NIS2 e CRA: un punto di svolta per la cybersecurity

Una pressione crescente da entrambe le parti

Gli attacchi informatici stanno diventando sempre più frequenti e organizzati. Un attacco ransomware può interrompere le attività operative per giorni. Una vulnerabilità presso un singolo fornitore può propagarsi rapidamente a più organizzazioni. Quando ciò accade, l’impatto non si limita ai sistemi IT. Coinvolge la produzione, i tempi di consegna, i contratti e, in ultima analisi, la fiducia dei clienti.

Allo stesso tempo, il quadro normativo sta diventando più rigoroso e concreto.

La Direttiva NIS2 estende i requisiti di cybersecurity a un numero molto più ampio di organizzazioni e stabilisce aspettative chiare in materia di gestione del rischio, segnalazione degli incidenti e sicurezza della supply chain. In parole semplici, le organizzazioni devono dimostrare di comprendere i propri rischi e di gestirli attivamente.

Le sanzioni non sono simboliche e possono raggiungere fino a 10 milioni di euro o il 2% del fatturato annuo globale per i soggetti essenziali.

Si tratta di cifre significative. Ma il vero cambiamento non riguarda la sanzione in sé: riguarda il cambiamento nelle responsabilità.

Un cambiamento strutturale

La Direttiva NIS2 rende una cosa molto chiara: la cybersecurity non può essere considerata una funzione tecnica isolata. Deve essere approvata, compresa e supervisionata ai massimi livelli dell’organizzazione. La sicurezza deve essere visibile e integrata nella gestione complessiva del rischio.

Non si tratta di aggiungere ulteriore documentazione. Si tratta di colmare lacune reali.

La maggior parte degli incidenti di sicurezza non si verifica a causa di un singolo guasto grave. Si verifica a causa di piccole vulnerabilità, responsabilità non chiaramente definite, team che operano in silos e sistemi non integrati. Con il tempo, questi punti deboli aumentano l’esposizione al rischio.

La normativa sta spingendo le organizzazioni ad analizzare queste vulnerabilità con maggiore attenzione e ad adottare un approccio più strutturato alla loro gestione.

Come spiega Jorma Issakainen, SVP e Head of Critical Infrastructure di ALCEA: «La normativa rende chiare le responsabilità, ma il vero obiettivo è la resilienza. La cybersecurity è parte integrante della continuità operativa. Senza visibilità e una chiara attribuzione delle responsabilità nell’intero ecosistema della sicurezza, le organizzazioni rimangono esposte ai rischi.»

Oltre la conformità

La Direttiva NIS2 e il Cyber Resilience Act (CRA) rappresentano una tappa importante. Definiscono uno standard minimo per la gestione della cybersecurity. Tuttavia, il rispetto della normativa è solo il punto di partenza.

La vera sfida risiede nell’implementazione, nell’allineamento dei team, nella definizione chiara delle responsabilità e nel garantire che sistemi e processi lavorino insieme senza lacune. La conformità può essere documentata. La resilienza deve essere costruita.

Nel prossimo articolo analizzeremo i motivi per cui gli sforzi di conformità spesso non producono i risultati attesi nella pratica e perché l’allineamento tra persone, processi e tecnologia rappresenta la differenza tra una conformità formale e una sicurezza realmente efficace.

Perché oggi la cybersecurity non significa semplicemente evitare sanzioni. Significa proteggere le fondamenta su cui la vostra organizzazione fa affidamento ogni giorno.

Se desiderate una maggiore visibilità su sistemi, fornitori e responsabilità, contattateci per scoprire come un approccio più integrato possa supportare il vostro percorso verso la conformità a NIS2 e CRA.