Negli ultimi giorni, una notizia ha attirato l’attenzione di aziende, esperti di sicurezza e responsabili della compliance: il gruppo di ransomware RansomHub ha dichiarato di aver colpito il colosso delle telecomunicazioni britannico EE (controllata da BT Group), minacciando di divulgare dati sensibili sottratti durante la violazione.
La dinamica dell’attacco
Secondo i resoconti della stampa internazionale, il gruppo RansomHub sarebbe entrato nei sistemi IT della società riuscendo a esfiltrare una quantità non specificata di dati sensibili, tra cui informazioni personali dei clienti, dati anagrafici ed elementi tecnici dei contratti. Il gruppo avrebbe poi pubblicato sul dark web o su canali riservati una parte di questi dati, con la minaccia di ulteriori rilasci qualora non venisse pagato il riscatto richiesto. EE, come molte aziende soggette agli obblighi del GDPR, ha dovuto notificare rapidamente la violazione al garante britannico e avvisare i clienti coinvolti, illustrando le misure adottate per contenere l’attacco e prevenire ulteriori danni.
Le implicazioni normative: tra GDPR e NIS2
Questo caso dimostra ancora una volta come le aziende, soprattutto quelle di servizi essenziali e infrastrutture critiche, siano nel mirino di cybercriminali motivati economicamente. Dal 2024, però, lo scenario normativo è cambiato: accanto al GDPR, che assicura la protezione dei dati personali, è sempre più centrale anche la direttiva NIS2, entrata in vigore in Italia e in molti altri paesi UE da ottobre 2024.
La NIS2, seconda versione della Direttiva europea sulla sicurezza delle reti e dei sistemi informativi, amplia molto il raggio d’azione rispetto alla precedente normativa. Non solo riguarda le aziende cosiddette “critiche” (energia, banche, sanità, trasporti…), ma coinvolge anche altre realtà private e pubbliche con importanti responsabilità in materia di continuità operativa e sicurezza dei dati. La direttiva impone:
– l’obbligo di adottare misure tecniche e organizzative adeguate,
– procedure tempestive di notifica in caso di incidente,
– responsabilità diretta del management (i CDA possono essere chiamati a rispondere personalmente in caso di non conformità),
– specifici requisiti per valutare e gestire i rischi informatici.
GDPR e NIS2: convergenze e differenze
Il GDPR resta la pietra angolare per la protezione dei dati personali con regole rigide sulla privacy dei cittadini europei, la NIS2 si spinge oltre focalizzandosi sulla resilienza dei sistemi e dei processi aziendali critici. Le due normative si sovrappongono in molti obblighi, come la gestione del rischio e la notifica degli incidenti, ma mentre il GDPR è centrato sul diritto alla privacy, la NIS2 punta a garantire continuità e sicurezza dei servizi essenziali, anche a tutela dell’interesse pubblico.
Nel caso di EE, entrambi i regolamenti si applicano: bisogna minimizzare l’impatto sui dati personali e sulla privacy (GDPR), ma anche garantire che le reti e i servizi non subiscano interruzioni o sabotaggi (NIS2), proteggendo clienti e collettività.
Lezioni per le aziende italiane
Cosa imparare, quindi?
1. Preparare piani di gestione delle crisi cyber
Piani di risposta agli incidenti informatici (IRP – Incident Response Plan) sono ormai imprescindibili. Non basta avere un buon firewall o antivirus: serve una struttura organizzativa in grado di reagire, comunicare tempestivamente con le autorità, avvisare clienti e stakeholder e ridurre i danni.
2. Coinvolgere la direzione e la governance
Sia per il GDPR che per la NIS2 la responsabilità non è più solo tecnica ma anche gestionale. CDA e vertici devono essere formati e coinvolti: il rischio cyber è oggi un rischio d’impresa a tutti gli effetti, esponendo l’azienda non solo a danni reputazionali ma anche a sanzioni pecuniarie e risarcimenti civili.
3. Verificare e aggiornare le policy di sicurezza e privacy
L’entrata in vigore della NIS2 richiede spesso un aggiornamento delle politiche aziendali, dei registri dei trattamenti, del Data Breach Management e delle procedure di Risk Management. La protezione dei dati personali deve essere integrata con la sicurezza delle infrastrutture, anche alla luce delle nuove tipologie di attacco, come il ransomware-as-a-service.
4. Formare il personale e promuovere la cultura della sicurezza
La maggior parte degli attacchi parte ancora da errori umani: phishing, uso di password deboli o pratiche non conformi. Investire in corsi di formazione e sensibilizzazione fa la differenza, soprattutto visto che molte aziende usano sistemi ibridi e smart working.
5. Utilizzare tecnologie moderne e partnership di fiducia
Le tecniche di attacco si evolvono continuamente. È fondamentale affiancarsi a partner tecnologici affidabili, implementare sistemi di detection & response avanzati, segmentare le reti, gestire la sicurezza degli endpoint, e adottare soluzioni di backup e disaster recovery testate periodicamente.
Sanzioni e responsabilità
Il failure nel caso di breach può costare caro: nel caso di EE si parla di potenziali multe fino al 4% del fatturato globale (GDPR) e di segnalazione ufficiale alla commissione NIS nazionale, con sanzioni specifiche per la mancata conformità. Il rischio di danni reputazionali e la perdita di fiducia degli utenti rappresentano poi minacce spesso superiori al danno economico immediato.
L’importanza della trasparenza
Una lezione positiva del caso EE riguarda la trasparenza nella comunicazione. L’azienda ha informato proattivamente i clienti, illustrando le contromisure adottate e offrendo supporto concreto (come la possibilità di cambiare documenti o ricevere alert su eventuali frodi). La trasparenza, oltre a essere un obbligo di legge, diventa un asset strategico per la reputazione e la fiducia a lungo termine.
L’evoluzione delle minacce: IA e nuove tecniche d’attacco
Gli esperti sottolineano come la criminalità stia sfruttando in modo crescente l’intelligenza artificiale e piattaforme automatizzate. Gli attacchi diventano più mirati, sofisticati e rapidi: generazione di email di phishing personalizzate, exploit zero-day automatizzati, malware mutanti… Questo spinge le aziende ad adottare soluzioni di sicurezza capaci di “anticipare” il rischio, non solo di reagire. L’IA giocata sia in attacco che in difesa sarà la sfida dei prossimi anni.
In conclusione
Il caso EE è solo l’ultimo di una lunga serie di attacchi, ma è emblematico per le aziende italiane ed europee: il perimetro della conformità si amplia, le sanzioni crescono e l’opinione pubblica chiede maggiore responsabilità alle imprese. Preparate piani, aggiornate policy e tecnologie, coinvolgete tutti gli attori aziendali: nell’era NIS2 e GDPR, la sicurezza informatica è (finalmente) una priorità strategica.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio