The winner was presented on stage at Brandweek 2026 https://www.adweek.com/creativity/ai-r-studio-wins-higgsfields-ai-adathon-competition/

Brand partners are set to be stars at Bravo Fan Fest 2026. https://www.adweek.com/convergent-tv/bravo-fan-fest-is-turning-brands-into-bravolebrities/

Crocs chief brand officer Terence Reilly demonstrated the brand’s ‘audacious’ social strategy live at Brandweek. https://www.adweek.com/brand-marketing/how-crocs-became-one-of-tiktok-shops-top-sellers/

SBOM e supply chain sono legati da un obbligo asimmetrico. La distinta base del software è l’elenco dei componenti software di un prodotto digitale. Il Cyber Resilience Act ne renderà obbligatoria la redazione per i fabbricanti. Una rilevazione europea su 334 organizzazioni mostra però che il documento quasi non circola: il 39% non lo riceve mai dai fornitori di software commerciale e un altro 39% lo riceve raramente.

Nello stesso periodo, in Italia, il 56% delle segnalazioni di incidente grave trasmesse alla Banca d’Italia ha coinvolto un fornitore. Le due rilevazioni misurano popolazioni diverse e non si verificano a vicenda, come si dirà più avanti. Accostate, però, descrivono una tensione precisa: lo strumento di trasparenza progettato per governare la catena di fornitura è quello che meno passa di mano.

Che cosa chiede il CRA su SBOM e supply chain

Dipendenze di primo livello, non tutta la catena

Il regolamento definisce la distinta base all’articolo 3, punto 39: “un registro formale contenente i dettagli e le relazioni della catena di approvvigionamento dei componenti inclusi negli elementi software di un prodotto con elementi digitali”.

L’obbligo sta invece nell’allegato I, parte II, punto 1 del regolamento (UE) 2024/2847. Impone ai fabbricanti di identificare e documentare le vulnerabilità e i componenti del prodotto. Devono farlo redigendo “una distinta base del software in un formato di uso comune e leggibile da un dispositivo automatico, che includa almeno le dipendenze di primo livello del prodotto”.

L’avverbio conta. La formula “almeno le dipendenze di primo livello” fissa un pavimento, non un tetto. Il fabbricante deve dichiarare le componenti che ha incluso direttamente, mentre le dipendenze delle dipendenze, cioè il grosso di una catena moderna, restano fuori dall’obbligo minimo.

Il considerando 77 spiega la finalità: aiutare fabbricanti e utilizzatori a tenere traccia delle vulnerabilità e dei rischi di cibersicurezza. La distanza fra quella finalità e il pavimento normativo è il primo nodo aperto.

Le tre date che contano

L’articolo 71 scagliona l’applicazione su tre momenti. Il capo IV, articoli da 35 a 51, si applica dall’11 giugno 2026. L’articolo 14, quello sugli obblighi di segnalazione, si applica dall’11 settembre 2026. Il resto del regolamento, compresi i requisiti dell’allegato I, si applica dall’11 dicembre 2027.

L’obbligo di redigere la distinta base non è quindi ancora in vigore. Chi oggi la produce lo fa per scelta, per pressione contrattuale o per anticipare la scadenza.

Prodotto sì, consegnato no

I dati che seguono vengono dal rapporto SBOM Adoption State of Play 2026 di ENISA, pubblicato nel giugno 2026 su una rilevazione condotta a fine 2025. Hanno risposto 334 organizzazioni, per l’87,72% del settore privato, per oltre il 65% grandi imprese sopra i 250 dipendenti e per il 65% operanti principalmente nell’Unione.

Chi lo riceve, e quanto spesso

Alla domanda su quanto spesso ricevano un SBOM dai fornitori di software commerciale, il 39% delle organizzazioni risponde mai e un altro 39% raramente. Solo il 2% risponde sempre.

È il dato che ribalta la percezione corrente. Si discute molto di come produrre una distinta base e pochissimo del fatto che, oggi, riceverne una da un fornitore è statisticamente un’eccezione.

Dieci contratti su cento

Sul versante contrattuale la fotografia è coerente. Solo il 10% dei rispondenti dichiara che la propria organizzazione ha stabilito requisiti SBOM obbligatori nei contratti di fornitura.

Le altre risposte descrivono intenzioni più che pratiche consolidate: il 55% si dichiara in procinto di inserirli in modo sistematico, il 37% li inserisce già in modo occasionale, il 27% prevede di farlo. Le voci non sono mutuamente esclusive, quindi non vanno sommate né lette come una ripartizione.

Quanti fornitori soddisfano i requisiti

Dove i requisiti esistono, la conformità resta bassa. Il 45% delle organizzazioni dichiara che solo fra lo 0 e il 25% dei propri fornitori soddisfa i requisiti richiesti. Appena il 2% colloca i propri fornitori nella fascia fra il 75 e il 100%.

C’è anche un divario fra la profondità di analisi che serve e quella che arriva: il 24% dichiara di avere bisogno di SBOM con analisi a profondità piena, ma solo il 14% li riceve.

ENISA indica l’ostacolo che incide in modo estremo con maggiore frequenza: l’indisponibilità o la scarsa qualità degli SBOM di terze parti. Non è un problema di strumenti interni, è un problema di consegna.

Adozione avviata, uso ancora no

Sul grado di adozione interna, il 9% dichiara un livello maturo e pienamente automatizzato. Il 25% afferma che gli SBOM sono ampiamente adottati nei propri prodotti, il 44% si trova in fase pilota o di adozione limitata, mentre il 22% non ha ancora iniziato.

La domanda più rivelatrice riguarda però la distanza fra produrre una distinta base e usarla davvero. Il 44% dichiara un divario moderato, il 23% un divario significativo, e solo il 7% lo ha chiuso del tutto.

ENISA ne trae una conclusione esplicita, che vale la pena riportare: gli SBOM non sono usati appieno per la sicurezza, ma principalmente per finalità di conformità. Il documento diventa un adempimento, non un controllo.

Formati frammentati e correlazione difficile

Gli ostacoli tecnici spiegano in parte il divario. Il 62% dei rispondenti giudica la completezza dell’SBOM abbastanza o estremamente difficile da ottenere. Sulla correlazione fra componenti e vulnerabilità note, il 35% risponde abbastanza difficile e il 23% estremamente difficile. Il 37% segnala problemi di qualità dei dati e il 28% carenza di competenze.

I formati restano frammentati. CycloneDX è usato dal 44% e SPDX dal 29%, mentre il 17% adotta un formato proprietario e l’11% dichiara di non usare alcun formato standard. ENISA legge quel 28% complessivo come una possibile barriera all’interoperabilità sul mercato europeo, che è cosa diversa dalla leggibilità automatica del file.

La leva per risolverla esiste già, e non è stata usata. L’articolo 13, paragrafo 24 consente alla Commissione di specificare con atti di esecuzione il formato e gli elementi della distinta base di cui all’allegato I. Gli atti devono tenere conto delle norme e delle migliori pratiche europee o internazionali.

Il 79% che va maneggiato con cura

Il rapporto riporta anche una nota di ottimismo: secondo le stime dei rispondenti, il 79% delle organizzazioni raggiungerà il livello di maturità necessario entro la piena applicabilità del CRA, indicata nel dicembre 2027.

Tre cautele prima di citarla. È una autovalutazione, non una misura. Proviene dallo stesso campione che dichiara un tasso di adozione matura del 9%. E lo stesso rapporto registra che il 30% dei rispondenti prevede di aver bisogno di due anni o più per arrivare a quel livello.

Dove gli incidenti accadono davvero

Il peso dei fornitori nelle segnalazioni italiane

La Banca d’Italia ha pubblicato il 9 luglio 2026 il Quadro segnaletico di Vigilanza dei gravi incidenti ICT. L’analisi completa del primo bilancio DORA italiano è su queste pagine, e qui conta un dato solo. Nel 56% delle segnalazioni del 2025 risulta coinvolto un fornitore di servizi. Per le banche meno significative l’Istituto scrive che il fornitore è all’origine dell’evento nella quasi totalità delle segnalazioni relative a incidenti operativi.

Il confronto con gli anni precedenti va fatto con il dato giusto. Le due edizioni non sono direttamente comparabili, perché cambiano base normativa, perimetro e soglie. L’Istituto dedica al raffronto una sezione apposita, che restringe l’analisi ai soli soggetti presenti in entrambi gli schemi.

Su quel sottoinsieme, scrive la Banca d’Italia, il coinvolgimento dei fornitori di servizi ICT negli incidenti “rimane elevato, pari a circa il 57%”. È la fonte stessa a qualificare quel livello come elevato. I valori degli anni precedenti compaiono nel grafico che accompagna la frase, quindi il confronto puntuale anno su anno non si ricostruisce dal testo.

Un accostamento, non una correlazione

I due blocchi di dati vanno letti insieme con una precisazione. ENISA interroga organizzazioni di settori diversi in tutta Europa, la Banca d’Italia conta segnalazioni di intermediari finanziari vigilati in Italia. Le popolazioni non coincidono e nessuna delle due fonti misura l’altra.

L’accostamento regge come argomento, non come nesso statistico. Dice che la dipendenza da terzi è il punto dove gli incidenti si realizzano, e che lo strumento pensato per renderla trasparente è anche quello che meno passa di mano.

Il meccanismo è visibile negli attacchi alla supply chain, dove la compromissione di un pacchetto si propaga attraverso dipendenze che nessun inventario di primo livello avrebbe intercettato. Sul versante degli standard SBOM il lavoro di normalizzazione procede, ma riguarda il formato del documento, non la sua circolazione.

Perché un documento riservato non produce trasparenza

La tensione non nasce dalla prassi, sta dentro il regolamento. Il considerando 77 include fra i destinatari del beneficio anche chi acquista il software: la distinta base “può fornire a coloro che realizzano, acquistano e utilizzano il software informazioni che migliorano la loro comprensione della catena di approvvigionamento”. Lo stesso considerando si chiude però con una frase netta: “I fabbricanti non dovrebbero essere obbligati a rendere pubblica la distinta base del software”.

La parte dispositiva conferma. L’allegato VII colloca la distinta base fra le informazioni sui processi di gestione delle vulnerabilità che compongono la documentazione tecnica del prodotto, cioè il fascicolo che il fabbricante tiene a disposizione delle autorità.

Verso il cliente, invece, la consegna resta facoltativa. L’allegato II elenca le informazioni e le istruzioni per l’utente. Al punto 9 chiede di indicare dove reperire il documento solo “se il fabbricante decide di mettere a disposizione dell’utilizzatore la distinta base del software”. È il regolamento stesso a contemplare la scelta di non consegnarla.

Anche il potere delle autorità è circoscritto. L’articolo 13, paragrafo 25 consente alle autorità di vigilanza del mercato di chiedere le distinte base ai soli fabbricanti delle categorie di prodotti individuate dal gruppo di cooperazione amministrativa. Il contesto è la valutazione della dipendenza degli Stati membri e dell’Unione nel suo complesso dai componenti software, in particolare quelli liberi e open source. Le informazioni sulle dipendenze arrivano poi al gruppo in forma anonimizzata e aggregata, “al fine di tutelare la riservatezza delle distinte base del software”.

L’obbligo di redazione nasce quindi orientato al controllo regolamentare, non allo scambio commerciale. Il dato misurato da ENISA è la conseguenza prevedibile di quella scelta: un documento che si genera e non si consegna.

