La solidità d’impresa nell’era del rischio cyber

Per anni il rischio cyber è stato confinato in un perimetro tecnico, trattato come una variabile operativa da delegare all’IT. Oggi questa impostazione non è più sostenibile. Il rischio cyber è diventato un rischio strategico, con impatti diretti sulla continuità aziendale, sulla resilienza operativa e, sempre più spesso, sul merito creditizio.

E' una traiettoria ormai evidente, accelerata dall’aumento degli attacchi, dalla digitalizzazione pervasiva dei processi e dall’entrata in vigore di regolamenti come DORA e NIS2, che hanno definitivamente spostato la responsabilità del rischio cyber ai livelli apicali dell’organizzazione.

Il messaggio (implicito) della Banca d’Italia

In questo contesto si inserisce un contributo recentissimo e di forte rilevanza istituzionale: uno studio pubblicato da Banca d’Italia che propone la costruzione di un indice di rischio cyber per le imprese non finanziarie, con l’obiettivo esplicito di supportare la valutazione del merito creditizio.

Il segnale è chiaro: il rischio cyber non è più solo un problema di sicurezza informatica, ma un fattore in grado di influenzare l’accesso al credito e il suo costo.

Il razionale dello studio è pienamente coerente con l’evoluzione del contesto in cui le società si trovano ad operare: gli attacchi cyber sono in costante aumento, anche in Italia, e colpiscono sempre più frequentemente imprese non finanziarie, con conseguenze severe:

• un incidente cyber può bloccare la produzione
• può interrompere la supply chain
• può generare costi legali, sanzioni regolamentari e danni reputazionali.

Tutti questi effetti hanno un esito comune: impattano sui flussi di cassa e sulla solvibilità dell’impresa. Basti pensare al recente incidente che ha coinvolto Jaguar Land Rover, tale da rendere necessario un intervento pubblico per evitare il fallimento.

Lo studio di Banca d’Italia parte da questa evidenza e rileva che, se il rischio cyber incide sulla continuità aziendale, allora deve essere incorporato nei modelli di valutazione del rischio di credito.

Il modello proposto da Banca d'Italia

Per valutare il rischio cyber, gli autori propongono un approccio basato su informazioni osservabili dall’esterno, costruendo un indice che analizza dati pubblici e semi-pubblici, tra cui:

• bilanci;
• comunicazioni ufficiali delle imprese;
• notizie di stampa relative a incidenti cyber;
• evidenze su compliance normativa, certificazioni e tecnologie di difesa dichiarate;
• fonti OSINT.

Si tratta di un’impostazione metodologicamente solido, soprattutto se si considera che l’analisi viene condotta senza accesso a informazioni riservate su processi interni, architetture tecnologiche o livello di maturità della governance cyber.

Un approccio condivisibile, ma inevitabilmente parziale

Proprio questa natura “esterna” rappresenta però anche il principale limite del modello. L’indice si basa in larga misura su incidenti già avvenuti e resi pubblici: descrive bene chi è stato colpito, ma dice poco su chi non è ancora emerso o su chi ha subito incidenti non divulgati.

Il rischio cyber, però, non è solo ciò che è già accaduto. È soprattutto ciò che potrebbe accadere, date determinate condizioni.

Una valutazione condotta “dall’interno” consente di analizzare elementi che fanno la differenza:

• l’analisi dei controlli di sicurezza implementati;
• la valutazione del loro livello di maturità ed efficacia;
• la capacità di prevenzione, rilevazione e risposta agli incidenti;
• l’analisi dei near miss, i “quasi incidenti”, e dei loro trend nel tempo.

Questo non riduce il valore dello studio, che resta un riferimento importante, anche come spunto per la valutazione del rischio di terze parti, ma ne chiarisce i confini applicativi.

La postura cyber come leva strategica

Al di là della metodologia di calcolo adottata, il messaggio di fondo è inequivocabile: il rischio cyber sta diventando una variabile chiave nella valutazione complessiva dell’impresa.

Avere una buona postura cyber non è solo una misura difensiva, ma una vera leva strategica. Una postura solida riduce la probabilità di business disruption, limita l’esposizione a sanzioni e contenziosi e rafforza la fiducia di clienti, partner e investitori.

E c’è un ulteriore elemento da considerare: nel prossimo futuro il rischio cyber inciderà sempre più anche sul costo del capitale, influenzando condizioni di accesso al credito e premi assicurativi.

Se il rischio cyber entra nei modelli di rating, allora la cybersecurity diventa un fattore economico misurabile.

Cyber risk e M&A: un tema non più rinviabile

Questo cambio di paradigma ha implicazioni dirette anche nelle operazioni di M&A, dove il rischio cyber dovrebbe essere incluso sistematicamente nelle attività di due diligence, al pari dei rischi finanziari, legali e fiscali.

Un incidente informatico che colpisca una società acquisita può infatti bloccarne le operazioni, generare violazioni normative e propagarsi rapidamente all’intero gruppo.

Ignorare il rischio cyber in fase di acquisizione significa quindi esporsi a passività latenti, che spesso emergono solo dopo il closing, quando è ormai troppo tardi per intervenire sul prezzo o sulle garanzie contrattuali.