NIS2, le aziende producono sicurezza o documentazione? La sfida della compliance tra obblighi e responsabilità

• La conformità alla NIS2 non garantisce automaticamente la sicurezza. L’applicazione delle misure deve essere verificata attraverso processi e controlli effettivi.
• Gli amministratori devono governare il rischio cyber. Le responsabilità dei vertici richiedono competenze organizzative e il supporto di professionisti specializzati.
• Il Digital Omnibus affronta il problema delle notifiche multiple. La semplificazione deve ridurre gli oneri senza compromettere la gestione degli incidenti.
• Formazione e documentazione devono produrre risultati misurabili. Backup, procedure, continuità operativa e sicurezza degli archivi richiedono verifiche periodiche.

La sicurezza informatica rischia di diventare un esercizio burocratico nel quale la produzione di documenti procede più rapidamente della capacità di proteggere i sistemi. L’accumulo delle disposizioni europee, l’aumento degli obblighi di notifica e le nuove responsabilità attribuite agli amministratori hanno modificato profondamente il modo in cui imprese e pubbliche amministrazioni affrontano la cybersecurity. Tuttavia, la presenza di procedure formalmente corrette non dimostra che un’organizzazione sappia reagire a un ransomware, individuare una compromissione o recuperare le informazioni dopo un incidente. È la contraddizione al centro del confronto moderato dal professor Michele Iaselli al DIGEAT Festival di Lecce, dove gli interventi di Massimo Chirivì, Anna Cardetta e Lorenzo Bosetti hanno affrontato il rapporto tra conformità normativa, responsabilità organizzative e competenze effettive. La questione non riguarda l’utilità delle regole, ma la loro applicazione concreta: la cybersecurity deve essere misurata sulla capacità di resistere agli incidenti, non soltanto sull’esistenza della documentazione richiesta dalle autorità.

La cybersecurity europea è diventata un intreccio di norme e adempimenti

GDPR, NIS2, DORA, Cyber Resilience Act e AI Act intervengono su aspetti differenti della sicurezza digitale, ma coinvolgono spesso gli stessi processi aziendali. La protezione dei dati personali, la gestione delle vulnerabilità, la continuità dei servizi e la sicurezza dei prodotti tecnologici richiedono controlli che devono convivere all’interno della medesima organizzazione. Il rischio è che imprese e amministrazioni sviluppino sistemi documentali separati per rispondere alle diverse disposizioni, duplicando attività e destinando risorse alla compliance anziché al rafforzamento della sicurezza. Michele Iaselli ha posto il problema attraverso una distinzione: le organizzazioni stanno costruendo un sistema di sicurezza oppure un sistema di documentazione sulla sicurezza? La risposta dipende dalla capacità di integrare gli obblighi normativi in processi comuni. Un inventario aggiornato delle risorse informatiche, un piano di gestione degli incidenti e un sistema di controllo degli accessi possono rispondere contemporaneamente a esigenze differenti. La moltiplicazione delle norme non dovrebbe produrre altrettanti sistemi di gestione indipendenti, ma favorire un’organizzazione capace di governare unitariamente i rischi.

NIS2, responsabilizzare gli amministratori non significa trasformarli in tecnici informatici

Il recepimento italiano della direttiva NIS2 attraverso il decreto legislativo 138/2024 attribuisce agli organi di amministrazione e direttivi responsabilità nella gestione del rischio cyber. Gli amministratori devono approvare le misure previste, sovrintendere alla loro applicazione e seguire attività formative. La novità ha un significato preciso: la sicurezza non può essere considerata esclusivamente un problema del reparto informatico, perché un incidente può compromettere la continuità operativa e produrre conseguenze economiche, giuridiche e reputazionali. Massimo Chirivì, presidente di AIPSI, ha richiamato tuttavia i limiti di una responsabilizzazione costruita prevalentemente sulle figure apicali. Un amministratore deve comprendere i rischi, allocare risorse e verificare l’efficacia delle misure, ma non può sostituirsi ai professionisti della sicurezza. Occorrono competenze distribuite, gruppi di lavoro e processi organizzativi che colleghino le valutazioni tecniche alle decisioni aziendali. La cybersecurity non può dipendere da una sola persona, né diventare un sistema di deleghe utilizzato per trasferire formalmente le responsabilità senza affrontare le vulnerabilità.

Le misure di sicurezza devono funzionare anche durante un incidente

La differenza tra adempimento e capacità operativa emerge nella gestione degli incidenti. La NIS2 introduce obblighi di rilevamento, risposta e notifica che richiedono procedure definite prima dell’emergenza. Le linee guida ACN sulla gestione degli incidenti NIS2 descrivono un processo fondato su preparazione, identificazione, contenimento, ripristino e miglioramento. Il piano deve essere conosciuto dalle persone incaricate di applicarlo, perché durante una compromissione non è sufficiente disporre di un documento approvato dalla direzione. La capacità di risposta dipende anche dalla disponibilità di registrazioni, backup funzionanti e canali di comunicazione alternativi. Una procedura formalmente completa può fallire quando i sistemi di monitoraggio non rilevano l’attacco o quando le persone coinvolte non conoscono le attività da svolgere. La conformità dovrebbe quindi essere verificata attraverso esercitazioni e controlli periodici.

