-
Titolo: NIS2, governance e rischio: un cambio culturale per le imprese italiane
Contesto:
Andrea Rigoni, Executive Director di Accenture, ha offerto una riflessione critica e operativa sull’impatto della direttiva NIS2, in particolare sul ruolo degli organi direttivi e sul cambiamento necessario nei modelli di gestione del rischio cyber per le imprese italiane.
️ 1. NIS2: un obbligo già noto, ma ora esteso a tutti
Rigoni sottolinea come le responsabilità introdotte da NIS2 non siano del tutto nuove per le aziende quotate, già soggette da anni a obblighi simili tramite il Codice di Corporate Governance. La novità sta nel fatto che ora questi obblighi si estendono a molte più realtà, anche non quotate, e che non hanno maturato finora una cultura di risk governance strutturata.
2. Criticità del testo normativo e ambiguità nei ruoli
Il relatore evidenzia come gli articoli 23 e 24 del Decreto Legislativo 138/2024 siano poco chiari, specie nel distinguere i compiti degli organi direttivi da quelli delle funzioni operative (es. CISO). Il passaggio da “approvazione” a “adozione” delle misure di sicurezza informatica crea ambiguità e può ridurre l’efficacia dell’implementazione.
3. Superare la compliance formale: serve risk management reale
Rigoni propone un netto superamento del modello “checklist e timbro”, ancora molto diffuso. La NIS2 richiede un vero sistema di gestione del rischio, fondato su:
-
Analisi continua degli scenari
-
Integrazione delle funzioni rischio, compliance e IT
-
Partecipazione diretta del top management
4. Le simulazioni “table-top” come strumento chiave
Attraverso esempi concreti, Rigoni racconta come le esercitazioni cyber simulate siano uno strumento sempre più usato per testare la risposta delle aziende a incidenti complessi. Non basta avere un backup: serve sapere quanto tempo si impiega realmente a ripartire. L’esempio Maersk, colpita da NotPetya, mostra quanto possa costare un downtime sottovalutato.
5. La gestione del rischio deve essere dinamica
La capacità di rispondere rapidamente a minacce note (es. vulnerabilità tecniche) è centrale. Le aziende devono sapere:
-
Se usano la tecnologia compromessa
-
In quali servizi critici è impiegata
-
Che impatto avrebbe su servizi essenziali Rigoni afferma che serve superare la “valutazione egoistica” del rischio per abbracciare una logica di impatto sistemico.
6. Il nuovo ruolo strategico del CISO
La figura del CISO deve evolversi da tecnico a interlocutore del top management. I rischi devono essere tradotti in impatti concreti sul business. È necessario spostare il focus da “quanti attacchi abbiamo avuto” a “quali rischi corriamo se un servizio critico si blocca”.
7. Incident reporting: un’occasione mancata
Rigoni critica fortemente la frammentazione degli standard di notifica degli incidenti cyber a livello europeo. Il reporting, oggi percepito come punitivo, dovrebbe essere uno strumento chiave per costruire una threat intelligence condivisa. La mancanza di uno standard comune ostacola una visione sistemica dei rischi.
8. Verso un modello integrato di non-financial risk management
Serve un nuovo approccio, in cui il rischio digitale diventi parte integrante della gestione del rischio aziendale complessivo. Ciò richiede:
-
Esercitazioni regolari
-
Intelligence strategica non solo IT
-
Coinvolgimento dei fornitori come parte del perimetro di rischio
-
Integrazione tra funzione rischio, compliance e business continuity
Conclusione: una trasformazione culturale prima che normativa
Il messaggio di Rigoni è chiaro: NIS2 impone un cambio di mentalità. Le imprese devono sviluppare capacità di analisi del rischio reale, coinvolgere il board e costruire modelli di resilienza credibili. Solo così potranno affrontare con consapevolezza i futuri scenari cyber e garantire la propria continuità operativa.
-