Le leve disponibili sono contrattuali prima che tecniche. Un requisito vincolante nel contratto di fornitura, oggi presente in un caso su dieci, è la variabile su cui un’organizzazione può agire senza attendere il dicembre 2027. Chi si occupa di gestione del rischio dei fornitori trova qui la richiesta più concreta da mettere a contratto.

Tre grandezze diranno se qualcosa si muove: la quota di organizzazioni che riceve una distinta base dai propri fornitori, la quota che la rende obbligo contrattuale, e la percentuale di fornitori che effettivamente la consegna. Finché resteranno dove sono, il legame fra SBOM e supply chain resterà sulla carta: il documento certificherà la conformità di chi lo redige, senza migliorare la sicurezza di chi dovrebbe riceverlo.

https://www.ictsecuritymagazine.com/articoli/sbom-fornitori-cra/

Priced at roughly $1,000 a year, Decoded is a fraction of the cost but has a similar strategy. https://www.adweek.com/media/politico-launches-decoder-subscription/

Oracle on Tuesday announced the release of 673 new security patches as part of its September 2026 Critical Security Patch Update (CSPU).

The security updates appear to resolve more than 800 vulnerabilities: there are 672 unique CVEs in the 17 risk matrices included in the September 2026 CSPU advisory, but Oracle also notes that more than 130 additional CVEs have been resolved with the patches for other flaws.

More than 100 of the newly addressed security defects are critical-severity flaws, and over 240 are remotely exploitable without authentication.

Oracle E-Business Suite received 159 security patches, the largest batch of the CSPU. 19 of the vulnerabilities can be exploited remotely without authentication.

Fusion Middleware followed closely, receiving 153 patches, including fixes for 78 unauthenticated, remotely exploitable flaws. Hyperion was third, with 102 patches (50 remotely exploitable without authentication).

Oracle also rolled out a significant number of patches for Siebel CRM (63), Analytics (50), Communications (31), Commerce (27), Supply Chain (19), Virtualization (19), and PeopleSoft (16).

The Communications update stands out, as half of its patches resolve more than 125 additional CVEs.

Other Oracle products that received patches this month include Database Server, Enterprise Manager, Financial Services Applications, Application Testing Suite, Java SE, Autonomous Health Framework, and Utilities Applications.

Oracle makes no mention of any of these vulnerabilities being exploited in the wild, but warns users that threat actors are regularly exploiting flaws in its products, urging customers to apply the updates as soon as possible.

“In some instances, it has been reported that attackers have been successful because targeted customers had failed to apply available Oracle patches. Oracle therefore strongly recommends that customers remain on actively-supported versions and apply security patches without delay,” Oracle notes.

Related: $1 Million Sandbox Challenge Uncovers Linux Kernel Flaws

Related: Apple Patches 200 Vulnerabilities With New iOS 27, macOS Golden Gate 27 Releases

Related: Thai Broadband Provider Hacked via Fortinet Vulnerability

Related: Root RCE Zero-Day in Cisco Secure Email Gateway Under Active Exploitation

https://www.securityweek.com/oracle-patches-800-vulnerabilities-in-september-2026-security-update/

Gli incidenti ICT gravi comunicati alla Banca d’Italia nel 2025 sono 101 eventi, che hanno prodotto 137 segnalazioni di vigilanza. I numeri compaiono nel Quadro segnaletico di Vigilanza dei gravi incidenti ICT, l’analisi orizzontale pubblicata il 9 luglio 2026 fra le pubblicazioni cyber dell’Istituto. Non è il primo documento del genere, perché la Banca d’Italia pubblica analisi analoghe da anni. È però il primo costruito interamente sulle definizioni, sul perimetro e sulle soglie del regolamento DORA, applicabili dal 17 gennaio 2025.

Letto accanto all’edizione precedente, il documento smentisce due convinzioni diffuse: che la quota degli attacchi stia crescendo, e che il peso dei fornitori continui a salire.

Come si contano gli incidenti ICT gravi

Un evento, molte segnalazioni

La Banca d’Italia distingue due grandezze che vengono spesso confuse. L’evento è il singolo accadimento. La segnalazione è la notifica che il singolo intermediario trasmette all’autorità.

Un guasto presso un fornitore usato da più intermediari resta un evento solo, e produce tante segnalazioni quanti sono i soggetti colpiti. Lo stesso effetto si ottiene quando più entità dello stesso gruppo segnalano l’evento che le riguarda tutte.

Il rapporto fra le due grandezze si è ridotto. Nel 2024 le segnalazioni erano 188 a fronte di 103 eventi, circa 1,8 per evento. Nel 2025 sono 137 a fronte di 101 eventi, circa 1,4.

Prima di leggervi un fenomeno di mercato conviene considerare una spiegazione normativa. Il nuovo quadro ammette la segnalazione aggregata, che prima non esisteva: una sola notifica per tutte le entità colpite dallo stesso incidente, da cui restano esclusi, fra gli altri, gli enti creditizi significativi.

Il requisito però è stretto. Non può farlo un fornitore qualsiasi, ma solo il terzo a cui l’entità abbia esternalizzato formalmente gli obblighi di segnalazione, con un accordo comunicato all’autorità prima della prima notifica. È una configurazione presumibilmente rara, non la condizione ordinaria di un fornitore usato da più banche.

Un guasto che prima produceva dieci segnalazioni può oggi produrne una. Il documento non dice se la Banca d’Italia abbia consentito l’aggregazione né quante ne siano arrivate, quindi fra le due letture, minore propagazione lungo la filiera oppure effetto del modulo, non si può scegliere.

Una riserva ulteriore, ripresa più avanti: il documento 2025 descrive a parole un aumento degli eventi che le cifre pubblicate nelle due edizioni non restituiscono.

Chi segnala, e secondo quali soglie

Il perimetro dei soggetti che segnalano alla Banca d’Italia comprende:

• banche, imprese di investimento e gestori;
• istituti di pagamento e istituti di moneta elettronica;
• prestatori di servizi per le cripto-attività ed emittenti di token collegati ad attività;
• fornitori di servizi di crowdfunding;
• Cassa Depositi e Prestiti;
• Poste Italiane, limitatamente all’attività di Bancoposta.

L’elenco non coincide con quello di DORA. L’articolo 2 del regolamento include anche imprese di assicurazione e di riassicurazione, intermediari assicurativi ed enti pensionistici aziendali o professionali. Include inoltre agenzie di rating del credito, amministratori di indici di riferimento critici, depositari centrali di titoli, controparti centrali, sedi di negoziazione e repertori di dati. Quei soggetti rispondono ad autorità diverse, nazionali o europee, quindi non compaiono in questo documento pur essendo pienamente dentro DORA.

Per banche, istituti di pagamento, prestatori di servizi di informazione sui conti e istituti di moneta elettronica l’obbligo non si ferma agli incidenti ICT gravi. Si estende anche agli incidenti operativi o relativi alla sicurezza dei pagamenti, che restano una categoria distinta.

Che cosa conti come grave non lo decide la funzione sicurezza dell’intermediario. Lo stabilisce il regolamento delegato (UE) 2024/1772, che fissa i criteri di classificazione e le soglie di rilevanza. Formati, modelli e procedure standard arrivano invece dal regolamento di esecuzione (UE) 2025/302.

Il regolamento di esecuzione 2025/302 disciplina, all’articolo 7, la segnalazione aggregata richiamata sopra. Le condizioni sono cinque. L’incidente deve nascere presso il fornitore. Il fornitore deve prestare il servizio a più di un’entità finanziaria o a un gruppo. Le entità devono stare in un unico Stato membro e sotto la stessa autorità. Ciascuna deve averlo classificato come grave. E l’autorità competente deve aver espressamente consentito l’aggregazione a quel tipo di entità.

Ogni percentuale citata più avanti va letta dentro quelle soglie, e con l’indicazione della base su cui è calcolata.

Dove il sistema si rompe

Il fornitore, sopra la metà ma sotto il picco

Nel 56% delle segnalazioni del 2025 risulta coinvolto un fornitore di servizi. La cifra va inserita in una serie, perché da sola induce in errore: era circa il 45% nel 2023 e il 65% nel 2024. Il 2025 arriva quindi dopo un picco, non dopo una salita continua.

Il confronto resta indicativo, perché le basi di calcolo non coincidono. Il 65% del 2024 è calcolato sugli incidenti segnalati, il 56% del 2025 sulle segnalazioni, e il perimetro dei soggetti obbligati è cambiato nel mezzo.

Sulle banche meno significative il documento 2025 non pubblica una percentuale. Scrive che il fornitore è all’origine dell’evento nella quasi totalità delle segnalazioni relative a incidenti operativi. L’edizione 2024 quantificava: il 92% degli incidenti operativi di quelle banche nasceva presso un fornitore, contro il 46% delle banche significative.

Sempre nel 2024, il fornitore compariva nel 72% degli incidenti operativi e nel 40% di quelli cyber. La quota di incidenti con fornitore coinvolto era dell’86% nelle banche meno significative, contro il 44% di quelle significative. La lettura della redazione è che il divario rifletta un diverso grado di esternalizzazione, anche se la fonte non misura quanto ciascuna categoria abbia esternalizzato. È lo stesso quadro già descritto su queste pagine a proposito del rischio dei fornitori e della supply chain estesa.

Cambiamenti ICT e attacchi, un pareggio stimato

Qui servono due avvertenze sulle basi di calcolo, perché il documento ne usa di diverse nella stessa sezione.

Gli eventi di cybersicurezza sono il 23% degli eventi totali. Al loro interno prevale l’esfiltrazione di dati, seguita dagli attacchi alla catena di fornitura, dal ransomware e dall’ingegneria sociale.

Gli eventi operativi attribuibili ai cambiamenti dei sistemi ICT, cioè rilasci, migrazioni e aggiornamenti pianificati, valgono circa il 30% degli eventi operativi. Non del totale.

Perché la stima resta condizionata

La Banca d’Italia presenta gli eventi in due insiemi, operativi e di cybersicurezza. Il modulo di segnalazione è però più articolato. Il campo 3.23, tipo di incidente, prevede sei voci: connesso alla cibersicurezza, malfunzionamento del processo, avaria del sistema, eventi esterni, connesso ai pagamenti e altro da precisare.

Le voci sono a scelta multipla, quindi uno stesso incidente può portarne più di una, e una di esse è residuale. I due insiemi della presentazione sono perciò una scelta di aggregazione dell’Istituto, non una proprietà del sistema di segnalazione.

Se quei due insiemi sono esaustivi e disgiunti, gli eventi operativi valgono il 77% e i cambiamenti ICT si collocano intorno al 23% degli eventi complessivi. È una stima derivata da chi scrive, subordinata a quella condizione, non una cifra pubblicata dall’Istituto.

Ne esce un pareggio sostanziale fra le due grandezze.

Il modulo tiene i cambiamenti su un altro asse

Non è però lecito ordinare i cambiamenti rispetto alle altre cause, perché le due letture stanno su assi diversi, e il regolamento lo dimostra.

