Negli ultimi giorni, l’attenzione del panorama internazionale sulla sicurezza informatica è cresciuta ulteriormente, complice anche la recente incursione informatica ai danni di grandi aziende pubbliche e private europee. La settimana scorsa, in Italia, il tema è tornato prepotentemente d’attualità grazie ad alcuni cyber attacchi di vasta portata che hanno messo in evidenza quanto sia ormai fondamentale non solo proteggere i dati, ma anche adeguarsi alle nuove normative, in particolare alla direttiva europea NIS 2 (Network and Information Security Directive 2), la cui attuazione è prevista entro ottobre 2024.
**Cos’è la direttiva NIS 2 e perché è così importante?**
La direttiva NIS 2 rappresenta l’evoluzione del quadro normativo comunitario in materia di sicurezza delle reti e dei sistemi informativi. È la risposta concreta dell’Unione Europea all’aumento esponenziale degli attacchi informatici e al rischio che la minaccia cyber pone per le infrastrutture critiche e i servizi essenziali. Mentre la prima direttiva NIS (2016) era stata limitatamente applicata ai cosiddetti Operatori di Servizi Essenziali (OSE) e ai Fornitori di Servizi Digitali (FSD), la NIS 2 amplia notevolmente il perimetro soggettivo, includendo molte più organizzazioni, tra cui numerose aziende che fino a oggi non erano soggette ad obblighi di sicurezza o di notifica degli incidenti.
La settimana scorsa, il Governo italiano ha accelerato i lavori per il recepimento della direttiva, presentando nuove proposte per la definizione dei soggetti obbligati, delle soglie dimensionali e delle sanzioni. Questo ha mandato un forte segnale alle imprese: adeguarsi non è più facoltativo, né una prerogativa esclusiva dei colossi dell’energia o delle telecomunicazioni, ma tocca ora anche aziende di settori come la logistica, il manifatturiero, la sanità, la finanza e i servizi digitali.
**Chi sarà coinvolto dalla NIS 2?**
Le organizzazioni dette “essenziali” e quelle “importanti” saranno obbligate a dotarsi di sistemi di gestione della sicurezza informatica e a notificare tempestivamente le violazioni. Sono incluse aziende con più di 50 dipendenti o un fatturato superiore a 10 milioni di euro, ma anche realtà più piccole se operano in ambiti considerati sensibili. Le sanità private, le società di trasporto, le imprese manifatturiere strategiche e i fornitori di servizi cloud sono solo alcuni degli attori chiamati a rivedere e potenziare le proprie misure di sicurezza.
**Novità e adempimenti:**
– Maggiore responsabilizzazione del management aziendale, con obblighi di formazione e di supervisione diretta sulle procedure IT;
– Sistemi di risk management strutturati e aggiornati, che includano analisi, prevenzione, monitoraggio e risposta agli incidenti;
– Notifica obbligatoria di incidenti rilevanti entro 24 ore dalla scoperta (un aspetto che sta creando non poche preoccupazioni tra gli IT manager italiani);
– Sanzioni molto elevate: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo dell’azienda, in caso di inadempimento.
**Le principali sfide per le imprese italiane**
Secondo le notizie emerse proprio nei giorni scorsi, molti settori core dell’economia italiana stanno accelerando i propri programmi di compliance per non farsi trovare impreparati alla scadenza di ottobre. Tuttavia, permangono alcune difficoltà:
1. **Carenza di personale qualificato**: l’Italia soffre da tempo di un gap di competenze in ambito cybersecurity. La nuova normativa impone interventi non occasionali, ma strutturali, con investimenti in formazione e nuove assunzioni. Le figure richieste non sono solo esperti tecnici, ma anche risk manager, project manager per il coordinamento di processi e responsabili compliance.
2. **Budget e organizzazione interna**: ottemperare agli obblighi NIS 2 non sarà indolore. Secondo recenti report, il 60% delle PMI italiane si dichiara preoccupato dall’impatto economico della compliance. Sarà necessario rivedere le priorità di investimento e pianificare con attenzione tempi e risorse.
3. **Integrazione tra compliance, risk management e operations**: la vera sfida è passare da una gestione frammentaria o “a silos” delle procedure IT ad una visione integrata della sicurezza, dove ogni funzione aziendale contribuisca alla difesa complessiva.
4. **Adeguamento delle procedure di notifica**: notificare un incidente in 24 ore è tecnicamente e organizzativamente molto impegnativo, specie per aziende che non hanno mai affrontato la gestione strutturata di incidenti informatici.
**Normativa, vita d’azienda e cultura della sicurezza**
L’arrivo della NIS 2 rappresenta un cambio di mentalità ancora prima che di procedure. La sicurezza viene posta al centro delle strategie aziendali e chi gestisce l’impresa – dagli amministratori delegati ai CIO, fino ai responsabili HR e compliance – deve dimostrare di aver preso decisioni consapevoli e di aver adottato tutte le contromisure ragionevoli.
Il legislatore europeo ha voluto sottolineare proprio la responsabilità della governance: la mancata adeguata gestione della sicurezza può portare a conseguenze non solo per la reputazione aziendale, ma anche per i vertici, che possono essere chiamati a rispondere personalmente in caso di gravi omissioni.
Vale la pena ricordare che la NIS 2 non sostituisce, ma si aggiunge ad altre normative strategiche come il GDPR. Un data breach, ad esempio, potrebbe comportare la doppia segnalazione (al CSIRT nazionale e al Garante privacy) e, in alcuni casi, il cumulo delle sanzioni.
**Un futuro sempre più integrato tra normative, sicurezza e risk management**
L’integrazione tra la gestione del rischio (risk management), la compliance normativa e le strategie di cybersecurity diventa così uno dei pilastri della competitività aziendale. Cresce, in questo senso, anche l’offerta di soluzioni “as-a-service” da parte di provider specializzati, che affiancano le aziende nel processo di adeguamento e monitoraggio continuo.
Infine, la direttiva NIS 2 impone un salto di qualità nella collaborazione tra privati e pubblico, puntando su maggiore trasparenza e condivisione tempestiva delle informazioni sugli attacchi e sulle vulnerabilità. Uno degli ultimi incidenti ha dimostrato quanto sia cruciale alimentare una filiera della sicurezza che coinvolga non solo i grandi player, ma anche la miriade di subfornitori che spesso rappresentano l’anello debole della catena.
**Conclusione: opportunità e rischi per le imprese italiane**
Il recepimento della NIS 2 in Italia segnerà un punto di svolta per la sicurezza informatica. Adeguarsi non sarà facile né economico, ma il rischio di restare indietro – o peggio, di finire nell’occhio del ciclone in seguito a un attacco – è troppo alto per essere ignorato. Per questa ragione, molte aziende stanno avviando in questi giorni programmi di formazione interna, assessment dei sistemi esistenti e dialoghi a più livelli con fornitori e consulenti.
La sensazione è che la vera sfida sia ormai più culturale che tecnologica: occorre diffondere la consapevolezza che la sicurezza non può essere delegata o posticipata, ma deve diventare un asset strategico quotidiano della vita d’azienda.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio