NIS2, DORA, AI Act e Cyber Resilience Act convergono su un punto solo: chi usa sistemi AI nella difesa delle infrastrutture digitali deve dimostrare che quei sistemi funzionano davvero, con prove verificabili e governance documentata. Per uno studio legale questo significa due cose: assistere i clienti nella costruzione di quella governance, e mettere in sicurezza i propri sistemi interni prima che arrivi un’ispezione.
Punti chiave
- NIS2 e DORA richiedono controlli documentati sui sistemi AI usati nella cybersecurity aziendale.
- L’AI Act classifica certi strumenti di cyberdefense come sistemi ad alto rischio con obblighi specifici.
- Il Cyber Resilience Act impone requisiti di sicurezza ai prodotti digitali già in fase di progettazione.
Se un cliente usa strumenti AI per monitorare le proprie infrastrutture digitali, il quadro normativo 2024-2025 lo obbliga a documentare come quei sistemi decidono, chi li supervisiona e come si fermano quando sbagliano. Questo non è più un tema da CISO: è un tema da contratto, da due diligence e da risposta all’autorità di vigilanza.
L’analisi pubblicata da Agenda Digitale fotografa il problema centrale: il passaggio dalla demo al deployment dell’AI nella cybersecurity si scontra con dati incompleti, asset non censiti e processi di governance troppo lenti rispetto alla velocità delle minacce. NIS2, DORA, AI Act e Cyber Resilience Act rispondono tutti allo stesso modo: non basta che il sistema funzioni, bisogna provarlo.
Il contesto normativo
Il Regolamento UE 2024/1689 (AI Act), applicabile in fasi dal 2025 al 2027, classifica come sistemi ad alto rischio (Allegato III) quelli usati in infrastrutture critiche, con obblighi di valutazione della conformità, registrazione nel database europeo e documentazione tecnica dettagliata. Il d.lgs. 138/2024 di recepimento della Direttiva NIS2 impone alle entità essenziali e importanti misure di gestione del rischio cyber con rendicontazione agli organi di amministrazione: chi delega la cybersecurity a un sistema AI senza supervisione umana documentata rischia una violazione diretta dell’art. 21 della direttiva. Il Regolamento DORA (UE 2022/2554), operativo dal 17 gennaio 2025, aggiunge per il settore finanziario obblighi di test sulla resilienza operativa digitale che includono espressamente gli strumenti automatizzati di rilevazione delle minacce.
Cosa cambia per lo studio
- Nei contratti di fornitura di soluzioni AI per la cybersecurity, inserire clausole che obblighino il fornitore a documentare la logica di funzionamento del sistema, le condizioni di errore e le procedure di override umano: senza questi elementi il cliente non può dimostrare conformità NIS2.
- Nelle due diligence M&A su target con infrastrutture digitali rilevanti, verificare se i sistemi AI di cyberdefense adottati rientrano nelle categorie ad alto rischio dell’AI Act e se la documentazione tecnica richiesta dall’art. 11 del Regolamento esiste già.
- Per i clienti nel settore finanziario soggetti a DORA, controllare che i piani di test sulla resilienza operativa (TLPT, art. 26 DORA) coprano esplicitamente gli strumenti AI di monitoraggio: l’assenza di questo test è una lacuna segnalabile in sede di ispezione BCE o Banca d’Italia.
- Aggiornare i modelli di organigramma della sicurezza informatica nei clienti soggetti a NIS2: l’organo di amministrazione deve ricevere formazione specifica e approvare le misure di gestione del rischio, comprese quelle affidate a sistemi automatizzati.
- Monitorare l’entrata in vigore del Cyber Resilience Act (UE 2024/2847): dal 2027 i prodotti digitali con elementi AI dovranno rispettare requisiti di sicurezza by design, con impatto diretto sui capitolati di acquisto software.
Attenzione a
Il rischio più sottovalutato è la responsabilità da omessa supervisione: se un sistema AI prende una decisione ad alto impatto — blocca un accesso, isola un segmento di rete, genera un alert che innesca una risposta legale — senza che un essere umano abbia approvato quell’azione, l’azienda è esposta sia sotto il profilo NIS2 sia sotto quello dell’AI Act. Documentare la catena di comando umano-macchina non è una formalità, è la prova che conta davanti all’autorità.
Attenzione anche all’errore speculare: adottare sistemi AI nella cybersecurity e poi non aggiornarli. L’art. 9 dell’AI Act impone una gestione continuativa del rischio per i sistemi ad alto rischio, non una valutazione una tantum. Un sistema acquistato nel 2023 senza aggiornamenti documentati nel 2025 è già fuori conformità.
Domande frequenti
Quali obblighi impone NIS2 sull’uso di AI nella cybersecurity aziendale?
Il d.lgs. 138/2024 (recepimento NIS2) obbliga le entità essenziali e importanti a implementare misure di gestione del rischio cyber approvate e supervisionate dall’organo di amministrazione. Se la cybersecurity è affidata a sistemi AI, l’azienda deve documentare la supervisione umana e le procedure di intervento manuale, altrimenti viola l’art. 21 della direttiva.
Un sistema AI usato per rilevare minacce informatiche rientra nell’AI Act come alto rischio?
Dipende dal contesto. I sistemi AI usati nella gestione e protezione di infrastrutture critiche rientrano nell’Allegato III del Regolamento UE 2024/1689 come ad alto rischio. In quel caso scattano obblighi di documentazione tecnica (art. 11), valutazione della conformità e registrazione nel database europeo prima della messa in servizio.
Cosa prevede DORA sui test ai sistemi AI di cyberdefense nel settore finanziario?
Il Regolamento DORA (UE 2022/2554), in vigore dal 17 gennaio 2025, impone test periodici sulla resilienza operativa digitale, inclusi i Threat-Led Penetration Test (art. 26). Gli strumenti automatizzati di rilevazione delle minacce, compresi quelli basati su AI, devono essere coperti da questi test e i risultati documentati per le autorità di vigilanza.
Fonte di riferimento: AgendaDigitale