A cura di Giovanni Masi
Con l’entrata in vigore del D.Lgs. 138/2024, l’Italia ha recepito la direttiva (UE) 2022/2555 (NIS2), ridefinendo radicalmente il perimetro delle responsabilità in materia di cybersicurezza per enti pubblici e imprese private. Questo passaggio normativo non è solo formale: impone un cambiamento sostanziale nella gestione dei rischi informatici, nel governo della sicurezza e nella capacità di risposta agli incidenti. Tuttavia, la sola esistenza del decreto non garantisce la conformità. Serve un protocollo operativo strutturato, applicabile, adattabile e comprensibile da tutte le organizzazioni coinvolte, che permetta di trasformare obblighi normativi in prassi operative quotidiane.
Oggi più che mai, la sicurezza informatica rappresenta un elemento cardine per la resilienza organizzativa e la protezione degli interessi strategici nazionali. In questo contesto, il ruolo delle imprese, degli enti pubblici e dei fornitori di servizi digitali diventa centrale nella costruzione di un ecosistema affidabile e sicuro.
La NIS2 e il D.Lgs. 138/2024: un cambio di paradigma
La direttiva NIS2 nasce con l’obiettivo di elevare il livello comune di sicurezza informatica nell’Unione Europea, superando i limiti della precedente NIS1 e affrontando le nuove sfide di un contesto digitale in continua evoluzione. In Italia, il D.Lgs. 138/2024 ne recepisce i principi, estendendo gli obblighi a una platea molto più ampia di soggetti rispetto al passato:
- Aziende pubbliche e private che operano in settori critici e altamente critici (energia, trasporti, sanitario, ICT, finanza, chimica, alimentare);
- Organizzazioni di media e grande dimensione, secondo criteri economici e dimensionali definiti;
- Enti pubblici, incluse amministrazioni centrali, regioni, comuni, ASL, ospedali, enti di ricerca e università;
- Anche aziende di piccole dimensioni, se ricoprono ruoli strategici nella catena del valore o forniscono servizi essenziali per la collettività.
Il decreto disciplina una vasta gamma di obblighi: dalla definizione delle responsabilità interne, alla gestione del rischio ICT, fino alle comunicazioni obbligatorie verso l’Agenzia per la Cybersicurezza Nazionale (ACN), soggetto istituzionale incaricato di monitorare e garantire l’effettiva attuazione della normativa.
Il D.Lgs. 138/2024 non è solo un adempimento burocratico, ma rappresenta un passaggio epocale verso una governance digitale più consapevole, fondata sulla trasparenza, la responsabilità e la preparazione.
Perché è necessario un protocollo operativo
Fare cybersicurezza non significa semplicemente applicare misure tecniche come configurare firewall, segmentare le VLAN, aggiornare antivirus o mettere in sicurezza gli switch di rete. Questi interventi, pur essendo essenziali, non costituiscono da soli un approccio sistemico e coordinato alla protezione delle informazioni e delle infrastrutture. Il vero salto di qualità sta nell’adottare un modello organizzativo che non si affidi all’improvvisazione o a decisioni estemporanee, ma che sia guidato da un quadro normativo chiaro e da un metodo condiviso.
Il D.Lgs. 138/2024 fornisce esattamente questo: una cornice legale vincolante, con linee guida dettagliate che orientano ogni organizzazione nella costruzione del proprio sistema di gestione della cybersicurezza. L’obiettivo non è solo garantire la sicurezza tecnica dei sistemi, ma assicurare che ogni azione sia tracciabile, documentata e verificabile, evitando approcci casuali o frammentati.
L’attuazione del decreto non può essere improvvisata. La complessità degli articoli (oltre 40), la presenza di allegati tecnici, l’interconnessione con altre normative come il GDPR, rendono impraticabile una semplice lettura della norma. Serve uno strumento pratico, che guidi le aziende passo passo: un protocollo operativo.
Un buon protocollo deve essere al tempo stesso normativo, organizzativo e tecnico. Non si tratta solo di rispettare le scadenze o produrre documenti formali, ma di costruire un sistema di gestione della cybersicurezza che sia efficace, verificabile e aggiornabile nel tempo. Esso deve:
Verificare l’applicabilità del decreto
- Identificare correttamente il tipo di soggetto (pubblico, privato, con sede extra-UE);
- Stabilire l’appartenenza a settori critici o altamente critici;
- Valutare le soglie dimensionali (personale, fatturato, bilancio);
- Considerare condizioni strategiche: unicità del servizio offerto, rilevanza sistemica, impatto sulla salute pubblica o sulla sicurezza nazionale.