Le policy aziendali non bastano quando mancano evidenze di applicazione

Anna Cardetta, responsabile dell’area compliance e dei servizi privacy di Svic Informatica, ha evidenziato la necessità di costruire sistemi di gestione capaci di dimostrare il lavoro svolto nel tempo. Le procedure devono essere accompagnate da attività concrete, verifiche documentate e interventi di miglioramento. Una policy redatta correttamente, ma mai aggiornata o applicata, non costituisce una prova sufficiente dell’efficacia del sistema. Il caso dei backup è emblematico: un’organizzazione può possedere una procedura di salvataggio senza aver mai verificato il recupero effettivo dei dati. In presenza di un ransomware, questa differenza può determinare l’interruzione prolungata dei servizi. Lo stesso principio riguarda la formazione dei dipendenti, la gestione delle vulnerabilità e la protezione degli account privilegiati. La documentazione è necessaria per ricostruire le attività, ma deve rappresentare ciò che accade realmente, non ciò che l’organizzazione dichiara di fare.

Digital Omnibus, il problema delle notifiche non si risolve soltanto con uno sportello unico

Un incidente informatico può attivare contemporaneamente obblighi previsti dal GDPR, dalla NIS2 e da normative settoriali, con autorità competenti e tempistiche differenti. Il risultato è che le organizzazioni possono essere chiamate a raccogliere e trasmettere informazioni mentre devono ancora comprendere la natura dell’attacco. Lorenzo Bosetti ha evidenziato questa difficoltà, particolarmente rilevante per le piccole imprese, dove poche persone possono trovarsi a gestire contemporaneamente l’emergenza tecnica e gli adempimenti amministrativi. Il Digital Omnibus propone una razionalizzazione degli obblighi di segnalazione, ma la semplificazione dei canali non elimina automaticamente la complessità delle informazioni richieste. La questione è stata approfondita nell’analisi sulle conseguenze del Digital Omnibus per GDPR, NIS2 e incident reporting. Un sistema di notifiche realmente efficace deve ridurre le duplicazioni, consentire aggiornamenti progressivi e favorire lo scambio delle informazioni tra autorità, evitando che la burocrazia sottragga risorse alla risposta agli incidenti.

Gli archivi digitali sono parte della sicurezza, non un problema separato

Bosetti ha richiamato anche una vulnerabilità spesso trascurata: l’integrità dei documenti informatici. Un attacco che altera un archivio può compromettere l’affidabilità di informazioni utilizzate per attività amministrative, sanitarie e contrattuali. La disponibilità di un documento non ne garantisce automaticamente l’autenticità, mentre la compromissione di un sistema di conservazione può produrre conseguenze giuridiche difficili da ricostruire. La questione era già emersa nel precedente approfondimento sull’autenticità dei dati come pilastro della cybersecurity. Proteggere le informazioni significa garantirne disponibilità, integrità e affidabilità nel tempo, soprattutto quando vengono utilizzate per assumere decisioni o dimostrare responsabilità.

Piccoli comuni e imprese devono affrontare obblighi crescenti con risorse limitate

La complessità organizzativa interessa particolarmente le amministrazioni più piccole e le PMI. Non tutte sono soggette agli stessi obblighi NIS2, ma tutte devono affrontare rischi collegati all’utilizzo di servizi digitali e alla protezione delle informazioni. Un comune con personale ridotto non dispone necessariamente di specialisti informatici, mentre un’impresa può dipendere da fornitori esterni per la gestione di servizi essenziali. La carenza di competenze rappresenta una vulnerabilità che nessuna procedura può risolvere da sola. La formazione deve produrre capacità verificabili, attraverso esercitazioni e simulazioni, anziché limitarsi al rilascio di attestati. La difficoltà di attrarre professionisti specializzati rende inoltre importante costruire modelli organizzativi sostenibili e forme di collaborazione tra soggetti che condividono esigenze di sicurezza.

La conformità deve diventare capacità di resistere agli attacchi

Il confronto sviluppato al DIGEAT Festival restituisce un problema comune a imprese e amministrazioni: le normative definiscono responsabilità e obiettivi, ma la resilienza dipende dalla capacità di applicare le misure nella pratica. Governance, procedure, documentazione e formazione rappresentano strumenti indispensabili soltanto quando producono risultati verificabili. La sicurezza non può essere misurata dal numero dei documenti approvati. Deve emergere dalla capacità di prevenire gli incidenti, riconoscerli tempestivamente, limitarne gli effetti e ripristinare i servizi. È questa la differenza tra una compliance costruita per superare una verifica e una cybersecurity capace di proteggere realmente un’organizzazione.