno essere in grado di mappare gli usi dell’IA, classificare i rischi, definire controlli, formare il personale, documentare le scelte e verificare l’impatto sui diritti delle persone.

Il punto centrale è che queste norme non riguardano solo gli uffici legali o la compliance.

Riguardano i vendor, che dovranno dimostrare maggiore maturità nella progettazione dei prodotti, nella sicurezza, nella gestione delle vulnerabilità, nella trasparenza, nella documentazione, nella portabilità dei dati, nell’interoperabilità e nel supporto ai clienti.

Riguardano le aziende clienti, che non potranno più acquistare tecnologie limitandosi a verificarne prezzo, funzionalità e tempi di avvio. Sarà sempre più necessario valutare il rischio del fornitore, la gestione dei dati, la continuità del servizio, la sicurezza del prodotto, le responsabilità contrattuali, le modalità di uscita, la localizzazione delle informazioni, gli obblighi di notifica e la capacità di produrre evidenze.

Riguardano anche i consumatori e gli utenti finali, perché molte di queste norme nascono dalla necessità di rendere il digitale più sicuro, trasparente, controllabile e responsabile. L’utente non è più solo destinatario passivo di servizi digitali, ma soggetto da proteggere rispetto a opacità algoritmica, abuso dei dati, vulnerabilità dei prodotti, scarsa trasparenza e dipendenza tecnologica.

In Italia questo scenario assume un significato ancora più forte.

Alle norme europee si aggiungono le indicazioni, le aspettative e l’attività di vigilanza di autorità nazionali come il Garante per la protezione dei dati personali e l’Agenzia per la Cybersicurezza Nazionale.

Il Garante continua a richiamare le organizzazioni a un’applicazione sostanziale dei principi di accountability, privacy by design, privacy by default e sicurezza adeguata al rischio. In materia di intelligenza artificiale, il tema non è solo l’innovazione, ma la qualità dei dati, la trasparenza, la spiegabilità, la verifica degli output, il controllo umano effettivo e la prevenzione di effetti discriminatori o distorsivi. Anche ambiti apparentemente ordinari, come metadati, posta elettronica, tracking, web scraping e strumenti automatizzati, mostrano quanto sia fragile un approccio basato solo su documenti formali.

L’ACN, dal canto suo, sta portando la cybersicurezza dentro una dimensione sempre più strutturata. La Strategia nazionale di cybersicurezza 2022-2026, il recepimento della NIS2 con il d.lgs. 138/2024, il ruolo del CSIRT Italia, la qualificazione dei servizi cloud per la pubblica amministrazione, le specifiche di base per i soggetti NIS, gli obblighi di notifica degli incidenti significativi e l’attenzione crescente alla resilienza delle infrastrutture digitali mostrano una direzione precisa: la sicurezza informatica non è più un tema specialistico separato dal governo dell’organizzazione.

È un tema di continuità operativa, responsabilità manageriale, presidio dei fornitori, gestione del rischio e capacità di risposta.

NIS2 è particolarmente significativa da questo punto di vista. Non chiede semplicemente di “avere sicurezza”, ma impone un modello più maturo di gestione del rischio cyber. Richiede ruoli, processi, misure tecniche e organizzative, attenzione alla supply chain, capacità di rilevazione, procedure di escalation, notifiche nei tempi previsti e una governance che non può essere improvvisata durante un incidente.

Le scadenze legate a NIS2 non sono quindi semplici date normative. Sono scadenze con impatti pratici sull’organizzazione del lavoro. Le aziende coinvolte devono identificare se rientrano nel perimetro, registrarsi quando previsto, aggiornare le informazioni richieste, individuare ruoli e responsabilità, classificare servizi e asset critici, adottare misure di sicurezza coerenti con le indicazioni ACN, predisporre procedure di gestione degli incidenti e prepararsi a notificare tempestivamente gli incidenti significativi al CSIRT Italia.

Per i soggetti già inseriti negli elenchi NIS, il 2026 è un anno di adeguamento sostanziale. Per i soggetti entrati successivamente nel perimetro, parte degli adeguamenti si proietterà nel 2027. Questo rende evidente che il biennio 2026-2027 sarà una fase di trasformazione operativa, non solo di recepimento normativo.

Il Cyber Resilience Act ha un impatto diverso ma complementare. Mentre NIS2 guarda soprattutto alla resilienza delle organizzazioni e dei servizi essenziali o importanti, il CRA guarda ai prodotti con elementi digitali: software, hardware, dispositivi connessi, componenti e soluzioni immesse sul mercato europeo.

Dal 2026 iniziano gli obblighi di segnalazione per vulnerabilità sfruttate attivamente e incidenti gravi. Dal 2027 arriverà l’applicazione piena degli obblighi principali. Questo significa che produttori, sviluppatori, importatori e distributori dovranno ripensare il ciclo di vita dei prodotti digitali: sicurezza by design, gestione delle vulnerabilità, aggiornamenti, documentazione tecnica, valutazione di conformità, marcatura CE, supporto post-vendita e comunicazione verso clienti e autorità.

