Adesso risponde il board: gli errori non ricadono più solo sull'IT
È proprio su questo cambio di mentalità che punta la direttiva NIS2, introducendo una novità epocale: la responsabilità diretta dei vertici aziendali. Per la prima volta, la normativa europea impone agli organi di amministrazione e direzione l'obbligo formaledi approvare e supervisionare le misure di sicurezza, acquisire competenze specifiche tramite formazione e rispondere in prima personain caso di violazioni.
In pratica, se un'azienda non si adegua ai requisiti previsti dalla direttiva, i suoi dirigenti possono essere chiamati a risponderne in sede legale. Le responsabilità non si scaricano più verso dipartimenti tecnici o fornitori informatici. Non più.
In Italia, in caso di gravi inadempienze inerenti alla direttiva per le organizzazioni classificate come essenziali, l'ACN (Agenzia per la Cybersicurezza Nazionale) può disporre la sospensione temporanea dai ruoli dirigenziali per gli amministratori coinvolti. È un forte deterrente, perché tocca la responsabilità individuale e reputazionale dei decisori.
La NIS2 non si limita a dettare principi: introduce anche strumenti di controllo e verifica, come gli audit periodici e post-incidente, affidati a organismi indipendenti. Ogni organizzazione coinvolta dovrà dimostrare con evidenze documentate che le misure di sicurezza sono state effettivamente messe in atto e funzionano.
24 ore per reagire, un mese per spiegare: le nuove regole cyber
La NIS2 impone anche l'adozione di misure di sicurezza tecniche, organizzative e operative adeguate alla natura e alla dimensione dell'organizzazione. Non si tratta solo di tecnologie, ma anche di processi, policy e cultura interna,.
Le imprese devono dotarsi di strumenti capaci di prevenire, rilevare e gestire gli attacchi, ma soprattutto di un approccio dinamico: la valutazione dei rischi va aggiornata con regolarità, per assicurarsi che le difese restino efficaci al variare del contesto operativo e delle minacce.
La direttiva cambia radicalmente anche il modo in cui vanno gestiti gli incidenti. Ogni evento rilevante - una violazione, un attacco, una perdita di dati - deve essere segnalato entro 24 orealle autorità competenti. Entro 72 oreva fornita una prima analisi dettagliata e, entro un mese, una relazione conclusiva. Queste procedure di notifica diventeranno obbligatorie dal 1º gennaio 2026, ma richiedono già oggi un cambio di passo: non si può più improvvisare quando qualcosa va storto. Servono un piano, una squadra, un metodo.
Un altro snodo rilevante riguarda la supply chain: le aziende non possono più considerarsi isolate, ogni anello della catena è un possibile punto d'ingresso per un attacco. Ecco perché la NIS2 impone di valutare e gestire i rischi anche nei confronti dei fornitori. Chi fornisce servizi o componenti critici deve essere selezionato, monitorato e verificato non solo in base alla qualità di ciò che offre, ma anche in base alla sua solidità sul fronte cyber. In pratica, questo significa mappare i fornitori chiave, introdurre requisiti di sicurezza fin dai contratti, eseguire audit periodici e pretendere garanzie chiare su come gestiscono la sicurezza.
Parallelamente, c'è il tema della formazione. La NIS2 lo dice chiaramente: la sicurezza informatica non può restare una competenza specialistica relegata all'IT. Deve diventare patrimonio diffuso, soprattutto a livello direzionale. Per questo sono richiesti programmi di sensibilizzazione e aggiornamento permanenti, rivolti sia al personale operativo che ai membri del board.
Tra le principali vulnerabilità in ambito cyber, ce n'è una che nessuna tecnologia può eliminare del tutto:il comportamento umano. È spesso proprio qui che si aprono le porte agli attaccanti, tramite errori banali ma devastanti come cliccare su un link di phishing, cadere in una trappola di social engineering o usare credenziali deboli e non protette. Davanti a queste minacce, non basta una policy scritta: servono formazionecontinua, consapevolezza diffusa e una cultura aziendale che consideri la sicurezza un asset strategico, non solo un obbligo da spuntare.
È proprio alla luce di minacce come queste che la direttiva NIS2 diventa decisiva: impone alle organizzazioni di alzare il livello di consapevolezza, prontezza e controllo, non solo sui sistemi, ma su ogni decisione strategica legata alla sicurezza. Perché, quando l'AI entra nella cassetta degli attrezzi degli attaccanti, non si può più reagire a incidente avvenuto: serve una postura di difesa continua, preventiva, sistemica.
