A oltre un anno dall’entrata in vigore della Direttiva (UE) 2022/2555 NIS2, recepita in Italia con il D.lgs. 138/2024 il tema della formazione in materia di cybersecurity non può più essere affrontato come un adempimento futuro o come un principio astratto da tradurre “prima o poi” in iniziative formative.
La norma esiste, è chiara nei suoi presupposti e nelle sue finalità, ed è ormai parte integrante del quadro regolatorio che disciplina la governance della sicurezza informatica nelle organizzazioni.
Indice degli argomenti
Formazione NIS 2: da obbligo astratto a misura “conforme, efficace e difendibile”
Il punto critico, oggi, non è più comprendere se la formazione sia richiesta, ma come strutturarla in modo conforme, efficace e difendibile, soprattutto in un contesto in cui le responsabilità si estendono ben oltre la funzione IT.
La NIS2 segna un passaggio definitivo da una visione tecnica della cybersecurity a una visione organizzativa e manageriale. La sicurezza delle reti e dei sistemi informativi non è più considerata un problema esclusivo dei reparti tecnologici, ma una responsabilità che coinvolge l’intera organizzazione, a partire dai dipendenti fino ad arrivare agli organi di amministrazione e direzione. In questo scenario, la formazione diventa uno strumento giuridico, organizzativo e strategico, non un semplice intervento di sensibilizzazione.
Fondamento normativo e responsabilità degli organi direttivi
Il fondamento normativo della formazione obbligatoria è esplicito. L’articolo 21 della Direttiva NIS2, dedicato alle misure di gestione del rischio per la sicurezza delle reti e dei sistemi informativi, stabilisce che i soggetti essenziali e importanti adottino misure tecniche, operative e organizzative adeguate, includendo espressamente la gestione delle risorse umane e le pratiche di sicurezza informatica.
In tale contesto, la formazione del personale e dei dirigenti è parte integrante del sistema di gestione del rischio. Ancora più diretto è l’articolo 20, che introduce la responsabilità degli organi di gestione, prevedendo che questi approvino le misure di gestione del rischio e seguano una formazione adeguata a comprendere e valutare i rischi di cybersecurity. La formazione, quindi, non è solo richiesta: è un presupposto per l’esercizio stesso delle funzioni direttive.
Impatto su aziende e HR nella formazione obbligatoria cybersecurity NIS2
Per le aziende e per le funzioni HR, questo comporta un cambiamento profondo di approccio. La formazione in materia di cyber awareness non può essere ridotta a un corso standardizzato uguale per tutti, né a un’iniziativa una tantum priva di continuità. Deve essere progettata come un vero e proprio piano formativo strutturato, coerente con il modello organizzativo, con l’architettura tecnologica e con il profilo di rischio dell’azienda.
L’HR manager diventa un attore centrale di questo processo, in quanto chiamato a integrare la formazione cyber nei percorsi di onboarding, nei programmi di aggiornamento periodico e nei sistemi di valutazione delle competenze, in stretto coordinamento con le funzioni IT, sicurezza e compliance.
Fattore umano e riduzione del rischio operativo
Il piano di formazione è fondato sulla constatazione, ampiamente confermata dall’esperienza operativa e dalle analisi degli incidenti di sicurezza informatica, che il fattore umano costituisce il principale elemento di vulnerabilità all’interno dei sistemi di protezione. I sistemi informatici, le architetture di sicurezza e le misure tecnologiche adottate dall’organizzazione sono in grado di prevenire, rilevare e reagire a molte tipologie di attacco informatico; tuttavia, l’evento iniziale che consente l’attivazione di una minaccia è molto spesso riconducibile a un’azione umana.
Il clic su un collegamento malevolo, l’apertura di un allegato infetto, l’inserimento delle credenziali in un contesto fraudolento o l’adozione di comportamenti non conformi alle policy di sicurezza costituiscono, nella maggior parte dei casi, il punto di ingresso dell’attacco.
In tale prospettiva, la sicurezza informatica non può essere affidata esclusivamente a soluzioni tecnologiche, per quanto avanzate, ma richiede un livello adeguato di consapevolezza diffusa all’interno dell’organizzazione. La formazione assume quindi un ruolo determinante nel ridurre la probabilità che un errore umano si trasformi in un incidente di sicurezza, rafforzando la capacità dei singoli di riconoscere situazioni di rischio e di adottare comportamenti coerenti con le misure di protezione previste.
Il piano di formazione è concepito proprio per intervenire su questo punto critico, trasformando il fattore umano da elemento di vulnerabilità a primo presidio di sicurezza, in linea con l’approccio basato sul rischio richiesto dalla Direttiva NIS2.
Obiettivi e contenuti della formazione obbligatoria cybersecurity NIS2
Un piano di formazione conforme alla NIS2 deve innanzitutto partire da una chiara definizione degli obiettivi. La formazione non serve solo a “informare”, ma a ridurre il rischio operativo derivante dal fattore umano. Questo significa che i contenuti devono essere costruiti sulla base degli scenari di rischio concreti dell’organizzazione.
La consapevolezza sui rischi di phishing, social engineering, gestione delle credenziali, utilizzo dei dispositivi aziendali, accesso ai servizi cloud e gestione degli incidenti non è un concetto astratto, ma un insieme di comportamenti attesi che devono essere compresi, interiorizzati e applicati nella quotidianità lavorativa.
Formazione obbligatoria per gli organi direttivi e taglio di governance
Accanto alla formazione rivolta ai dipendenti, la NIS2 introduce un elemento di discontinuità che molte organizzazioni stanno ancora sottovalutando: la formazione obbligatoria degli organi direttivi. Il legislatore europeo ha chiarito che il board non può limitarsi a delegare la cybersecurity a funzioni tecniche, ma deve essere in grado di comprendere il rischio, approvare le misure di sicurezza e supervisionarne l’attuazione.
Questo implica che il piano di formazione debba prevedere moduli specifici dedicati agli amministratori e ai dirigenti apicali, con un taglio diverso rispetto alla formazione operativa. Per il board, la formazione deve concentrarsi sulla comprensione del contesto di minaccia, sugli obblighi normativi, sulle responsabilità personali e sull’impatto strategico, operativo e reputazionale di un incidente cyber.
Approvazione del CDA e responsabilità nella formazione obbligatoria cybersecurity NIS2
Un aspetto centrale, spesso trascurato, riguarda il ruolo del Consiglio di Amministrazione nell’approvazione del piano di formazione. In un’ottica NIS2, il piano formativo non è un documento operativo secondario, ma una misura di gestione del rischio che rientra nella sfera di competenza del board.
La sua approvazione formale da parte del CDA rappresenta un passaggio fondamentale sia sul piano della governance sia su quello della responsabilità. In caso di incidente o di verifica da parte delle autorità competenti, la capacità di dimostrare che il piano di formazione è stato approvato dall’organo di gestione, che ne ha compreso le finalità e che ne ha monitorato l’attuazione costituisce un elemento essenziale di difesa.
Copertura del ciclo di vita del rischio e differenziazione dei contenuti
Dal punto di vista dei contenuti, un piano di formazione di cyber awareness realmente efficace deve coprire in modo coerente l’intero ciclo di vita del rischio informatico. La formazione deve consentire ai dipendenti di riconoscere le minacce, comprendere le regole di utilizzo sicuro degli strumenti aziendali, sapere come comportarsi in caso di evento anomalo e comprendere l’importanza della segnalazione tempestiva degli incidenti.
Per i dirigenti e il board, invece, i contenuti devono includere la comprensione delle misure di sicurezza adottate, dei flussi decisionali in caso di incidente, dei rapporti con le autorità e delle implicazioni sanzionatorie previste dalla NIS2.
Struttura del piano formativo e collegamento alla governance
Il piano deve definire in modo chiaro le finalità, l’ambito di applicazione, i destinatari, i contenuti minimi, le modalità di erogazione, la periodicità degli aggiornamenti e i criteri di verifica dell’efficacia.
Un elemento imprescindibile è il collegamento formale del piano al sistema di governance aziendale: la formazione in materia di cybersecurity rientra infatti tra le misure di gestione del rischio che, ai sensi dell’articolo 20 e 21 della NIS2, devono essere approvate e supervisionate dall’organo di gestione.
Ne consegue che il piano di formazione deve essere sottoposto all’approvazione del Consiglio di Amministrazione o dell’organo equivalente, con una delibera che ne attesti la presa visione, la comprensione delle finalità e l’impegno alla sua attuazione.
Allineamento NIS2 e GDPR nella formazione obbligatoria cybersecurity NIS2
Sul piano dei contenuti, il piano deve coprire sia gli aspetti di cyber awareness di base, rivolti a tutti i dipendenti, sia i contenuti avanzati e di governance destinati al management e al board.