Il tipo di incidente si dichiara nella relazione intermedia, al campo 3.23. Le cause di fondo si dichiarano nella relazione finale, su tre livelli. Il campo 4.1 elenca azioni dolose, malfunzionamento del processo, avaria o malfunzionamento del sistema, errore umano ed evento esterno. La gestione delle modifiche compare solo al terzo livello, il campo 4.3. Sta sotto la voce sull’inadeguatezza o il malfunzionamento delle operazioni TIC, accanto alla gestione delle vulnerabilità e delle patch, al backup e ripristino e al trattamento degli errori.

Il regolamento non ignora quindi i cambiamenti: li colloca su un altro asse e in un’altra fase. Un malfunzionamento può del resto nascere da un rilascio, e le due classificazioni non si escludono.

L’argomento regge quindi su un altro piano. Fra le cause di peso comparabile, il governo del cambiamento è l’unica interamente nelle mani dell’intermediario. Un programma di conformità che concentra la spesa sulla difesa dall’attaccante lascia scoperta una voce di dimensioni simili, e per giunta quella su cui l’organizzazione può intervenire senza dipendere da terzi.

La quota cyber non sta crescendo

Il confronto con gli anni precedenti smonta una narrazione diffusa. Nelle segnalazioni raccolte dal vecchio quadro la componente cyber è stata il 32% nel 2020, il 21% nel 2021, il 15% nel 2022, il 28% nel 2023 e il 21% nel 2024. Il 23% del 2025 cade dentro quella banda.

La quota va però tenuta distinta dal valore assoluto, che racconta un’altra storia. Le segnalazioni cyber sono passate da 26 nel 2020 a 40 nel 2024, mentre il totale cresceva più in fretta. Gli attacchi aumentano in numero, non in peso relativo, e i due fatti convivono senza contraddirsi.

Anche qui la base cambia, perché fino al 2024 la percentuale era calcolata sulle segnalazioni e nel 2025 sugli eventi. La conclusione prudente è che sei anni di dati di vigilanza non mostrano una crescita strutturale del peso relativo degli attacchi.

Tempi di reazione, danni e continuità

Quattro ore, non ventiquattro

La scadenza che circola nei materiali divulgativi, ventiquattro ore, è una semplificazione. L’articolo 5 del regolamento delegato (UE) 2025/301 fissa termini di segnalazione articolati.

La notifica iniziale va trasmessa quanto prima, e comunque entro quattro ore dalla classificazione dell’evento come grave, ed entro ventiquattro ore dal momento in cui l’entità ne è venuta a conoscenza. La relazione intermedia segue entro settantadue ore dalla notifica iniziale. La relazione finale arriva entro un mese dall’ultima relazione intermedia.

Il vincolo stringente sono quindi le quattro ore dalla classificazione. Su questo sfondo pesa un altro numero dell’analisi orizzontale: circa il 28% degli eventi viene rilevato oltre le ventiquattro ore. Circa la metà viene rilevata subito, il 20% entro otto ore e il 3% fra le otto e le ventiquattro. Le quote sono arrotondate e la loro somma eccede di poco il totale.

Il ritardo di rilevazione non produce di per sé una violazione, perché l’orologio parte dalla conoscenza. Misura però quanto a lungo l’intermediario resta all’oscuro, e di conseguenza quanto tardi il supervisore vede il fenomeno. Chi prepara i test di resilienza trova qui la metrica su cui allenarsi.

Le perdite passano da un altro canale

Circa il 35% delle segnalazioni riporta perdite economiche, che il documento definisce di bassa entità. Cinque episodi hanno superato il milione di euro: il recupero è stato integrale in due casi, parziale negli altri.

Il 2024 raccontava la stessa dimensione con un altro riferimento, segnalando che in pochi casi, sette su 188, l’impatto superava i due milioni di euro. Nessuna delle due cifre è una soglia normativa, sono entrambe illustrazioni, quindi il confronto fra le due non dice nulla.

Una soglia normativa però esiste, e sta molto più in basso. L’articolo 7 del regolamento 2024/1772 definisce l’impatto economico come somma di costi e perdite diretti e indiretti, al lordo dei recuperi. L’articolo 9, paragrafo 6 ne fissa la soglia di rilevanza a 100.000 euro, sostenuti o potenziali.

Quella soglia da sola non fa però scattare nulla. L’impatto economico è una delle sei soglie di rilevanza dell’articolo 9. L’articolo 8 richiede che l’incidente abbia interessato servizi critici. In aggiunta deve essere raggiunta la soglia dell’articolo 9, paragrafo 5, lettera b, oppure ne devono essere raggiunte almeno due fra le altre.

Quella lettera b riguarda gli accessi non autorizzati, dolosi e riusciti ai sistemi informatici e di rete, quando possono comportare perdite di dati. È l’unica cui il regolamento riconosca uno statuto speciale. Toccati i servizi critici, l’intrusione andata a segno basta da sola, anche senza alcun impatto misurabile.

Il milione e i due milioni citati nelle due edizioni restano quindi episodi di coda, dieci e venti volte sopra la soglia di rilevanza economica.

C’è però una ragione più profonda per non cercare qui la fotografia delle perdite. L’articolo 11, paragrafo 10 di DORA impone alle entità finanziarie una trasmissione annuale separata delle stime aggregate dei costi e delle perdite causati da gravi incidenti ICT, secondo gli orientamenti congiunti JC/GL/2024/34. Per i soggetti vigilati dalla Banca d’Italia il termine ordinario è il 31 maggio, spostato al 30 giugno per il 2026. Per i gruppi bancari meno significativi e i gruppi di SIM la trasmissione avviene su base consolidata. Il dato economico vero viaggia quindi su un canale separato e aggregato, mentre il 35% citato sopra resta il residuo di una rilevazione incidente per incidente.

Il servizio si ferma in sette segnalazioni su dieci

Sulla continuità del servizio la trappola è diversa. In entrambe le edizioni circa il 70% delle segnalazioni indica l’interruzione di un servizio, ma la statistica pubblicata cambia. Il 2024 riportava una durata media di circa 21 ore, in forte crescita dalle 9 ore del 2023, e ne attribuiva la causa a eventi operativi presso fornitori. Il 2025 non pubblica alcuna media e descrive solo una distribuzione per fasce: nella maggior parte dei casi non oltre le otto ore, in alcuni episodi fino a ventiquattro, in un numero limitato di casi oltre. Una media e una distribuzione non si confrontano, quindi il quesito su un eventuale miglioramento resta senza risposta pubblica.

Il metro normativo aiuta comunque a inquadrare quella distribuzione. La soglia di rilevanza del criterio sulla durata è raggiunta quando l’incidente supera le 24 ore, oppure quando l’inattività supera le due ore per i servizi TIC a supporto di funzioni essenziali o importanti. Il legislatore considera quindi rilevante un’inattività di due ore, mentre il dato pubblicato descrive interruzioni fino a quattro volte tanto.

Che cosa ha cambiato il passaggio a DORA

Continuità dichiarata, discontinuità di fatto

Il 2024 è stato l’ultimo anno del vecchio quadro, fondato sulla Circolare n. 285 e sulle disposizioni per istituti di pagamento e istituti di moneta elettronica. Dal 17 gennaio 2025 è operativo lo schema DORA, reso applicabile in Italia dalla comunicazione della Banca d’Italia del 27 dicembre 2024.

Il supervisore dichiara continuità di impianto fra i due quadri. La discontinuità riguarda il perimetro, le definizioni e le soglie, e rende improprio ogni confronto puntuale fra le due edizioni, mentre la direzione dei fenomeni resta leggibile.

L’effetto sui numeri è vistoso. Le segnalazioni scendono da 188 a 137, oltre un quarto in meno. Nel frattempo la platea degli obbligati si allarga, e accoglie imprese di investimento, gestori, emittenti di token, prestatori di servizi per le cripto-attività e fornitori di servizi di crowdfunding. Un calo di quella ampiezza a perimetro crescente rimanda alle nuove soglie di rilevanza e alla segnalazione aggregata più che a un sistema improvvisamente più solido.

Resta un punto aperto, quello anticipato in apertura. Il documento 2025 descrive una diminuzione delle segnalazioni a fronte di un aumento degli eventi, mentre le cifre pubblicate nelle due edizioni danno 103 eventi nel 2024 e 101 nel 2025. La discrepanza merita un chiarimento, e nel frattempo conviene non attribuire una direzione al movimento degli eventi.

Tre minacce significative in dodici mesi

Il nuovo quadro ha introdotto la notifica delle minacce informatiche significative, che si trasmette con un modulo separato, l’allegato III al regolamento 2025/302, e non presuppone alcun incidente. La Banca d’Italia vi dedica un capitolo del documento.

Le condizioni per qualificare una minaccia come significativa sono tre e cumulative, fissate dall’articolo 10 del regolamento 2024/1772. La minaccia deve poter colpire funzioni essenziali o importanti dell’entità, oppure altre entità finanziarie, fornitori terzi, clienti o controparti finanziarie. Deve avere elevata probabilità di concretizzarsi. E, se si concretizzasse, dovrebbe soddisfare il criterio della criticità dei servizi oppure raggiungere le soglie sui clienti e sulle transazioni o quella sull’estensione geografica.

Nel 2025 le segnalazioni ricevute su questo canale sono state tre. Due riguardavano minacce ai dati degli intermediari, gestiti da fornitori terzi. La terza riguardava tentativi di accesso non autorizzato ai conti della clientela. Tre in dodici mesi, sull’intero perimetro vigilato, per lo strumento che DORA presenta come la propria novità di metodo.

Le misure che il primo bilancio non fornisce

Tre grandezze mancano, e sono quelle che permetterebbero di valutare l’allargamento del perimetro. Il documento non indica quante segnalazioni provengano dai soggetti prima esclusi. Non riporta le comunicazioni ricevute da altri Stati membri per eventi con impatto in Italia. E non riprende una serie che il vecchio quadro pubblicava da cinque anni, quella sulla quota di incidenti a carico dei servizi di pagamento, intorno all’80% nel 2024.

Che cosa guardare nel prossimo ciclo

Il valore di questo primo bilancio sugli incidenti ICT gravi sta nella linea di base che costruisce. Tre grandezze meritano di essere seguite: la quota di segnalazioni riconducibili a fornitori, il peso dei cambiamenti ICT sugli eventi operativi e la percentuale di rilevazioni oltre le ventiquattro ore. Sono le tre misure su cui un intermediario incide con scelte proprie.

La data che conta di più però è un’altra, il 30 giugno 2026, quando i soggetti vigilati trasmettono le stime aggregate di costi e perdite. Sarà quella misura, e non il conteggio degli eventi, a dire al supervisore quanto costano davvero gli incidenti ICT gravi e se gli adempimenti DORA 2026 stiano incidendo. Si tratta però di una segnalazione di vigilanza, non di una pubblicazione, e nessuna fonte oggi garantisce se e in quale forma quel dato sarà diffuso.

https://www.ictsecuritymagazine.com/articoli/incidenti-ict-gravi-dora-banca-italia-2025/

Dal 27 al 29 ottobre 2026 il centro espositivo di Norimberga ospita it-sa Expo&Congress, la principale manifestazione europea dedicata alla sicurezza informatica e alla resilienza digitale. I lettori di ICT Security Magazine possono accedere ai tre giorni di fiera con un biglietto gratuito.

Gli attacchi informatici che colpiscono le organizzazioni europee sono oggi più scalabili, più automatizzati e più intrecciati al contesto geopolitico internazionale. Sul fronte opposto, la direttiva NIS2 ha esteso gli obblighi di gestione del rischio a un numero molto più ampio di soggetti, imponendo attenzione anche alle catene di fornitura e alle infrastrutture critiche. Chi governa la sicurezza deve quindi combinare scelte tecnologiche, adempimenti normativi e continuità operativa in un unico disegno.

È in questo quadro che si colloca it-sa Expo&Congress, in programma al centro espositivo di Norimberga da martedì 27 a giovedì 29 ottobre 2026. La manifestazione riunisce responsabili della sicurezza informatica, CISO, fornitori tecnologici, integratori di sistemi e figure decisionali provenienti da imprese, pubblica amministrazione e ricerca.

Una fiera cresciuta fino a cinque padiglioni

it-sa si tiene a Norimberga come manifestazione autonoma dal 2009 e si presenta come la più grande fiera europea di settore. Secondo i dati diffusi dall’organizzatore NürnbergMesse, l’edizione 2025 ha registrato 993 espositori distribuiti su cinque padiglioni e 28.267 visitatori professionali provenienti da 64 Paesi, con una crescita di circa nove punti percentuali sull’anno precedente.

L’area espositiva riunisce grandi fornitori, società specializzate e startup, con soluzioni che coprono protezione dei dati, sicurezza del cloud, sicurezza delle reti aziendali, identità digitali e resilienza operativa. Per chi visita la fiera, il valore sta soprattutto nel confronto diretto con i tecnici presenti agli stand: le architetture e le integrazioni si valutano meglio a voce che su una scheda prodotto.

Gli orari di apertura sono 9:00-18:00 il 27 e il 28 ottobre, 9:00-17:00 il 29 ottobre.

ECSO Village e sovranità digitale

Tra gli spazi che caratterizzano il profilo europeo della manifestazione c’è l’ECSO Village, curato dalla European Cyber Security Organisation. L’appuntamento del 2026 è la terza edizione del Village e trova posto nel padiglione 7, stand 7.117.

Lo spazio funziona come punto di incontro tra rappresentanti delle istituzioni, industria ed enti di ricerca, con un programma di sessioni dedicato a sovranità digitale, cooperazione intersettoriale e innovazione. ECSO figura inoltre come European Sovereignty Partner della manifestazione, ruolo che comprende un contributo alla costruzione del programma congressuale e il coinvolgimento delle delegazioni internazionali.

Il programma: Congress@it-sa, Open Forums e it-sa insights

Accanto all’esposizione si svolge Congress@it-sa, il congresso specialistico che nel 2026 apre in anticipo rispetto alla fiera: le sessioni si tengono da lunedì 26 a giovedì 29 ottobre e affrontano questioni normative e tecniche con formati di approfondimento e workshop.

All’interno dei padiglioni il programma si articola invece negli Open Forums, gli spazi in cui espositori ed esperti presentano casi applicativi e risposte operative alle minacce. Nell’edizione 2025 i forum aperti erano sei e hanno ospitato oltre quattrocento interventi. Tra i format ricorrenti figurano gli it-sa insights, panel di analisi condotti con un taglio indipendente rispetto ai singoli fornitori, e la Special Keynote conclusiva affidata a un relatore ospite.

it-sa 365, la piattaforma attiva tutto l’anno

All’evento in presenza si affianca it-sa 365, la piattaforma digitale lanciata nel 2020. L’accesso è gratuito previa registrazione e dà diritto a contenuti specialistici, presentazioni online, appuntamenti come gli IT Security Talks e strumenti di ricerca di espositori, prodotti ed esperti. Dopo la fiera, gli interventi dei forum restano consultabili sulla piattaforma.

Come ottenere il biglietto gratuito

Per i lettori di ICT Security Magazine è disponibile un biglietto gratuito valido per tutti e tre i giorni di fiera.

Per attivarlo è sufficiente aprire la pagina di registrazione dedicata, inserire il codice promozionale itsa26e nel campo riservato ai voucher, confermare con “Redeem” e completare i passaggi di registrazione. Il biglietto viene poi recapitato in formato digitale e può essere mostrato direttamente agli ingressi.

it-sa Expo&Congress 2026 Norimberga, centro espositivo, 27-29 ottobre 2026 Congress@it-sa: 26-29 ottobre 2026 Biglietto gratuito: codice itsa26e su messe-ticket.de

https://www.ictsecuritymagazine.com/notizie/it-sa-expo-congress-2026-biglietto-gratuito/

Bobbie enlisted influencer Nara Smith to stress the point that some things, like baby formula, cannot be made from scratch. https://www.adweek.com/creativity/bobbie-enlists-nara-smith-for-a-satirical-take-on-parenting-pressure/

(Adnkronos) – Minori consumi di energia con benefici economici e ambientali: l’ora legale presenta ancora numerosi vantaggi per lo Stato, le imprese e i cittadini. Difficile però tracciare un bilancio a lungo termine che tenga conto di tutti gli effetti del cambio dell’ora. Proprio da qui dovrebbe partire la ricerca nei prossimi anni. In vista del ritorno dell’ora solare (domenica 25 ottobre), Antonio Disi, responsabile del Laboratorio Strumenti per la Promozione dell’Efficienza Energetica (Dipartimento Enea, Unità per l’Efficienza Energetica), esamina con Adnkronos vantaggi e svantaggi dello spostamento delle lancette due volte all’anno analizzando i dati energetici disponibili per l’Italia e alcune delle evidenze scientifiche più recenti. 

