La NIS2 viene spesso affrontata come un progetto tecnico: inventario dei sistemi, misure di protezione, fornitori, procedure di risposta. Sono elementi indispensabili, ma non bastano se le decisioni che li rendono possibili restano implicite.
Quando non è chiaro chi stabilisce le priorità, chi accetta un rischio residuo, chi autorizza un investimento o chi guida un’escalation, la cybersecurity rimane affidata alla buona volontà delle persone più coinvolte. La direttiva NIS2 e il suo recepimento nazionale riportano invece il tema nel perimetro della governance: la sicurezza deve essere governata, non soltanto gestita dall’IT.
L’obiettivo non è aggiungere riunioni o produrre verbali senza conseguenze. È costruire un modo ripetibile per prendere decisioni informate, assegnare responsabilità e verificare che quanto deciso produca effetti reali.
Perché la cybersecurity è una decisione di direzione
Una decisione di cybersecurity diventa di direzione quando coinvolge priorità aziendali, risorse, continuità dei servizi, rapporti con fornitori critici o livelli di rischio che un responsabile operativo non può accettare da solo. Non riguarda quindi solo la scelta di una tecnologia.
Pensiamo a tre situazioni comuni:
- un sistema essenziale deve essere aggiornato, ma l’intervento può interrompere la produzione;
- un fornitore digitale è importante per il servizio al cliente, ma non offre evidenze sufficienti sulle proprie misure;
- un piano di continuità richiede un investimento che compete con altri obiettivi aziendali.
In ciascun caso qualcuno deve valutare alternative, conseguenze e priorità. Se quel qualcuno non è identificato, la scelta viene rinviata, frammentata o presa in modo informale. Il rischio non scompare: semplicemente non è più visibile come decisione aziendale.
Quali decisioni rendere esplicite
Non serve portare ogni ticket tecnico al board. Serve distinguere ciò che è operativo da ciò che modifica il livello di rischio, la capacità di continuità o l’impegno dell’organizzazione.
Un buon punto di partenza è definire quali decisioni richiedono un confronto di direzione. Per esempio:
- priorità dei rischi da trattare e tempi accettabili per farlo;
- criteri per approvare, limitare o sostituire un fornitore critico;
- risorse necessarie per misure, competenze, test e continuità;
- soglie di escalation per incidenti, indisponibilità o anomalie rilevanti;
- condizioni e durata di eventuali eccezioni temporanee alle misure di sicurezza;
- indicatori con cui seguire l’avanzamento e verificare l’efficacia delle decisioni.
Questa lista non è un modello rigido. Va adattata ai servizi, alla dimensione e alla struttura dell’impresa. Il suo valore è rendere chiaro dove termina l’autonomia operativa e dove inizia una responsabilità di governo.
Ruoli chiari: chi propone, chi decide, chi verifica
Una matrice di responsabilità può essere utile, ma da sola non risolve il problema. Se indica solo nomi e sigle, rischia di fotografare l’organigramma senza descrivere come si prendono le decisioni.
Per ogni tema rilevante conviene chiarire almeno quattro ruoli:
- Chi prepara il quadro informativo. Raccoglie fatti, impatti, opzioni e vincoli.
- Chi propone la decisione. Traduce le informazioni in una raccomandazione concreta, con priorità e risorse richieste.
- Chi decide o approva. Assume la decisione entro il proprio mandato, inclusa l’eventuale accettazione del rischio residuo.
- Chi segue l’esecuzione e riferisce. Verifica azioni, scadenze, ostacoli e risultati, riportando gli scostamenti.
Prendiamo il caso di un fornitore cloud che non soddisfa una richiesta di evidenza. L’IT può analizzare l’impatto tecnico; il procurement può valutare alternative contrattuali; il responsabile del servizio può stimare le conseguenze operative. Ma la scelta di continuare, imporre condizioni, ridurre la dipendenza o sostituire il fornitore richiede un mandato esplicito e una decisione tracciabile.
Rendere utile il confronto con la direzione
Il confronto periodico funziona quando riceve informazioni sintetiche e orientate alle scelte. Un report con molte vulnerabilità, sigle e dashboard può essere tecnicamente corretto ma poco utile se non chiarisce che cosa deve essere deciso.
Una struttura semplice può essere questa:
- fatto: che cosa è cambiato o quale rischio richiede attenzione;
- impatto: quali servizi, clienti, persone o obiettivi possono risentirne;
- opzioni: quali alternative realistiche esistono;
- raccomandazione: quale scelta viene proposta e perché;
- decisione richiesta: chi deve decidere, entro quando e con quali risorse;
- verifica: quale evidenza dimostrerà che l’azione è stata completata e funziona.
Così la riunione non diventa una presentazione tecnica. Diventa un luogo in cui il rischio viene collegato a decisioni, responsabilità e azioni verificabili.
Dalle decisioni alle evidenze operative
Una decisione non è completa quando viene verbalizzata: lo diventa quando è possibile seguirne l’esecuzione. Per questo le evidenze non vanno raccolte solo in vista di un controllo. Devono aiutare l’organizzazione a capire se la misura è stata effettivamente adottata e se resta adeguata.
A seconda del caso, un’evidenza può essere un piano approvato con responsabili e date, l’esito di un test di continuità, un riesame di un fornitore, una registrazione di formazione svolta, un aggiornamento di configurazione o una verifica indipendente. Il formato conta meno della capacità di rispondere a domande semplici: che cosa è stato deciso? Chi doveva agire? Che cosa è stato fatto? Quale risultato è stato osservato?
Questo approccio crea un collegamento pratico tra governance e operatività. La direzione non deve entrare nei dettagli di ogni controllo; deve poter verificare che le decisioni più rilevanti siano state trasformate in attività reali.
Un primo passo concreto per le PMI
Per iniziare non occorre progettare un sistema complesso. È sufficiente scegliere tre o cinque decisioni ricorrenti che oggi vengono gestite in modo informale: ad esempio rinnovi di fornitori critici, eccezioni di sicurezza, priorità di remediation, test di continuità e gestione di un incidente rilevante.
Per ciascuna, documentate il flusso essenziale: chi porta il tema, quali informazioni servono, chi decide, quale azione segue e come se ne verifica la chiusura. Dopo un ciclo di utilizzo, il processo può essere rivisto con le persone coinvolte.
La NIS2 non chiede una governance fatta di carta. Richiede che la sicurezza sia trattata come una responsabilità aziendale concreta. Rendere esplicite le decisioni è il passaggio che permette a competenze tecniche, direzione e funzioni operative di lavorare sulla stessa priorità: ridurre il rischio senza rallentare inutilmente il business.