La conformità che risulta efficace unicamente in presenza dell’intero personale non costituisce resilienza e le scadenze dell’autunno 2026 renderanno evidente la distinzione tra le organizzazioni che hanno prodotto documentazione e quelle che hanno costruito processi effettivamente operativi.
Ogni anno, nel corso del periodo estivo, la maggior parte delle organizzazioni italiane ed europee attraversa una fase di riduzione strutturale della propria capacità operativa che raramente viene riconosciuta e governata in modo esplicito. La sovrapposizione dei periodi di congedo determina una contrazione del personale disponibile che investe simultaneamente le funzioni tecniche, quelle decisionali e le controparti esterne.
Il Security Operations Center opera con organici ridotti, spesso in regime di sola reperibilità; le figure responsabili delle attività critiche, dalla gestione delle copie di sicurezza alla direzione della risposta agli incidenti, risultano frequentemente assenti o difficilmente raggiungibili; e la medesima condizione interessa i fornitori di servizi e i consulenti esterni ai quali l’organizzazione si appoggia.
La catena di responsabilità che, sulla documentazione, appare lineare e presidiata si rivela, in questa fase, discontinua. È in tali condizioni, e non nei periodi ordinari con l’intero personale presente e i piani formalmente disponibili, che la resilienza di un’organizzazione può essere effettivamente misurata; da questa osservazione discende la tesi del presente contributo: la conformità che risulta efficace unicamente in presenza dell’intero personale non costituisce resilienza, bensì una rappresentazione documentale di un comportamento che non è mai stato verificato in condizioni avverse.
L’autunno 2026, per il concentrarsi di scadenze regolatorie di particolare rilievo, è destinato a trasformare tale distinzione da questione di principio a elemento con conseguenze giuridiche, economiche e reputazionali immediate. Il mese di agosto costituisce, in questa prospettiva, una verifica non programmata della tenuta organizzativa, nella quale il soggetto verificatore non è l’autorità di controllo, bensì un soggetto ostile che pianifica le proprie azioni tenendo conto dei periodi di ridotta operatività delle vittime.
L’evidenza empirica raccolta negli ultimi anni, come si illustrerà, conferma la sistematicità di tale comportamento. Nel linguaggio corrente i termini «sicurezza» e «resilienza» tendono a essere impiegati in modo intercambiabile, benché designino proprietà distinte. La sicurezza attiene alla capacità di prevenire il verificarsi di eventi indesiderati; la resilienza attiene alla capacità di assorbire tali eventi quando la prevenzione risulta inefficace, circostanza che statisticamente si verifica in ogni organizzazione, e di continuare a erogare le funzioni essenziali durante e dopo l’evento avverso; ne consegue difatti una prima implicazione operativa spesso trascurata: la resilienza è una proprietà del sistema organizzativo nel suo complesso, non una qualità delle singole persone che lo compongono.
Un’organizzazione la cui capacità di reagire a un attacco che si manifesti nelle ore notturne di un giorno festivo dipende dall’effettiva reperibilità di un determinato individuo non può dirsi resiliente, poiché la continuità del servizio risulta affidata a una circostanza contingente anziché a un presidio strutturato.
Indice degli argomenti
Cyber-resilienza e rischio da figure chiave
La disciplina dell’ingegneria dei sistemi definisce questa condizione mediante il concetto di bus factor, ossia il numero minimo di persone la cui indisponibilità improvvisa è sufficiente a bloccare un processo o un progetto: un valore pari a uno segnala l’esistenza di un singolo soggetto la cui assenza determina la paralisi del sistema. Il concetto corrispondente nell’ambito della gestione del rischio è quello di key person risk, che indica la concentrazione di conoscenze critiche, credenziali, relazioni e capacità decisionali in un numero ristretto di persone.
