Negli ultimi giorni, i media internazionali e gli osservatori specializzati in cybersecurity hanno lanciato un forte allarme sul sensibile aumento degli attacchi ransomware contro aziende europee. Proprio mentre la scadenza per l’implementazione della direttiva NIS 2 si avvicina – fissata per l’ottobre 2024 – molte realtà si trovano a dover gestire simultaneamente una vera e propria ondata di crimini informatici e il delicato compito di conformarsi alle nuove e più stringenti normative.
Un fenomeno in preoccupante crescita
Secondo un recente report pubblicato a inizio settimana dalla European Union Agency for Cybersecurity (ENISA), negli ultimi sei mesi gli attacchi ransomware sono cresciuti del 70% tra aziende di servizi essenziali e infrastrutture critiche. Il modus operandi degli aggressori si fa sempre più sofisticato, colpendo non solo i sistemi informatici, ma puntando anche al furto e alla minaccia di divulgazione di dati sensibili, coinvolgendo spesso anche clienti e partner delle aziende bersaglio.
Tra i casi più eclatanti degli ultimi giorni compare l’attacco a un importante gruppo industriale che opera nel settore dell’energia nei Paesi Bassi, con conseguente blocco delle operations per oltre 48 ore e una richiesta di riscatto multimilionaria. Ma fatti del genere, secondo gli analisti, stanno colpendo in modo trasversale tutte le filiere industriali europee, dall’healthcare alla logistica, dall’alimentare alle pubbliche amministrazioni.
NIS 2 e nuove responsabilità per le imprese
La tempistica di questa ondata di illegittimità digitale non è casuale: tra pochi mesi entrerà pienamente in vigore la nuova direttiva NIS 2 (Network and Information Security), che amplia notevolmente il perimetro delle aziende sottoposte a obblighi di cybersecurity rispetto al precedente framework europeo. Saranno infatti centinaia di migliaia le organizzazioni – molte delle quali medio-piccole – chiamate a rispettare requisiti severi di sicurezza, gestione del rischio e notifica di incidenti. In caso di mancata compliance, le multe potranno arrivare fino a 10 milioni di euro o al 2% del fatturato globale annuo dell’azienda.
Le principali novità della NIS 2 includono:
– L’allargamento ai fornitori di servizi digitali e a molti settori diversi (trasporti, acqua, energia, sanità, infrastrutture digitali, pubbliche amministrazioni);
– Un rafforzamento degli obblighi di governance: i top manager dovranno vigilare e rispondere direttamente dell’adeguatezza delle strategie e dei controlli di sicurezza informatica;
– L’obbligo per tutte le aziende interessate di effettuare valutazioni periodiche dei rischi e di dotarsi di piani di gestione dell’emergenza.
Vita d’azienda, priorità e sfide operative
Di fronte a questa complessità normativa e all’incremento dei rischi, molte aziende si stanno interrogando su come strutturare programmi di cybersecurity che siano davvero efficaci e sostenibili a livello organizzativo. Sono numerose, infatti, le realtà che – alla luce degli ultimi attacchi – stanno accelerando la formazione e l’addestramento del proprio personale, adottando strumenti di threat intelligence automatizzata e ingaggiando specialisti esterni per audit, analisi delle vulnerabilità e simulazioni di incidenti (compresi i famosi esercizi di red teaming).
Si tratta di un cambiamento profondo della cultura aziendale: la sicurezza delle informazioni non è più una mera questione tecnica o di compliance formale, ma diventa parte integrante della strategia e della governance. È sempre più diffusa, per esempio, la creazione di incident response plan multidisciplinari e il coinvolgimento della funzione legale nell’analisi degli obblighi di segnalazione agli enti regolatori, come richiesto sia dalla NIS 2 sia dal GDPR in caso di data breach.
Il ruolo centrale della privacy e la convergenza con il GDPR
Una delle questioni più rilevanti è rappresentata dal confine – spesso sottile – tra cybersecurity e privacy. Da un lato le nuove minacce pongono un rischio concreto per i dati personali di clienti, utenti e dipendenti (con implicazioni pesanti in ambito GDPR); dall’altro la NIS 2 spinge le aziende verso una governance fortemente risk-based, in cui l’interazione tra Responsabile della Protezione dei Dati (DPO), IT Security Manager e funzioni di audit diventa cruciale per garantire sia la protezione dei dati sia la continuità operativa.
La crescente interconnessione tra sistemi, processi digitali e supply chain rende indispensabile valutare i rischi anche rispetto a fornitori e partner esterni, sia in fase contrattuale, sia mediante audit periodici e condivisione di best practice.
L’importanza della business continuity e della comunicazione nelle emergenze
Gli ultimi eclatanti casi di cronaca dimostrano che il danno economico diretto di un attacco informatico può essere soltanto la punta dell’iceberg. La fiducia dei clienti, la reputazione aziendale e la capacità di rispondere in tempo utile alle crisi sono elementi che fanno ormai parte della gestione complessiva del rischio e delle responsabilità dei vertici aziendali.
Ecco perché la NIS 2 esplicita anche l’obbligo di notifica tempestiva degli incidenti (entro 24 ore dall’identificazione dell’evento) e la necessità di garantire piani di continuità operativa, coordinando in modo efficace tutte le aree dell’organizzazione coinvolte. In parallelo, i report danno conto di come sia fondamentale comunicare in modo trasparente e proattivo con i clienti, i partner, le autorità e il pubblico: la crisi va gestita anche dal punto di vista della comunicazione, oltre che mitigata a livello tecnico e legale.
Strumenti, soluzioni e best practice per la resilienza
Cosa possono fare concretamente oggi le aziende per rafforzare la sicurezza delle proprie informazioni e rispondere alle nuove normative? Tra le soluzioni più adottate emergono:
– Investimenti mirati in strumenti di cybersecurity avanzata (sistemi anti-ransomware, monitoraggio continuo, segmentazione delle reti);
– Formazione continua per il personale e simulazioni di attacchi/incidenti;
– Introduzione di procedure di backup e disaster recovery agile e testato;
– Mappatura dei dati e dei flussi informativi, con particolare attenzione alle terze parti;
– Collaborazione intra-settoriale attraverso information sharing e partecipazione a organismi settoriali anti-cybercrime.
Inoltre, diventa imprescindibile l’approccio integrato tra risk management, compliance e innovazione tecnologica, anche sfruttando le opportunità offerte dall’intelligenza artificiale per la detection precoce delle minacce e la risposta automatizzata.
Verso una governance digitale responsabile e sostenibile
La convergenza tra nuove normative come la NIS 2, la spinta verso la digitalizzazione e l’aumento degli attacchi informatici impone alle aziende un cambio di marcia: la sicurezza delle informazioni non è più una variabile accessoria, ma un asset strategico sul quale investire risorse, competenze e attenzione continua. Le imprese che sapranno trasformare questi obblighi in cultura condivisa e vantaggio competitivo potranno affrontare con maggiore serenità la trasformazione digitale e consolidare la fiducia di clienti, partner e stakeholder.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio