L’entrata in vigore della Direttiva NIS 2 (recepita in Italia a fine 2024) ha segnato un punto di non ritorno per la sicurezza informatica a livello europeo e nazionale. In un contesto geopolitico instabile e con un panorama di minacce cibernetiche (come ransomware e attacchi alla supply chain) in continua e rapida evoluzione, la cybersecurity cessa definitivamente di essere un “mero problema IT”. Diventa, a tutti gli effetti, un pilastro imprescindibile della governance aziendale e della continuità operativa.

Con l’ampliamento senza precedenti della platea dei soggetti obbligati — ora suddivisi capillarmente in Soggetti Essenziali (es. energia, trasporti, banche, sanità) e Soggetti Importanti (es. manifattura, produzione alimentare, …) — e l’introduzione di sanzioni economiche severissime, la direttiva introduce un cambio di paradigma: la responsabilità diretta del Top Management (Organi Direttivi dell’organizzazione).

In Italia, l’ACN (Agenzia per la Cybersicurezza Nazionale) è l’autorità competente designata per dettare le linee guida, stabilire le misure di sicurezza e, non da ultimo, condurre le attività ispettive. Per i “Soggetti Importanti”, l’ACN richiede un approccio rigoroso, documentato e basato sulla gestione proattiva del rischio (Risk Management), come del resto avviene in altre normative (ISO 9001, ISO 27001, …).  Ma come tradurre questi stringenti requisiti normativi in azioni pratiche, misurabili e difendibili in sede di audit?