Si tratta di un rischio che le organizzazioni raramente mappano in modo esplicito, poiché per la maggior parte dell’anno rimane latente: le figure chiave sono presenti e operative, e il sistema funziona nonostante la propria fragilità strutturale, anziché in virtù di una robustezza progettata. La condizione di ridotta operatività estiva rende manifesta tale fragilità, a ciò si accompagna una distorsione valutativa che è opportuno riconoscere, poiché costituisce la radice del problema.
Quando un incidente viene gestito efficacemente grazie all’intervento di una figura esperta che, al di fuori dell’orario ordinario, si collega e conduce le operazioni di contenimento, l’organizzazione tende a registrare l’episodio come un esito positivo, mentre in realtà esso evidenzia una carenza sistemica compensata da un intervento individuale non strutturato. L’indicatore di maturità non consiste nella disponibilità di figure in grado di intervenire in via straordinaria, bensì nell’assenza della necessità di ricorrervi: un processo la cui esecuzione dipende dalla memoria o dalla presenza di una singola persona non costituisce, propriamente, un processo, ma un rischio non presidiato.
È in questo punto che la distinzione tra conformità documentale e resilienza operativa assume la propria rilevanza; la redazione di una politica di sicurezza, di un piano di continuità operativa o di una procedura di risposta agli incidenti è un’attività relativamente circoscritta, che può essere completata in tempi contenuti con il supporto di modelli consolidati.
La costruzione di un processo, inteso come meccanismo che produce l’esito atteso in modo ripetibile, indipendentemente dall’operatore che lo esegue e dal momento in cui viene attivato, richiede invece addestramento, ridondanza, deleghe formalizzate, verifiche ripetute e la disponibilità a sottoporre il piano a prova in assenza di chi lo ha redatto. La costruzione di tali processi trova nei principali riferimenti metodologici una struttura consolidata.
Il modello dei tre livelli di difesa (Three Lines Model), nella formulazione aggiornata nel 2020 dall’Institute of Internal Auditors, distingue le funzioni operative che detengono e gestiscono il rischio in prima linea, le funzioni di supervisione e presidio, tra cui si colloca tipicamente il ruolo del responsabile della sicurezza delle informazioni, in seconda linea, e la funzione di revisione interna, che fornisce garanzia indipendente, in terza.
La rilevanza di tale modello risiede nel fatto che una governance adeguatamente strutturata distribuisce la responsabilità della gestione del rischio anziché concentrarla: laddove la prima linea è in grado di gestire il rischio senza attendere l’intervento della seconda, il sistema mantiene la propria funzionalità anche in caso di assenza temporanea di singoli attori. Il NIST Cybersecurity Framework 2.0, pubblicato nel febbraio 2024, ha affiancato alle cinque funzioni preesistenti: Identify, Protect, Detect, Respond e Recover e una sesta funzione, Govern, collocata in posizione centrale.
Tale scelta riflette il riconoscimento del fatto che la capacità di risposta e di ripristino non deriva primariamente dalle soluzioni tecnologiche adottate, bensì dalle decisioni di governance che le precedono: l’individuazione dei soggetti titolari del potere decisionale, la definizione della loro autorità e la determinazione dei criteri sulla base dei quali le decisioni vengono assunte.
La guida del NIST alla gestione degli incidenti (Special Publication 800-61) struttura a sua volta il ciclo di vita della risposta a partire dalla fase di preparazione, che risulta determinante ai fini della capacità dell’organizzazione di reagire in condizioni di ridotta operatività. Sul piano della continuità operativa, gli standard della famiglia ISO, in particolare la ISO 22301, relativa ai sistemi di gestione della continuità operativa, la ISO/IEC 27031, concernente la preparazione dei sistemi informatici alla continuità, e la ISO/IEC 27035, in materia di gestione degli incidenti di sicurezza delle informazioni forniscono un impianto metodologico che presuppone, per definizione, la verifica periodica dei piani mediante prove documentate, e non la loro mera formalizzazione.
Il quadro normativo europeo conferisce a tali principi carattere cogente: l’articolo 23 del decreto legislativo n. 138 del 2024 stabilisce in capo agli organi di amministrazione e direzione una responsabilità diretta e non delegabile in materia di gestione del rischio informatico. È ammessa la delega delle attività (la configurazione dei sistemi, il monitoraggio, la predisposizione delle procedure) ma non della responsabilità relativa all’esito. Ne discende un corollario di rilievo: l’organo di vertice non può considerarsi esentato dalla propria responsabilità in ragione della competenza e della presenza del responsabile della sicurezza; e, specularmente, la resilienza dell’organizzazione non può dipendere dalla presenza fisica di tale figura.
Un organo di amministrazione che operi secondo criteri di adeguatezza definisce in via preventiva, e formalizza per iscritto, i soggetti abilitati ad assumere le decisioni critiche in assenza delle figure ordinariamente competenti, unitamente alle soglie e ai limiti di tale delega operativa. Un ambito nel quale la distinzione tra attività delegabile e responsabilità non delegabile emerge con particolare evidenza è la governance della gestione delle vulnerabilità, che non si esaurisce nella disponibilità di uno strumento di scansione e nella produzione di una reportistica periodica, ma presuppone la definizione di una politica di rischio che stabilisca quali vulnerabilità debbano essere rimediate ed entro quali termini, quali eccezioni possano essere ammesse e in base a quali motivazioni, e quale procedura di escalation debba attivarsi in caso di mancato rispetto delle finestre di rimedio.
Una politica così definita, coerente con gli orientamenti del NIST, con gli obblighi derivanti dalla NIS2 e, per i soggetti finanziari, con le prescrizioni di DORA in materia di test della resilienza, consente al personale ridotto operante nel periodo estivo di determinare le azioni necessarie senza attendere una decisione sovraordinata, poiché l’applicazione di una correzione critica a un sistema esposto non richiede una valutazione caso per caso, ma l’esecuzione di un processo già definito.
Il quadro regolatorio dell’autunno 2026
Ove la fragilità operativa del periodo estivo costituisse un rischio esclusivamente tecnico, essa rappresenterebbe un problema circoscritto. L’elemento che conferisce al 2026 il carattere di anno di svolta è la convergenza tra tale fragilità stagionale e una fase regolatoria che, in ambito nazionale ed europeo, raggiunge proprio in autunno il proprio grado massimo di cogenza. Il legislatore non ha previsto alcuna sospensione feriale dei termini: gli adempimenti che maturano nel mese di ottobre devono essere predisposti nei mesi di agosto e settembre, ossia nel periodo di minore disponibilità di personale.
NIS2, ACN e obblighi operativi entro ottobre
L’Italia ha recepito la direttiva (UE) 2022/2555, denominata NIS2, con il decreto legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Il decreto conferma l’Agenzia per la Cybersicurezza Nazionale quale Autorità nazionale competente NIS e Punto di contatto unico, e attribuisce al CSIRT Italia la gestione delle notifiche.
Il 2026 rappresenta l’anno in cui la disciplina esce dalla fase di impostazione e accede a quella degli obblighi vincolanti: fino a oggi l’Agenzia ha operato secondo una logica di accompagnamento, orientata alla costruzione del perimetro e all’allineamento dei soggetti, mentre a partire dall’autunno si apre una fase di verifica e di eventuale contestazione. Il calendario dell’anno si articola in scadenze definite. L’obbligo di notifica degli incidenti significativi è operativo dall’inizio dell’anno e prevede la trasmissione al CSIRT Italia di una pre-notifica entro ventiquattro ore dalla consapevolezza dell’evento e di una notifica entro settantadue ore.
La finestra annuale di registrazione e aggiornamento sul portale dell’Agenzia, prevista dall’articolo 7 del decreto, si è conclusa nel mese di febbraio, cui hanno fatto seguito, nel corso della primavera, gli adempimenti relativi alla comunicazione delle attività e dei servizi e alla categorizzazione dei soggetti.
