La NIS2 non è un adempimento da lasciare all’IT: con il recepimento italiano nel D.Lgs. 138/2024, la cybersicurezza entra nella responsabilità diretta del vertice aziendale. In pratica, il consiglio di amministrazione e la direzione non devono conoscere i dettagli tecnici di reti e firewall, ma devono poter dimostrare di governare il rischio, approvare le misure, verificarne l’efficacia e reagire agli incidenti con tempi e ruoli chiari.

Per imprenditori, amministratori e responsabili d’ufficio il messaggio è semplice: un attacco informatico oggi non è solo un problema tecnico, ma un rischio operativo, economico e reputazionale. E la NIS2 chiede che questo rischio sia gestito come tale, con decisioni documentate e responsabilità non ambigue.

Perché la NIS2 cambia il ruolo del management

Per anni la sicurezza informatica è stata vista come una materia specialistica, confinata al reparto IT o ai fornitori tecnologici. La logica della NIS2 è diversa: se un incidente può fermare produzione, servizi, vendite, amministrazione o rapporti con clienti e fornitori, allora il tema riguarda chi prende decisioni aziendali.

Il punto centrale richiamato dalla normativa è l’accountability del top management. Gli organi di amministrazione non possono più limitarsi a stanziare un budget e “delegare tutto ai tecnici”. Devono invece:

approvare le misure di gestione del rischio;
vigilare sulla loro attuazione;
assicurare formazione adeguata;
ricevere informazioni periodiche su minacce e incidenti;
verificare che esistano procedure efficaci, anche verso fornitori e partner.

In altre parole, il CdA non deve fare il lavoro del responsabile IT, ma deve fare bene il proprio: porre le domande giuste, pretendere risposte verificabili e assumere decisioni coerenti con il rischio che l’azienda è disposta a tollerare.

Le cinque domande che il CdA dovrebbe porre

L’articolo di Agenda Digitale mette a fuoco un aspetto molto pratico: governare la cybersicurezza significa soprattutto fare le domande corrette. Per una PMI o per un’organizzazione strutturata, queste cinque aree sono il minimo indispensabile.

1. Quanto tempo possiamo restare fermi e quanti dati possiamo perdere?

Dietro le sigle RTO e RPO c’è una scelta di business, non solo tecnica.

RTO (Recovery Time Objective): quanto tempo massimo l’azienda può tollerare senza un servizio critico.
RPO (Recovery Point Objective): quanti dati è accettabile perdere in caso di incidente.

Questi parametri incidono su continuità operativa, fatturato, servizio ai clienti e organizzazione interna. Se un’azienda non ha deciso questi limiti, in realtà non ha ancora deciso il proprio livello di resilienza.

C’è poi un punto spesso trascurato: i piani di disaster recovery valgono davvero solo se vengono testati. Un piano mai provato può risultare inutilizzabile proprio nel momento dell’emergenza. Dal punto di vista della governance, “abbiamo un piano” non basta: bisogna poter dire quando è stato testato, con quali risultati e quali correzioni sono state introdotte.

2. Siamo in grado di notificare un incidente nei tempi richiesti?

La NIS2 prevede obblighi di notifica particolarmente stringenti. In caso di incidente significativo, la notifica preliminare alle autorità competenti deve avvenire entro 24 ore dalla sua individuazione.

Questo requisito, sulla carta semplice, nella pratica mette alla prova l’organizzazione. Per rispettarlo servono almeno quattro elementi:

criteri chiari per capire quando un evento diventa un incidente rilevante;
ruoli e responsabilità definiti in anticipo;
un flusso decisionale rapido;
documentazione pronta e aggiornata.

Il punto critico non è compilare un modulo, ma sapere chi decide, su quali informazioni e con quali tempi. Se ogni incidente richiede riunioni improvvisate o catene di approvazione incerte, il rischio è arrivare fuori tempo massimo.

3. Chi decide davvero, e con quali competenze?

Un’altra domanda essenziale è capire se la struttura di responsabilità sia reale o solo formale. La NIS2 richiede responsabilità chiare, ma questo non significa soltanto nominare un referente.

Il CdA dovrebbe verificare:

chi approva le misure di sicurezza;
chi coordina la risposta agli incidenti;
chi informa la direzione;
chi gestisce il rapporto con fornitori e consulenti;
quali competenze sono presenti all’interno e quali vengono coperte all’esterno.

Conta anche la formazione. La normativa richiama espressamente la necessità che non solo il personale, ma anche gli organi di amministrazione ricevano un livello adeguato di preparazione. Non serve trasformare gli amministratori in specialisti cyber; serve metterli in condizione di comprendere i rischi, valutare le priorità e riconoscere i segnali di allarme.

4. Quanto dipendiamo dalla nostra supply chain digitale?

La sicurezza non finisce ai confini dell’azienda. Software, cloud, outsourcing, manutenzione remota, servizi gestiti, piattaforme di collaborazione: una parte crescente del rischio passa dai fornitori.

La NIS2 richiama in modo esplicito il controllo della supply chain. Questo significa che il management dovrebbe sapere almeno:

quali fornitori hanno accesso a dati o sistemi critici;
quali servizi esterni sono essenziali per la continuità operativa;
quali garanzie contrattuali e operative sono state previste;
come viene gestito un incidente che coinvolge un partner.

Per molte PMI il problema non è la mancanza di tecnologia, ma la mancanza di visibilità. Si usano servizi esterni nati nel tempo, talvolta attivati da singoli reparti, senza una visione d’insieme del rischio. La governance richiesta dalla NIS2 impone invece una mappa chiara delle dipendenze critiche.

