NIS2 non è un progetto IT: perché le aziende devono ripensare la cybersicurezza

Quando oggi si parla di NIS2, ricorre spesso lo stesso confronto: «Sarà il GDPR della cybersicurezza». Il paragone sembra logico, ma è fuorviante e spinge molte organizzazioni nella direzione sbagliata.

La direttiva NIS2 non è semplicemente una normativa di conformità. Essa modifica in modo radicale l’approccio delle organizzazioni al rischio digitale, spostando l’attenzione dalla documentazione verso la resilienza, la stabilità operativa e la responsabilità a livello di direzione.

Molte organizzazioni sottovalutano proprio questa distinzione, rischiando così non solo conseguenze regolamentari, ma anche interruzioni operative, danni reputazionali ed esposizioni finanziarie significative. Per una prospettiva più ampia su come questo cambiamento incida sul lavoro quotidiano di governance, si veda il nostro articolo When GRC Stopped Being Periodic and Became Everyday Work.

Perché il confronto con il GDPR non tiene

Il GDPR ha instaurato in molte organizzazioni uno schema d’azione ben rodato, e questo modo di pensare è radicato:

La NIS2 rende la cybersicurezza una responsabilità della direzione

Uno dei cambiamenti più significativi introdotti dalla NIS2 riguarda i vertici aziendali. La cybersicurezza non può più essere considerata di esclusiva competenza del reparto IT. Secondo le linee guida del BSI sull’attuazione della NIS2, la direzione deve approvare le misure di sicurezza, sovrintenderne l’esecuzione e ricevere aggiornamenti regolari sullo stato di sicurezza dell’organizzazione.

Questo ridefinisce in profondità le strutture di governance in molte organizzazioni:

La cybersicurezza si trasforma da disciplina tecnica in una questione di sana governance aziendale.

Le medie imprese sotto particolare pressione

Molte organizzazioni continuano a ritenere che la NIS2 si applichi esclusivamente agli operatori di infrastrutture critiche. La realtà è molto più ampia:

Le organizzazioni interessate spaziano su un’ampia gamma di settori:

Il vero problema: la mancanza di visibilità

In molte organizzazioni, l’infrastruttura IT si è sviluppata in modo organico nel corso degli anni. Soluzioni cloud, fornitori di servizi esterni, modelli di lavoro ibridi e infrastrutture di sistemi complessi creano nuove dipendenze, mentre spesso manca una visione d’insieme completa su quanto segue:

• Quali sistemi sono critici per il business?
• Dove si concentrano i rischi e le vulnerabilità maggiori?
• Chi è responsabile di cosa?
• Quali terze parti hanno accesso a dati sensibili?
• Cosa accade in caso di emergenza, e chi gestisce la risposta?

Concretamente, la direttiva richiede un risk management strutturato, processi di segnalazione degli incidenti, capacità di risposta agli incidenti, pianificazione della continuità operativa e la considerazione dei rischi della catena di fornitura. Il BSI fornisce indicazioni concrete per l’attuazione a supporto delle organizzazioni in questo percorso.

Perché i fogli di calcolo e gli strumenti isolati non bastano

Molte organizzazioni tentano ancora di affrontare la NIS2 con fogli di calcolo, cartelle di documenti condivise e strumenti isolati. Il problema fondamentale di questo approccio è il seguente:

Le organizzazioni necessitano di strutture di governance, risk e compliance integrate che riuniscano in un unico luogo rischi, misure, controlli, processi e responsabilità. Solo così è possibile:

• Definire priorità e gestire i rischi in modo continuativo
• Attuare e monitorare le misure in modo efficace
• Produrre evidenze in qualsiasi momento e in modo completo
• Gestire gli incidenti in modo efficiente e nei tempi richiesti
• Soddisfare i requisiti normativi su base continuativa

La NIS2 cambia il modo di pensare la cybersecurity nelle organizzazioni

Forse il punto più importante viene costantemente trascurato nel dibattito: la NIS2 non è semplicemente un onere regolamentare. La direttiva impone alle organizzazioni di analizzare in modo strutturato e onesto la propria resilienza digitale, ed è proprio in questo, nel lungo periodo, che risiede il vantaggio strategico.

Le organizzazioni con una solida resilienza informatica beneficiano di:

• Operatività più stabile
• Rischio ridotto di interruzioni
• Maggiore fiducia da parte di clienti e partner
• Migliore assicurabilità
• Posizionamento competitivo più forte
• Maggiore certezza regolamentare

Secondo l’ENISA Threat Landscape 2024, la frequenza e la sofisticazione degli attacchi informatici contro le organizzazioni europee continuano ad aumentare. La cybersicurezza sta diventando un fattore sempre più decisivo per il valore aziendale a lungo termine e la sostenibilità futura.

Ora è il momento giusto per agire

Molte organizzazioni sono ancora in attesa di piena chiarezza sulle leggi nazionali di recepimento o su indicazioni regolamentari specifiche. Si tratta di un atteggiamento rischioso: il panorama delle minacce evolve più rapidamente dei processi normativi, mentre le aspettative di clienti, partner, assicuratori e autorità di vigilanza continuano a crescere.

Invece di aspettare che la pressione regolamentare imponga l’azione, le organizzazioni dovrebbero muoversi in modo proattivo. Un punto di partenza pratico è il NIS2 Readiness Check: mostra in pochi minuti a che punto si trova la sua organizzazione. Oppure può parlare direttamente con i nostri esperti in un Discovery Call:

1. Valutare l’applicabilità: siete regolamentati direttamente o indirettamente?
2. Definire le strutture di governance: chi detiene la responsabilità interna?
3. Valutare sistematicamente i rischi: dove si trovano le lacune critiche?
4. Stabilire i processi: canali di segnalazione, gestione degli incidenti, BCM
5. Chiarire le responsabilità, fino al vertice aziendale
6. Ancorare la resilienza a livello strategico, come obiettivo organizzativo permanente