La cybersicurezza non è più soltanto una questione tecnica. Con la direttiva europea NIS2, recepita in Italia dal decreto legislativo 138 del 2024, le responsabilità e la formazione sono diventate temi da affrontare anche ai vertici delle organizzazioni interessate. Anche chi non rientra direttamente nel perimetro può risentirne come fornitore di soggetti obbligati. Il tema NIS2 e formazione va quindi affrontato per tempo.
Che cos’è la NIS2
La NIS2 è la direttiva (UE) 2022/2555, che punta a rafforzare il livello comune di cybersicurezza nell’Unione. Riguarda soggetti di settori considerati essenziali o importanti, distinti in base a criteri stabiliti dalla norma. In Italia l’Agenzia per la cybersicurezza nazionale, ACN, è l’autorità competente e ha fornito indicazioni operative e specifiche di base.
Capire se un’organizzazione rientri nel perimetro non è sempre immediato: dipende da settore, dimensione e altri elementi. Chi ha dubbi dovrebbe consultare le indicazioni ufficiali e affidarsi a un consulente per una valutazione del proprio caso.
Il ruolo degli organi amministrativi
Il decreto attribuisce agli organi di amministrazione e direttivi compiti rilevanti: approvare le modalità di implementazione delle misure di gestione del rischio, sovrintendere alla loro attuazione e rispondere delle eventuali violazioni, secondo quanto previsto. Inoltre devono seguire una formazione in materia di sicurezza informatica e promuovere una formazione periodica per i dipendenti.
Non si tratta di trasformare gli amministratori in tecnici. L’obiettivo è renderli capaci di comprendere rischi e pratiche di gestione, valutare l’impatto sui servizi e prendere decisioni informate su priorità e investimenti.
Che cosa dovrebbero sapere i vertici
Un percorso rivolto alla direzione può affrontare:
- quadro normativo e responsabilità;
- principali scenari di minaccia per il proprio settore;
- rischi per continuità operativa, clienti e reputazione;
- governance, ruoli e flussi informativi;
- gestione degli incidenti e obblighi di notifica applicabili;
- rapporti con i fornitori e sicurezza della catena di approvvigionamento;
- criteri per valutare investimenti e priorità.
Un’esercitazione su un incidente simulato è spesso molto utile. Fa emergere domande che in una riunione ordinaria non arrivano: chi decide? Chi comunica? Come si garantiscono i servizi? Quali contatti esterni servono?
La formazione del personale
Il personale ha bisogno di una formazione legata alle attività svolte. Una base comune può riguardare phishing, password, autenticazione, gestione dei dati, dispositivi e segnalazione degli incidenti. Poi occorrono percorsi specifici per IT, amministrazione, acquisti, assistenza clienti e altre funzioni.
La parola chiave è periodicità. Una sessione isolata difficilmente basta, perché minacce, procedure e strumenti cambiano. Sono utili un programma annuale e richiami brevi, integrati da simulazioni e casi concreti.
Come strutturare un piano
Un possibile schema è questo:
- verificare il proprio inquadramento e gli obblighi applicabili;
- analizzare ruoli, rischi e competenze;
- definire una politica di formazione approvata dalla direzione;
- distinguere contenuti per vertici, personale e specialisti;
- pianificare l’erogazione e la misurazione dei risultati;
- conservare le evidenze e aggiornare il percorso.
Il collegamento con gli altri documenti aziendali è importante: analisi dei rischi, procedure sugli incidenti, gestione degli accessi e regole sui fornitori. La formazione deve spiegare come applicarli.
Come dimostrare ciò che si è fatto
Registri, programmi, elenchi dei partecipanti, materiali, esiti delle verifiche e revisioni periodiche aiutano a documentare l’attività. Le specifiche ACN e gli altri riferimenti possono indicare elementi particolari da considerare. Non conviene limitarsi a conservare un attestato: è utile dimostrare il legame tra rischio, contenuto e destinatari.
La misurazione può comprendere tassi di segnalazione, risultati di simulazioni, partecipazione e miglioramenti nei tempi di reazione. Anche in questo caso i dati vanno gestiti con attenzione e nel rispetto delle norme sul lavoro.
Le aziende fuori perimetro
Una PMI non direttamente soggetta può ricevere richieste da clienti obbligati: questionari, clausole contrattuali, evidenze di formazione o procedure di sicurezza. Prepararsi per tempo può quindi diventare un vantaggio competitivo. Anche senza obblighi diretti, una formazione di base protegge l’azienda dal rischio di fermi operativi, perdita di dati e frodi.
Evitare l’effetto solo formale
Il rischio più grande è produrre documenti e attestati senza cambiare i comportamenti. Una buona verifica consiste nel chiedersi: le persone sanno a chi segnalare un incidente? La direzione riceve informazioni comprensibili? I fornitori critici sono stati individuati? Le procedure vengono provate?
Se la risposta è incerta, la formazione deve essere ripensata. La qualità non dipende dalla lunghezza dei corsi, ma dalla capacità di incidere sulle decisioni e sulle abitudini.
Domande frequenti
Una PMI può essere coinvolta anche se non rientra nel perimetro?
Sì, indirettamente, se opera come fornitore di soggetti obbligati. Clienti e partner possono chiedere evidenze su misure di sicurezza e formazione.
La formazione basta per essere conformi?
No, è uno degli elementi. Servono anche governance, gestione dei rischi, misure tecniche e organizzative e procedure sugli incidenti, secondo gli obblighi applicabili.
Da dove iniziare
Prima si chiarisce l’inquadramento, poi si costruiscono priorità e percorso. Kronos Consulting può contribuire alla parte formativa, con percorsi sulle competenze digitali e l’individuazione di eventuali strumenti di formazione finanziata. Contattaci per valutare un intervento. Per l’analisi degli obblighi NIS2 è opportuno un supporto legale e tecnico specialistico.
Le informazioni di questo articolo sono aggiornate a novembre 2026 e hanno carattere generale. Norme e regolamenti possono cambiare: verifica sempre i testi vigenti e confrontati con i tuoi consulenti.
