L’Agenzia per la cybersicurezza nazionale (ACN) ha varcato una soglia formale nell’attuazione della direttiva NIS2, pubblicando la determinazione che definisce processo, modalità e criteri per l’elencazione e categorizzazione delle attività e dei servizi dei soggetti designati. La notizia, riportata da BleepingComputer e confermata da CyberSec Italia, non è una sorpresa: era attesa. Quello che sorprende è il silenzio assordante sulle capacità reali di chi dovrà applicarla.

I soggetti NIS — enti critici nei settori energia, trasporti, sanità, banche, digitale e altri — dovranno ora svolgere un’analisi di impatto semplificata e armonizzata, come indicato da Cybertrends. Il termine? 60 giorni, secondo le linee guida di ENISA. Un lasso di tempo esiguo, certo, ma non è lì che si annida il vero problema. Il problema è che molti di questi soggetti non sanno neanche da dove cominciare.

La burocrazia non sostituisce la competenza

L’analisi di impatto non è un questionario da compilare in fretta per togliersi il pensiero. È il primo passo per capire cosa potrebbe andare storto, quanto sarebbe grave, e quali contromisure adottare. Ma se manca la cultura della sicurezza — quella che fa sì che un amministratore delegato chieda ‘abbiamo fatto il threat modeling?’ invece di ‘ma il firewall ce l’abbiamo?’ — allora ogni adempimento diventa una fotocopia di moduli vuoti.

Secondo IBM, il 53% delle organizzazioni colpite da incidenti ha indicato la mancanza di expertise in cybersecurity come fattore chiave nell’incidente stesso. Non un firewall mal configurato, non un software obsoleto: una carenza di persone che sanno cosa stanno facendo. E se non ci sono competenze, non c’è nemmeno chi possa guidare un’analisi di impatto che non sia un esercizio di retorica burocratica.

La raccomandazione di CyberSec Italia di implementare un framework di gestione del rischio basato su NIST è tecnicamente impeccabile. Il NIST Cybersecurity Framework è uno strumento solido, flessibile, usato in tutto il mondo. Ma è un metro con cui misurare la maturità, non un kit di montaggio per chi parte da zero. Pretendere che un’azienda senza un CISO né un team dedicato lo applichi in 60 giorni è come chiedere a un principiante di leggere il manuale del motore a scoppio e poi riparare una Formula 1 in panne.

Formazione: l’anello debole (che nessuno vuole rafforzare)

Cybertrends suggerisce di sviluppare un piano di formazione per il personale. Suona ovvio. Troppo ovvio. Perché se la formazione è ridotta a un corso obbligatorio di 30 minuti sul phishing, seguito da un quiz a scelta multipla, allora non cambia nulla. La formazione efficace richiede tempo, budget, impegno da parte della leadership. Richiede di smettere di considerare la sicurezza come un costo e iniziare a vederla come un investimento sulla continuità operativa.

Eppure, anche in questo caso, la spinta normativa rischia di trasformare la formazione in un altro adempimento da timbrare. ‘Fatto il corso? Bene, ora possiamo dire che siamo compliant.’ Ma se il dipendente che apre allegati sospetti lo fa perché nessuno gli ha mai spiegato cosa significhi ‘rischio’, allora il corso non ha funzionato. Ha solo prodotto un log di completamento.

La verità è che l’ACN, con questa determinazione, ha fatto il suo lavoro. Ha tracciato una rotta. Ma non può costringere i capitani a salire in plancia. E finché le aziende continueranno a navigare con l’equipaggio inesperto e la bussola rotta, non servirà alcun framework, alcuna scadenza, alcun report obbligatorio a evitare lo schianto.

La direttiva NIS2 non è un problema tecnico. È un test di maturità organizzativa. E finora, il voto medio è insufficiente.