Home › Gestione della crisi cyber NIS2: guida pratica per le imprese

Gestione della crisi cyber NIS2: guida pratica per le imprese

La gestione della crisi cyber NIS2 è l'insieme di regole, ruoli e azioni con cui un'organizzazione decide chi comanda, cosa fa e cosa comunica quando un incidente informatico minaccia i servizi essenziali. Non basta il piano di risposta tecnica: serve una procedura di governo che colleghi tecnici, direzione, fornitori e autorità. Questa guida spiega come impostarla in modo concreto.

Perché la gestione della crisi cyber NIS2 va formalizzata

La NIS2, recepita in Italia con il D.Lgs. 138/2024, chiede ai soggetti rientranti nel perimetro di adottare misure di gestione del rischio e di gestire gli incidenti con processi definiti. Una crisi improvvisata, in cui ognuno decide per conto proprio, aumenta danni, tempi di fermo e rischio di errori nelle comunicazioni obbligatorie.

Formalizzare la procedura serve a tre cose: ridurre i tempi di reazione, dimostrare diligenza in caso di verifica e proteggere chi deve decidere sotto pressione. Il documento è utile solo se è breve, aggiornato e conosciuto da chi dovrà usarlo.

Incidente e crisi: quando scatta il livello superiore

Non ogni incidente è una crisi. Un malware bloccato dall'antivirus si gestisce con la normale procedura di risposta agli incidenti; un ransomware che ferma la produzione richiede decisioni che vanno oltre l'IT.

La procedura deve quindi indicare criteri chiari di escalation. Esempi di criteri ragionevoli:

• interruzione di un servizio essenziale o di un processo critico oltre una soglia di tempo definita;
• compromissione di dati personali, riservati o di clienti;
• coinvolgimento di un fornitore critico o di più sedi;
• probabile obbligo di notifica all'Autorità competente;
• rischio reputazionale o contrattuale rilevante.

Le soglie vanno calibrate sulla tua realtà, partendo dall'analisi dei processi critici e dalla valutazione del rischio. Non copiarle da un modello senza adattarle.

Cosa deve contenere la procedura di crisi

Una buona procedura risponde a poche domande: chi attiva la crisi, chi la guida, chi decide, chi comunica e come si torna alla normalità. Ecco gli elementi essenziali.

Governance e comitato di crisi

Definisci composizione e sostituti del comitato: direzione, responsabile della sicurezza, IT, legale, comunicazione, risorse umane e, se serve, il referente dei fornitori. Indica chi ha l'autorità di spegnere un sistema, isolare una sede o sospendere un servizio. Questa parte rientra nei ruoli e responsabilità di sicurezza informatica NIS2 e va riportata anche nell'organigramma di sicurezza.

Flusso di notifica e comunicazione

La NIS2 prevede una sequenza di notifiche per gli incidenti significativi: preallarme, notifica dell'incidente e relazione finale, con termini stabiliti dalla normativa. Prima di scriverli nel documento, verifica il testo del decreto e le indicazioni operative dell'Autorità competente, perché possono essere aggiornate.

Prevedi anche modelli di comunicazione pronti per dipendenti, clienti, fornitori e stampa, con un unico portavoce. Chi scrive i messaggi in piena emergenza tende a commettere errori.

Decisioni difficili e registro

Alcune scelte, come pagare un riscatto, scollegare un'intera rete o avvisare i clienti, non possono essere lasciate all'improvvisazione. Descrivi chi le prende, con quali informazioni e con quali consulenze (legali, assicurative, forze dell'ordine). Tieni un registro cronologico delle decisioni: servirà per l'analisi successiva e per eventuali verifiche.

Ripristino e lezioni apprese

La crisi non finisce quando i sistemi ripartono. Inserisci una fase di chiusura formale con analisi delle cause, azioni correttive e aggiornamento del piano. È qui che la procedura migliora davvero.

Ruoli e responsabilità: dal CdA al cyber security specialist

Un punto centrale della direttiva è la responsabilità degli organi di amministrazione NIS2: gli organi di vertice approvano le misure di gestione del rischio e ne supervisionano l'attuazione. In una crisi questo significa che la direzione non può delegare tutto all'IT, ma deve essere informata e disponibile a decidere.

Sul piano operativo servono figure competenti: un referente della sicurezza, i responsabili dei sistemi e, dove presenti, specialisti di cybersecurity che analizzano l'incidente e guidano il contenimento. Se non hai queste competenze internamente, definisci in anticipo il supporto esterno e le modalità di attivazione, comprese reperibilità e contatti aggiornati.

Le politiche collegate che rendono efficace il piano

La gestione della crisi cyber NIS2 non vive da sola: funziona se si appoggia ad altre procedure. Senza di esse il comitato di crisi si trova a decidere al buio.

• Inventario degli asset: sapere quali sistemi, dati e servizi sono critici è la base per stabilire priorità di ripristino. Un inventario aggiornato è il primo documento richiesto in emergenza.
• Piano di continuità operativa: definisce tempi e modalità di ripresa dei processi critici, con backup testati e soluzioni alternative.
• Identità e accessi: una password policy NIS2 robusta, con autenticazione a più fattori e gestione degli account privilegiati, riduce il rischio che un incidente degeneri in crisi. In emergenza serve anche sapere come revocare rapidamente credenziali compromesse.
• Vulnerabilità: molte crisi nascono da falle note non corrette. Una procedura di gestione delle vulnerabilità secondo la NIS 2 abbassa la probabilità di arrivare al punto critico.
• Fornitori: se l'incidente parte da un terzo, servono contatti, clausole e obblighi di notifica già definiti. Approfondisci la sicurezza della catena di fornitura nella NIS 2.
• Formazione: i dipendenti devono sapere cosa segnalare e a chi, e come comportarsi durante la crisi.

Per vedere come queste politiche si integrano in un impianto documentale coerente, puoi leggere la guida alla redazione di politiche e procedure NIS2.

Come testare il piano e prepararsi a un audit

Un piano mai provato è un'ipotesi. Le esercitazioni tabletop, in cui il comitato discute uno scenario simulato, sono un buon punto di partenza: costano poco e fanno emergere ruoli poco chiari, contatti scaduti e decisioni non previste. Con il tempo si possono aggiungere prove tecniche di ripristino dei backup e simulazioni più realistiche.

Per l'audit di sicurezza NIS2 conserva le evidenze: verbali delle esercitazioni, elenco dei partecipanti, azioni correttive con responsabili e scadenze, versioni approvate del piano. Un auditor chiede in genere di vedere che il documento sia approvato, noto agli interessati e realmente applicato.

Prima di chiudere il documento, controlla che sia verificabile. Questi quattro test aiutano:

1. un nuovo membro del comitato riesce a capire cosa fare in meno di dieci minuti;
2. i contatti riportati sono stati verificati di recente;
3. le soglie di escalation sono coerenti con l'analisi del rischio;
4. il piano è stato approvato dalla direzione e rivisto dopo l'ultimo test.

Conclusione

La gestione della crisi cyber NIS2 è un processo di governo prima che tecnico: soglie chiare, ruoli definiti, comunicazioni preparate, test regolari e collegamento con le altre politiche di sicurezza. Se vuoi impostare questo percorso in modo ordinato e coerente con il resto dell'adeguamento, scopri il supporto per l'adeguamento NIS 2 per la tua organizzazione e valuta da dove partire.

Domande frequenti