Compliance cyber machine-readable: perché CRA e AI Act chiedono evidenze, non solo documenti

La compliance cyber sta entrando in una fase nuova. Per anni molte imprese hanno trattato policy, registri, valutazioni e dichiarazioni come documenti statici: file PDF, cartelle condivise, allegati da inviare quando qualcuno li chiede. Quel modello non scompare, ma non basta più. Quando la sicurezza di un prodotto digitale, di un sistema di intelligenza artificiale o di una catena di fornitura deve essere dimostrata a clienti, auditor, organismi di valutazione e autorità, la domanda non è più soltanto “avete un documento?”. La domanda diventa: “questa evidenza è aggiornata, verificabile, riutilizzabile e leggibile dai sistemi?”.

Il 3 luglio 2026 l’Agenzia per la cybersicurezza nazionale ha pubblicato una notizia su un workshop ospitato il 18 giugno e dedicato alle attestazioni in formato machine-readable. ACN spiega che il confronto ha coinvolto, tra gli altri, BSI, ENISA, ANSSI, NIST e la Fondazione OSCAL, con l’obiettivo di discutere l’uso di formati elaborabili dalle macchine nella documentazione di cybersicurezza. Il punto è molto concreto: Cyber Resilience Act e AI Act richiederanno un livello adeguato di cybersicurezza per prodotti con elementi digitali e sistemi AI ad alto rischio immessi sul mercato europeo a partire da dicembre 2027. Per gestire valutazioni di conformità e vigilanza del mercato su larga scala, la documentazione tecnica dovrà diventare più efficiente, interoperabile e controllabile.

Questa notizia è importante perché sposta la compliance dal piano formale al piano operativo. Non basta avere un fascicolo: occorre sapere quali controlli sono stati applicati, quali risultati sono stati prodotti, chi ha approvato cosa, quale versione del prodotto o del modello è coperta, quali evidenze supportano una dichiarazione e come queste informazioni possono essere lette senza ricostruirle manualmente ogni volta.

Dal documento statico all’evidenza strutturata

Un documento statico ha un pregio: è comprensibile per una persona. Ma ha anche limiti evidenti. Può essere duplicato, superato, non collegato alla versione reale del prodotto, difficile da confrontare con controlli interni o requisiti normativi. Quando un’organizzazione cresce, quando vende prodotti digitali in più mercati o quando inserisce sistemi AI nei propri processi, questi limiti diventano costi.

Un’evidenza machine-readable non è semplicemente un file in formato digitale. È un’informazione organizzata in modo che un sistema possa leggerla, confrontarla, validarla e collegarla ad altre informazioni. Può descrivere controlli, misure tecniche, processi, risultati di test, dichiarazioni di conformità, dipendenze software, versioni, eccezioni e responsabilità. Il vantaggio non è “automatizzare per moda”, ma ridurre ambiguità e lavoro ripetitivo.

Per un’impresa significa poter collegare la compliance a processi reali: sviluppo software, gestione fornitori, vulnerability management, risk assessment, audit interni, documentazione prodotto. Per una PA significa poter governare meglio procurement, servizi digitali e requisiti di sicurezza. Per un produttore di software o dispositivi con elementi digitali significa prepararsi a dimostrare sicurezza e conformità in modo più coerente lungo tutto il ciclo di vita.

Perché CRA e AI Act rendono il tema urgente

Il Cyber Resilience Act, Regolamento (UE) 2024/2847, introduce un quadro europeo per la cybersicurezza dei prodotti con elementi digitali. Il cuore del regolamento non è soltanto la sicurezza iniziale del prodotto, ma la capacità di gestire requisiti, vulnerabilità, documentazione tecnica, obblighi del fabbricante e informazioni verso utenti e autorità lungo il ciclo di vita.

L’AI Act, Regolamento (UE) 2024/1689, guarda ai sistemi di intelligenza artificiale con un approccio basato sul rischio. Per i sistemi ad alto rischio diventano centrali gestione del rischio, qualità dei dati, documentazione tecnica, registrazione degli eventi, trasparenza, supervisione umana, accuratezza, robustezza e cybersicurezza. Anche qui il punto non è produrre una relazione una tantum, ma dimostrare che il sistema è governato.

Quando questi due mondi si incontrano, il problema diventa evidente. Un sistema AI può essere integrato in un prodotto digitale, dipendere da componenti software, usare dati di fornitori diversi, essere aggiornato nel tempo e avere impatti su sicurezza, privacy, continuità operativa e responsabilità contrattuali. Se le evidenze restano disperse in file non collegati, la governance diventa fragile.

OSCAL, controlli e interoperabilità

Nel workshop citato da ACN compare anche OSCAL, l’Open Security Controls Assessment Language promosso dal NIST. OSCAL nasce per rappresentare cataloghi di controlli, profili, piani di sicurezza, risultati di assessment e informazioni di conformità in formati strutturati. Non è una scorciatoia magica e non sostituisce il giudizio professionale, ma indica una direzione: rendere i controlli e le valutazioni più portabili tra strumenti, team e organizzazioni.

In pratica, l’azienda che oggi costruisce una matrice di controlli solo in un foglio Excel o in una relazione PDF dovrebbe iniziare a chiedersi come renderla collegabile ai sistemi che generano evidenze: ticket di remediation, vulnerability scan, repository software, inventario asset, contratti con fornitori, valutazioni DPIA o risk assessment, procedure di incident response.

Questo non significa comprare subito una piattaforma complessa. Significa impostare il lavoro in modo ordinato: nomenclature coerenti, identificativi stabili, versioni, proprietari dei controlli, collegamento tra requisito e prova, separazione tra dichiarazione e risultato verificabile.

Implicazioni pratiche per imprese e PA

La prima implicazione è organizzativa. La compliance cyber non può essere lasciata solo al momento dell’audit. Deve entrare nei processi di sviluppo, acquisto, gestione fornitori, change management e sicurezza operativa. Se un controllo è previsto solo in una policy ma non lascia traccia in un sistema, sarà difficile dimostrarne l’effettiva applicazione.

La seconda implicazione riguarda la qualità dei dati interni. Un’evidenza strutturata funziona solo se le informazioni di base sono affidabili: asset inventory, ruoli, versioni, fornitori, classificazione dei sistemi, criticità, dipendenze, risultati di test. Senza questa base, il formato machine-readable rischia di diventare un contenitore ordinato per dati incompleti.

La terza implicazione è contrattuale. Chi acquista software, servizi cloud, componenti digitali o sistemi AI dovrà chiedere evidenze più precise ai fornitori. Non solo “siamo conformi”, ma quali controlli sono coperti, con quali limiti, su quale versione, con quali aggiornamenti e con quale gestione delle vulnerabilità.

La quarta implicazione è culturale. La governance digitale deve abituarsi a trattare la compliance come un sistema vivo. Le evidenze non sono un allegato finale, ma il risultato continuo di processi tecnici e organizzativi.

Una checklist per iniziare

Prima di parlare di automazione avanzata, conviene partire da alcune domande operative:

• Quali requisiti cyber, privacy, AI governance e supply chain dobbiamo dimostrare nei prossimi 12-18 mesi?
• Dove sono oggi le evidenze: documenti, ticket, repository, strumenti di sicurezza, contratti, assessment?
• Ogni controllo ha un responsabile, una frequenza, una prova e una versione collegata?
• Le evidenze sono collegate al prodotto, al sistema AI, al servizio o al fornitore corretto?
• Le informazioni possono essere esportate, confrontate o lette da strumenti diversi?
• I fornitori critici sono in grado di produrre attestazioni comprensibili e riutilizzabili?
• Esiste un processo per aggiornare le evidenze quando cambia il prodotto, il modello, il fornitore o il rischio?

Queste domande aiutano a evitare due errori opposti: trattare la compliance come burocrazia, oppure pensare che basti uno strumento per risolverla. La direzione corretta è più concreta: costruire un sistema di evidenze proporzionato, tracciabile e sostenibile.

Il punto per chi governa tecnologia e rischio

La discussione sulle attestazioni machine-readable può sembrare tecnica, ma riguarda direttamente imprenditori, manager, responsabili IT, compliance officer e pubbliche amministrazioni. Chi oggi prepara documentazione in modo frammentato rischia di trovarsi in difficoltà quando clienti, autorità o organismi di valutazione chiederanno prove più strutturate.

Al contrario, chi inizia ora a ordinare controlli, evidenze e responsabilità avrà un vantaggio: potrà rispondere più velocemente agli audit, ridurre duplicazioni, migliorare il dialogo con fornitori e clienti, e trasformare gli obblighi normativi in un sistema di governo più robusto.

La compliance cyber del futuro prossimo non sarà fatta solo di documenti firmati. Sarà fatta di evidenze leggibili, collegate e verificabili. Se stai lavorando su prodotti digitali, sistemi AI, supply chain tecnologica o governance della sicurezza, posso aiutarti a trasformare requisiti e controlli in un modello operativo chiaro, sostenibile e pronto per l’evoluzione normativa. Seguimi o contattami per approfondire come impostare questo percorso nella tua organizzazione.