Il diritto ti impone il risultato, la scelta di come arrivarci è solo tua.

Chi gestisce un’organizzazione con qualche attenzione alle norme si pone quotidianamente la domanda su cosa deve essere fatto per “essere a posto”.
La domanda però è strutturalmente mal posta, perché presuppone che esista una risposta definitiva, una lista completa che, una volta spuntata, chiuda la questione.

Il GDPR e la NIS2 hanno obblighi formali precisi, e sarebbe sbagliato negarlo. Il registro dei trattamenti, la nomina del responsabile della protezione dei dati nei casi previsti, la notifica di una violazione entro settantadue ore, la valutazione d’impatto per i trattamenti ad alto rischio sono adempimenti vincolanti, con scadenze e contenuti determinati.

La NIS2, nel recepimento italiano operato dal d.lgs. 138/2024, aggiunge obblighi di governance e termini di notifica degli incidenti significativi che non lasciano margini: allerta tempestiva entro ventiquattro ore, notifica completa entro settantadue.

Il punto è un altro, accanto a questi obblighi formali, entrambe le norme attribuiscono all’organizzazione la responsabilità piena di scegliere quali misure siano adeguate al proprio contesto specifico, proporzionate al rischio concreto, giustificabili davanti a un’autorità di controllo.

Non è un’apertura totale, i binari ci sono, e in certi casi sono rigidi, ma dentro quei binari la responsabilità della scelta rimane in capo a chi gestisce, e non è delegabile.

Pochi lo dicono chiaramente, ma è proprio qui che queste norme fanno più paura.

Quando la legge smette di dire cosa fare

Il diritto non ha aspettato il GDPR per rinunciare al precetto puntuale, L’art. 2087 del codice civile impone al datore di lavoro di adottare le misure necessarie a tutelare l’integrità fisica e la personalità morale dei lavoratori, senza specificare quali. La responsabilità sanitaria, i modelli organizzativi previsti dal d.lgs. 231/2001, gli obblighi di diligenza professionale, sono tutti contesti in cui il legislatore fissa un obiettivo di tutela e lascia all’organizzazione la responsabilità di scegliere come raggiungerlo, esponendola alle conseguenze delle scelte sbagliate.

Ciò che il GDPR e la NIS2 hanno fatto non è inventare questo modello, ma estenderlo con un’ampiezza e un’intensità sanzionatoria inedite al dominio digitale, applicandolo a soggetti e contesti che non avevano mai dovuto ragionare in questi termini.

Un’azienda manifatturiera con vent’anni di esperienza in materia di sicurezza sul lavoro sa già cosa significa dover giustificare le proprie scelte davanti a un ispettore. La stessa azienda, quando si trova a dover dimostrare la proporzionalità delle misure adottate per proteggere i dati dei propri dipendenti, si trova spesso in territorio completamente sconosciuto.

Consideriamo due aziende che trattano dati sanitari, una ha dieci dipendenti, l’altra diecimila.
Pretendere le stesse misure tecniche sarebbe irragionevole, pretendere la stessa capacità di giustificare le scelte adottate in relazione al proprio specifico profilo di rischio è, invece, esattamente ciò che queste norme richiedono a entrambe. È la stessa responsabilità di scelta chiesta a soggetti con capacità molto diverse, e sebbene il criterio di proporzionalità sia esplicitamente previsto da entrambe le norme, nella pratica dimostrare cosa sia proporzionato al proprio contesto specifico richiede già di per sé competenze che molte organizzazioni non hanno.

Il gap tra la norma e chi deve applicarla

Ho scritto e parlato più volte, in questo blog e nei miei canali, del modo in cui le organizzazioni tendono a ridurre le norme sulla privacy a rituali di adempimento, svuotandole di senso.
Il GDPR è stato per anni il caso emblematico: cookie banner proliferati ovunque senza che nessuno capisse davvero a cosa servissero, informative copiate e incollate, registri dei trattamenti compilati una volta e poi dimenticati in un cassetto.

La forma dell’adempimento senza la sostanza della tutela.

Quella deriva non era solo pigrizia, era il frutto dell’abitudine radicata di aspettarsi che la norma dica esattamente cosa fare, e limitarsi a farlo.
Quando il GDPR non offriva quella lista per la componente valutativa, molti hanno cercato comunque di costruirsela, con risultati prevedibili.

Il punto è che queste norme presuppongono una maturità organizzativa che, in larga parte del tessuto imprenditoriale e istituzionale italiano, non c’è ancora, non per malafede ma per struttura.

Le piccole e medie imprese non hanno uffici legali interni, non hanno responsabili della protezione dei dati con tempo e competenze adeguate, non dispongono di procedure di valutazione del rischio consolidate.

Quando la norma chiede di valutare i rischi e scegliere misure proporzionate, si trovano davanti a un compito che richiede risorse che non hanno, e che il mercato della consulenza ha spesso preferito vendere in forma di pacchetti standardizzati piuttosto che costruire davvero.

La componente valutativa è stata così reinterpretata come adempimento di secondo livello.
Al posto delle liste del legislatore, le liste del consulente, con il risultato sostanziale che non è cambiato di molto.

