NIS2 non è "solo carta": perché la conformità è un'occasione, non un fastidio
La direttiva NIS2 — in Italia il D.Lgs. 138/2024 — sta portando la cybersecurity all'attenzione di aziende che non se n'erano mai occupate. Molte la vivono come un'imposizione da sbrigare al minor costo possibile. È un errore di prospettiva, e vorrei spiegare perché.
C'è una scena che si ripete, in questi mesi, in tante aziende italiane. Arriva l'obbligo NIS2, l'imprenditore lo scopre quasi per caso, e la prima reazione è quasi sempre la stessa: "da noi non è mai successo niente", seguito a ruota da "è solo carta". Da qui parte la ricerca della soluzione più economica — il pacchetto tutto incluso da scaffale — con l'obiettivo dichiarato di minimizzare costi e impegno e scavalcare l'obbligo normativo con meno ripercussioni possibili.
È una reazione comprensibile. Ma è anche il modo migliore per spendere dei soldi senza ottenere nulla in cambio, se non un raccoglitore di documenti che nessuno leggerà mai.
Il pacchetto da scaffale non protegge niente
Il problema di fondo è che la sicurezza non è un prodotto che si compra confezionato. Un set di policy generiche, scaricate da un template e con il nome dell'azienda incollato in copertina, non ha alcuna relazione con i processi reali di quell'impresa: non conosce i suoi sistemi critici, non sa dove sono i dati che contano, non tiene conto di come le persone lavorano davvero. È carta, appunto. E quando arriva l'incidente — perché prima o poi arriva — quella carta non ferma nulla.
La conformità intesa come adempimento formale produce esattamente questo: il minimo indispensabile per poter dire "ci siamo adeguati", senza che la superficie di attacco dell'azienda si sia ridotta di un centimetro.
L'approccio sartoriale
C'è un altro modo di intendere la stessa attività, ed è quello che eredito dalle certificazioni ISO 27001: un approccio sartoriale. Si studia l'azienda, se ne prendono le misure, e solo dopo si confeziona la policy specifica per quella realtà — con quelle risorse, quei processi di business, quelle criticità.
Vuol dire entrare nei processi produttivi e rivederli. Identificare quali sistemi sono davvero critici e metterli in sicurezza. Documentare i processi in modo che non restino in testa a una sola persona che, un bel giorno, se ne va e si porta via tutto il know-how. È un lavoro difficile, che richiede tempo e confronto anche scomodo con il cliente: se un processo va ristrutturato, è dovere del consulente informarne l'alta dirigenza, compresi gli investimenti che comporta.
Non è a costo zero. Ma è proprio in questo lavoro che si crea il vero valore per l'azienda — un valore che va molto oltre la casella da spuntare per il regolatore.
Il ribaltamento di prospettiva
La NIS2, letta così, smette di essere un'imposizione e diventa un'occasione: quella per sistemare cose che andavano sistemate da tempo, mettere ordine nei processi, ridurre la dipendenza dalle singole persone, sapere finalmente dove sono i propri dati e i propri rischi. Un'azienda che affronta questo percorso sul serio ne esce più solida, non solo più conforme.
C'è anche un aspetto che la normativa italiana rende esplicito e che vale la pena sottolineare: la NIS2 introduce la responsabilizzazione diretta del top management. Non è più materia da delegare interamente all'IT e dimenticare. La sicurezza diventa una questione di governance, con responsabilità che salgono ai vertici — e questo, di per sé, cambia il modo in cui il tema va affrontato.
La domanda giusta da porsi, allora, non è "come mi metto in regola spendendo il meno possibile". È un'altra: hai già messo in sicurezza la tua azienda, prima ancora di renderla conforme alla NIS2?
NIS2 è recepita in Italia dal D.Lgs. 138/2024, con le specifiche di sicurezza determinate dall'Agenzia per la Cybersicurezza Nazionale. Le scadenze di attuazione sono scaglionate: chi rientra nel perimetro dovrebbe verificare con attenzione i propri obblighi e i relativi termini.
Commenti
Posta un commento