Nel 2026 la NIS2 entra davvero nel vivo. Finiscono le interpretazioni, finiscono le slide dei convegni e iniziano le attività concrete: portale ACN, compilazioni, aggiornamenti, responsabilità. E soprattutto iniziano a circolare dati. Tanti dati.

Parliamo di decine di migliaia di organizzazioni, tra soggetti essenziali e importanti, che dovranno inserire nel portale informazioni che non sono affatto banali. Non è una questione anagrafica: dentro ci finiscono servizi erogati, dipendenze operative, fornitori rilevanti, pezzi di supply chain. In pratica, informazioni che raccontano come funziona davvero un'organizzazione e, soprattutto, da cosa dipende.

E qui, secondo me, c'è un punto che stiamo tutti sottovalutando. Quello che si sta costruendo non è solo un sistema per gestire un adempimento normativo. È, di fatto, una base dati che nel tempo rischia di diventare una fotografia molto precisa della resilienza e delle fragilità del Paese.

La domanda quindi è semplice, ma piuttosto scomoda: cosa succede se quella base dati viene compromessa?

Non sto parlando del classico data breach da titolo di giornale. Qui non si tratta di "hanno rubato dei dati": il tema è che, mettendo insieme tutte queste informazioni, si crea qualcosa che ha un valore molto più alto. Una mappa delle interdipendenze reali tra organizzazioni, fornitori, servizi critici. In altre parole, non è più solo informazione: è intelligence.

Un attore ostile, con accesso a una base dati del genere, non deve più perdere tempo a capire chi fa cosa, chi dipende da chi, dove colpire per fare più danno possibile. Trova tutto già strutturato. E questo cambia completamente il tipo di rischio.

Gli attacchi diventano mirati, non più opportunistici. La supply chain diventa il punto di ingresso più naturale. Le relazioni tra aziende, che oggi sono un elemento di forza, diventano anche una superficie d'attacco: non serve colpire tutti, basta colpire nel punto giusto. E questo non è uno scenario catastrofista, è una conseguenza abbastanza lineare: più concentri informazioni critiche, più aumenti il valore del bersaglio.

Ed è qui che, secondo me, sta il vero nodo.

Il portale ACN è necessario, su questo non c'è dubbio: senza una visione centralizzata non si governa nulla, soprattutto a livello nazionale. Ma proprio perché è necessario, va trattato per quello che è: un asset strategico. Se invece viene percepito e gestito come l'ennesima piattaforma da compilare per "essere compliant", il rischio è di non capire davvero cosa stiamo costruendo.

Perché la partita non è solo normativa: è operativa, è sistemica e, in ultima analisi, è anche una questione di sicurezza nazionale.

Quindi la domanda resta lì, senza troppi giri di parole: stiamo costruendo uno strumento per aumentare la resilienza oppure stiamo creando, senza volerlo, uno dei bersagli più interessanti del Paese?