La scadenza di maggiore rilievo è tuttavia fissata entro il mese di ottobre 2026 (termine che, per i soggetti già iscritti in elenco dal 2025, diverse fonti individuano nel 31 ottobre), data entro la quale tutte le misure di sicurezza di base previste dagli allegati alla Determinazione ACN n. 379907/2025 devono risultare pienamente operative e supportate da evidenze documentali dimostrabili. Le Determinazioni ACN n. 127437 e n. 127434 del 13 aprile 2026 hanno successivamente precisato termini, modalità e procedimenti, introducendo un percorso graduale per i soggetti censiti per la prima volta nel 2026, tenuti all’adozione delle misure entro il 31 luglio 2027 secondo il principio di proporzionalità, mentre i soggetti già iscritti nel 2025 non beneficiano di proroghe.
L’elemento centrale di questa fase è costituito dalla nozione di evidenza. A partire dal mese di ottobre, l’attività dell’Agenzia transiterà dalla fase di accompagnamento a quella ispettiva, e una verifica ispettiva non può essere soddisfatta mediante la mera esibizione di una politica, bensì richiede la dimostrazione della sua effettiva attuazione: registri degli incidenti effettivamente compilati, prove dell’esecuzione e del ripristino delle copie di sicurezza, verbali di formazione sottoscritti, contratti recanti clausole di sicurezza nei confronti dei fornitori. È precisamente in questo ambito che la distinzione tra documento e processo determina la differenza tra conformità e inadempimento.
Le sanzioni previste non hanno carattere simbolico: l’articolo 38 del decreto contempla, per i soggetti essenziali, misure fino al 2% del fatturato mondiale annuo e fino all’1,4% per i soggetti importanti, prevedendo nei casi più gravi la sospensione temporanea dalle funzioni dirigenziali dei responsabili. A ciò si aggiunge il già richiamato principio della responsabilità diretta e non delegabile dell’organo di vertice, tenuto altresì a una formazione specifica ai sensi dell’articolo 23, comma 4, adempimento che non riveste carattere accessorio ma che costituisce uno dei primi elementi suscettibili di verifica in sede ispettiva.
DORA e vigilanza rafforzata sul settore finanziario
Sul versante del settore finanziario, la pressione regolatoria è generata da uno strumento di diretta applicazione. Il Regolamento (UE) 2022/2554, denominato Digital Operational Resilience Act (DORA), è pienamente applicabile dal 17 gennaio 2025. La stessa direttiva NIS2 riconosce, per i soggetti finanziari, la prevalenza delle disposizioni settoriali di DORA in materia di gestione del rischio informatico, secondo il principio di lex specialis, con la conseguenza che tali soggetti sono assoggettati a un regime specifico e di maggiore dettaglio anziché al regime generale.
Mentre il 2025 è stato interpretato dalle autorità di vigilanza quale anno di transizione, caratterizzato da un’attenzione alla buona fede nell’adeguamento, il 2026 segna il passaggio dei supervisori europei dalla fase di sensibilizzazione a quella di applicazione effettiva. In questa fase convergono più adempimenti. Il registro delle informazioni relativo ai contratti aventi a oggetto i servizi ICT forniti da terzi, previsto dall’articolo 28, deve essere trasmesso annualmente all’autorità competente: la seconda trasmissione è ricaduta nella finestra del primo trimestre 2026, nel formato xBRL-CSV conforme ai modelli dell’ITS (UE) 2024/2956, con le autorità nazionali che effettuano controlli automatizzati incrociati sulle segnalazioni. Registri incompleti o incoerenti, in particolare con riferimento alla mappatura delle catene di subappalto, sono risultati la principale causa di comunicazioni di riscontro da parte dei supervisori nel primo ciclo di raccolta.