5. Come verifichiamo che le misure funzionino davvero?

Una policy firmata o una procedura archiviata non dimostrano da sole che l’azienda sia protetta. La direttiva spinge verso una logica di verifica continua dell’efficacia.

Questo implica misurare, riesaminare, correggere. Il CdA dovrebbe ricevere periodicamente informazioni comprensibili su:

stato delle misure adottate;
esito di test e simulazioni;
incidenti avvenuti e lezioni apprese;
vulnerabilità o aree di debolezza ancora aperte;
priorità di miglioramento.

L’obiettivo non è inseguire una sicurezza perfetta, che non esiste, ma dimostrare un processo serio di gestione del rischio. In caso di problemi, conta molto poter provare che l’azienda aveva valutato i rischi, scelto misure coerenti, controllato la loro attuazione e aggiornato il sistema nel tempo.

La vera novità: il cyber risk diventa rischio d’impresa

L’aspetto più rilevante della NIS2 è culturale prima ancora che normativo. Sposta la cybersicurezza dal perimetro tecnico al linguaggio della direzione aziendale.

Questo passaggio è importante perché aiuta a prendere decisioni migliori. Un backup non è solo una misura IT: è una scelta sulla sopravvivenza dell’operatività. Un test di ripristino non è una formalità: è una prova sulla capacità dell’azienda di continuare a lavorare. Un controllo sui fornitori non è burocrazia: è riduzione del rischio di fermo, perdita dati o interruzione del servizio.

Per questo, nelle organizzazioni più mature, il tema cyber non arriva in consiglio solo quando c’è un problema. Entra nella pianificazione, nella gestione dei contratti, nelle verifiche periodiche e nella definizione delle priorità di investimento.

Cosa significa per la tua azienda

Per una PMI italiana, la domanda pratica non è “siamo grandi abbastanza per preoccuparci della NIS2?”, ma “se domani avessimo un incidente serio, sapremmo cosa fare e potremmo dimostrarlo?”.

Ecco alcune azioni concrete, utili anche per chi non rientra direttamente tra i soggetti più regolati:

Definisci i servizi critici. Quali attività non possono fermarsi? Posta, gestionale, file server, ERP, produzione, accesso remoto, centralino, contabilità: fai un elenco chiaro.
Stabilisci tempi di ripristino realistici. Decidi quanto puoi restare fermo e quanto dato puoi perdere senza compromettere il business. Da qui deriva l’adeguatezza di backup, infrastruttura e procedure.
Verifica davvero backup e ripristino. Avere copie dei dati non basta: serve la prova che il recupero funzioni. Se vuoi strutturare meglio questo aspetto, una soluzione di remote backup va sempre affiancata a test periodici di restore.
Formalizza ruoli e responsabilità. In caso di incidente chi decide? Chi chiama il fornitore? Chi informa clienti, direzione e consulenti? Scrivilo prima, non durante l’emergenza.
Mappa i fornitori critici. Identifica chi accede ai tuoi sistemi o tratta dati importanti. Verifica contratti, livelli di servizio, canali di escalation e misure minime di sicurezza.
Porta il tema in direzione con cadenza regolare. Anche una riunione trimestrale con un report sintetico su incidenti, rischi aperti, test eseguiti e investimenti necessari è già un passo decisivo.
Allinea sicurezza e privacy. Molti incidenti cyber diventano anche problemi di protezione dei dati personali. Per questo sicurezza operativa e conformità devono parlarsi, soprattutto in relazione al GDPR.
Non lasciare l’operatività quotidiana al caso. Aggiornamenti, protezione endpoint, gestione degli accessi, inventario dei dispositivi e monitoraggio devono essere governati in modo costante. Un approccio strutturato di sicurezza informatica è spesso più efficace di interventi spot fatti solo quando emerge un problema.

Il punto chiave è uno: la NIS2 non chiede a tutte le aziende di fare tutto, subito e allo stesso livello. Chiede però di smettere di trattare il rischio cyber come un dettaglio tecnico delegato senza controllo.

Domande frequenti

La NIS2 obbliga il CdA a occuparsi di aspetti tecnici?

No. Il CdA non deve entrare nei dettagli di firewall, reti o configurazioni, ma deve approvare le misure, vigilare sulla loro attuazione e verificare che il rischio sia gestito e documentato.

Se abbiamo un fornitore IT esterno siamo già coperti?

No. Esternalizzare non elimina la responsabilità aziendale. La direzione deve comunque sapere quali misure sono adottate, quali rischi restano aperti e come vengono gestiti incidenti e fornitori critici.

Il backup basta per essere conformi o resilienti?

No. Il backup è fondamentale, ma da solo non basta. Servono anche test di ripristino, procedure chiare, ruoli definiti, protezione degli accessi e capacità di risposta agli incidenti.

Il punto da portare in riunione

Se c’è una domanda da portare subito sul tavolo di direzione è questa: “Siamo in grado di dimostrare che il rischio cyber è governato, non solo gestito dai tecnici?”.

È qui che la NIS2 segna il cambiamento più concreto. Non chiede al management di diventare esperto di sicurezza informatica; chiede che il rischio venga trattato con la stessa serietà con cui si gestiscono finanza, continuità operativa, qualità o compliance. E per molte aziende, oggi, questo è il passaggio più urgente.

NIS2: le 5 domande che il CdA deve fare