Il problema non è un nuovo attacco, ma un regime di reporting che si accavalla e rallenta la risposta. Se lo stesso incidente genera più filing quasi identici verso agenzie diverse, la coordinazione interna si frammenta invece di accelerare.
Il GAO dice che 80 regole federali su 117 hanno requisiti sovrapposti, in un esame che ha coinvolto 37 agenzie. In alcuni settori, come i servizi finanziari, una sola violazione può già ricadere sotto più obblighi preesistenti e, in prospettiva, anche sotto le regole CIRCIA ancora pendenti.
Per i soggetti che rientrano in più regimi federali, il rischio operativo è avere orologi, formati e destinatari diversi per lo stesso evento. Finché l’armonizzazione resta ferma, il collo di bottiglia non è tecnico ma amministrativo: la risposta all’incidente parte già spezzata.