Negli ultimi giorni, la cronaca IT e le maggiori testate nazionali hanno rilanciato la notizia del grave attacco ransomware subìto dalla società di servizi informatici Eurosoft (giugno 2024), fornitore di numerosi enti pubblici e aziende private del Centro-Nord. Il data breach, che ha coinvolto svariate migliaia di record tra dati di clienti e credenziali di accesso, si inserisce in un contesto di allerta crescente in Europa relativamente alla sicurezza delle infrastrutture critiche.
Questa notizia arriva proprio nella settimana dell’entrata in vigore della Direttiva NIS2 (Network and Information Security Directive 2), la nuova normativa europea che ridefinisce i parametri minimi di sicurezza informatica richiesti alle aziende ritenute “essenziali” e “importanti” per la collettività. Ma quali sono i punti salienti della nuova direttiva, perché è così rilevante per la vita aziendale e quali insidie comporta la mancata compliance?
**NIS2: evoluzione normativa verso una cybersecurity più pervasiva**
La NIS2, pubblicata nell’Unione Europea a fine 2022 e ufficialmente entrata in vigore negli Stati Membri il 18 ottobre 2024 (termine ultimo per l’adeguamento recepito in Italia), rappresenta il cuore della strategia europea per la sicurezza informatica. La direttiva allarga in modo sostanziale il perimetro di soggetti obbligati, includendo non solo le tradizionali infrastrutture energetiche, dei trasporti e delle telecomunicazioni, ma anche aziende (pubbliche e private) attive in comparti come servizi digitali, sanitari, banche, amministrazioni locali e società di consulenza strategica.
Le principali novità che impattano la vita aziendale includono:
– Obbligo di notificare incidenti rilevanti entro 24 ore dalla scoperta.
– Accountability diretta per CEO e Board aziendali: il top management non può più delegare (o ignorare) la strategia di sicurezza IT.
– Applicazione di sanzioni decisive, proporzionate ma potenzialmente devastanti: le multe possono arrivare al 2% del fatturato.
– Richieste stringenti di valutazione e gestione del rischio, formazione dello staff e sicurezza della supply chain.
**Impatto su aziende e terzi: non solo IT, ma anche governance e processi**
L’incidente Eurosoft evidenzia il nodo problematico che più preoccupa le imprese italiane: la sicurezza della filiera dei fornitori. In questa occasione, il ransomware si è diffuso sfruttando un accesso privilegiato su server di terze parti, mettendo a nudo quanto la solidità delle procedure di sicurezza dei partner sia parte integrante del rischio delle aziende committenti.
Con NIS2, molte imprese dovranno non solo rafforzare la propria infrastruttura IT, ma anche adottare una vera e propria due diligence sulla sicurezza dei fornitori di servizi digitali. Questo si traduce in revisioni periodiche dei contratti, valutazioni d’impatto, audit e un costante aggiornamento della compliance normativa.
**Gestione delle emergenze e comunicazione post-violazione**
La cronaca dell’attacco Eurosoft ha anche posto l’accento su un altro elemento chiave della NIS2: la tempestività e trasparenza nelle comunicazioni di violazione. La direttiva impone infatti di notificare immediatamente le autorità competenti e, in certi casi, anche i clienti e partner potenzialmente coinvolti. La trasparenza, in questo contesto, diventa un valore da difendere, non solo per evitare sanzioni ma per preservare la fiducia degli stakeholders.
Le aziende sono chiamate a definire e testare piani di gestione delle crisi, con procedure chiare (Crisis Management Plan) e un coordinamento efficace tra IT, compliance, direzione generale e comunicazione. Troppo spesso, la confusione decisionale e la mancanza di un protocollo aumentano i danni reputazionali e di business. È qui che si gioca oggi la vera differenza tra chi è “compliant” e chi è “soltanto conforme ai minimi di legge”.
**Il ruolo della formazione e della cultura interna alla sicurezza**
Un altro aspetto cruciale, spesso sottovalutato, è quello della consapevolezza interna. La NIS2 prescrive (e la cronaca conferma) come la formazione del personale resti la prima e più semplice barriera alle minacce informatiche: phishing, errori operativi, uso negligente delle credenziali.
Le aziende devono strutturare programmi di formazione continua, simulare scenari di attacco, diffondere una vera cyber-culture tra i dipendenti di ogni livello. L’adeguamento non è solo tecnologico, ma anche – e soprattutto – organizzativo e comportamentale.
**NIS2, GDPR e privacy aziendale: un ecosistema normativo integrato**
Molte realtà, oggi, si trovano al crocevia tra la compliance alle regole NIS2 e quelle previste dal GDPR in materia di data breach e protezione dei dati personali. Se da un lato la NIS2 privilegia la tempestività e completezza nella gestione delle emergenze informatiche, il GDPR impone il rispetto dei principi di minimizzazione, privacy by design e privacy by default.
Un allineamento efficace tra le due normative non significa solo rispettare le scadenze, ma integrare processi, policy e controlli in modo sinergico, trasformando i vincoli di legge in opportunità per una gestione più efficace e resiliente dei dati e dei processi.
**Sanità, PA, PMI: i settori caldi della transizione alla NIS2**
Tra i comparti più coinvolti dalla nuova direttiva e dalle cronache recenti troviamo il settore sanitario, le amministrazioni pubbliche locali e le PMI innovative che erogano servizi digitali o IT in outsourcing. In sanità, la quantità e criticità dei dati trattati (cartelle cliniche, informazioni sensibili, referti) rende ogni incidente una potenziale minaccia sistemica;
per le PA, la cooperazione tra amministrazioni e la necessità di basare i processi su piattaforme condivise rappresentano un moltiplicatore di rischi e responsabilità.
Le PMI, infine, rischiano spesso di sottovalutare il proprio ruolo, pensando di essere fuori dal perimetro NIS2: con la progressiva digitalizzazione dei servizi, la soglia di attenzione si abbassa sempre più e nessun attore può considerarsi veramente escluso. La compliance va vista come un investimento strutturale, non come un semplice obbligo formale.
**Soluzioni e buone pratiche: cosa fare subito?**
Alla luce degli ultimi sviluppi e della cronaca, suggeriamo alle aziende:
1. Mappare con urgenza i processi IT, identificando dati e servizi “critici” secondo la NIS2.
2. Valutare la supply chain: pretendere report di sicurezza dai fornitori e inserire nei contratti obblighi di compliance specifici.
3. Redigere (o aggiornare) una policy di gestione degli incidenti, con ruoli e responsabilità precise.
4. Formare continuativamente lo staff: simulare scenari di attacco e analizzare i possibili punti deboli.
5. Integrare la compliance NIS2 con gli obblighi GDPR, per massimizzare la protezione del dato.
**Conclusioni: una nuova era per la sicurezza informatica aziendale**
La Direttiva NIS2 segna un cambio di passo decisivo, ponendo la cybersecurity al centro della strategia d’impresa, con impatti non solo su tecnologie e processi, ma anche su cultura e governance. Eventi di cronaca come l’attacco Eurosoft ci ricordano che il rischio informatico è una realtà concreta e trasversale. La normativa non va vissuta come un peso, ma come un fattore abilitante per la resilienza, la competitività, la fiducia del mercato.
Le aziende che sapranno abbracciare questa sfida non solo saranno più protette contro incidenti e multe, ma potranno trasformare il tema sicurezza da vincolo a leva strategica per il proprio futuro.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio