Un pericolo concreto per le aziende italiane, gli attacchi hacker in aumento: preveniamo con la NIS2
Negli ultimi anni, l’Italia ha registrato un’escalation di attacchi informatici senza precedenti. Non sono più solo le grandi aziende a essere bersaglio dei cybercriminali, ma anche le PMI e le infrastrutture critiche. Secondo il rapporto Clusit 2024, gli attacchi cyber sono aumentati del 23% rispetto all’anno precedente, con un impatto devastante su imprese di ogni settore. Aziende sanitarie, enti pubblici e realtà manifatturiere sono tra i bersagli più colpiti, con danni economici e reputazionali difficilmente recuperabili. Ogni giorno, un’impresa italiana rischia di subire un attacco informatico che potrebbe comprometterne la continuità operativa, causare il furto di dati sensibili e, nei casi più gravi, portare alla chiusura definitiva. Attacco, che potrebbe partire da una semplice mail spam, aperta erroneamente.
Il quadro regolatorio promuove una vera e propria “disruption” nella gestione della cybersecurity
La gestione della cybersicurezza non è più relegata a questioni di stretta sicurezza IT, ma si impone come elemento centrale nelle strategie di gestione e nei piani di sviluppo aziendale. Un attacco informatico oggi può mettere in ginocchio un’intera azienda, causando la perdita irreversibile di dati sensibili, blocchi operativi prolungati, danni reputazionali catastrofici e il rischio concreto di chiusura definitiva. In molti casi, le imprese colpite si trovano a dover affrontare la revoca di licenze e autorizzazioni per la mancata conformità alle normative di sicurezza, con conseguenze devastanti.
La crescente esposizione ai rischi cyber
Nel pervasivo processo di digitalizzazione non solo aumenta la “superficie digitale” aggredibile, ma si assiste anche a una crescente dipendenza da fornitori terzi di servizi digitali per funzioni critiche (ad esempio, infrastrutture cloud as a service, piattaforme e svariati servizi in outsourcing). Vi sono, poi, significativi livelli di concentrazione nell’utilizzo di tali servizi verso un numero limitato di fornitori terzi, che possono innescare fenomeni di contagio ed elevare il potenziale impatto sistemico di singole minacce o attacchi cyber. Un attacco mirato a una di queste infrastrutture può generare un effetto domino, paralizzando interi settori economici.
Il ruolo della NIS 2 nella strategia di cybersecurity
La direttiva NIS 2 rivitalizza il tema della formazione e dell’alfabetizzazione in materia di sicurezza informatica, considerandoli aspetti cruciali per una gestione corretta ed efficace della cybersicurezza. Come ribadito in più occasioni dall’ENISA, il fattore umano è spesso considerato l’elemento più vulnerabile di un sistema di sicurezza informatica. Un solo errore umano può aprire la porta a un attacco devastante. Negli ultimi anni si è quindi dato crescente rilievo all’igiene informatica, un elemento fondamentale per prevenire numerosi incidenti di sicurezza. I malware trasmessi tramite spam, ad esempio, continuano a rappresentare un problema rilevante e possono compromettere intere reti aziendali in pochi minuti.
Scadenze e soggetti coinvolti nella NIS 2
La NIS 2 introduce precise tempistiche e obblighi per le imprese:
- 16 ottobre 2024: entrata in vigore del Decreto Legislativo 4 settembre 2024 n. 138.
- 28 febbraio/31 marzo 2025: termine per la redazione dell’elenco dei soggetti essenziali e importanti da parte dell’ACN (Agenzia per la Cybersicurezza Nazionale).
- 15 aprile – 31 maggio 2025: obbligo di integrazione delle informazioni per i soggetti destinatari della comunicazione ACN.
- 30 aprile 2026: termine per l’elaborazione e adozione del modello di categorizzazione delle attività e servizi.
Chi è coinvolto?
La NIS 2 si applica a:
La risposta è: praticamente a tutti! Imprese con almeno 50 dipendenti e un fatturato annuo superiore a 10 milioni di euro in:
- Settori altamente critici (energia, trasporti, sanità, infrastrutture digitali, pubblica amministrazione centrale e locale, servizi finanziari, alimentare e chimico).
- Settori critici (servizi postali, produzione manifatturiera, gestione rifiuti, fabbricazione di dispositivi elettronici, fornitori di servizi cloud e infrastrutture digitali)
- Enti pubblici e organizzazioni la cui interruzione dei servizi potrebbe avere un impatto significativo sulla sicurezza nazionale e sulla resilienza economica.
Ma! In settori ritenuti strategici o in settori che abbiano rapporti con la PA, anche le società sotto i limiti dimensionali.
Conclusioni
Attacchi hacker in aumento: preveniamo con la NIS2. L’implementazione della direttiva NIS 2 non è solo un obbligo normativo, ma una necessità per la sopravvivenza aziendale. Un’azienda impreparata a un attacco informatico rischia di perdere tutto: clienti, dati, finanziamenti e la stessa capacità di operare.
Investire in cybersecurity significa proteggere i propri dati, ridurre i rischi economici e migliorare la fiducia degli stakeholder. Le imprese devono quindi adottare un approccio integrato alla cybersecurity, combinando investimenti tecnologici, governance efficace e cultura della sicurezza per affrontare al meglio le sfide del futuro digitale. Chi ignora queste direttive si espone a conseguenze che potrebbero essere letali per il proprio business.
Decreto legislativo di recepimento: link