La Direttiva NIS2 non riguarda solo la compliance
Per molte organizzazioni la Direttiva NIS2 continua a essere percepita come una nuova normativa da rispettare entro precise scadenze. È una lettura comprensibile, ma riduttiva. L’obiettivo della Direttiva (UE) 2022/2555, recepita in Italia con il Decreto Legislativo 138/2024, non è infatti quello di introdurre nuovi adempimenti burocratici, bensì quello di aumentare la resilienza digitale dell’intero sistema economico europeo.
La cybersecurity diventa così un tema che coinvolge il business nel suo complesso. Non riguarda più esclusivamente il reparto IT, ma interessa direttamente il management, la governance aziendale, la gestione del rischio, la continuità operativa e la capacità dell’organizzazione di continuare a erogare servizi anche durante un incidente informatico.
È questo il vero cambiamento introdotto dalla NIS2.
Per migliaia di imprese appartenenti ai settori essenziali e importanti, l’adeguamento rappresenta certamente un obbligo normativo. Ma, allo stesso tempo, costituisce anche un’opportunità per ripensare la propria infrastruttura tecnologica secondo criteri di sicurezza, affidabilità e continuità.
Una trasformazione che non nasce soltanto dall’evoluzione della normativa, ma anche dal contesto nel quale operano oggi le imprese.
Secondo il Rapporto Clusit 2025, gli attacchi informatici gravi continuano a crescere sia in termini numerici sia per impatto economico. Ransomware, compromissione delle identità digitali, attacchi alle infrastrutture critiche e vulnerabilità della supply chain rappresentano oggi alcune delle principali minacce per le organizzazioni pubbliche e private.
Parallelamente, l’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano evidenzia come gli investimenti italiani nella sicurezza informatica abbiano ormai superato i due miliardi di euro, con una crescita costante anno dopo anno. Un dato che dimostra come la cybersecurity non venga più considerata un semplice costo tecnologico, ma una componente strategica della competitività aziendale.
La NIS2 si inserisce proprio in questo scenario, trasformando la sicurezza informatica da attività tecnica a leva di governo dell’organizzazione.
Scopri quando, come e cosa serve subito per muoverti correttamente verso una completa compliance NIS2 nei tempi e nei modi richiesti, evitando brutte soprese. Contatta i talenti di Prisma e accendi il motore del tuo futuro
Dalla protezione dell’IT alla protezione del business
Per molti anni la sicurezza informatica è stata progettata partendo dall’infrastruttura tecnologica.
Server, firewall, antivirus, sistemi di backup, reti aziendali e data center rappresentavano il punto di partenza di ogni progetto di cybersecurity.
La Direttiva NIS2 ribalta completamente questa prospettiva.
La domanda non è più quali strumenti tecnologici possiede l’organizzazione.
La domanda diventa quali servizi devono continuare a funzionare anche durante un incidente informatico.
Può sembrare una differenza sottile, ma cambia radicalmente il modo di progettare la sicurezza.
Un server non è critico perché ospita dati importanti.
È critico perché supporta un processo aziendale essenziale.
Una connessione Internet non è strategica per le sue caratteristiche tecniche.
Lo diventa se da quella connessione dipendono la produzione, la logistica, l’assistenza clienti o l’erogazione di servizi digitali.
In altre parole, è la tecnologia a ereditare la propria criticità dal business e non il contrario.
Questo principio attraversa l’intera Direttiva NIS2 ed è destinato a influenzare tutte le future decisioni relative agli investimenti tecnologici.
L’infrastruttura IT diventa il primo elemento di resilienza
Quando si parla di resilienza digitale si pensa spesso agli strumenti di protezione.
Firewall di nuova generazione.
Sistemi EDR.
Autenticazione multifattore. Soluzioni di backup.
Tutte tecnologie fondamentali, ma nessuna di esse, presa singolarmente, è sufficiente.
La resilienza nasce infatti dall’integrazione dell’intera infrastruttura.
Reti, sistemi, cloud, identità digitali, ambienti virtualizzati, monitoraggio, storage e data center devono essere progettati per collaborare tra loro e garantire la continuità operativa anche nelle situazioni di crisi.
La differenza tra una semplice infrastruttura informatica e una infrastruttura resiliente consiste proprio nella capacità di limitare l’impatto di un incidente.
Una rete segmentata impedisce la propagazione laterale di un attacco.
Un sistema di autenticazione evoluto riduce il rischio di compromissione delle identità.
Backup immutabili consentono un recupero rapido dei dati.
Un’infrastruttura cloud progettata secondo criteri di alta disponibilità permette di mantenere attivi i servizi essenziali anche durante guasti o compromissioni.
Nessuna di queste tecnologie rappresenta da sola la soluzione.
È la loro progettazione integrata a costruire la resilienza richiesta dalla NIS2.
