Nell’ultima settimana, le cronache digitali hanno visto una nuova escalation di attacchi ransomware che ha colpito diverse organizzazioni italiane ed europee, tra cui alcune aziende del settore energetico e pubbliche amministrazioni locali. Questi eventi, sempre più frequenti e sofisticati, si inseriscono in un contesto normativo in rapido mutamento: l’avvicinarsi della piena applicazione della direttiva europea NIS 2, prevista per ottobre 2024, impone infatti nuove misure di sicurezza e obblighi di segnalazione, rivoluzionando gli standard di gestione del rischio informatico per molte realtà aziendali.
## Contesto: La minaccia del ransomware e le conseguenze per le imprese
L’attacco ransomware non è semplicemente un fenomeno circoscritto alla criminalità informatica ma un problema strutturale che mette a rischio la continuità operativa, l’integrità dei dati e la reputazione aziendale. Negli ultimi giorni si sono registrate, secondo fonti come il CERT-AgID e l’ENISA, compromissioni di sistemi con esfiltrazione di dati sensibili, richieste di riscatto in criptovaluta e la pubblicazione di informazioni sottratte su forum del dark web.
Le statistiche ENISA 2024 parlano chiaro: oltre il 60% delle aziende colpite da ransomware ha subito interruzioni operative superiori a tre giorni, con ripercussioni finanziarie spesso devastanti. Le organizzazioni più colpite in Italia sono state enti sanitari, società di servizi e aziende del comparto energia, infrastruttura considerata critica per l’intero Paese.
## Normativa NIS 2: nuove responsabilità e sanzioni più severe
Il quadro normativo di risposta si fa sempre più stringente: la direttiva europea NIS 2 (Network and Information Security Directive), recepita di recente anche nel nostro ordinamento, allarga notevolmente la platea dei soggetti tenuti a garantire livelli adeguati di sicurezza informatica e introduce nuovi obblighi, tra cui:
– valutazione periodica dei rischi cybersecurity;
– implementazione di processi di gestione incidenti e business continuity;
– formazione continua del personale;
– stretta supervisione della supply chain;
– obbligo di notifica degli incidenti entro 24 ore dalla scoperta.
Le sanzioni sono ben più pesanti che in passato: possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, in linea con le logiche già viste per il GDPR.
## Come cambia la vita d’azienda
L’arrivo della NIS 2 impone di rivalutare l’investimento in sicurezza non più come “costo” ma come asset strategico. Molte PMI, che fino ad oggi potevano considerare il rischio cyber marginale, si ritrovano sempre più spesso nel perimetro regolamentare. Devono dotarsi di piani di gestione crisi, sistemi di monitoraggio, procedure dettagliate per la notifica degli incidenti e formare costantemente i dipendenti. E questo vale anche per le aziende di “media importanza”, un concetto nuovo introdotto dalla normativa proprio per garantire la resilienza delle filiere.
Il coinvolgimento del vertice aziendale diventa imprescindibile: i consigli di amministrazione devono supervisionare la gestione del rischio cyber e sono direttamente responsabili di eventuali omissioni o carenze strutturali.
## Privacy e trattamento dati: NIS 2 e GDPR a confronto
Se da una parte il GDPR ha introdotto l’obbligo di protezione dei dati personali, la direttiva NIS 2 copre la sicurezza anche dei dati non personali e degli asset critici, ampliando di molto la prospettiva di difesa e prevenzione.
Nei casi registrati negli ultimi giorni in Italia, la compromissione di basi dati personali ha attivato in parallelo l’obbligo di data breach notification ex art. 33 GDPR oltre a quello della NIS 2, indicando come in futuro dovrà rafforzarsi la collaborazione tra Data Protection Officer (DPO) e Responsabile delle Sicurezza Informatica (CISO), per gestire efficacemente incidenti complessi e reporting multi-normativo.
## Il ruolo strategico della formazione e della supply chain
Molti attacchi recenti, secondo i report, sono avvenuti tramite vulnerabilità di partner o fornitori: la direttiva NIS 2 obbliga le aziende a implementare controlli anche sulla supply chain, prevedendo audit, richieste di conformità e valutazioni di sicurezza per tutti i soggetti terzi coinvolti nei processi produttivi o informatici.
Fondamentale, nei nuovi obblighi normativi, è anche la formazione continua del personale: il phishing e i tentativi di social engineering restano tra le cause principali di successo dei ransomware. Solo una cultura aziendale orientata alla sicurezza può garantire difese efficaci.
## Le principali criticità nello scenario italiano
Un’indagine recente della Cybersecurity & Privacy Observatory del Politecnico di Milano ha rilevato che:
– solo il 34% delle PMI italiane dispone di un piano dettagliato di cybersecurity;
– meno del 20% ha adottato procedure di notifica incidenti conformi a NIS 2;
– la formazione dei dipendenti è spesso sporadica e non strutturata.
Questi gap rischiano di esporre molte realtà a multe, danni reputazionali e, soprattutto, all’interruzione delle attività. La presenza di infrastrutture legacy, la mancanza di personale specializzato e la scarsa integrazione tra IT e management restano i punti deboli da sanare in vista della deadline di ottobre 2024.
## Suggerimenti operativi per le aziende
1. **Eseguire una valutazione del rischio cyber**: identificare asset critici, vulnerabilità, minacce e contromisure già in atto. È il primo passo verso la compliance NIS 2.
2. **Creare o aggiornare i piani di gestione incidenti**: procedure chiare, ruoli definiti e canali di comunicazione garantiscono reazione tempestiva.
3. **Formalizzare obblighi e responsabilità nella supply chain**: includere clausole di sicurezza e audit periodici nei contratti con i fornitori.
4. **Potenziare la formazione**: programmi regolari di security awareness aiutano a prevenire errori umani.
5. **Sfruttare le opportunità del PNRR**: fondi pubblici sono disponibili per progetti di digitalizzazione e rafforzamento delle difese cyber.
## Conclusioni
L’attualità degli attacchi ransomware degli ultimi giorni dimostra quanto la sicurezza delle informazioni sia diventata una questione esistenziale per tutte le aziende. Approfondire la direttiva NIS 2, prepararsi ad applicarne le regole e coinvolgere tutta l’organizzazione nella protezione degli asset è da oggi non solo un obbligo normativo, ma il vero discrimine tra continuità e crisi aziendale.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio