Nella settimana appena trascorsa, il panorama della cybersecurity italiana ha vissuto un nuovo scossone: il 5 giugno 2024 è stato reso noto un grave attacco informatico ai danni della Regione Sardegna, che ha coinvolto dati sensibili di cittadini e dipendenti, costringendo numerosi servizi digitali allo stop forzato. Questo evento non solo mette in evidenza la vulnerabilità anche delle Pubbliche Amministrazioni (PA), ma spinge tutte le aziende italiane, pubbliche e private, a interrogarsi sulla propria postura in materia di sicurezza delle informazioni e sulla conformità alle normative vigenti e imminenti. Il contesto normativo europeo, con il recente recepimento della Direttiva NIS 2 anche in Italia, accentua ulteriormente la necessità di azioni strutturate e proattive. L’obiettivo di questo articolo è dunque approfondire cosa sta cambiando, quali responsabilità investono le organizzazioni e come la compliance può diventare leva di resilienza e competitività di fronte ai cyber risk.
**Il caso Regione Sardegna: un campanello d’allarme**
L’attacco subito dalla Regione Sardegna, secondo le prime ricostruzioni, ha portato alla compromissione di dati e servizi essenziali, costringendo l’ente a spegnere numerosi sistemi informativi per evitare un’esfiltrazione di dati ancora più ampia (fonte: Agenzia ANSA, 5 giugno 2024). Si parla già di servizio sanitario sospeso, inaccessibilità ai servizi anagrafici e rischio per i dati personali di utenti e dipendenti. Il ransomware – uno dei vettori di minaccia più diffusi anche nel 2024 – ha colpito alle soglie dell’entrata in vigore della NIS 2 in Italia, ponendo quesiti concreti circa la preparedness delle strutture pubbliche e private.
**Cos’è la NIS 2 e perché è cruciale per le aziende**
La Direttiva (UE) 2022/2555, meglio nota come NIS 2, è l’evoluzione della direttiva europea NIS del 2016 e stabilisce nuovi obblighi per la sicurezza delle reti e dei sistemi informativi. A differenza della precedente versione, la NIS 2 amplia notevolmente il perimetro dei soggetti obbligati, includendo sia realtà pubbliche che private di dimensioni medie e grandi in settori ritenuti essenziali (energia, trasporti, finanziario, sanitario, ICT, acqua, rifiuti e altro ancora). L’Italia si sta ora adeguando alla normativa, con un impatto atteso già nel secondo semestre 2024.
Dal punto di vista pratico, le aziende soggette a NIS 2 dovranno:
– Adottare misure tecniche e organizzative «appropriate e proporzionate» per prevenire e mitigare gli incidenti informatici;
– Designare un referente per la sicurezza delle informazioni (Chief Information Security Officer);
– Implementare processi strutturati di risk management informatico;
– Garantire una formazione continua del personale su temi di sicurezza;
– Adempiere a stringenti obblighi di notifica in caso di incidente con impatto su dati o servizi essenziali.
Le sanzioni previste dalla NIS 2 non sono marginali: si parla di multe fino a 10 milioni di euro o al 2% del fatturato annuo globale per le aziende che trascurano gli obblighi.
**Un cambio di paradigma nella postura aziendale**
Se fino a pochi mesi fa la cybersecurity poteva essere gestita come una questione interna all’ufficio IT, oggi – anche alla luce dei recenti attacchi e della pressione normativa – è chiaro che la responsabilità è condivisa e coinvolge tutto il vertice aziendale. Gli amministratori, infatti, sono sempre più direttamente chiamati a rispondere di strategie inefficaci e della carenza di investimenti nei controlli di sicurezza.
La Direttiva prevede, tra le altre, azioni come:
– L’adozione di politiche di gestione degli accessi e dei privilegi;
– La segregazione delle reti e la cifratura dei dati sensibili;
– La gestione aggiornata delle vulnerabilità e delle patch;
– L’obbligo di audit, report e miglioramento continuo delle misure adottate.
