L’11 settembre 2001 il mondo scoprì quanto rapidamente un evento considerato fino a quel momento improbabile potesse interrompere attività economiche, trasporti, mercati e organizzazioni. Venticinque anni dopo, la natura delle minacce è profondamente cambiata, ma una delle lezioni di quella giornata conserva una sorprendente attualità anche per le imprese: prepararsi soltanto agli eventi prevedibili non è più sufficiente.
Oggi il rischio non arriva necessariamente dal cielo. Può entrare attraverso un software, bloccare un data center, interrompere una catena di approvvigionamento, rendere indisponibile un sistema gestionale o fermare una fabbrica collegata alla rete. Può derivare da un conflitto a migliaia di chilometri di distanza, dalla crisi di un fornitore strategico o da un attacco informatico.
È cambiata la minaccia. Non è cambiata la domanda: quanto è resiliente un’organizzazione quando viene meno qualcosa che considerava sicuro?
Ed è proprio l’11 settembre 2026 a segnare simbolicamente un nuovo passaggio nella sicurezza delle imprese europee. Da oggi diventano applicabili i primi obblighi di segnalazione previsti dal Cyber Resilience Act dell’Unione europea per i produttori di prodotti con elementi digitali.
In presenza di vulnerabilità attivamente sfruttate o di gravi incidenti che incidono sulla sicurezza dei prodotti digitali, i produttori interessati devono trasmettere un primo allarme entro 24 ore dal momento in cui ne vengono a conoscenza e una notifica completa entro 72 ore. Le principali disposizioni del regolamento diventeranno invece pienamente applicabili dall’11 dicembre 2027.
La coincidenza delle date è casuale, ma significativa. A venticinque anni dagli attentati che modificarono il concetto occidentale di sicurezza, l’Europa chiede alle aziende di incorporare la sicurezza digitale nella gestione dei prodotti e delle vulnerabilità.
Dalla protezione alla resilienza
Per il mondo delle imprese il cambiamento più importante riguarda proprio il significato della parola sicurezza. Proteggersi significa cercare di impedire che un evento accada. Essere resilienti significa sapere cosa fare quando, nonostante le protezioni, qualcosa accade comunque. È una differenza sostanziale.
Un’azienda può disporre dei migliori sistemi di cybersecurity e subire ugualmente un attacco. Può avere fornitori affidabili e trovarsi comunque senza una componente indispensabile. Può utilizzare infrastrutture cloud estremamente solide e affrontare comunque un’interruzione del servizio. La questione manageriale diventa allora la capacità di continuare a operare.
Dove sono conservati i dati essenziali? Esiste un sistema alternativo? Chi prende le decisioni durante una crisi? Quali attività devono essere ripristinate per prime? Quanto tempo può rimanere ferma la produzione? Cosa accade se il problema riguarda un fornitore tecnologico anziché direttamente l’azienda? Sono domande di business continuity, non soltanto di informatica.
Ed è significativo che il Cyber Resilience Act estenda questa logica all’intero ciclo di vita dei prodotti digitali. La Commissione europea sottolinea che hardware e software devono essere progettati, aggiornati e mantenuti tenendo conto della sicurezza, mentre a luglio ha pubblicato nuove linee guida rivolte anche alle PMI per accompagnare l’applicazione delle regole.
La lezione di Cantor Fitzgerald
C’è una storia aziendale che più di altre permette di comprendere cosa significhi resilienza quando l’imprevedibile diventa realtà. Cantor Fitzgerald aveva la propria sede newyorkese tra il 101° e il 105° piano della Torre Nord del World Trade Center. L’11 settembre perse 658 persone, circa due terzi dei suoi 960 dipendenti di New York. Fu la più grave perdita di vite umane subita da una singola azienda negli attentati. Non vennero meno soltanto colleghi e amici. In poche ore l’organizzazione perse una parte enorme delle persone sulle quali poggiava il proprio funzionamento. Eppure l’attività riuscì a ripartire.
Le strutture di Londra assunsero un ruolo fondamentale nel mantenere operative alcune funzioni mentre negli Stati Uniti iniziava la ricostruzione. Dipendenti sopravvissuti, nuove assunzioni e collaboratori lavorarono alla ricostruzione dell’azienda, mentre nasceva anche un fondo destinato alle famiglie delle vittime.
A venticinque anni di distanza quella vicenda resta un caso estremo, impossibile da sovrapporre alle normali crisi aziendali. Ma contiene una lezione organizzativa ancora valida: la resilienza non dipende esclusivamente dalle infrastrutture. Dipende dalle persone, dalla distribuzione delle competenze, dalla capacità decisionale e dall’esistenza di alternative quando viene meno ciò su cui l’organizzazione faceva affidamento.
Il nuovo rischio passa dalla supply chain
Per un’impresa del 2026 questa riflessione assume una dimensione ulteriore. La digitalizzazione ha reso le aziende più efficienti, ma contemporaneamente più interconnesse. Produzione, amministrazione, logistica, pagamenti, rapporti con clienti e fornitori dipendono da un ecosistema di software, cloud, reti e operatori esterni. La vulnerabilità di un soggetto può così diventare la vulnerabilità di molti altri.
Per questo la sicurezza non può più essere confinata al reparto IT. Un incidente informatico può diventare rapidamente un problema produttivo, finanziario e reputazionale. E l’intelligenza artificiale aggiunge un altro livello. L’integrazione di sistemi sempre più autonomi nei processi aziendali aumenta le opportunità di produttività, ma richiede anche una maggiore attenzione alla continuità operativa, alla protezione delle informazioni e alla dipendenza dalle infrastrutture tecnologiche.
Quanto tempo può permettersi di restare ferma un’azienda?
È forse questa la domanda più utile che il venticinquesimo anniversario dell’11 settembre può lasciare oggi a un imprenditore. Non: può succedere qualcosa alla mia azienda? Ma: se succedesse, quanto tempo impiegheremmo a ripartire? Per alcune attività possono essere giorni. Per altre poche ore. Per un’impresa che lavora con produzioni continue, pagamenti digitali o servizi essenziali, anche un’interruzione molto breve può avere conseguenze importanti.
Prepararsi significa allora individuare preventivamente le funzioni indispensabili, stabilire responsabilità chiare, creare copie e ridondanze, conoscere le dipendenze dai fornitori strategici e verificare periodicamente che i piani di emergenza funzionino realmente. Significa soprattutto evitare che conoscenze, autorizzazioni e decisioni essenziali siano concentrate in una sola persona o in un unico sistema.
Dalla sicurezza alla competitività
Vent’anni fa molte spese per la sicurezza venivano considerate principalmente un costo. Oggi la prospettiva sta cambiando. Un’impresa capace di proteggere dati, garantire continuità ai clienti e riprendere rapidamente l’attività dopo un incidente possiede un vantaggio competitivo. È più affidabile per clienti e fornitori, riduce il rischio di interruzioni e protegge meglio investimenti e reputazione.
Il Cyber Resilience Act porta una parte di questa trasformazione dentro le regole europee. Da oggi iniziano gli obblighi di comunicazione; dal dicembre 2027 entrerà in applicazione la parte principale della disciplina, con requisiti di cybersecurity che riguarderanno il ciclo di vita dei prodotti digitali interessati. Ma limitarsi alla compliance significherebbe perdere il punto. La vera questione per un imprenditore non è soltanto rispettare una nuova normativa. È capire quanto valore economico dipenda ormai dal funzionamento continuo di infrastrutture che spesso l’azienda non controlla direttamente.
Venticinque anni dopo, l’11 settembre continua inevitabilmente a essere prima di tutto una giornata di memoria per le quasi tremila persone uccise negli attentati. Ma quella tragedia ha lasciato anche una lezione organizzativa che il mondo delle imprese può ancora interrogare: gli eventi estremi non rispettano le previsioni e possono mettere in discussione in poche ore ciò che è stato costruito in anni. Nel 2001 la vulnerabilità apparve soprattutto fisica. Nel 2026 è anche digitale, tecnologica e interconnessa. La sicurezza, quindi, non consiste più soltanto nel costruire barriere più alte. Consiste nel costruire aziende capaci di continuare a funzionare quando una barriera, inevitabilmente, non basta.