La formazione deve essere coerente con le politiche di sicurezza adottate, con le procedure di gestione degli incidenti e, preferibilmente, integrata o allineata con la formazione obbligatoria in materia di protezione dei dati personali prevista dal GDPR, in modo da garantire coerenza, completezza e un approccio unitario alla gestione del rischio digitale.
Un elemento di grande rilevanza pratica, fortemente consigliato dalle migliori prassi, è l’integrazione o l’allineamento del piano di formazione NIS2 con la formazione obbligatoria in materia di protezione dei dati personali prevista dal Regolamento (UE) 2016/679. Cybersecurity e protezione dei dati non sono ambiti separati, ma strettamente interconnessi.
Molti incidenti cyber si traducono in violazioni di dati personali, e molte misure di sicurezza sono comuni ai due ambiti. Uniformare i piani formativi consente di evitare duplicazioni, garantire coerenza dei messaggi e rafforzare il principio di accountability sia in ambito NIS2 sia GDPR.
Dal punto di vista organizzativo, questa integrazione facilita il lavoro delle funzioni HR e compliance e consente di costruire una cultura della sicurezza realmente trasversale.
Documentazione e dimostrabilità della formazione
La formazione, inoltre, deve essere documentata in modo puntuale. La NIS2, coerentemente con l’approccio europeo alla regolazione, non si limita a richiedere l’adozione di misure, ma pretende la capacità di dimostrarle.
Per le aziende, questo significa poter esibire evidenze concrete dell’attività formativa svolta, della partecipazione dei dipendenti e dei dirigenti, dell’aggiornamento periodico dei contenuti e dell’approvazione del piano da parte del CDA. In assenza di tale documentazione, la formazione rischia di essere percepita come meramente formale e quindi inefficace anche sul piano difensivo.
Fac-simile di piano di formazione obbligatoria cybersecurity NIS2
Il presente Piano di Formazione in materia di Cybersecurity e Cyber Awareness è adottato quale misura strutturale di gestione del rischio ai sensi degli articoli 20 e 21 della Direttiva (UE) 2022/2555 (NIS2).
Finalità del piano
Il piano ha la finalità di rafforzare in modo sistematico la consapevolezza, le competenze e la responsabilità del personale e degli organi direttivi in relazione ai rischi informatici, contribuendo alla protezione delle reti e dei sistemi informativi, alla continuità operativa e alla resilienza complessiva dell’organizzazione. La formazione è intesa non come iniziativa isolata, ma come processo continuativo integrato nel modello di governance della sicurezza.
Ambito di applicazione e destinatari
Il piano si applica all’intera organizzazione e coinvolge tutti i dipendenti, collaboratori e soggetti che, a vario titolo, utilizzano sistemi informativi e risorse digitali aziendali, nonché i membri degli organi di amministrazione e direzione. I contenuti formativi sono differenziati in funzione dei ruoli, delle responsabilità e del livello di esposizione al rischio cyber, nel rispetto del principio di proporzionalità richiesto dalla normativa NIS2.
Struttura del piano e contenuti macro della formazione per i dipendenti
La formazione rivolta ai dipendenti è strutturata per fornire una base solida di cyber awareness e per promuovere comportamenti consapevoli e coerenti con le politiche di sicurezza aziendali. Il piano affronta in primo luogo il quadro generale delle minacce informatiche attuali, con particolare attenzione ai principali vettori di attacco che coinvolgono il fattore umano, quali il phishing, il social engineering, l’uso improprio delle credenziali e la diffusione di malware. In questo contesto, la formazione mira a rendere il personale in grado di riconoscere segnali di rischio, comprendere le modalità operative degli attaccanti e adottare comportamenti preventivi.
Un ulteriore ambito centrale del piano riguarda l’utilizzo sicuro degli strumenti informatici aziendali e dei servizi digitali, inclusi i sistemi di posta elettronica, le piattaforme di collaborazione, i dispositivi aziendali e, ove consentito, quelli personali. La formazione approfondisce le regole di gestione delle credenziali di accesso, i principi di autenticazione sicura, la protezione delle informazioni trattate e l’importanza della separazione tra ambiti lavorativi e personali.
Il piano dedica inoltre un’attenzione specifica alla gestione degli incidenti di sicurezza dal punto di vista operativo, illustrando le modalità con cui i dipendenti devono comportarsi in presenza di eventi anomali, sospetti o potenzialmente incidentali. In tale ambito, la formazione chiarisce il ruolo del personale nel processo di segnalazione tempestiva, evidenziando come una comunicazione rapida e corretta costituisca un elemento essenziale per limitare l’impatto degli incidenti e tutelare l’organizzazione.