L’ora legale fa risparmiare energia? “Sì, in Italia l’ora legale continua a produrre un risparmio di energia elettrica, anche se il beneficio si è progressivamente ridotto rispetto al passato, soprattutto perché l’illuminazione incide meno sui consumi grazie alla diffusione dei Led e di tecnologie più efficienti – risponde l’esperto – Per i sette mesi compresi tra il 29 marzo e il 25 ottobre 2026, Terna stima un minor consumo di circa 302 milioni di kWh, equivalenti al consumo medio annuo di 115mila famiglie. Il beneficio economico per il sistema elettrico nazionale è valutato in circa 80 milioni di euro, mentre la riduzione delle emissioni è stimata in 142mila tonnellate di CO2. Si tratta, naturalmente, di valori previsionali, ottenuti confrontando i consumi attesi con quelli che si avrebbero mantenendo l’ora solare. Il dato di lungo periodo aiuta però a comprendere la dimensione del fenomeno: secondo Terna, tra il 2004 e il 2025 l’ora legale avrebbe consentito un minor consumo complessivo di oltre 12 miliardi di kWh, con un beneficio economico cumulato stimato in circa 2,3 miliardi di euro”. 

Diversi i vantaggi per lo Stato, le imprese e i cittadini. “Il vantaggio più direttamente quantificabile riguarda il sistema elettrico. Una parte delle attività quotidiane si svolge quando è ancora disponibile luce naturale, ritardando il ricorso all’illuminazione artificiale. L’effetto non è uniforme durante tutti i sette mesi ma tende a essere più rilevante in primavera e in autunno e più contenuto nei mesi centrali dell’estate, quando le giornate sono già molto lunghe”, spiega. Per lo Stato e per il sistema Paese “questo significa minori consumi elettrici, una riduzione della spesa complessiva per l’energia e minori emissioni associate alla produzione di elettricità”. Per le imprese, “soprattutto nei settori del commercio, del turismo, della ristorazione, dello sport e del tempo libero, la maggiore disponibilità di luce nelle ore serali può favorire la frequentazione degli spazi e prolungare alcune attività. Non si tratta però di un beneficio uniforme ma l’effetto varia molto in relazione al settore, al territorio e alle abitudini della popolazione”.  

Per i cittadini, “il vantaggio principale consiste nell’avere più luce naturale nella parte della giornata in cui, terminati il lavoro o la scuola, si concentrano maggiormente gli spostamenti e le attività all’aperto. Alcuni studi associano questa maggiore disponibilità di luce serale a possibili benefici per l’attività fisica, la sicurezza stradale e la riduzione di alcune forme di criminalità. Le evidenze non sono però univoche e devono essere distinte dagli effetti, generalmente di breve durata, prodotti dal cambio dell’ora sul sonno e sui ritmi circadiani”. 

Il bilancio a lungo termine è positivo? “È la domanda più interessante, ma anche quella alla quale la ricerca invita a rispondere con maggiore cautela. Prima di tutto bisogna distinguere due fenomeni: i giorni a ridosso del cambio dell’ora e l’intero periodo dell’ora legale – continua Disi – Gli effetti del cambio sono relativamente ben studiati. Una recente meta-analisi condotta su dodici studi in dieci Paesi stima, ad esempio, un aumento di circa il 4% del rischio di infarto miocardico acuto dopo il passaggio primaverile. Anche in Italia abbiamo evidenze interessanti: uno studio basato sui dati amministrativi Inail 2013-2017 ha rilevato un aumento del 2% degli infortuni sul lavoro nei primi tre giorni successivi all’introduzione dell’ora legale. L’effetto, però, scompare nei giorni successivi. Questo è un punto importante. Gli effetti osservati immediatamente dopo lo spostamento delle lancette ci dicono molto sul costo della transizione, ma non ci dicono quale sia il bilancio dei sette mesi di ora legale”.  

Quindi “per valutare quest’ultimo bisognerebbe costruire un vero controfattuale, confrontando ciò che accade durante i sette mesi di ora legale con ciò che sarebbe accaduto negli stessi mesi mantenendo l’ora solare. E bisognerebbe farlo considerando insieme consumi energetici, emissioni, salute, incidentalità, attività economiche e comportamenti. Oggi abbiamo buone evidenze su alcuni singoli effetti, ma non credo sia scientificamente corretto affermare che esista già un bilancio complessivo e definitivo, positivo o negativo”. 

Intorno a questo tema si è sviluppato un dibattito, anche a livello europeo, sull’eliminazione del cambio dell’ora. “Il problema coinvolge dimensioni diverse e, in parte, contrapposte – chiarisce – Da un lato ci sono il risparmio energetico e i possibili benefici derivanti dalla maggiore disponibilità di luce nelle ore serali; dall’altro gli effetti sui ritmi circadiani e quelli associati allo spostamento delle lancette due volte l’anno. Credo che sia proprio la confusione tra questi due piani a rendere spesso poco chiaro il dibattito. Dimostrare che nei giorni successivi al cambio primaverile aumentano alcuni rischi non significa automaticamente dimostrare che sette mesi di ora legale abbiano un saldo negativo. Allo stesso modo, i 302 GWh di minori consumi stimati da Terna non sono sufficienti, da soli, per concludere che il saldo complessivo sia positivo”.  

Dal punto di vista della ricerca, “la domanda interessante diventa allora un’altra: quanto vale per una società spostare un’ora di luce naturale dalla mattina alla sera? Non soltanto in termini di energia risparmiata, ma considerando insieme effetti economici, ambientali, sanitari e comportamentali. È probabilmente su questo bilancio complessivo che sarebbe utile concentrare maggiormente la ricerca nei prossimi anni”. 

—

economia

webinfo@adnkronos.com (Web Info)

The post Ora solare 2026, i pro e contro del cambio: l’analisi dell’esperto appeared first on Key4biz.

https://www.key4biz.it/ora-solare-2026-i-pro-e-contro-del-cambio-lanalisi-dellesperto/587478/