Le scadenze ACN sono l’occasione per fare una scelta strategica che molte organizzazioni rimandano: definire le priorità di protezione.
Prosegue il percorso di attuazione della Direttiva NIS2, il quadro normativo europeo che punta a rafforzare la resilienza cyber delle organizzazioni che operano nei settori essenziali e strategici.
Molte imprese stanno affrontando questo percorso come una serie di obblighi da rispettare entro una scadenza. Noi crediamo invece sia l’errore più costoso che si possa fare adesso perché la classificazione delle attività e dei servizi richiesta dall’Agenzia per la Cybersicurezza Nazionale (ACN) non è un semplice adempimento ma un momento importante per l’azienda per costruire una visione chiara dei propri rischi e delle proprie priorità di protezione.
Cosa cambia con le nuove indicazioni ACN
La determinazione del 20 aprile 2026 introduce dieci macro-aree in cui ogni organizzazione deve collocare le proprie attività e servizi, assegnando a ciascuno una tra quattro categorie di rilevanza: impatto minimo, basso, medio o alto.
Gli esiti vanno comunicati tramite la piattaforma dell’Autorità nazionale competente NIS tra il 1° maggio e il 30 giugno 2026.
L’obiettivo è consentire una gestione del rischio più efficace, individuando le porzioni realmente critiche dei sistemi informativi e di rete e orientando gli interventi di sicurezza in modo proporzionato alla loro importanza.
La classificazione dei servizi rappresenta soltanto una tappa del percorso.
Entro il 31 ottobre 2026 le organizzazioni classificate come soggetti essenziali o soggetti importanti dovranno implementare le misure di sicurezza previste dalla normativa, tra cui:
- gestione del rischio cyber;
- governance e politiche di sicurezza;
- continuità operativa e disaster recovery;
- sicurezza della supply chain;
- controlli tecnici e organizzativi.
La direttiva coinvolge 18 settori strategici, tra cui pubblica amministrazione, energia, sanità, trasporti, infrastrutture digitali, gestione delle acque, rifiuti e alimentare.
Le organizzazioni che non rispettano gli obblighi previsti si espongono non solo a sanzioni che possono raggiungere i 10 milioni di euro, ma soprattutto a rischi operativi e reputazionali che possono compromettere la continuità del business.
La nostra esperienza sul campo
L’errore più frequente che osserviamo quando affianchiamo un’azienda è valutare un servizio in modo isolato, senza considerare le relazioni che lo collegano al resto dell’organizzazione.
Nel percorso di consulenza avviato, ad esempio, con le cliniche private Bernardini e Villa Verde, nostre clienti, è emerso con chiarezza come una lettura isolata di alcuni sistemi informativi non consentisse di valutare compiutamente l’impatto operativo delle diverse componenti digitali.
Un’applicazione interna può sembrare secondaria se analizzata singolarmente. Tuttavia, quando da quella stessa applicazione dipendono autenticazione degli utenti, processi di fatturazione, e la gestione delle informazioni cliniche, il suo livello di criticità cambia radicalmente.
Solo ricostruendo le connessioni tra applicazioni, flussi di dati e processi sanitari è stato possibile evidenziare i reali punti di dipendenza e le aree di rischio operativo.
È quello che abbiamo fatto: costruire con il cliente una mappatura delle dipendenze: quali asset supportano i servizi aziendali, dove transitano dati e informazioni critiche, quali fornitori e soggetti terzi sono coinvolti nella catena operativa.
Una volta compresa questa logica diventa possibile una classificazione precisa che aiuti a individuare le aree in cui concentrare risorse e controlli mirati per ridurre le criticità.
Come procediamo
Il processo di adeguamento alla NIS2 viene sviluppata in tre fasi:
- mappatura asset e processi: per comprendere come servizi, sistemi, asset e flussi di dati interagiscono tra loro;
- categorizzazione dei servizi: per individuare livelli di rilevanza chiari e verificabili, in grado di resistere a controlli e verifiche esterne;
- misure di sicurezza ad hoc: per rispondere alle reali criticità, evitando sia sottovalutazioni sia investimenti inefficaci.
Dalla normativa alla strategia di sicurezza
Le scadenze del 30 giugno e del 31 ottobre 2026 devono essere rispettate, ma il vero obiettivo non è semplicemente adeguarsi alla normativa, bensì costruire una mappa del rischio affidabile, capace di guidare le decisioni di sicurezza dei prossimi anni.
Se stai avviando il processo di classificazione dei tuoi servizi, confrontiamoci: partire dalle dipendenze significa costruire una strategia di sicurezza più solida ed efficace.
