Introduzione

La prima riunione sulla NIS2 è spesso impostata come un confronto tecnico: firewall, backup, antivirus, autenticazione e patch. Sono temi importanti, ma non sono il punto di partenza. Per una PMI manifatturiera il passaggio decisivo è capire quali attività non possono fermarsi, quali dipendenze digitali le rendono possibili e chi può decidere le priorità quando un rischio cyber ha un impatto su produzione, logistica, assistenza o rapporto con i clienti.

Questo non sostituisce una valutazione applicabile al singolo caso aziendale. Offre però una traccia concreta per rendere la prima riunione utile, evitando che il percorso diventi una raccolta di documenti scollegati dalle decisioni operative.

1. Portare al tavolo le persone giuste

L’IT non può essere lasciato solo. La sicurezza coinvolge processi, persone, contratti, continuità e investimenti; per questo la prima riunione dovrebbe includere direzione, responsabili IT, operations o produzione e chi presidia qualità, compliance o organizzazione.

Non serve un gruppo numeroso, ma devono essere presenti persone che conoscano il funzionamento reale dell’azienda e che possano assumere o far assumere decisioni. La direzione non deve entrare nei dettagli di una configurazione: deve contribuire a definire priorità, responsabilità, risorse e criteri di accettazione del rischio.

Questa impostazione è coerente con il principio di leadership e di governo di un sistema di gestione della sicurezza delle informazioni richiamato da ISO/IEC 27001:2022.

2. Partire dai processi essenziali, non dagli strumenti

La domanda iniziale non è “quali tecnologie abbiamo?”, ma “cosa succede se questo processo si ferma?”. Per un’impresa manifatturiera possono essere rilevanti la pianificazione della produzione, l’accesso a disegni o dati tecnici, la connettività di stabilimento, i gestionali, la logistica, i servizi cloud e l’assistenza ai clienti.

Mappare questi elementi non richiede subito un inventario perfetto. Basta iniziare da una fotografia condivisa che colleghi processo, persone coinvolte, sistemi utilizzati e conseguenze di un’interruzione. In questo modo il confronto tecnico viene dopo una domanda di business: quale impatto siamo disposti a tollerare e per quanto tempo?

3. Trasformare i rischi in decisioni

Una lista di vulnerabilità non è ancora una valutazione del rischio. Per decidere occorre collegare scenari plausibili, processi coinvolti, impatti e misure possibili. Ad esempio, un’interruzione della connettività, un accesso non autorizzato a un account privilegiato o l’indisponibilità di un fornitore cloud possono produrre effetti molto diversi a seconda di dove si inseriscono nel processo.

La prima riunione può quindi chiudersi con poche priorità chiare: quali rischi approfondire, quali evidenze raccogliere, chi è responsabile di ciascuna azione e quando riesaminare il quadro. Un’azione ben definita è più utile di un piano molto esteso senza proprietari.

ISO/IEC 27002:2022 può supportare questo ragionamento come guida per scegliere controlli coerenti con il trattamento del rischio, senza trasformare l’elenco dei controlli in una checklist da applicare indistintamente.

4. Rendere visibili fornitori e dipendenze

Molte attività essenziali dipendono da terze parti: connettività, manutenzione, servizi gestionali, cloud, software di produzione, backup o assistenza remota. Coinvolgere queste dipendenze fin dall’inizio evita una lettura parziale del rischio.

Durante la riunione è utile identificare i fornitori che, se indisponibili o compromessi, avrebbero un impatto significativo. Per ciascuno non occorre produrre subito una valutazione completa; è sufficiente stabilire quali informazioni mancano, quali interlocutori interni possiedono i contratti e quali verifiche sono prioritarie.

Questo approccio aiuta anche a distinguere ciò che l’azienda gestisce direttamente da ciò che deve governare attraverso accordi, requisiti e monitoraggio.

5. Usare un linguaggio comune per il piano di lavoro

Per evitare che direzione e tecnici parlino linguaggi diversi, il NIST Cybersecurity Framework 2.0 offre un riferimento operativo utile. Le sue funzioni — Govern, Identify, Protect, Detect, Respond e Recover — consentono di organizzare il confronto senza presentarsi come un requisito certificabile.

Nella pratica, il gruppo può usare questo schema per verificare se esistono decisioni di governo, conoscenza delle dipendenze, misure di protezione, capacità di rilevazione, modalità di risposta e condizioni per il recupero. Il valore non è compilare sei sezioni: è rendere leggibile il percorso e assegnare priorità.

6. Chiudere con un output semplice e verificabile

Una buona prima riunione non deve risolvere tutto. Dovrebbe produrre un verbale essenziale con perimetro iniziale, processi prioritari, rischi da approfondire, azioni, responsabili e data di riesame. Questo rende le decisioni verificabili e permette di aggiornare il percorso quando emergono nuove informazioni.

Conclusione

Affrontare la NIS2 non significa trasferire un problema alla funzione IT né moltiplicare documenti. Significa creare un momento di governo in cui l’organizzazione collega continuità, rischi, dipendenze e responsabilità. Da qui può partire un percorso proporzionato, sostenibile e utile anche oltre gli adempimenti.

Per definire priorità e misure applicabili alla propria realtà, è opportuno coinvolgere competenze tecniche, organizzative e, quando necessario, professionali specialistiche.