Scopri quando, come e cosa serve subito per muoverti correttamente verso una completa compliance NIS2 nei tempi e nei modi richiesti, evitando brutte soprese. Contatta i talenti di Prisma e accendi il motore del tuo futuro
La gestione del rischio diventa il nuovo criterio di progettazione
Uno degli aspetti più innovativi della Direttiva riguarda il concetto stesso di rischio.
In passato la cybersecurity era spesso costruita sulla base delle minacce conosciute.
Oggi il punto di partenza diventa l’impatto che un evento potrebbe generare sul business.
Questo significa che ogni scelta tecnologica deve essere valutata considerando la probabilità di un incidente, le conseguenze operative, i tempi di ripristino e gli effetti economici che una compromissione potrebbe produrre.
L’infrastruttura non viene più progettata soltanto per funzionare.
Deve essere progettata per continuare a funzionare anche quando qualcosa va storto.
È un approccio che avvicina sempre di più la cybersecurity ai modelli di Enterprise Risk Management.
Non è un caso che la Direttiva attribuisca agli organi amministrativi e direttivi un ruolo diretto nella supervisione delle politiche di sicurezza.
Le decisioni tecnologiche diventano decisioni strategiche.
La governance entra definitivamente nel mondo della cybersecurity.
Il monitoraggio continuo è la vera differenza tra sicurezza e resilienza
Proteggere non basta.
Occorre essere in grado di capire rapidamente quando qualcosa non sta funzionando.
Secondo ENISA, il tempo necessario per individuare un incidente rappresenta uno dei fattori che incidono maggiormente sull’impatto economico di un attacco informatico.
Ridurre il tempo di rilevazione significa limitare la propagazione della minaccia, contenere i danni e accelerare il ripristino delle attività.
È per questo motivo che il monitoraggio continuo assume un ruolo centrale anche nella NIS2.
Le organizzazioni devono essere in grado di raccogliere eventi provenienti da reti, server, endpoint, ambienti cloud e applicazioni, analizzarli in tempo reale e individuare comportamenti anomali prima che producano effetti rilevanti.
Non si tratta semplicemente di installare nuovi strumenti.
Serve progettare processi, definire responsabilità e integrare tecnologie che permettano di trasformare migliaia di eventi tecnici in informazioni realmente utili per prendere decisioni.
È questo il principio che guida oggi l’evoluzione dei Security Operations Center (SOC), delle piattaforme SIEM e dei servizi gestiti di monitoraggio, sempre più orientati a fornire una visione unificata dell’intera infrastruttura digitale.
In questo scenario, la capacità di osservare costantemente ciò che accade nei sistemi informativi diventa uno degli elementi che distinguono un’organizzazione conforme da un’organizzazione realmente resiliente.
Cloud, networking e data center: la resilienza si costruisce nell’architettura
La trasformazione digitale ha modificato profondamente il modo in cui le aziende utilizzano la tecnologia. Le applicazioni non risiedono più esclusivamente nei data center aziendali, gli utenti accedono ai servizi da sedi distribuite e in mobilità, mentre dati e processi vengono condivisi con clienti, partner e fornitori attraverso piattaforme cloud sempre più integrate.
In questo contesto, parlare di sicurezza significa necessariamente parlare di architettura.
La NIS2 non impone l’adozione di specifiche tecnologie, ma richiede che l’infrastruttura sia progettata per garantire disponibilità, integrità, riservatezza e capacità di recupero dei servizi essenziali. È un approccio che sposta l’attenzione dal singolo prodotto all’intero ecosistema digitale.
Una rete moderna deve essere segmentata per limitare la propagazione degli attacchi. Le connessioni tra sedi, cloud pubblici e privati devono essere protette da politiche di accesso coerenti. I sistemi di autenticazione devono verificare continuamente l’identità degli utenti e dei dispositivi, mentre backup, replica dei dati e soluzioni di disaster recovery devono essere dimensionati in funzione dei processi aziendali che devono proteggere.
La stessa adozione del cloud assume un significato diverso. Non rappresenta semplicemente una scelta tecnologica o economica, ma diventa parte integrante della strategia di resilienza. Servizi progettati secondo criteri di alta disponibilità, architetture ibride e ambienti ridondati consentono infatti di aumentare la continuità operativa e ridurre il rischio di interruzioni prolungate.
La Direttiva, in questo senso, non suggerisce una specifica architettura, ma invita le organizzazioni a progettare infrastrutture capaci di adattarsi rapidamente agli eventi, riducendo l’impatto di incidenti sempre più sofisticati.
La supply chain entra definitivamente nel perimetro della sicurezza
Uno degli aspetti più innovativi della NIS2 riguarda l’estensione del concetto di responsabilità.
La resilienza di un’organizzazione non dipende più esclusivamente dalle misure adottate internamente.
Sempre più spesso gli attacchi informatici sfruttano vulnerabilità presenti lungo la catena di fornitura. Un software aggiornato da un produttore compromesso, un Managed Service Provider colpito da ransomware o un partner che gestisce servizi critici possono diventare il punto di ingresso per compromettere decine o centinaia di organizzazioni.
Negli ultimi anni questo fenomeno è cresciuto in maniera significativa, tanto da essere indicato da ENISA tra le principali aree di attenzione per la sicurezza europea.
Per questo motivo la Direttiva richiede che le imprese valutino anche il livello di sicurezza dei propri fornitori, definiscano criteri di selezione basati sul rischio e mantengano un controllo continuo sui soggetti che contribuiscono all’erogazione dei servizi essenziali.
La supply chain diventa quindi parte integrante della strategia di cybersecurity.
Non è più sufficiente acquistare una tecnologia affidabile.
Occorre costruire un ecosistema di partner in grado di garantire continuità operativa, competenze aggiornate e capacità di risposta agli incidenti.
Scopri quando, come e cosa serve subito per muoverti correttamente verso una completa compliance NIS2 nei tempi e nei modi richiesti, evitando brutte soprese. Contatta i talenti di Prisma e accendi il motore del tuo futuro
Dalla business continuity alla cyber resilience
Per molti anni business continuity e cybersecurity hanno seguito percorsi distinti.
La prima si occupava prevalentemente di garantire la continuità dei processi aziendali in caso di eventi straordinari.
La seconda aveva come obiettivo la protezione dei sistemi informatici.
La NIS2 supera definitivamente questa distinzione.
Un incidente cyber è oggi, prima di tutto, un rischio operativo.
Può interrompere la produzione, bloccare la logistica, compromettere la distribuzione dei servizi, impedire l’accesso ai dati o causare danni economici e reputazionali significativi.
Per questo motivo la continuità operativa non può più essere affrontata senza considerare la resilienza digitale.
Le organizzazioni sono chiamate a definire procedure di Incident Response, piani di Business Continuity e strategie di Disaster Recovery realmente integrate, verificandone periodicamente l’efficacia attraverso simulazioni, test e attività di miglioramento continuo.
È proprio la capacità di prepararsi agli scenari più critici che distingue una struttura conforme da una realmente resiliente.
La governance diventa il centro delle decisioni
Probabilmente la trasformazione più importante introdotta dalla NIS2 riguarda il ruolo della governance.
La Direttiva attribuisce agli organi amministrativi e direttivi responsabilità precise nella supervisione della sicurezza informatica, nella valutazione dei rischi e nell’approvazione delle misure organizzative.
La cybersecurity esce definitivamente dal perimetro dell’IT.
Diventa un tema di governo dell’impresa.
Questo significa che il Consiglio di Amministrazione, il management e le funzioni di controllo devono disporre di informazioni affidabili per prendere decisioni consapevoli.
Non è sufficiente sapere quanti firewall siano installati o quante vulnerabilità siano state corrette.
Occorre comprendere quali processi aziendali risultano maggiormente esposti, quale sarebbe l’impatto di un’interruzione dei servizi, quali investimenti consentono di ridurre concretamente il rischio e come misurare nel tempo il livello di resilienza raggiunto.
La tecnologia continua naturalmente a svolgere un ruolo fondamentale, ma viene inserita all’interno di un modello di governance più ampio, nel quale persone, processi e infrastrutture operano come un unico sistema.
È questa la direzione indicata anche dagli standard internazionali come ISO/IEC 27001:2022 e dal NIST Cybersecurity Framework 2.0, sempre più utilizzati dalle organizzazioni come riferimento metodologico per costruire programmi di sicurezza coerenti con i requisiti della NIS2.
Scopri quando, come e cosa serve subito per muoverti correttamente verso una completa compliance NIS2 nei tempi e nei modi richiesti, evitando brutte soprese. Contatta i talenti di Prisma e accendi il motore del tuo futuro
La conformità è solo l’inizio di un percorso
Molte aziende continuano a interpretare la NIS2 come un progetto destinato a concludersi una volta implementate le misure richieste dalla normativa.
In realtà accade esattamente il contrario.
La conformità rappresenta soltanto il punto di partenza.
Le minacce evolvono continuamente, le infrastrutture cambiano, il cloud introduce nuovi modelli operativi, l’intelligenza artificiale modifica il panorama degli attacchi e delle difese.
La sicurezza deve quindi diventare un processo permanente.
Secondo l’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, le organizzazioni più mature sono proprio quelle che hanno integrato la cybersecurity all’interno dei processi decisionali e della pianificazione strategica, trasformandola in un elemento di innovazione e competitività piuttosto che in un semplice obbligo normativo.
È una visione perfettamente coerente con la Direttiva NIS2.
