La conformità che risulta efficace unicamente in presenza dell’intero personale non costituisce resilienza e le scadenze dell’autunno 2026 renderanno evidente la distinzione tra le organizzazioni che hanno prodotto documentazione e quelle che hanno costruito processi effettivamente operativi.Ogni anno, nel corso del periodo estivo, la maggior parte delle organizzazioni italiane ed europee attraversa una fase di riduzione strutturale della propria capacità operativa che raramente viene riconosciuta e governata in modo esplicito. La sovrapposizione dei periodi di congedo determina una contrazione del personale disponibile che investe simultaneamente le funzioni tecniche, quelle decisionali e le controparti esterne.Il Security Operations Center opera con organici ridotti, spesso in regime di sola reperibilità; le figure responsabili delle attività critiche, dalla gestione delle copie di sicurezza alla direzione della risposta agli incidenti, risultano frequentemente assenti o difficilmente raggiungibili; e la medesima condizione interessa i fornitori di servizi e i consulenti esterni ai quali l’organizzazione si appoggia.La catena di responsabilità che, sulla documentazione, appare lineare e presidiata si rivela, in questa fase, discontinua. È in tali condizioni, e non nei periodi ordinari con l’intero personale presente e i piani formalmente disponibili, che la resilienza di un’organizzazione può essere effettivamente misurata; da questa osservazione discende la tesi del presente contributo: la conformità che risulta efficace unicamente in presenza dell’intero personale non costituisce resilienza, bensì una rappresentazione documentale di un comportamento che non è mai stato verificato in condizioni avverse.L’autunno 2026, per il concentrarsi di scadenze regolatorie di particolare rilievo, è destinato a trasformare tale distinzione da questione di principio a elemento con conseguenze giuridiche, economiche e reputazionali immediate. Il mese di agosto costituisce, in questa prospettiva, una verifica non programmata della tenuta organizzativa, nella quale il soggetto verificatore non è l’autorità di controllo, bensì un soggetto ostile che pianifica le proprie azioni tenendo conto dei periodi di ridotta operatività delle vittime.L’evidenza empirica raccolta negli ultimi anni, come si illustrerà, conferma la sistematicità di tale comportamento. Nel linguaggio corrente i termini «sicurezza» e «resilienza» tendono a essere impiegati in modo intercambiabile, benché designino proprietà distinte. La sicurezza attiene alla capacità di prevenire il verificarsi di eventi indesiderati; la resilienza attiene alla capacità di assorbire tali eventi quando la prevenzione risulta inefficace, circostanza che statisticamente si verifica in ogni organizzazione, e di continuare a erogare le funzioni essenziali durante e dopo l’evento avverso; ne consegue difatti una prima implicazione operativa spesso trascurata: la resilienza è una proprietà del sistema organizzativo nel suo complesso, non una qualità delle singole persone che lo compongono.Un’organizzazione la cui capacità di reagire a un attacco che si manifesti nelle ore notturne di un giorno festivo dipende dall’effettiva reperibilità di un determinato individuo non può dirsi resiliente, poiché la continuità del servizio risulta affidata a una circostanza contingente anziché a un presidio strutturato.Indice degli argomenti