Sul piano dei test avanzati, la norma tecnica in materia di Threat-Led Penetration Testing, ossia il Regolamento Delegato (UE) 2025/1190, pubblicato il 18 giugno 2025 e applicabile dall’8 luglio 2025, prescrive per i soggetti designati l’adozione di modalità di purple teaming, il ricorso a un fornitore esterno di threat intelligence e una fase di red team attiva della durata minima di dodici settimane, in coerenza con il framework TIBER-EU; le prime notifiche relative a tali test sono attese tra la fine del 2026 e l’inizio del 2027. Il livello di preparazione del settore appare peraltro disomogeneo: secondo una rilevazione condotta da Deloitte e richiamata da più fonti, soltanto la metà degli istituti prevedeva di conseguire la piena conformità entro la fine del 2025, con il 38% che ha differito il proprio obiettivo al 2026.
Una quota rilevante del settore finanziario europeo perviene pertanto all’estate 2026 con lacune ancora aperte, da colmare nel periodo di minore capacità operativa e in un contesto di vigilanza non più orientato alla tolleranza. La conclusione comune ai due regimi normativi è la medesima: entrambi hanno superato la logica della verifica dell’esistenza di un documento per affermare quella della verifica dell’esistenza di un comportamento, e un comportamento organizzativo può essere accertato unicamente sottoponendolo a prova in condizioni realistiche, ossia nelle stesse condizioni che il periodo estivo determina annualmente.
L’ipotesi secondo cui i soggetti ostili concentrino le proprie azioni nei periodi di ridotta disponibilità dei difensori non costituisce una considerazione aneddotica, ma trova riscontro in rilevazioni sistematiche e ripetute nel tempo. La conoscenza di tali dati riveste importanza per chi è preposto alla governance della sicurezza, poiché essi rappresentano l’argomentazione più solida a sostegno della necessità di investire nella resilienza operativa. Il 2025 Holiday Ransomware Risk Report elaborato da Semperis, condotto su un campione di 1.500 professionisti dell’ambito informatico e della sicurezza in dieci Paesi, tra cui l’Italia, e in otto settori, ha rilevato che il 52% delle organizzazioni interpellate ha subìto un attacco ransomware durante periodi festivi o nei fine settimana.
La medesima rilevazione individua la causa strutturale di tale vulnerabilità: il 78% delle organizzazioni riduce di almeno il 50% il personale del proprio Security Operations Center in tali periodi, mentre il 6% dichiara di non assicurare alcun presidio del centro operativo al di fuori dell’orario ordinario. Le motivazioni addotte a giustificazione della riduzione del presidio risultano indicative della tensione irrisolta sottesa al problema: il 62% richiama l’esigenza di tutelare l’equilibrio tra vita professionale e vita privata del personale, il 47% le chiusure aziendali e il 29% il convincimento, statisticamente smentito dagli stessi dati, che il rischio sia inferiore in tali periodi.
La rilevazione segnala inoltre che il 60% degli attacchi si è verificato in prossimità di eventi societari rilevanti, quali operazioni di fusione e acquisizione, quotazioni in borsa e processi di ristrutturazione, ossia in circostanze caratterizzate da minore attenzione e da temporanea incertezza nell’attribuzione delle responsabilità. Il quadro risulta coerente con quanto documentato da Cybereason nella serie di rilevazioni Organizations at Risk: Ransomware Attackers Don’t Take Holidays, condotta su oltre 1.200 professionisti che avevano già subìto un attacco andato a buon fine. In tali rilevazioni, il 36% degli interpellati ha ritenuto che l’attacco fosse riuscito in ragione dell’assenza di un piano di contingenza e della limitata disponibilità di personale preposto alla risposta, mentre il 24% ha dichiarato di non aver ancora predisposto contingenze specifiche per i fine settimana e i periodi festivi, pur avendo già subìto un attacco in tali circostanze.
