Quando un team IT scopre un lunedì mattina che il suo fornitore cloud ha modificato le condizioni di trattamento dei dati per conformarsi a una nuova normativa europea, la vigilanza tecnologica smette di essere un lusso. Le notizie informatiche di quest’anno si caratterizzano per un’accelerazione normativa che colpisce direttamente le scelte architettoniche, i contratti con i fornitori e la sicurezza dei prodotti digitali.
Cyber Resilience Act e obblighi di sicurezza del prodotto nel 2026
I concorrenti parlano molto di cybersicurezza in generale. Parleremo di un testo specifico che cambia le regole del gioco per gli editori di software e i produttori di hardware connesso: il Cyber Resilience Act (CRA).
Dal 11 settembre 2026, gli obblighi di notifica degli incidenti del CRA sono entrati in vigore. In concreto, ogni editore o produttore che commercializza un prodotto digitale nell’Unione europea deve segnalare le vulnerabilità attivamente sfruttate entro scadenze vincolanti.
Il CRA non si ferma qui. Stabilisce un percorso verso requisiti di sicurezza “per impostazione predefinita”, con un marchio CE obbligatorio e obblighi completi a partire da dicembre 2027. Per seguire le notizie informatiche su Bargento è utile tenere d’occhio queste scadenze normative che influenzano i cicli di sviluppo.
Per un team prodotto, ciò significa integrare la sicurezza fin dalla progettazione, documentare i componenti software (SBOM) e prevedere un processo di segnalazione. I feedback variano riguardo al carico reale che ciò comporta a seconda delle dimensioni dell’azienda, ma il calendario, invece, non cambia più.
Sovranità cloud: dal discorso strategico alla costrizione normativa
<p"Si parlava di "sovranità digitale" da anni senza conseguenze operative dirette. Non è più così.
La Commissione europea ha pubblicato il 3 giugno 2026 una proposta di Cloud and AI Development Act. Questo testo introduce un quadro unificato per valutare la “sovranità” dei servizi cloud, con un impatto diretto sugli appalti pubblici e le scelte di hosting delle aziende che lavorano con il settore pubblico.
In pratica, se si risponde a un bando pubblico o si trattano dati sensibili per un organismo europeo, la scelta del fornitore cloud dovrà rispettare criteri di sovranità formalizzati. Non è più una preferenza, è una griglia di valutazione normativa.
Cosa cambia per gli architetti SI
I team che hanno costruito la loro infrastruttura su un hyperscaler americano non sono condannati, ma devono mappare i loro flussi di dati e identificare i workload interessati. Il multicloud diventa una necessità normativa, non una scelta tecnica.
Vari fornitori europei stanno posizionando offerte di “geopatriation”, un termine che indica il rimpatrio di dati e trattamenti verso infrastrutture giuridicamente europee. Il movimento è avviato, i tempi di migrazione rimangono il punto critico.
DORA e rischio terzi ICT: i contratti fornitori sotto controllo
Il regolamento DORA (Digital Operational Resilience Act), applicabile dal 17 gennaio 2025, produce i suoi primi effetti concreti nel 2026. Le autorità di supervisione intensificano i loro controlli sul rischio terzi ICT e le clausole contrattuali associate.
Per le aziende del settore finanziario (e i loro fornitori tecnologici), ciò si traduce in requisiti precisi:
- I contratti con i fornitori ICT critici devono includere clausole di resilienza operativa, diritto di audit e strategia di uscita documentata
- I test di resilienza (compresi i test di penetrazione avanzati) devono coprire le dipendenze terze, non solo i sistemi interni
- Un registro centralizzato dei fornitori ICT terzi deve essere mantenuto e trasmesso ai regolatori su richiesta
Al di fuori del settore finanziario, DORA crea un precedente. Le buone pratiche che impone sulla gestione dei fornitori IT si diffondono come standard di mercato. Un contratto cloud senza clausola di uscita documentata diventa un segnale d’allerta.
AI Act europeo: il calendario reale dopo il Digital Omnibus
L’AI Act ha fatto discutere molto, ma il suo calendario è cambiato. L’entrata in vigore del Digital Omnibus sull’IA il 27 luglio 2026 ha posticipato alcuni obblighi legati ai sistemi di IA ad alto rischio.
Tuttavia, diversi requisiti chiave sono applicabili dal 2 agosto 2026. Per i team che implementano intelligenza artificiale in produzione, la priorità operativa si concentra su tre punti:
- La classificazione del livello di rischio di ogni sistema di IA implementato, secondo la griglia aggiornata dal Digital Omnibus
- La documentazione tecnica e la tracciabilità delle decisioni algoritmiche per i sistemi classificati ad alto rischio
- La messa in atto di una supervisione umana effettiva, non simbolica, sui processi decisionali automatizzati
Questo rinvio parziale non deve creare un falso senso di conforto. Le aziende che aspettano le scadenze finali per conformarsi accumulano un debito di conformità che sarà costoso da risolvere.
Collegamento con la strategia dati e cloud
L’AI Act, il Cloud and AI Development Act e DORA non sono testi isolati. Formano un ecosistema normativo in cui le scelte di hosting, di subappalto e di governance dei dati si intrecciano. Una decisione architettonica cloud presa senza considerare i tre testi espone a riclassificazioni a cascata.
Per i CIO e i responsabili della conformità, la vigilanza sulle notizie informatiche non è più un esercizio di curiosità tecnologica. È uno strumento di gestione dei rischi. I testi europei pubblicati quest’anno ridisegnano le costrizioni operative sul cloud, la sicurezza del prodotto, i contratti con i fornitori e l’implementazione dell’IA. Ogni trimestre porta il suo carico di scadenze concrete, e i team che le anticipano mantengono un vantaggio su quelli che le subiscono.
