Il costo medio di una violazione: 4,88 milioni di dollari. Un numero che gira da anni, ripetuto come un mantra nei report di settore. Ma mentre i CISO continuano a giustificare budget con questa cifra, l’Unione Europea ha smesso di giocare a fare la polizia informatica ed è passata a disegnare confini. Il Cybersecurity Act 2 non è una risposta a una minaccia tecnica. È una dichiarazione di sovranità digitale.

Come osservato da CyberSec Italia, la nuova normativa segna un punto di non ritorno: la regolazione non serve più solo a proteggere i dati, ma a controllare chi entra nel sistema critico europeo. E chi ne viene escluso. Il riferimento è trasparente: Pechino ha già fatto sapere che misure restrittive sull’accesso al mercato europeo potrebbero innescare ritorsioni. Non si parla di sanzioni commerciali generiche, ma di risposte mirate nel dominio digitale e operativo.

Il 53,7% che cambia tutto

Secondo l’ENISA (2025), il 53,7% degli incidenti informatici nell’UE colpisce entità classificate come "essenziali" ai sensi del NIS2. Questo dato non è solo statistico: è strutturale. Significa che più della metà degli attacchi ha impatto diretto su settori che reggono l’economia reale — energia, trasporti, sanità, logistica. E ora, con il Cybersecurity Act 2, queste entità diventano il perimetro difensivo dello spazio politico europeo.

La logica è semplice: se il tuo fornitore di software di tracciamento logistico ha sede in una giurisdizione ostile e il suo sistema va in tilt, non è un problema IT. È un attacco alla sovranità. Ecco perché l’esposizione non è più solo tecnica: è giurisdizionale. Come sottolinea CyberSec Italia, basta un fornitore terzo con connessioni a hub cinesi per aprire una breccia strategica.

La supply chain come campo di battaglia

I numeri lo confermano. Secondo CrowdStrike (2026), l’attività legata alla Cina nel settore logistico è cresciuta dell’85%. Non si tratta di furti di dati o ransomware generici: gli obiettivi sono aziende appena entrate nel perimetro del NIS2, quelle ora classificate come essenziali. La supply chain non è più un anello debole: è il fronte principale.

Questo cambio di paradigma impone una ricalibrazione delle difese. Crittografare i dati in transito verso hub collegati alla Cina non basta. Bisogna applicare ispezione zero trust, non per fiducia nel protocollo, ma per sfiducia strutturale nel contesto geopolitico. Non si tratta di paranoia: si tratta di riconoscere che un pacchetto di dati diretto a un data center a Shenzhen non è neutrale. È un vettore di esposizione strategica.

Simulare la guerra, non solo l’attacco

La difesa moderna richiede scenari che vadano oltre il cyber. Le aziende devono condurre test trimestrali di risposta a ritorsioni legate alla RPC — non semplici simulazioni di attacchi informatici, ma scenari complessi che includono disabilitazione di sistemi OT, interruzione di flussi produttivi, attacchi coordinati a infrastrutture ibride IT/OT.

Questo significa che il board non può più limitarsi a chiedere: "Siamo conformi al NIS2?". Deve chiedersi: "Quali dei nostri fornitori ci espongono a conflitti geopolitici?". E ancora: "Se domani la Cina decidesse di colpire la nostra operatività digitale, dove crollerebbe il sistema?".

La cybersecurity non è più una questione di patch e firewall. È una questione di alleanze, giurisdizioni, controllo strategico del territorio tecnologico. Il Cybersecurity Act 2 non è un aggiornamento normativo. È una dichiarazione di posizione in un ordine mondiale che si sta frammentando. E chi non lo capisce, sta già perdendo la partita.