Un dato di particolare rilievo operativo indica che circa un terzo (34%) delle organizzazioni colpite in un fine settimana o in un periodo festivo ha incontrato difficoltà nel costituire tempestivamente il proprio gruppo di risposta. La conseguenza sul piano economico è netta: la quota di soggetti che ha dichiarato perdite finanziarie maggiori a seguito di un attacco verificatosi in tali periodi è progressivamente cresciuta, attestandosi su circa un terzo dei rispondenti a fronte del 13% rilevato in precedenza. Il fenomeno non è circoscritto agli attacchi ransomware conclamati, ma investe l’intero flusso delle segnalazioni di sicurezza: il 2025 Security Operations Report di Arctic Wolf ha rilevato che il 51% delle segnalazioni di sicurezza a livello globale viene generato al di fuori dell’orario di lavoro ordinario, con una quota compresa tra il 15% e il 17% concentrata nel fine settimana. Ne deriva che una porzione consistente del rischio si manifesta nei momenti in cui una parte significativa delle risorse di difesa non è operativa.
La rilevanza del fenomeno è tale che le autorità statunitensi CISA e FBI hanno emesso, in più occasioni, avvisi congiunti volti a sollecitare una maggiore vigilanza in prossimità di festività e fine settimana, riconoscendo tali periodi quali finestre di rischio accentuato. A tale quadro si aggiunge un’evoluzione di natura qualitativa che accentua la criticità del periodo estivo: le tecniche adottate dai soggetti ostili si stanno progressivamente orientando dallo sfruttamento di vulnerabilità note verso l’abuso delle identità digitali, mediante l’impiego di credenziali compromesse, il dirottamento di sessioni e lo sfruttamento di diritti di accesso legittimi.
Un attacco fondato sull’identità presenta, per sua natura, maggiore difficoltà di rilevamento, e in un centro operativo con organico ridotto l’intervallo tra la compromissione e la rilevazione tende conseguentemente ad ampliarsi. Considerati nel loro complesso, tali dati delineano una condizione univoca: il periodo estivo non è caratterizzato da un rischio ridotto, bensì da un rischio concentrato, nel quale la probabilità di subire un attacco permane elevata mentre la capacità di reazione risulta significativamente compromessa.
Dalla documentazione ai processi di resilienza operativa
Affinché la distinzione tra documentazione e processo assuma valore operativo, occorre tradurla in criteri di verifica concreti. È possibile individuare una serie di elementi che consentono di accertare se un’organizzazione disponga di processi effettivamente operativi o della sola documentazione corrispondente, e che rappresentano altrettante domande alle quali sarebbe opportuno poter rispondere prima dell’avvio del periodo di congedo.
Il primo criterio attiene alla eseguibilità delle procedure da parte di personale sostitutivo: un piano di risposta redatto da una figura esperta in funzione di un destinatario parimenti esperto contiene inevitabilmente istruzioni implicite, che presuppongono la conoscenza pregressa dei sistemi, dei registri e dei contatti pertinenti, mentre una procedura operativa deve essere formulata in modo da poter essere eseguita da chi non l’ha redatta, eventualmente in condizioni di stress e al di fuori dell’orario ordinario, e deve pertanto specificare percorsi espliciti, riferimenti puntuali e criteri decisionali determinati; la relativa verifica consiste nel farla eseguire a personale che non ha partecipato alla sua stesura, rilevando i punti in cui l’esecuzione si interrompe.
Un secondo criterio riguarda la formalizzazione della reperibilità: un regime di reperibilità strutturato prevede un calendario dei turni, un contatto primario e uno secondario, un tempo di risposta atteso, un percorso di escalation documentato e un adeguato riconoscimento per il personale coinvolto, laddove l’affidamento a un’aspettativa informale di disponibilità non offre le medesime garanzie di tenuta.