Per i vendor l’impatto è evidente: non sarà più sufficiente vendere software o dispositivi che “funzionano”. Bisognerà dimostrare che sono progettati, mantenuti e documentati in modo sicuro.

Per le aziende clienti l’impatto è altrettanto concreto: scegliere un fornitore significherà anche valutarne la maturità rispetto a sicurezza, vulnerability management, tempi di patching, obblighi di notifica, documentazione, responsabilità contrattuali e continuità del supporto.

NIS2 e CRA, lette insieme, mostrano bene la direzione del cambiamento. Da una parte le organizzazioni devono diventare più resilienti. Dall’altra i prodotti digitali che entrano nelle organizzazioni devono essere più sicuri e governabili. In mezzo c’è la supply chain tecnologica, che diventa uno dei punti più delicati della nuova compliance digitale.

È qui che il modello reattivo mostra tutti i suoi limiti.

Perché in molte realtà italiane il digitale è ancora gestito reagendo agli eventi. Si interviene quando il problema è già emerso. Si aggiorna quando il sistema è ormai obsoleto. Si documenta quando arriva una richiesta. Si coinvolge il legale quando il contratto è quasi chiuso. Si chiama la sicurezza quando il progetto è già partito. Si parla di protezione dei dati quando il trattamento è già in produzione.

A questo si aggiunge un altro limite molto diffuso: la paper compliance.

Molte aziende hanno imparato a produrre documenti, policy, informative, registri, nomine e procedure. Ma non sempre quei documenti corrispondono a processi vivi, controlli effettivi, responsabilità chiare, competenze adeguate e verifiche periodiche.

Il problema è che il nuovo scenario normativo e tecnologico rende sempre meno sostenibile questa distanza tra ciò che è scritto e ciò che accade davvero.

Non basta più dichiarare di avere un processo. Bisogna dimostrare che quel processo funziona.

Non basta più avere un fornitore. Bisogna sapere quali rischi introduce.

Non basta più acquistare una piattaforma. Bisogna capire quali dati tratta, dove li conserva, come li protegge, come li esporta, quali subfornitori coinvolge e cosa accade in caso di incidente.

Non basta più adottare strumenti di intelligenza artificiale. Bisogna chiedersi con quali dati operano, quali output producono, quali errori possono generare, chi li controlla e quali effetti possono avere sulle persone.

Non basta più avere un reparto IT che “risolve”. Serve una funzione digitale capace di prevenire, governare, documentare e dialogare con il resto dell’organizzazione.

Per molte aziende italiane questo richiederà un cambio di processo e di prospettiva.

L’informatica dovrà uscire dalla logica del supporto tecnico e diventare parte integrante della governance aziendale. Il procurement dovrà imparare a valutare i fornitori anche sul piano della sicurezza, della conformità e della resilienza. Il legale dovrà entrare prima nei progetti digitali, non alla fine. La compliance dovrà smettere di essere solo produzione documentale e diventare capacità di controllo. Il risk management dovrà includere davvero il rischio tecnologico. La direzione dovrà considerare il digitale non come costo o commodity, ma come infrastruttura critica dell’impresa.

Questo non significa burocratizzare l’innovazione.

Significa renderla sostenibile.

Un approccio moderno alla digitalizzazione deve essere sensibile al cambiamento. Deve monitorare le evoluzioni normative e tecnologiche. Deve aggiornare periodicamente contratti, misure di sicurezza, valutazioni di rischio, processi di incident response, scelte architetturali e criteri di selezione dei fornitori. Deve formare le persone, perché nessuna norma e nessuna tecnologia funzionano davvero se chi le usa non ne comprende implicazioni e limiti.

Il 2026 e il 2027 ci stanno dicendo che il digitale non è più uno spazio neutro, lasciato alla sola efficienza tecnica.

È uno spazio regolato, sorvegliato, competitivo e rischioso.

È il luogo in cui si concentrano continuità operativa, protezione dei dati, sicurezza, reputazione, responsabilità degli amministratori, fiducia dei clienti, dipendenza dai fornitori e capacità di stare sul mercato.

Per questo l’approccio passivo-reattivo non è più sufficiente.

Aspettare che arrivi una norma, un audit, un incidente, una richiesta del cliente o una contestazione dell’autorità significa arrivare tardi. E nel nuovo contesto arrivare tardi può voler dire non avere le evidenze, non avere i processi, non avere le competenze e non avere il controllo sui propri sistemi.

Il 2026 ha reso evidente il cambio di passo.

Il 2027 lo renderà ancora più concreto.

Per molte organizzazioni, soprattutto in Italia, è arrivato il momento di crescere: nelle competenze, nella governance, nella capacità di leggere il cambiamento e nel modo stesso di intendere l’informatica.

Non più qualcosa che deve semplicemente “girare”.

Ma una leva strategica da governare con continuità, responsabilità e consapevolezza.