Un piano di risposta agli incidenti può essere formalmente impeccabile e fallire nel momento in cui serve. Accade quando il contatto del fornitore non risponde, quando nessuno sa chi può fermare un servizio, quando la direzione riceve dati tecnici senza capire l’impatto operativo. La NIS2 porta proprio questi problemi al livello della governance: non basta possedere una procedura, occorre dimostrare che l’organizzazione sa attivarla.
La direttiva include tra le misure di gestione del rischio la gestione degli incidenti e la continuità operativa. La Commissione europea richiama inoltre responsabilità del vertice aziendale, gestione del rischio nella catena di fornitura e obblighi di notifica per gli incidenti significativi. Un’esercitazione non è quindi un’attività accessoria dell’IT: è il modo più concreto per collegare sicurezza, processi aziendali, decisioni e prove.
Dal documento alla capacità di agire
Molte aziende iniziano con un documento che descrive ruoli, severità, canali di escalation e recupero dei servizi. È un punto di partenza necessario, ma il documento non risponde a domande decisive: il responsabile reperibile è davvero disponibile? I dati che servono per valutare l’incidente sono accessibili? Il contratto cloud chiarisce chi comunica cosa? Le decisioni prese durante la crisi restano tracciabili?
Un’esercitazione serve a mettere sotto pressione queste dipendenze senza aspettare un evento reale. Non misura solo la velocità del SOC o del reparto IT. Misura la qualità delle interfacce tra operations, legale, privacy, comunicazione, acquisti, amministrazione e direzione.
L’obiettivo non è simulare un attacco spettacolare. È verificare una capacità aziendale: riconoscere un evento, contenerlo, decidere con informazioni incomplete, mantenere in funzione ciò che è essenziale e lasciare evidenze utili per la fase successiva.
Che cosa testare in una simulazione NIS2
Il caso scelto deve essere vicino al modello operativo dell’impresa. Per un’azienda manifatturiera può essere l’indisponibilità di un sistema di pianificazione o di un collegamento con un fornitore. Per chi lavora su servizi digitali, la perdita di accesso a una piattaforma cloud o un uso anomalo di credenziali privilegiate. Per tutte, un incidente che coinvolge un fornitore ICT è un buon test perché rende visibili responsabilità e tempi di comunicazione.
Una simulazione essenziale dovrebbe verificare almeno cinque punti:
- il criterio con cui l’evento viene classificato e portato all’attenzione giusta;
- i ruoli: chi coordina, chi decide il fermo di un processo, chi informa il vertice e chi conserva il diario delle azioni;
- la continuità: quali servizi devono ripartire per primi, con quali alternative e con quali limiti accettabili;
- i rapporti esterni: fornitori, clienti, consulenti e canali istituzionali che potrebbero essere coinvolti;
- le evidenze: timestamp, decisioni, versioni delle informazioni, contatti e azioni correttive.
La NIS2 prevede un approccio a fasi alla notifica degli incidenti significativi: un early warning entro 24 ore dalla presa di conoscenza, una notifica entro 72 ore e una relazione finale entro un mese. Non ogni evento simulato raggiungerà necessariamente la soglia di notifica; proprio per questo è utile testare la decisione, motivarla e registrarla. Una procedura che dichiara sempre “incidente non significativo” non è una procedura verificata.
Il tavolo di crisi deve includere il business
Un errore ricorrente è ridurre l’esercitazione a una prova tecnica. In un incidente reale, però, una scelta apparentemente tecnica può fermare fatturazione, logistica, assistenza o produzione. Il tavolo deve quindi avere un responsabile di processo, non soltanto figure cyber.
È utile lavorare su un copione a iniezioni progressive: un primo alert, poi la scoperta di un sistema coinvolto, una richiesta del fornitore, un’informazione incompleta su eventuali dati esposti e una scelta di ripristino. A ogni passaggio il facilitatore osserva chi decide, quali dati vengono richiesti e quanto tempo occorre per ottenerli.
Il risultato non va valutato con un voto generico. Una lista di rilievi è più utile se assegna proprietario, priorità, data di revisione e prova attesa. Per esempio: aggiornare le deleghe di escalation; ottenere un contatto operativo del fornitore; chiarire il livello di servizio per i backup; integrare il registro degli incidenti con la valutazione privacy.
Fornitori, ERP e continuità: le dipendenze che emergono davvero
La gestione del rischio nella catena di fornitura è un elemento esplicito della NIS2. In esercitazione questo si traduce in domande semplici ma spesso trascurate: sappiamo quali servizi dipendono dallo stesso fornitore? Possiamo esportare i dati utili? Chi autorizza una configurazione di emergenza? Il fornitore ha tempi e canali di escalation compatibili con il nostro piano?
ERP, CRM, piattaforme di identità e servizi cloud sono spesso collegati da integrazioni poco visibili ai non tecnici. Una simulazione aiuta a ricostruire la mappa delle dipendenze: non per disegnare un diagramma perfetto, ma per decidere che cosa può fermarsi, per quanto tempo e con quale impatto sui clienti.
Una cadenza sostenibile, non un grande evento annuale
Non serve aspettare una complessa esercitazione nazionale. ENISA presenta le cyber exercise come un modo per identificare lacune procedurali, valutare le squadre sotto pressione e allenare la continuità operativa senza conseguenze nel mondo reale. Per una PMI o una media impresa può bastare iniziare con un tabletop di novanta minuti, concentrato su un processo critico e un fornitore.
La cadenza conta più della scenografia. Una prova breve ogni trimestre, alternando ransomware, indisponibilità cloud, compromissione di credenziali e incidente di terza parte, produce evidenze più credibili di un piano rispolverato una volta all’anno. Dopo ogni test, il management dovrebbe ricevere un riepilogo chiaro: impatto simulato, decisioni prese, punti fragili, azioni da finanziare e data del nuovo test.
La domanda giusta non è se esista un piano NIS2. È questa: se un incidente cominciasse oggi, l’azienda saprebbe chi deve fare cosa nelle prime ore e potrebbe dimostrarlo domani? L’esercitazione trasforma questa domanda in un controllo operativo, ripetibile e migliorabile.
_Nota di trasparenza: questo contenuto, testuale e visivo, è stato realizzato in parte con l’utilizzo dell’intelligenza artificiale e verificato e curato editorialmente da una persona._