Un terzo criterio, di particolare rilievo economico, distingue le copie di sicurezza sottoposte a verifica da quelle meramente configurate: la configurazione di un sistema di backup produce dati archiviati, ma soltanto una prova di ripristino documentata, con misurazione dei tempi effettivi, dimostra l’effettiva recuperabilità di tali dati e la durata del relativo processo, evidenza che la disciplina NIS2 richiede espressamente.
Un quarto criterio concerne l’esistenza di deleghe formalizzate e di una matrice di attribuzione delle responsabilità, che trasformi la conoscenza tacita in ruoli espliciti e trasferibili, evitando che le decisioni critiche, quali l’isolamento di un sistema o l’attivazione della procedura di notifica, restino subordinate alla disponibilità di specifiche persone.
Un quinto criterio riguarda l’addestramento della procedura di notifica degli incidenti: il termine di ventiquattro ore previsto per la pre-notifica al CSIRT Italia risulta difficilmente rispettabile qualora la procedura non sia stata previamente sperimentata, non sia definito il soggetto titolare del potere di sottoscrizione e i dati necessari risultino dispersi, laddove un processo adeguato prevede un modello precompilato per gli elementi stabili, un canale di trasmissione già verificato e deleghe di firma esplicite.
Un sesto criterio attiene alla sperimentazione dei piani mediante esercitazioni: l’esercitazione da tavolo consente di verificare le assunzioni non ancora sottoposte a prova, poiché la simulazione di uno scenario realistico permette di osservare il comportamento del gruppo di risposta in tempo reale e di individuare i punti di interruzione della catena decisionale, le decisioni che nessuno ritiene di essere autorizzato ad assumere e i contatti che non rispondono, e costituisce lo strumento di minore onere per l’individuazione di tali carenze prima che le medesime si manifestino in occasione di un evento reale.
Un settimo e ultimo criterio riguarda la misurazione degli indicatori: un obiettivo di tempo di ripristino definito in una politica non possiede valore dimostrativo finché non sia stato misurato in una prova effettiva, e la distinzione tra un tempo medio di rilevamento e di risposta dichiarato e uno misurato corrisponde alla distinzione tra un’aspirazione e un dato accertato, poiché la resilienza si dimostra mediante valori storici, riferiti alle condizioni nelle quali sono stati conseguiti, e non mediante obiettivi enunciati.
L’elemento comune a tali criteri è riconducibile a un unico principio: la documentazione descrive un’intenzione, mentre il processo produce un esito ripetibile, e soltanto quest’ultimo è idoneo a mantenere la propria efficacia in condizioni di ridotta operatività. A questa dimensione interna si aggiunge una dimensione che estende il problema all’intera catena di fornitura, poiché nessuna organizzazione opera in condizioni di autosufficienza. La superficie di rischio non coincide con il perimetro aziendale, ma comprende l’insieme dei fornitori di servizi informatici, e nel periodo estivo le carenze proprie dell’organizzazione si sommano a quelle dei fornitori, determinando una condizione di riduzione simultanea delle capacità di risposta. La sicurezza della catena di fornitura costituisce, non a caso, un elemento centrale sia della NIS2 sia di DORA: la prima estende gli obblighi oltre i soggetti direttamente censiti, prescrivendo la verifica della resilienza dei partner commerciali e l’inserimento di clausole di sicurezza nei contratti, elementi suscettibili di verifica in sede ispettiva; la seconda costruisce attorno al rischio derivante da terze parti un impianto prescrittivo, nel quale il registro delle informazioni rappresenta lo strumento che consente di individuare, in caso di crisi, i soggetti che erogano i servizi critici, la loro collocazione, i relativi subappaltatori e le strategie di uscita previste. Ne consegue, sul piano operativo, la necessità di estendere contrattualmente ai fornitori critici i requisiti di resilienza, prevedendo livelli di servizio garantiti anche nei periodi di congedo, tempi di risposta agli incidenti privi di eccezioni stagionali e punti di contatto dotati di reperibilità documentata, nonché