La formazione per i dipendenti include infine i principi fondamentali di protezione delle informazioni e dei dati personali, in un’ottica di integrazione con gli obblighi derivanti dal Regolamento (UE) 2016/679. Tale integrazione consente di rafforzare la comprensione del legame tra cybersecurity e protezione dei dati, evidenziando come comportamenti non sicuri possano tradursi in violazioni di dati personali e conseguenti responsabilità per l’organizzazione.
Struttura del piano e contenuti macro della formazione per gli organi direttivi
La formazione rivolta agli organi di amministrazione e direzione è concepita come un percorso di livello strategico e di governance, distinto dalla formazione operativa dei dipendenti. Il piano affronta innanzitutto il quadro normativo di riferimento, con particolare riguardo agli obblighi introdotti dalla Direttiva NIS2, alle responsabilità attribuite agli organi di gestione e alle possibili conseguenze sanzionatorie in caso di inadempienza.
Un ulteriore ambito formativo riguarda la comprensione del contesto di minaccia e del profilo di rischio cyber dell’organizzazione, al fine di consentire al board di valutare in modo consapevole l’adeguatezza delle misure di sicurezza adottate. In tale prospettiva, la formazione fornisce strumenti concettuali per interpretare report di sicurezza, indicatori di rischio, informazioni sugli incidenti e proposte di investimento in ambito cyber.
Il piano prevede inoltre contenuti specifici dedicati al ruolo del board nella gestione degli incidenti di sicurezza, chiarendo i processi decisionali, le responsabilità di indirizzo e supervisione, nonché le interazioni con le funzioni interne e con le autorità competenti. La formazione mira a rendere l’organo di gestione pienamente consapevole del proprio ruolo nella tutela della resilienza operativa e della reputazione dell’organizzazione.
Modalità di erogazione, periodicità e aggiornamento
La formazione è erogata mediante modalità coerenti con la struttura organizzativa e con la tipologia dei destinatari, combinando sessioni formative periodiche, aggiornamenti mirati e momenti di approfondimento in occasione di cambiamenti normativi, evoluzioni tecnologiche rilevanti o incidenti di sicurezza. La periodicità della formazione è definita in modo da garantire un aggiornamento costante delle competenze e della consapevolezza, in un’ottica di miglioramento continuo.
Integrazione con la formazione in materia di protezione dei dati personali
Il piano è coordinato con il piano di formazione in materia di protezione dei dati personali previsto dal Regolamento (UE) 2016/679, al fine di assicurare coerenza tra le misure di sicurezza informatica e gli obblighi di tutela dei dati. Tale integrazione consente di sviluppare una cultura organizzativa unitaria della sicurezza delle informazioni e di rafforzare il principio di accountability.
Approvazione, governance e documentazione
Il presente Piano di Formazione è sottoposto all’approvazione del Consiglio di Amministrazione che ne valuta la coerenza con il profilo di rischio dell’organizzazione e ne autorizza l’attuazione. L’organo di gestione esercita una funzione di supervisione sull’efficacia del piano e richiede aggiornamenti annuali. L’organizzazione assicura la documentazione delle attività formative svolte, quale elemento essenziale di dimostrabilità della conformità alla Direttiva NIS2.
Conclusioni: dalla conformità alla resilienza organizzativa
In definitiva, la formazione obbligatoria in materia di cybersecurity rappresenta uno dei punti di maggiore esposizione per le organizzazioni che non hanno ancora adottato un approccio strutturato. Per le aziende e per gli HR manager, la sfida non è solo normativa, ma culturale e organizzativa. La formazione non è un costo, né un semplice obbligo, ma uno strumento di governo del rischio e di rafforzamento della resilienza aziendale.
Per gli organi direttivi, la formazione è il presupposto per esercitare un ruolo di indirizzo e controllo consapevole, in linea con le responsabilità che la NIS2 attribuisce loro in modo esplicito. Le organizzazioni che sapranno investire in piani formativi autentici, coerenti e approvati a livello di governance non solo ridurranno il rischio di sanzioni e incidenti, ma dimostreranno di aver compreso il vero spirito della NIS2: trasformare la cybersecurity da problema tecnico a componente essenziale della strategia e della responsabilità aziendale.