Strutturare la governance interna
- Formalizzare la nomina del Referente per la Cybersicurezza, figura chiave per l’interfaccia con l’ACN;
- Costituire un Gruppo di Lavoro NIS2 interdisciplinare, che includa IT, compliance, area legale, acquisti, direzione e sicurezza informatica;
- Integrare la gestione della cybersicurezza con la protezione dei dati personali, favorendo il coordinamento con il DPO e il CISO.
Identificare e classificare gli asset
- Mappare hardware, software, servizi cloud, dati critici e componenti operativi;
- Documentare la titolarità, l’ubicazione e lo stato degli asset;
- Collegare ogni asset a uno o più servizi essenziali forniti dall’organizzazione.
Valutare le dipendenze critiche
- Analizzare i collegamenti tra asset interni, fornitori esterni, infrastrutture digitali e servizi gestiti;
- Rappresentare graficamente le dipendenze tra componenti, per individuare colli di bottiglia e punti di vulnerabilità;
- Considerare l’impatto potenziale di interruzioni, ritardi o malfunzionamenti.
Condurre un’analisi delle minacce e delle vulnerabilità
- Categorizzare le minacce rilevanti (cyberattacchi, errori umani, eventi fisici, obsolescenza);
- Utilizzare framework riconosciuti (es. ENISA, NIST, ISO 27001) per la valutazione dei rischi;
- Pianificare contromisure, piani di mitigazione e test di penetrazione periodici.
Gestire gli incidenti e le notifiche
- Redigere procedure dettagliate per la rilevazione, gestione e notifica degli incidenti informatici;
- Assicurare che i tempi previsti siano rispettati: 24 ore per la notifica all’ACN, 72 ore al Garante in caso di data breach;
- Conservare evidenze documentali, log di sistema, rapporti interni, verbali e audit.
Garantire la tracciabilità documentale
- Mantenere un archivio aggiornato di tutti i documenti rilevanti: nomine, verbali, registri degli asset, report di analisi, procedure;
- Assicurare la disponibilità dei documenti in sede di controllo o ispezione da parte dell’ACN o di altri enti competenti;
- Verificare periodicamente la validità dei documenti e aggiornarli in caso di modifiche strutturali, organizzative o tecnologiche.
L’impatto dell’intelligenza artificiale nella gestione della cybersicurezza
L’intelligenza artificiale (AI) può avere un impatto trasformativo sull’attuazione della direttiva NIS2 e sullo sviluppo dei protocolli operativi aziendali. In primo luogo, l’AI può potenziare la capacità predittiva e la reattività delle organizzazioni rispetto alle minacce informatiche, attraverso sistemi di analisi comportamentale, rilevamento delle anomalie e gestione intelligente dei log. Algoritmi di machine learning possono identificare pattern ricorrenti e correlare eventi complessi che sfuggirebbero al controllo umano, migliorando la tempestività delle segnalazioni e la precisione delle valutazioni di rischio.
In secondo luogo, l’AI può contribuire all’automazione di molte attività documentali previste dal protocollo: dalla classificazione degli asset, alla redazione dei registri, fino alla generazione automatica di reportistica periodica per gli audit. L’uso di modelli linguistici avanzati consente inoltre di redigere policy, notifiche e verbali coerenti con il dettato normativo, riducendo i margini di errore e facilitando la comunicazione interna.
Infine, l’AI può essere un alleato strategico nella formazione e sensibilizzazione del personale, mediante l’impiego di agenti conversazionali interattivi, simulatori di attacco e ambienti adattivi che supportano l’apprendimento personalizzato e continuo. In un contesto in cui la direttiva NIS2 richiede un innalzamento delle competenze digitali e della consapevolezza organizzativa, l’integrazione dell’AI rappresenta una leva imprescindibile per la piena conformità e l’eccellenza operativa.
Riflessioni conclusive
La cybersicurezza non è più solo una questione tecnica, ma una responsabilità strategica, giuridica e organizzativa che coinvolge l’intero sistema Paese. Il D.Lgs. 138/2024 e la direttiva NIS2 pongono l’accento sulla resilienza dei sistemi critici, sulla prevenzione proattiva degli incidenti e sulla cooperazione sistematica tra enti pubblici, imprese e autorità di controllo.
Per affrontare questa sfida, ogni soggetto obbligato deve dotarsi di un protocollo strutturato, operativo e aggiornabile, che non sia solo un documento di conformità, ma uno strumento vivo di gestione del rischio e di sviluppo della cultura organizzativa. La cybersicurezza deve diventare parte integrante del modello di governance aziendale, al pari della contabilità, della gestione delle risorse umane o della pianificazione strategica.
In gioco non c’è solo il rispetto della normativa, ma la capacità di preservare la continuità operativa, la reputazione aziendale e la fiducia di clienti, partner e cittadini. Solo adottando un approccio sistemico, responsabile e verificabile, potremo costruire un futuro digitale sicuro, resiliente e sostenibile per tutti.
Ing. Giovanni Masi