Cybersecurity e NIS2: non solo compliance, ma continuità del business
Non più confinata ai sistemi informatici, la cybersecurity attiene a continuità operativa, reputazione, responsabilità degli organi direttivi e capacità dell’impresa di restare competitiva all’interno di filiere sempre più digitalizzate.
Con il D.Lgs. 138/2024, che ha recepito in Italia la Direttiva europea NIS2, la sicurezza informatica assume un ruolo strutturale di governance. Il provvedimento, entrato in vigore il 16 ottobre 2024, attribuisce all’Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di Autorità competente e punto di contatto unico.
Per i soggetti inseriti nel primo elenco nazionale NIS, il 2026 rappresenta un passaggio decisivo: entrano progressivamente in vigore gli obblighi relativi alla notifica degli incidenti significativi e all’adozione delle misure previste dalla normativa.
Le imprese sono chiamate a dimostrare di saper prevenire, gestire e comunicare gli incidenti attraverso interventi tecnici, organizzativi e procedurali proporzionati al rischio.
La platea coinvolta dalla NIS2
La Direttiva interessa 18 settori strategici, tra cui energia, trasporti, sanità, infrastrutture digitali, servizi ICT, manifattura e pubblica amministrazione. L’applicazione dipende da ambito, dimensioni dell’organizzazione e rilevanza dei servizi erogati. Uno degli elementi più innovativi riguarda la sicurezza della filiera: chi rientra nel perimetro NIS2 deve valutare anche i rischi legati a fornitori e partner tecnologici.
Dall’IT alla governance: la cybersecurity è un rischio di business
Gli attacchi informatici stanno evolvendo in forme nuove, più sofisticate e mirate. Ransomware, phishing evoluto, furto di credenziali, compromissione dei servizi cloud e attacchi alla supply chain sono oggi tra le principali minacce per il sistema produttivo.
Le conseguenze non riguardano soltanto la perdita dei dati. Un incidente può bloccare la produzione, interrompere la logistica, rendere indisponibili gli ordini, compromettere i pagamenti, generando danni economici e reputazionali difficilmente recuperabili.
Per questo la NIS2 adotta un approccio basato sul rischio: ogni organizzazione deve individuare vulnerabilità e processi critici, predisponendo interventi adeguati a garantire la continuità del business.
Con la normativa, gli organi di amministrazione e direzione sono chiamati ad approvare le misure di gestione del rischio informatico, supervisionarne l’attuazione e acquisire una formazione adeguata.
Nelle organizzazioni complesse, il pericolo più rilevante è l’effetto domino: un attacco che sfrutta le vulnerabilità di un singolo fornitore, di un software condiviso o di un accesso remoto non protetto può propagarsi lungo l’intera catena del valore, coinvolgendo clienti, partner e operatori strategici.
La roadmap dell’adeguamento
Primo passo: capire se l’organizzazione rientra nel perimetro normativo e valutarne il livello di maturità. Il passo successivo è mappare processi, sistemi, patrimonio dati e fornitori, individuando le vulnerabilità che potrebbero compromettere la tenuta dei flussi.
La governance va formalizzata attraverso ruoli, responsabilità e procedure condivise; in parallelo occorre rafforzare gli aspetti tecnologici, proteggere gli accessi, verificare i backup, monitorare i fornitori critici e predisporre piani di risposta agli incidenti.
Infine, è fondamentale verificare periodicamente l’efficacia delle misure adottate attraverso simulazioni, esercitazioni e attività di audit interno. La conformità non è un traguardo statico, ma un processo dinamico di miglioramento continuo.
Il calendario applicativo italiano prevede tre passaggi chiave:
- 30 giugno 2026 – è scaduto il termine per la categorizzazione delle attività e dei servizi sul portale ACN, per i soggetti già censiti.
- Autunno 2026 – scade il termine per l’adozione e l’implementazione completa delle misure di sicurezza di base.
- 1° gennaio 2027 – partono gli obblighi di notifica degli incidenti significativi al CSIRT Italia, per i soggetti iscritti nel 2026.
I requisiti principali della NIS2
La Direttiva individua una serie di misure minime che le imprese devono adottare:
- analisi e gestione dei rischi
- gestione degli incidenti informatici
- business continuity e disaster recovery
- sicurezza della supply chain
- gestione delle vulnerabilità
- autenticazione multifattore e controllo degli accessi
- utilizzo della crittografia
- formazione del personale
- monitoraggio continuo dell’efficacia degli interventi adottati
Il ruolo del Fractional CISO
In questo contesto cresce l’interesse verso il Fractional Chief Information Security Officer (Fractional CISO), una figura manageriale che consente alle imprese di accedere a competenze strategiche senza sostenere i costi di una funzione interna dedicata.
Supporta il percorso di adeguamento alla NIS2, definisce ruoli, responsabilità e controlli, coordina la gestione del rischio cyber e rafforza la sicurezza della supply chain. Inoltre, pianifica le priorità di intervento, predispone le procedure di risposta agli incidenti e traduce gli aspetti tecnici in informazioni utili per il management.
Per molte PMI e imprese di medie dimensioni rappresenta una soluzione concreta per sviluppare una governance della sicurezza efficace, scalabile e orientata al business.
La cybersecurity vista dal mercato
Il tema non è solo normativo, come confermano dati ed eventi recenti che fotografano lo stato dell’arte.
Nel corso di “Cultura di Impresa 2026”, dedicato alla sicurezza d’impresa nell’era dell’intelligenza artificiale, Paola Boromei, Chief Operating Officer del Gruppo Il Sole 24 Ore, ha ricordato che l’innovazione genera valore solo se accompagnata da una governance solida, e che in uno scenario segnato da tensioni geopolitiche gli attacchi cyber restano un rischio concreto per la continuità operativa.
Sul fronte della diffusione, l’adozione dell’intelligenza artificiale in Europa varia da settore a settore: la quota più alta si registra in informazione e comunicazione (63%), seguita da attività scientifiche e tecniche (40%) e da attività immobiliari e alberghiere (25%).
La rivoluzione è già in atto, ma restano criticità importanti. La forte disomogeneità è tra i motivi per cui, secondo Google, il potenziale economico dell’AI nel breve termine non è ancora pienamente espresso. A questo si aggiunge il divario di adozione tra grandi imprese e PMI”. Le distanze sono anche geografiche: si va da picchi del 35-45% nei paesi nordici al 5-9% in alcune aree dell’Europa meridionale e orientale (dati Forward, Google).
Investire sulle competenze resta il primo terreno su cui giocare questa partita, per non restare indietro rispetto alla trasformazione in corso a livello europeo e globale. Come ha sintetizzato James Manyika, SVP di Google-Alphabet: “L’AI è una tecnologia trasversale, e qualsiasi settore può applicarne le funzionalità specifiche per evolversi”.
Proprio mentre l’adozione cresce, tuttavia, la protezione non tiene il passo: uno studio Stanford evidenzia come solo il 6% delle implementazioni di AI in azienda è accompagnato da una strategia di sicurezza adeguata. Un fenomeno che gli addetti ai lavori identificano come “shadow AI”, sul modello dello shadow IT: sistemi adottati senza un presidio di difesa commisurato.
Dall’adempimento al valore generabile
Interpretare la NIS2 come adempimento regolatorio significa limitarne gli effetti.
Le organizzazioni che investono in una governance strutturata della sicurezza informatica migliorano la resilienza operativa, rafforzano la fiducia di clienti e partner, riducono le probabilità di interruzioni produttive e aumentano la capacità di operare in mercati sempre più regolamentati.
La cybersecurity è un fattore competitivo, distintivo nella gestione d’impresa. Proteggere dati, infrastrutture e processi significa, in ultima analisi, proteggere il valore del brand, la continuità del business e la capacità di crescere in un contesto economico sempre più digitale e interconnesso.