A tal proposito, la cultura della sicurezza delle informazioni deve uscire dall’ambito specialistico e permeare ogni livello aziendale,
dal C-level a tutti i dipendenti: solo la consapevolezza e la formazione costante possono contrastare una minaccia in evoluzione, che sfrutta spesso proprio errori umani e social engineering.
**Impatto sulla vita d’azienda e sulle relazioni tra business**
Le implicazioni di una maggiore attenzione normativa non sono solo di compliance o di costi diretti: la sicurezza delle informazioni incide direttamente sulla continuità operativa e sulla reputazione aziendale. Un attacco ransomware, come quello della Regione Sardegna o ai danni di molte imprese private italiane negli scorsi mesi, può significare giorni di blocco, perdita di dati, costi di ripristino elevati e – soprattutto – una perdita di fiducia da parte di clienti, fornitori e partner.
La NIS 2 introduce anche principi di supply chain security: ogni azienda, per essere conforme, dovrà valutare anche la robustezza dei propri fornitori critici e la sicurezza dei processi condivisi, nonché assicurare una comunicazione efficace in caso di incidente. Questo ridisegna le relazioni di business e spinge verso una gestione integrata del rischio lungo tutta la filiera.
**Le sinergie con GDPR e privacy**
Se da un lato la NIS 2 si concentra sulla sicurezza dei servizi essenziali e delle infrastrutture, il quadro normativo europeo già vede la coesistenza con il GDPR, che tutela direttamente i dati personali degli individui. La sinergia tra le normative è evidente: un incidente informatico spesso comporta anche una violazione dei dati personali, innescando l’obbligo di notifica multipla sia all’Autorità Garante per la protezione dei dati, sia agli organi competenti in materia di sicurezza delle infrastrutture critiche.
Le aziende dovranno quindi rivedere i propri processi di compliance, mappando con attenzione:
– I flussi dei dati personali e sensibili;
– I rischi specifici per «diritti e libertà» delle persone fisiche;
– Le modalità di incident response e disaster recovery;
– I rapporti contrattuali con clienti e fornitori (compresi i Service Level Agreement specifici in tema di sicurezza informatica).
**Verso una cultura resiliente della sicurezza: formazione e governance**
L’evoluzione normativa e la recrudescenza delle minacce richiedono investimenti non solo in tecnologie (firewall, antivirus, sistemi di monitoraggio), ma soprattutto nella costruzione di una governance della sicurezza condivisa e nella formazione del capitale umano. Il legislatore europeo, infatti, sottolinea la necessità che i vertici aziendali, inclusi CDA e management, abbiano effettiva competenza e siano parte attiva nella definizione della strategia di sicurezza.
Questo comporta:
– La stesura di policy e procedure aggiornate e verificate periodicamente;
– L’integrazione della sicurezza nei processi di onboarding/uscita del personale;
– L’organizzazione di audit e test periodici di vulnerability assessment e penetration test;
– La simulazione di incidenti per verificare efficacia di processi e tempi di reazione (esercitazioni tabletop, war gaming).
**Conclusioni: dalla compliance alla resilienza, una sfida di sistema**
La recente esperienza della Regione Sardegna, unita alle sempre più pressanti richieste comunitarie e alla nuova NIS 2, segna un passaggio di fase nella sicurezza delle informazioni in Italia. Se la compliance resta un obbligo fondamentale per evitare multe e rischi legali, la resilienza deve diventare valore fondante per ogni organizzazione, pubblica o privata.
Gli investimenti in cultura, processi e tecnologie di sicurezza non rappresentano un costo privo di ritorni: sono invece la migliore assicurazione per garantire sopravvivenza, continuità, reputazione e futuro alle nostre aziende. In questa prospettiva, gli incidenti come quello della Regione Sardegna devono essere letti come occasioni per migliorare, condividere conoscenza e costruire una vera cultura della sicurezza diffusa su scala nazionale ed europea.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio