Il rebus della cybersicurezza tra obblighi normativi e resilienza operativa

12/05/2026 ECONOMIA Preferisci Informazione.News su Google

Redazione Economia   -   La cronaca recente, riaccesa dal caso Salt Typhoon e dal sinistro informatico che ha visto protagonista Sistemi Informativi – società, quest’ultima, riconducibile al perimetro di IBM –, ha restituito centralità a un assunto tanto elementare quanto spesso rimosso. La protezione delle reti, contrariamente a quanto si potrebbe pensare, non è appannaggio esclusivo dei giganti delle telecomunicazioni; riguarda piuttutto quei soggetti che, operando a monte, forniscono infrastrutture, servizi e soluzioni digitali a sostegno di funzioni pubbliche e private irrinunciabili. Una verità, questa, che il dibattito italiano europeo ha ricominciato a masticare solo dopo che i fatti hanno bussato – come sempre accade – alla porta della necessità.

La direttiva Nis2 e il nuovo scenario di responsabilità

Dal­l’ottobre del 2024, la direttiva NIS2 è ufficialmente in vigore nel nostro paese. Il suo scopo dichiarato è ambizioso: innalzare i livelli di sicurezza informatica per gli enti essenziali e per i servizi definiti critici. Eppure, la sua traduzione operativa sta producendo un effetto in qualche modo inedito, se si considera la tradizionale ritrosia delle imprese italiane verso gli adempimenti. Migliaia di organizzazioni stanno infatti scoprendo – non senza una certa inquietudine – che i propri amministratori delegati, i sindaci e i vertici aziendali sono ora personalmente responsabili degli incidenti informatici. L’obbligo di notificare qualsiasi violazione alle autorità competenti entro e non oltre 72 ore rappresenta, per molti, un salto di paradigma. E la pressione, va detto, non è solo formale: la governance e la responsabilità individuale sono diventate argomento ricorrente nei consigli di amministrazione, laddove un tempo si parlava soltanto di budget per la tecnologia.

Dalla compliance alla resilienza: il nodo dei settori critici

Settori come l’energia, i trasporti, il sistema bancario, la sanità, la pubblica amministrazione e le infrastrutture digitali – tutti compresi nel perimetro della NIS2 – stanno prendendo progressivamente sul serio i processi di verifica e la documentazione richiesta. Ma c’è un passaggio ancora più sottile, che riguarda la trasformazione culturale. Nel comparto agroalimentare, per esempio, la sicurezza informatica non si ferma al computer; si estende all’intera filiera, andando a impattare produzione, logistica e continuità operativa. Non basta più, insomma, adempiere per non incorrere in sanzioni. La resilienza, e cioè la capacità di tenere il colpo e di continuare a funzionare nonostante un attacco, diventa il vero banco di prova. Alcune realtà, come Conserve Italia e Deda Tech, stanno già provando a trasformare l’obbligo normativo in un vantaggio competitivo, ragionando in termini di governance e di continuità del servizio.

La trasformazione in fattore abilitante

La pressione normativa, rafforzata dalla NIS2, si combina poi con un’accelerazione tecnologica che ha nell’intelligenza artificiale il suo tratto più dirompente. Il risultato è una sorta di tagliola: da un lato, le aziende devono adeguarsi a regole che penalizzano l’inerzia; dall’altro, non possono più considerare la cybersicurezza come un semplice centro di costo da comprimere. Ne va della resilienza, della continuità operativa e infine della competitività stessa. Un istituto di credito che subisce una violazione dei dati rischia non solo la multa, ma la fiducia della clientela; un operatore logistico che vede bloccati i propri sistemi di tracciamento può fermare interi magazzini. Ecco perché, sul campo, la sicurezza informatica si sta trasformando in un fattore abilitante, cioè in quella leva senza la quale ogni altra strategia digitale risulta fragile.

L’obbligo formativo e la catena delle responsabilità

Non sfugge, in questo quadro, l’accento posto sulla formazione. I responsabili degli incidenti – si legge nei documenti che accompagnano l’attuazione della direttiva – sono oggi tenuti a percorsi formativi specifici e obbligatori. Un segnale chiaro: la tecnologia da sola non basta, serve una diffusa consapevolezza lungo tutta la catena decisionale. Le aziende italiane, ancora divise tra chi corre ai ripari e chi aspetta la prima ispezione, si trovano così di fronte a una rivoluzione silenziosa ma inesorabile. Perché la sicurezza delle reti, alla fine, non è solo un problema di firewall o di crittografia. È un problema di chi, seduto in un consiglio di amministrazione, decide quante risorse destinare alla prevenzione. E di chi, nella propria postazione, riceve una mail sospetta senza sapere che potrebbe essere l’inizio di un incidente nazionale.