di aggiornare la mappatura delle dipendenze prima dell’avvio del periodo estivo, anziché in occasione dell’evento. Sul piano delle azioni concrete, l’intervallo che precede il periodo di congedo consente ancora di convertire in presìdi operativi almeno una parte delle fragilità documentali. Tra le verifiche prioritarie rientrano l’esecuzione di una prova di ripristino documentata su un sistema critico, con misurazione del tempo effettivo; la formalizzazione della reperibilità estiva mediante un calendario dei turni completo di contatti e percorsi di escalation, con accettazione esplicita da parte del personale sostitutivo; la sperimentazione della procedura di notifica, con verifica del soggetto titolare del potere di sottoscrizione e predisposizione di un modello precompilato; la formalizzazione per iscritto delle deleghe decisionali applicabili in assenza delle figure ordinariamente competenti, con l’indicazione delle relative soglie; lo svolgimento di un’esercitazione riferita a uno scenario estivo; la riduzione del bus factor sui sistemi critici, mediante la garanzia che almeno una seconda persona conosca il percorso operativo e che le credenziali di emergenza siano custodite secondo procedura; la verifica della reperibilità dei fornitori critici e l’aggiornamento della mappa delle dipendenze; e infine la raccolta anticipata delle evidenze richieste per l’autunno, ossia registri, verbali di formazione, esiti dei test e clausole contrattuali, in vista della scadenza di ottobre 2026. Nessuna di tali azioni presenta particolare complessità tecnica, ma nessuna può essere improvvisata in occasione di un evento, poiché la resilienza si costituisce nei periodi di normale operatività per essere impiegata nei periodi avversi.
Prospettive a breve termine
L’autunno 2026 pone le organizzazioni italiane ed europee di fronte a due verifiche distinte. La prima ha carattere programmato, con termini e soggetti verificatori determinati, ed è rappresentata dall’attività ispettiva dell’Agenzia per la Cybersicurezza Nazionale successiva al mese di ottobre e dalla vigilanza rafforzata dei supervisori nell’ambito di DORA, ossia dalla richiesta di evidenze che converte la conformità enunciata in conformità dimostrata. La seconda non ha carattere programmato, non prevede termini comunicati e contempla un soggetto verificatore ostile, che seleziona il momento di intervento in funzione della minore capacità di difesa dell’organizzazione, e i dati disponibili individuano con precisione tale momento. La tesi enunciata in premessa può a questo punto essere riformulata in termini più stringenti: la conformità che risulta efficace unicamente in presenza dell’intero personale non costituisce resilienza in quanto non supera alcuna delle due verifiche, poiché non supera quella ispettiva, non producendo una documentazione priva del corrispondente processo le evidenze richieste dall’autorità, e non supera quella derivante da un attacco nel periodo estivo, non conservando efficacia un piano che presuppone la presenza dei propri autori in condizioni di ridotta operatività. I due esiti condividono la medesima origine, ossia la concentrazione della conoscenza anziché la sua distribuzione e la formalizzazione dell’intenzione anziché l’addestramento del comportamento, e sono pertanto prevenibili mediante le medesime misure. Le organizzazioni destinate a superare positivamente entrambe le verifiche non sono quelle che avranno prodotto la documentazione formalmente più accurata, bensì quelle che avranno accertato, in condizioni realistiche e prima dell’avvio del periodo di congedo, l’effettiva funzionalità dei propri processi anche in assenza delle figure che li hanno definiti. In tali organizzazioni l’intervento individuale di carattere straordinario risulta superfluo, poiché la tenuta è assicurata dalla struttura del sistema. Il periodo estivo costituisce una verifica non programmata della resilienza organizzativa, e le scadenze dell’autunno non faranno che formalizzare quanto tale periodo avrà già evidenziato: la predisposizione tempestiva dei processi rappresenta, in questa prospettiva, l’unica condizione idonea a garantire il superamento di entrambe.
Partecipa alla community