Per anni la cybersicurezza è stata considerata una materia esclusivamente tecnica, confinata nelle sale server e affidata agli specialisti IT. La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, cambia radicalmente questa impostazione. Non si limita infatti a introdurre nuovi obblighi di sicurezza informatica, ma ridefinisce le responsabilità organizzative e di governance, portando il tema direttamente all’interno delle sale dove si prendono le decisioni strategiche.
Non è un caso che la Commissione europea abbia presentato la direttiva con un messaggio chiaro: la cybersicurezza deve entrare “inside the boardroom”. Il legislatore europeo ha compreso che gli incidenti informatici non rappresentano più soltanto un problema tecnologico, ma un rischio aziendale a tutti gli effetti, capace di compromettere continuità operativa, reputazione, relazioni con clienti e fornitori e, nei casi più gravi, la sopravvivenza stessa dell’organizzazione.
Indice degli argomenti
NIS2 e governance della cybersicurezza: il ruolo del top management
La vera innovazione della NIS2 è quindi l’introduzione di un principio di accountability esplicita del top management. Gli organi di amministrazione non possono più limitarsi a delegare la gestione del rischio cyber ai responsabili IT, ma devono esercitare un ruolo attivo di indirizzo, supervisione e controllo.
L’articolo 23 del decreto attribuisce infatti agli organi di amministrazione la responsabilità di approvare le misure di gestione del rischio, vigilare sulla loro attuazione, garantire una formazione adeguata sia per sé stessi sia per il personale e ricevere informazioni periodiche sugli incidenti e sulle minacce. L’articolo 24 amplia ulteriormente il perimetro delle responsabilità, includendo aspetti quali l’analisi dei rischi, la gestione degli incidenti, la sicurezza della supply chain e la valutazione dell’efficacia delle misure adottate.
In altre parole, la cybersicurezza diventa una questione di governance. E come ogni tema di governance richiede agli amministratori di porre le domande giuste.
Naturalmente non si chiede ai membri di un consiglio di amministrazione di comprendere il funzionamento di un firewall o di valutare l’efficacia di una configurazione di rete. Il loro compito è un altro: assicurarsi che l’organizzazione conosca i propri rischi, disponga delle competenze necessarie per gestirli e sia in grado di dimostrare che le decisioni adottate sono coerenti con il livello di rischio accettato.
Le cinque domande del CDA sulla governance della cybersicurezza
Secondo la nostra esperienza, esistono almeno cinque domande che ogni CDA dovrebbe essere in grado di porre al management e ai responsabili della sicurezza:
1. Tempi di ripristino dopo un incidente grave
Ogni organizzazione dovrebbe conoscere due parametri fondamentali: il Recovery Time Objective (RTO), cioè il tempo massimo tollerabile di interruzione dei servizi, e il Recovery Point Objective (RPO), ovvero la quantità massima di dati che si può perdere senza compromettere il business.
Questi valori non sono parametri tecnici, ma decisioni aziendali. Definiscono il livello di resilienza che l’organizzazione intende raggiungere e devono essere tradotti in adeguate misure tecnologiche e organizzative.
Esiste però un aspetto spesso sottovalutato: un piano di disaster recovery è realmente efficace solo se viene testato periodicamente. Procedure mai verificate nella pratica possono rivelarsi inutilizzabili proprio nel momento del bisogno. Dal punto di vista della responsabilità degli amministratori, un piano non testato rischia di avere lo stesso valore di un piano inesistente.
2. Notifica degli incidenti e rapporti con le autorità
La NIS2 introduce obblighi di notifica molto stringenti. In presenza di un incidente significativo, l’organizzazione deve effettuare una notifica preliminare alle autorità competenti entro 24 ore dalla sua individuazione.
Per rispettare questi requisiti è necessario che esistano ruoli e responsabilità chiaramente definiti. In particolare, la normativa prevede la presenza di un Referente CSIRT, figura incaricata di gestire il rapporto con il Computer Security Incident Response Team nazionale e con le autorità competenti.
Questa funzione può essere svolta internamente oppure affidata a un partner specializzato, ma deve essere formalmente individuata, dotata delle competenze necessarie e soprattutto disponibile quando serve. Durante una crisi, infatti, l’incertezza organizzativa rappresenta spesso un rischio tanto grave quanto l’incidente stesso.
3. Vulnerabilità: valutazione del rischio e priorità
Ogni giorno vengono identificate nuove vulnerabilità che potrebbero interessare sistemi, applicazioni e infrastrutture aziendali. Nessuna organizzazione è in grado di intervenire immediatamente su tutte. Diventa quindi fondamentale disporre di un processo strutturato per valutare il rischio e definire le priorità. La gestione delle vulnerabilità non consiste semplicemente nell’applicare aggiornamenti software, ma richiede una valutazione continua dell’impatto potenziale sul business e della probabilità di sfruttamento.
La domanda che un consiglio di amministrazione dovrebbe porsi non riguarda il dettaglio tecnico delle singole vulnerabilità, bensì il modello di governance adottato: chi monitora il rischio? Chi informa il management sulle situazioni più critiche? Esiste una reportistica periodica che consenta agli amministratori di comprendere l’evoluzione del profilo di rischio dell’organizzazione?
4. Sicurezza dei fornitori critici e supply chain
Negli ultimi anni numerosi incidenti informatici hanno dimostrato come un’organizzazione possa essere colpita indirettamente attraverso un fornitore, un partner o un soggetto esterno con accesso ai propri sistemi. Per questo motivo la NIS2 attribuisce un’importanza centrale alla sicurezza della supply chain. La gestione del rischio non può più fermarsi ai confini aziendali, ma deve estendersi all’intero ecosistema di relazioni digitali.
Gli amministratori dovrebbero sapere quali sono i fornitori critici, quali accessi possiedono, quali requisiti di sicurezza sono stati inseriti nei contratti e con quali modalità viene verificato il loro rispetto nel tempo. Non si tratta di esercitare un controllo burocratico, ma di comprendere dove si trovano i principali punti di esposizione dell’organizzazione.
5. Efficacia delle misure e miglioramento continuo
La conformità normativa non coincide con la sicurezza. Avere procedure, policy e controlli formalmente definiti non garantisce automaticamente la capacità di prevenire o gestire un incidente.
La vera domanda che il board dovrebbe porre riguarda l’efficacia delle misure adottate. Come viene misurata? Quali indicatori vengono monitorati? Con quale frequenza vengono effettuati audit, simulazioni, esercitazioni o verifiche indipendenti?
La NIS2 introduce un approccio basato sul miglioramento continuo. Non basta implementare controlli; occorre dimostrare che siano adeguati, aggiornati e coerenti con l’evoluzione delle minacce.
Dalla compliance alla governance della cybersicurezza con la NIS2
Le organizzazioni che interpreteranno la NIS2 come un semplice esercizio di compliance rischiano di perdere l’occasione di rafforzare la propria capacità di affrontare un contesto sempre più complesso e interconnesso. Quelle che sapranno utilizzarla come leva di governance potranno invece trasformare la gestione del rischio cyber in un elemento di valore strategico.
Partecipa alla community