L’obiettivo non consiste nel dimostrare di aver installato nuovi strumenti tecnologici.
Consiste nel dimostrare che ogni decisione è stata presa sulla base di un’analisi del rischio, che le misure adottate vengono monitorate, aggiornate e continuamente migliorate e che l’organizzazione è realmente in grado di reagire agli incidenti mantenendo operativi i servizi essenziali.
In altre parole, la conformità normativa coincide con la capacità di costruire resilienza.
Prima: trasformare la NIS2 in un’opportunità di innovazione
Adeguarsi alla Direttiva NIS2 significa progettare un’infrastruttura capace di sostenere il business anche negli scenari più complessi.
Significa integrare cybersecurity, networking, cloud, data center, monitoraggio continuo e servizi gestiti all’interno di una strategia coerente, nella quale ogni componente contribuisce a ridurre il rischio e a garantire continuità operativa.
Prisma affianca imprese e pubbliche amministrazioni nella progettazione di ecosistemi digitali sicuri, resilienti e pronti ad affrontare le sfide introdotte dalla NIS2 e dalla continua evoluzione del panorama delle minacce.
Perché oggi la sicurezza non rappresenta più un costo necessario né un semplice requisito normativo.
È un fattore abilitante dell’innovazione, della fiducia e della competitività.
Le organizzazioni che investiranno oggi nella resilienza digitale saranno quelle che domani sapranno affrontare con maggiore efficacia il cambiamento, cogliendo le opportunità offerte dalla trasformazione digitale senza esporre il proprio business a rischi non governati.
Quando un incidente diventa un problema di business: tre casi che hanno cambiato il modo di vedere la cybersecurity
La Direttiva NIS2 nasce anche dall’osservazione di quanto accaduto negli ultimi anni. Gli attacchi informatici non colpiscono più soltanto i sistemi informativi: interrompono la produzione, bloccano la logistica, fermano l’erogazione dei servizi e possono avere conseguenze economiche rilevanti per interi settori.
Uno dei casi più emblematici è stato quello di SolarWinds. L’attacco, scoperto alla fine del 2020, ha dimostrato quanto una vulnerabilità introdotta nella supply chain software possa propagarsi rapidamente a migliaia di organizzazioni pubbliche e private. L’episodio ha evidenziato come la sicurezza di un’azienda dipenda sempre più anche dai propri fornitori tecnologici, principio oggi espressamente richiamato dalla Direttiva NIS2.
Un altro esempio significativo riguarda MGM Resorts, colpita nel 2023 da un attacco che ha causato l’interruzione di numerosi servizi digitali, dalle prenotazioni ai sistemi di pagamento fino all’accesso alle camere degli hotel. L’impatto economico è stato stimato in decine di milioni di dollari e ha dimostrato come la disponibilità dei servizi rappresenti ormai uno degli asset più critici per qualsiasi organizzazione.
Nel 2024 anche Change Healthcare, una delle principali piattaforme sanitarie statunitensi, è stata vittima di un ransomware che ha bloccato per settimane l’elaborazione delle prescrizioni e dei rimborsi sanitari. L’incidente ha coinvolto migliaia di strutture sanitarie, dimostrando come un singolo attacco possa propagare effetti lungo un’intera filiera di servizi essenziali.
Questi episodi confermano uno dei principi fondamentali della NIS2: la resilienza non consiste nell’evitare ogni possibile incidente, ma nella capacità di limitarne gli effetti, garantire la continuità operativa e ripristinare rapidamente i servizi critici.
Approfondimenti e fonti
Per comprendere l’evoluzione della Direttiva NIS2 e del panorama delle minacce informatiche è utile consultare anche alcune delle principali fonti istituzionali e di ricerca che costituiscono oggi un riferimento per imprese, pubbliche amministrazioni e professionisti della cybersecurity.
- Agenzia per la Cybersicurezza Nazionale (ACN) – Documentazione ufficiale sulla NIS2, determinazioni attuative, linee guida e aggiornamenti normativi.
- European Union Agency for Cybersecurity – NIS360 Report, Threat Landscape e pubblicazioni dedicate alla resilienza delle infrastrutture critiche.
- Clusit – Rapporto Clusit 2026, uno dei principali osservatori italiani sull’evoluzione del cybercrime e delle minacce informatiche.
- Politecnico di Milano – Analisi annuali sugli investimenti delle imprese italiane, sulla maturità digitale e sulle strategie di gestione del rischio cyber.
- National Institute of Standards and Technology – Cybersecurity Framework 2.0, oggi uno dei modelli internazionali più utilizzati per strutturare programmi di gestione del rischio coerenti con i principi della NIS2.
- International Organization for Standardization – Norma ISO/IEC 27001:2022, riferimento internazionale per i sistemi di gestione della sicurezza delle informazioni.
