[Cyber Security] DORA e NIS2, Un possibile freno all’Innovazione e alla Concorrenza nell’Economia Europea?

Cari amici, un saluto dal vostro Davide Scialpi e bentornati nel canale ufficiale dell’Osservatorio Economia.

In questo approfondimento, ci concentriamo di nuovi regolamenti targati UE e relative implicazioni lato mondo imprenditoriale-economico e innovazione dei paesi appartenenti all’Unione Europea. Quindi, siamo nel mondo dei Sistemi di Compliance legati al mondo tecnologico ICT – Cybersicurezza. E quindi, Risk Management legato al mondo tecnologico-digitale.

L’Unione Europea ha recentemente introdotto 2 normative chiave per la sicurezza informatica e la resilienza operativa digitale delle imprese e delle infrastrutture critiche: DORA (Digital Operational Resilience Act) e NIS2 (Network and Information Security Directive 2). Questo è fondamentale in un’era in cui gli attacchi informatici sono sempre più frequenti e sofisticati.

Analizziamo qui le finalità, gli obiettivi e le implicazioni lato innovazione e concorrenza per l’Europa din entrambi i regolamenti.

La finalità e gli obiettivi di DORA (Digital Operational Resilience Act)

DORA mira a garantire la resilienza operativa digitale del settore finanziario, ovvero la capacità delle istituzioni finanziarie di resistere e rispondere a incidenti informatici. Si applica a banche, assicurazioni, società di investimento e fornitori di servizi IT critici per il settore finanziario.

Principali elementi:

• Gestione del rischio ICT: Le imprese devono implementare misure di sicurezza adeguate per proteggere le loro infrastrutture digitali.
• Reporting degli incidenti: Obbligo di segnalare eventi informatici significativi alle autorità competenti.
• Test di resilienza: Simulazioni e test periodici per verificare la capacità di risposta a crisi informatiche.
• Gestione dei fornitori terzi: Maggiore controllo e monitoraggio delle terze parti che forniscono servizi ICT alle imprese finanziarie.

La finalità e gli obiettivi di NIS2 (Network and Information Security Directive 2)

NIS2 è l’aggiornamento della Direttiva NIS (2016) e punta a rafforzare la sicurezza informatica delle infrastrutture critiche in Europa, estendendo l’ambito di applicazione a più settori e imponendo requisiti più stringenti.

Principali elementi:

• Ampliamento degli obblighi di sicurezza a settori strategici come energia, trasporti, sanità, pubblica amministrazione, servizi digitali e gestione dell’acqua.
• Migliore cooperazione tra Stati membri attraverso un meccanismo di scambio di informazioni e coordinamento in caso di crisi.
• Sanzioni più severe per le aziende che non rispettano gli obblighi di sicurezza.
• Maggiore responsabilità dei dirigenti, che possono essere ritenuti responsabili per la mancata implementazione di misure adeguate.

Adozione e Implicazioni per le Imprese

L’adozione di DORA e NIS2 richiede alle imprese di:

• Effettuare valutazioni del rischio ICT più rigorose.
• Implementare misure di sicurezza più avanzate e sistemi di monitoraggio continuo.
• Adattarsi a nuovi obblighi normativi con possibili investimenti in cybersecurity e compliance.
• Collaborare più strettamente con autorità di regolamentazione e fornitori di servizi digitali.

Mentre per le grandi imprese potrebbe essere possibile sostenere e rispettare finanziariamente questa compliance, per le PMI, il rispetto di questi regolamenti potrebbe rappresentare un costo significativo, spingendo alla necessità di outsourcing della sicurezza informatica.

Sebbene l’obiettivo di queste regolamentazioni sia migliorare la sicurezza e la stabilità del settore finanziario e delle infrastrutture critiche, vi sono potenziali implicazioni negative per l’economia europea, soprattutto in termini di concentrazione del potere, limitazione della concorrenza e ostacoli all’innovazione.

Sul piano pratico, DORA può rappresentare una minaccia concreta per la concorrenza e l’innovazione nel settore finanziario e tecnologico. Con obblighi stringenti e costi elevati di conformità, questa regolamentazione rischia di favorire i grandi gruppi già dominanti, soffocando le PMI e riducendo la competitività del mercato europeo sia nel campo di applicazione di riferimento sia lato fornitore di servizi di riferimento.

NIS2, invece, ha un impatto più diffuso sulla sicurezza delle reti, senza tuttavia generare le stesse problematiche di DORA sul piano della concorrenza. Tuttavia, anche NIS2 potrebbe portare a una maggiore concentrazione del mercato, poiché le piccole imprese si troverebbero a dover dipendere da grandi fornitori di cybersecurity per poter rispettare i requisiti di sicurezza.

Implicazioni di DORA per la Concorrenza e l’Innovazione

Implicazioni di Dora sul Piano della Concorrenza:

• Concentrazione del potere nelle mani dei grandi attori: DORA impone requisiti di sicurezza informatica molto stringenti che potrebbero favorire i grandi fornitori di servizi tecnologici già consolidati, come Amazon Web Services (AWS), Microsoft Azure e Google Cloud, rafforzando il loro monopolio nel settore della cybersecurity e dei servizi cloud.
• Barriere all’ingresso per le PMI: Le piccole e medie imprese, che non dispongono delle stesse risorse economiche e infrastrutturali delle grandi aziende, potrebbero avere difficoltà a sostenere i costi di compliance e a rispettare gli obblighi normativi, mettendo a rischio la loro competitività e spingendo molte di esse a ridurre o abbandonare le proprie attività.
• Possibile favoritismo per i grandi gruppi finanziari: I gruppi finanziari di maggiori dimensioni hanno la capacità di investire nelle risorse necessarie per ottemperare alle richieste di DORA, mentre le PMI rischiano di non essere in grado di sostenere il carico di lavoro richiesto, portando a un consolidamento del settore finanziario e a una maggiore concentrazione del mercato nelle mani dei grandi operatori.

Implicazioni di DORA sul piano dell’Innovazione:

• Rallentamento dell’innovazione tecnologica: Gli obblighi di compliance stringenti e i relativi costi potrebbero ridurre la capacità delle imprese di investire in ricerca e sviluppo, rallentando l’introduzione di nuove tecnologie e limitando l’agilità del settore nel rispondere alle sfide digitali emergenti.
• Rischio di consolidamento del mercato: Le nuove e piccole imprese tecnologiche potrebbero essere disincentivate a lanciarsi nel mercato a causa delle difficoltà nel rispettare gli obblighi normativi e i costi elevati. Questo potrebbe favorire le grandi aziende, che possiedono le risorse necessarie per far fronte alla normativa, contribuendo al consolidamento del mercato a scapito delle nuove realtà innovative.

In sintesi, l’introduzione di DORA implica per le istituzioni finanziarie significativi investimenti in cybersecurity e sistemi di monitoraggio. Sebbene per le grandi aziende sia relativamente facile sostenere i costi di conformità, per le PMI la situazione potrebbe essere diversa, richiedendo risorse finanziarie e umane considerevoli per garantire il rispetto delle nuove normative. Di conseguenza, le PMI potrebbero trovarsi costrette a outsourcing dei servizi di cybersecurity a provider specializzati.

DORA potrebbe, quindi, avere un alto impatto sulla competitività nel settore, favorendo i grandi gruppi già affermati, che hanno le risorse necessarie per rispettare i regolamenti, mentre le PMI potrebbero affrontare difficoltà significative.

Tuttavia, l’UE ha previsto misure di supporto, come finanziamenti per l’adozione di tecnologie sicure e programmi di compliance semplificata per le PMI. Il loro effettivo impatto dipenderà dall’accessibilità e dall’efficacia di questi strumenti.

Implicazioni di NIS2 per la Concorrenza e l’Innovazione

Potenziali Implicazioni di NIS2 sul piano della Concorrenza

• Barriere all’ingresso per le PMI: NIS2 impone nuove e severe misure di sicurezza per settori critici come energia, trasporti, sanità e pubblica amministrazione, che potrebbero risultare onerose per le piccole imprese, limitando la loro capacità di competere in questi settori strategici. Le PMI potrebbero dover dipendere da fornitori esterni di cybersecurity, spesso grandi aziende tecnologiche, riducendo ulteriormente la loro competitività.
• Dipendenza dai grandi fornitori di cybersecurity: I requisiti di NIS2 potrebbero spingere molte aziende a rivolgersi ai principali attori del mercato della cybersecurity (come Microsoft, AWS, e Google), il che potrebbe ridurre le opportunità per soluzioni locali o più innovative. Questo rischio di centralizzazione potrebbe favorire un numero limitato di fornitori di soluzioni, penalizzando la diversità nel settore.

Potenziali Implicazioni di NIS2 sul piano dell’Innovazione

• Rallentamento nell’adozione di nuove tecnologie: La complessità e i costi della compliance potrebbero rallentare l’adozione di nuove tecnologie digitali, soprattutto per le PMI che non dispongono delle risorse per affrontare le modifiche necessarie. La burocratizzazione dei processi e i controlli aggiuntivi potrebbero rendere più lento il ciclo di innovazione.
• Sostenibilità dell’innovazione: Le imprese più piccole potrebbero trovarsi a dover ridurre gli investimenti in innovazione a causa delle risorse economiche destinate a garantire la conformità con i requisiti di NIS2. Questo potrebbe minare la capacità dell’UE di mantenere un vantaggio competitivo nell’innovazione rispetto ad altri mercati globali come gli Stati Uniti e la Cina.

In sintesi, NIS2 comporta un cambiamento significativo per molte imprese, in quanto richiede l’adozione di una gestione del rischio più rigorosa e l’implementazione di soluzioni di cybersecurity avanzate. Le aziende dovranno investire maggiormente in protezioni digitali e in monitoraggio continuo per far fronte alle nuove minacce. Anche in questo caso, le PMI potrebbero affrontare maggiori difficoltà rispetto alle grandi aziende, in quanto la gestione della sicurezza informatica richiede risorse considerevoli.

NIS2 potrebbe anche influire sull’adozione di tecnologie innovative, poiché l’aumento dei costi e della burocrazia legati alla conformità potrebbe ridurre la competitività delle imprese europee sul piano globale. Le aziende new entrants potrebbero essere scoraggiate a entrare in settori ad alta regolamentazione, favorendo invece i grandi attori consolidati.

Un Freno, quindi, all’Innovazione e alla Competitività dell’Economia Europea?

Se da un lato DORA e NIS2 sono pensati per rafforzare la sicurezza e la resilienza digitale, dall’altro potrebbero rallentare l’innovazione e la competitività dell’Europa a livello globale.

• Investimenti in R&D: Gli oneri legati alla compliance potrebbero ridurre gli investimenti in ricerca e sviluppo, poiché molte risorse potrebbero essere dirottate verso la gestione dei requisiti normativi.
• Processi più lenti: Le imprese potrebbero trovarsi a dover affrontare una maggiore burocrazia e processi più lenti, che potrebbero ostacolare l’introduzione di nuove tecnologie sul mercato.
• New Entrants e PMI: Le Imprese tecnologiche potrebbero essere disincentivate da regolamentazioni troppo rigide, favorendo il consolidamento delle imprese già affermate e riducendo la dinamicità del mercato. Le nuove imprese con modello di business più innovativi in ambito Bancario e Assicurativo potrebbero trovare di fronte a loro delle barriere all’entrata rappresentate da costi di compliance e burocratici che ne limitano la crescita in favore di player più grandi.

In conclusione, pur essendo progettate per rafforzare la sicurezza e la resilienza digitale, le normative DORA e NIS2 sollevano alcune preoccupazioni legate alla competitività e all’innovazione. È essenziale che l’Unione Europea consideri misure di supporto per le PMI, come incentivi per l’adozione di tecnologie sicure e programmi di compliance semplificata, affinché l’ecosistema digitale europeo possa rimanere competitivo e innovativo.

Tuttavia, anche gli Stati Uniti stanno introducendo regolamentazioni più severe sulla cybersecurity, come il Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA), che segnala una tendenza globale simile.

L’Europa Rischia di Perdere Competitività a livello Economico?

Sebbene la sicurezza sia fondamentale, la rigidità regolamentare potrebbe rendere l’ambiente imprenditoriale europeo meno attraente rispetto a mercati come gli Stati Uniti o la Cina, che offrono ancora maggiori margini di libertà alle imprese tecnologiche. Questo potrebbe spingere molte aziende a trasferire operazioni fuori dall’UE, cercando ambienti più favorevoli per l’innovazione e la crescita.

Tuttavia, ci sono anche esempi di come una regolamentazione severa possa stimolare la crescita e l’innovazione, come nel caso di regolamenti sulla privacy (ad esempio, GDPR), che hanno spinto molte aziende a migliorare la gestione dei dati e la sicurezza. Quindi, c’è un’opportunità per l’UE di diventare un leader globale anche in termini di cybersecurity e resilienza digitale, se riesce a conciliare la regolamentazione con misure di supporto adeguate per le PMI.

In conclusione, sebbene le normative DORA e NIS2 siano pensate per proteggere le infrastrutture critiche e garantire una maggiore sicurezza informatica, è essenziale che l’UE adotti misure di supporto per le PMI, come incentivi per l’adozione di tecnologie sicure e programmi di compliance semplificata. Solo così sarà possibile garantire un ecosistema digitale europeo che sia sicuro, competitivo e innovativo.

Occorrerà vedere, da adesso in poi, se le esternalità negative per l’economia dell’Unione Europea supereranno di gran lunga le esternalità positive derivanti dall’adozione di questi riferimenti normativi in materia di cyber sicurezza:

• Le esternalità negative sono principalmente legate a possibili effetti di centralizzazione del mercato, difficoltà di accesso delle PMI ai mercati ad alta regolamentazione, e rallentamento dell’innovazione dovuto ai costi di compliance e alla burocrazia.
• Le esternalità positive, d’altra parte, riguardano il miglioramento della sicurezza informatica, la fiducia dei consumatori, l’innovazione nel settore cybersecurity, e la creazione di opportunità per le PMI, che potrebbero specializzarsi in nuove soluzioni tecnologiche ( Da qui, i tanti spot del MISE sull’opportunità di riconversione in questo ambito. Cosa che per l’Italia non è per niente facile).

Francamente, credo che l’innovazione ne risentirà come conseguenza e si potranno verificare concentrazioni di potere sia lato fornitori che lato gruppi bancari e finanziari . Vedremo scomparire piccoli operatori ICT nonché piccole realtà che operano nei settori di applicazione di questi regolamenti. Ritengo, dunque, che l’eccessiva burocrazia indebolisca l’orientamento all’innovazione (in favore di altri continenti o paesi non EU meno rigidi). Cosa, l’Innovazione, di cui l’Europa ha profondamente bisogno per poter essere competitiva. Perdere terreno su questo fronte vorrebbe dire fermarsi ancora di più di. Potremmo essere di fronte alla limitazione della concorrenza in ambiti strategici che chiaramente ha un impatto negativo sull’innovazione.

È evidente che l’introduzione di questi nuovi adempimenti ha l’obiettivo di ridurre i rischi legati al mondo digitale, che possono comportare danni significativi sia a livello finanziario che reputazionale per le imprese. In termini di gestione del rischio (risk management) per le aziende e le infrastrutture critiche, questa direzione è chiaramente finalizzata a prevenire gravi problematiche future.

Lasciatemi esprimere un dubbio: E’ quindi questo un favore dell’UE alle grandi aziende e grandi gruppi di settori chiave a discapito delle PMI?…

Stiamo a vedere. E soprattutto speriamo di sbagliarci.

Vi terremo aggiornati sugli sviluppi.

Davide Scialpi, Direttore Osservatorio Economia