La formazione di chi governa l’azienda, nel contesto NIS2, rischia di essere affrontata come un appuntamento da chiudere: una sessione, un registro firme, un attestato. Sono elementi utili, ma non dimostrano da soli che la direzione sia in grado di comprendere le decisioni di cybersecurity che le competono.
Con questa espressione intendiamo, in concreto, i componenti dell’organo di amministrazione — per esempio consiglio di amministrazione o amministratore unico — e le figure con effettive responsabilità direttive, secondo l’assetto dell’impresa. Non significa coinvolgere indistintamente tutti i dipendenti né trasformare amministratori e dirigenti in specialisti tecnici.
Rendere la formazione verificabile significa poter ricostruire un percorso semplice ma coerente: chi è stato coinvolto, su quali temi, con quale collegamento alle decisioni aziendali e con quali aggiornamenti nel tempo. Serve mettere le persone che governano nelle condizioni di orientare, chiedere informazioni pertinenti e decidere quando un rischio richiede attenzione.
Perché la sola presenza in aula non basta
La NIS2 porta la cybersecurity dentro la governance. Per chi governa l’azienda questo non equivale a conoscere ogni tecnologia o a validare ogni configurazione. Vuol dire, invece, saper leggere le implicazioni operative di una scelta: un servizio critico affidato a un fornitore, un incidente che richiede escalation, un aggiornamento che può interrompere un processo essenziale, una misura rinviata per ragioni di budget o di continuità.
Un attestato prova che una persona ha partecipato a un’attività. Non prova necessariamente che il contenuto fosse adeguato al ruolo, che la discussione abbia toccato i rischi dell’azienda o che le decisioni successive ne abbiano tenuto conto. La differenza è importante soprattutto quando la formazione viene richiesta come evidenza in un confronto interno, in una verifica o durante la gestione di un evento.
La domanda utile non è quindi: “Abbiamo fatto formazione?”. È: “Possiamo spiegare quale consapevolezza volevamo costruire e come questa ha migliorato le decisioni?”.
Definire il risultato atteso prima di scegliere il corso
Un percorso efficace parte da tre risultati concreti. Il primo è una base comune di linguaggio: rischio, impatto, continuità, fornitore critico, escalation e misura compensativa devono avere un significato condiviso. Il secondo è la capacità di porre le domande giuste ai responsabili operativi. Il terzo è riconoscere quali decisioni non possono rimanere implicite o rinviate senza una valutazione.
Prima di organizzare un corso, conviene raccogliere le situazioni che la direzione incontra davvero. Per esempio:
- approvare priorità e risorse per azioni di miglioramento;
- valutare le conseguenze di un’interruzione di un servizio digitale rilevante;
- decidere come presidiare un fornitore che tratta dati o supporta un processo essenziale;
- verificare se un incidente è stato gestito, analizzato e tradotto in azioni successive.
Da qui si ricavano obiettivi formativi meno generici. Non “sensibilizzare sulla cybersecurity”, ma “rendere chi governa l’azienda capace di chiedere una sintesi di rischio comparabile e di decidere un’escalation con responsabilità chiare”.
Costruire un programma vicino alle decisioni aziendali
Un programma per la direzione deve essere breve, ricorrente e collegato al contesto. Una lezione molto tecnica può essere utile a chi opera sui sistemi, ma non è automaticamente utile a chi deve governare priorità, risorse e responsabilità.
Una struttura pratica può alternare quattro blocchi: scenario aziendale, ruoli decisionali, casi operativi e verifica finale. Lo scenario descrive i processi e i servizi da cui dipende l’organizzazione. I ruoli chiariscono chi prepara le informazioni, chi decide e chi deve essere informato. I casi operativi simulano situazioni realistiche, come la sospensione temporanea di una misura, un fermo di un fornitore o un’anomalia che coinvolge un servizio essenziale. La verifica finale non deve essere un esame scolastico: può essere una discussione guidata su quali informazioni servirebbero per decidere e quale decisione andrebbe registrata.
Questo approccio evita due errori frequenti: trattare la formazione come una presentazione standard e confondere l’aggiornamento della direzione con un trasferimento di istruzioni tecniche.
Le evidenze da conservare senza creare burocrazia
La verificabilità richiede poche evidenze, ma ben collegate fra loro. Per ogni sessione è utile conservare un programma con obiettivi e destinatari, i materiali effettivamente utilizzati, le presenze o le modalità di partecipazione, le eventuali domande emerse e una sintesi degli esiti.
A queste si può aggiungere un registro delle azioni nate dalla sessione: una richiesta di approfondimento, un riesame di una priorità, l’aggiornamento di una procedura di escalation o il coinvolgimento di un responsabile. Non ogni incontro deve generare un progetto. Ma quando emerge una decisione, renderla tracciabile collega la formazione al governo reale dell’azienda.
È utile anche indicare quando il contenuto deve essere aggiornato. Cambiamenti rilevanti nei servizi, nei fornitori, nell’organizzazione o negli scenari di minaccia possono rendere insufficiente un programma ripetuto identico ogni anno. La formazione diventa così parte di un ciclo di miglioramento, non un adempimento isolato.
Riesaminare il percorso e correggere ciò che non funziona
Dopo la sessione, la domanda non è solo se tutti abbiano partecipato. È se le informazioni portate alla direzione sono diventate più chiare, se i ruoli di escalation sono comprensibili e se le decisioni lasciano una traccia verificabile.
Un riesame essenziale può basarsi su alcune domande: la direzione ha ricevuto esempi aderenti al contesto? Sa distinguere un aggiornamento ordinario da una situazione che richiede decisione? I responsabili sanno quali informazioni preparare? Le azioni individuate hanno un proprietario e una data di verifica?
Se una risposta è negativa, non occorre ripartire da zero. Si può integrare il programma con un caso concreto, rivedere il formato della reportistica o pianificare un richiamo mirato. La qualità del percorso non dipende dalla durata dell’aula, ma dalla sua capacità di rendere più affidabili le decisioni successive.
Conclusione
La formazione NIS2 di chi governa l’azienda è utile quando trasforma la cybersecurity da tema specialistico a materia di governo: rischi comprensibili, domande pertinenti, decisioni esplicite ed evidenze essenziali. Per costruirla, New Consulting parte dal contesto aziendale e dalle situazioni in cui direzione, funzioni operative e fornitori devono davvero coordinarsi. Il risultato non è un fascicolo più grande: è una direzione più preparata a decidere.
Nota informativa: per stabilire gli obblighi applicabili alla singola organizzazione occorre verificare il perimetro soggettivo e gli adempimenti previsti dalla normativa e dalle indicazioni ACN applicabili.