Un decreto a bilancio invariato è una misura legale che aggiunge o modifica obblighi senza prevedere nuovi finanziamenti. In pratica, l'ente o il ministero deve assorbire il lavoro aggiuntivo con il personale, i sistemi e le procedure già esistenti. Questo può sembrare efficiente sulla carta, ma spesso sposta il costo reale sul carico di lavoro, sui ritardi di attuazione o su una minore attenzione ad altre responsabilità.
Nella sicurezza informatica, i mandati a bilancio invariato sono importanti perché l'applicazione dipende dalla capacità operativa. Nuove regole per la supervisione dell'IA, la segnalazione degli incidenti o i controlli di conformità sono efficaci solo se i team possono mantenere gli inventari, esaminare i log, tenere traccia dei fornitori e gestire gli audit. Quando le risorse non corrispondono al mandato, i difensori possono non individuare le lacune, mentre gli attaccanti possono trarre vantaggio da una supervisione lenta e da controlli incoerenti. Il termine descrive quindi non solo una scelta giuridica, ma anche un vincolo pratico su quanto bene una politica di sicurezza possa essere attuata.