Le autorità di controllo non hanno contribuito a correggere questa distorsione, almeno stando alla prassi sanzionatoria osservata negli ultimi anni.

Un sistema che produce di fatto due categorie di soggetti (le grandi organizzazioni che possono permettersi una compliance seria e le piccole che restano in una zona grigia di inadempimento sostanziale) richiederebbe un’applicazione sanzionatoria capace di distinguere tra la multinazionale e la media impresa di provincia, valorizzando chi dimostra un percorso consapevole anche quando non ha ancora raggiunto la perfezione formale.

Nella pratica questa distinzione è rimasta più enunciata che applicata.

È la stessa dinamica descritta parlando della tutela al contrario: il diritto arriva, cambia le regole del gioco, ma arriva senza portarsi dietro le condizioni perché il cambiamento sia realmente accessibile a tutti.

Perché il cambiamento era comunque necessario, e perché non è ancora abbastanza

Con tutta la lucidità che la situazione richiede, il passaggio a un sistema orientato ai risultati era inevitabile e, nella sua logica profonda, corretto.

Un quadro normativo che avesse voluto elencare le minacce informatiche e specificare le contromisure per ciascuna avrebbe richiesto aggiornamenti continui in un panorama che si trasforma a ritmo industriale, un compito strutturalmente impossibile che il legislatore europeo ha avuto il buon senso di non tentare, almeno in linea di principio.

Il problema è che quella stessa logica viene poi seppellita sotto strati di adempimenti preventivi che la contraddicono.

Il GDPR chiede di valutare il rischio e scegliere misure proporzionate, ma pretende anche registri, nomine, informative strutturate, valutazioni d’impatto con contenuti predefiniti.

La NIS2 introduce la governance del rischio come principio e poi la affianca a categorie di misure obbligatorie (gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, autenticazione a più fattori ecc.) che non prescrivono soluzioni tecniche specifiche ma restringono comunque lo spazio della scelta in misura significativa rispetto all’apertura che il principio di proporzionalità lascerebbe intendere.

Il risultato è un sistema ibrido che chiede responsabilità, ma continua a operare prevalentemente a monte, sul piano delle previsioni formali preventive, piuttosto che a valle, verificando se le misure adottate producono effetti concreti.

C’è una ragione strutturale in questo, il legislatore europeo costruisce norme pensate per ventisette contesti nazionali molto diversi tra loro, e la previsione formale preventiva è lo strumento con cui cerca di garantire un minimo comune denominatore.

Il risultato, però, è che quel minimo diventa spesso il massimo a cui molte organizzazioni aspirano, perché soddisfare gli adempimenti formali è misurabile e difendibile davanti a un’autorità di controllo, mentre dimostrare l’adeguatezza sostanziale delle proprie scelte è più difficile, più costoso e più esposto a valutazioni discrezionali.

L’incentivo a restare sul formale è incorporato nella struttura della norma stessa.

Il vecchio modello basato su precetti rigidi consentiva di scaricare la responsabilità sull’adempimento: se avevi fatto quello che la norma diceva, eri “a posto”, indipendentemente dal fatto che il risultato concreto fosse raggiunto.

Il nuovo approccio dichiara di voler cambiare questa logica, ma finché continuerà a premiare chi spunta le caselle piuttosto che chi raggiunge i risultati, resterà più enunciato che praticato.

Ho già ragionato su questo affrontando il tema delle decisioni delegate agli algoritmi: nella società digitale, l’esecuzione formale di una procedura non esaurisce la responsabilità di chi decide, che rimane in capo a chi ha scelto e progettato, anche quando lo ha fatto seguendo uno standard.

Un cambio necessario, con contraddizioni ancora irrisolte

Il cambio di impostazione è irreversibile, non perché nessuno ne abbia voglia, ma perché la realtà tecnica non lascia alternative praticabili e nessun catalogo di precetti potrebbe oggi tenere il passo con la velocità del cambiamento digitale.

Quello che si può fare è smettere di fingere che il sistema funzioni già come dovrebbe.

La componente valutativa esiste ed è la parte più interessante di queste norme, ma continua a convivere con un’architettura burocratica che tende a soffocarla, caricando le organizzazioni di adempimenti preventivi che assorbono risorse sottraendole a ciò che conterebbe davvero: capire quali rischi corrono concretamente e come ridurli.

Chi ha costruito una vera cultura della sicurezza sa che il documento non protegge nessuno, protegge solo formalmente la misura che dovrebbe descrivere, mentre la misura concreta troppo spesso resta sullo sfondo.

Servirebbe che il legislatore europeo spostasse il baricentro dai requisiti formali preventivi alla verifica dell’efficacia reale, ma anche questa soluzione porta con sé il problema che si voleva risolvere: qualunque verifica a valle richiede criteri, e quei criteri comportano discrezionalità.

Il problema non scompare, si sposta.

Forse la lezione più importante che ci deriva da queste difficoltà interpretative è quella di comprendere che non esiste un punto di arrivo in cui la complessità smette di richiedere giudizio.

La domanda su cosa fare per essere a posto è destinata a non avere mai una risposta definitiva, per la stessa natura dinamica del problema e il sistema che continuerà a cercarla in una lista si ritroverà, invariabilmente, al punto di partenza.