NIS2: cinque domande che ogni azienda dovrebbe porsi prima di ottobre

La conformità rappresenta un passaggio importante. Ma la vera sfida è costruire un'organizzazione capace di continuare a garantire la continuità del business anche durante una crisi informatica.

Negli ultimi mesi si è parlato molto di NIS2. Webinar, guide operative, checklist e approfondimenti hanno aiutato le organizzazioni a comprendere il nuovo quadro normativo e a verificare se rientrano nel perimetro della Direttiva.

Oggi, però, siamo entrati in una fase diversa.

La scadenza di Ottobre 2026 non riguarda più la comprensione della norma, ma la sua concreta applicazione. Per le organizzazioni questo significa poter dimostrare che governance, processi, controlli e misure di sicurezza sono realmente operativi e supportati da adeguate evidenze documentali.

Ma non basta: c'è una domanda ancora più importante.

Se domani un ransomware rendesse indisponibili i sistemi critici, la vostra organizzazione sarebbe davvero pronta a garantire la continuità del business?

È qui che la conformità lascia spazio al suo obiettivo finale: la resilienza operativa.

Per aiutare le organizzazioni a orientarsi nelle prossime settimane, proponiamo cinque domande che ogni Direzione dovrebbe porsi prima delle scadenze di ottobre.

1. Sappiamo davvero da dove partiamo?

Ogni percorso di adeguamento dovrebbe iniziare con una fotografia oggettiva della situazione attuale. Quali requisiti sono già soddisfatti? Dove esistono ancora lacune? Quali interventi hanno la priorità?

Molte organizzazioni stanno lavorando contemporaneamente su aspetti organizzativi, tecnici e documentali. Senza una chiara valutazione iniziale, il rischio è disperdere tempo e risorse su attività che non rappresentano le priorità più urgenti.

La domanda da porsi non è "Abbiamo iniziato il percorso?", ma "Sappiamo esattamente cosa manca e in quale ordine affrontarlo?". È questo il primo passo per costruire una roadmap efficace verso ottobre.

2. La governance è pronta a gestire un incidente?

Uno degli aspetti più innovativi della NIS2 riguarda il ruolo del management.

La cybersecurity non è più un tema confinato all'IT, ma una responsabilità che coinvolge direttamente gli organi di amministrazione e la Direzione.

Questo significa chiedersi:

• chi prende le decisioni durante una crisi?
• ruoli e responsabilità sono formalizzati?
• il management è consapevole dei propri obblighi?
• esiste una chiara catena decisionale?

Quando un incidente è in corso, il tempo disponibile per decidere è limitato. Chiarire in anticipo governance e responsabilità significa ridurre incertezza proprio quando ogni minuto conta.

3. Possiamo dimostrare ciò che stiamo facendo?

Uno dei temi che genera maggiore confusione riguarda i cosiddetti "documenti della NIS2".

La Direttiva non impone un numero prestabilito di documenti. Richiede invece che l'organizzazione sia in grado di dimostrare, attraverso policy, procedure, registri, piani ed evidenze, che le misure di sicurezza siano realmente implementate.

Tra gli elementi che normalmente costituiscono questo patrimonio documentale troviamo, ad esempio:

• policy di cybersecurity;
• valutazione dei rischi;
• inventario degli asset;
• piano di gestione degli incidenti di sicurezza informatica;
• piano di gestione delle crisi
• piano di continuità operativa;
• piano di ripristino in caso di disastro;
• gestione delle vulnerabilità;
• politiche di backup;
• gestione degli accessi;
• gestione dei fornitori;
• programmi di formazione e awareness.

Ma il punto non è produrre documentazione. Il punto è poter dimostrare che quei documenti descrivono processi realmente adottati, conosciuti e applicati dall'organizzazione. Le evidenze diventano quindi tanto importanti quanto le policy stesse.

4. Quanto conosciamo il rischio dei nostri fornitori?

La trasformazione digitale ha ampliato il numero di soggetti coinvolti nell'erogazione dei servizi. Software, cloud provider, fornirtori, manutentori, dispositivi connessi, servizi in outsourcing: ogni connessione rappresenta un elemento critico per la continuità operativa.

Per questo la supply chain è oggi uno dei principali temi introdotti dalla NIS2.

Non basta conoscere i propri sistemi. Occorre conoscere anche le dipendenze esterne, comprenderne il livello di rischio e definire modalità di controllo e monitoraggio proporzionate alla loro criticità.

5. Se domani accadesse davvero, sapremmo cosa fare?

Questa è probabilmente la domanda più importante.

Molte organizzazioni possiedono piani di Risposta agli Incidenti, Continuità Operativa e Ripristino in Caso di Disastro. Poche li hanno realmente testati.

Una simulazione permette di verificare se il Crisis Management Team conosce il proprio ruolo, se i flussi decisionali funzionano, se le procedure sono realistiche e se la comunicazione tra le diverse funzioni è efficace. È durante queste esercitazioni che emergono le criticità che nessuna policy riesce a evidenziare.

La conformità è il punto di partenza

Le scadenze di ottobre rappresentano un passaggio fondamentale nel percorso di adeguamento alla NIS2. Ma sarebbe un errore considerarle il punto di arrivo.

Per un’organizzazione, essere conformi significa soddisfare un requisito normativo. Essere resilienti significa qualcosa di più: continuare a garantire la qualità e la continuità dei servizi anche quando un incidente informatico mette sotto pressione l'organizzazione.

La vera domanda, quindi, non è se tutta la documentazione sia stata completata. La vera domanda è se persone, processi e governance siano realmente pronti ad affrontare una crisi.

Perché la cyber resilienza non si costruisce il giorno dell'attacco. Si costruisce molto prima.