ITALIA – Negli ultimi anni gli attacchi informatici sono cresciuti sia in frequenza sia in impatto economico, con il 2025 considerato l’anno peggiore di sempre per la sicurezza informatica. Secondo il Rapporto Clusit 2026, a livello globale sono stati registrati 5.265 attacchi gravi, con un incremento del 49% rispetto al 2024, e l’Italia è tra i Paesi più colpiti con 507 attacchi gravi, pari al 9,6% del totale mondiale.
Nel contempo, le imprese italiane aumentano gli investimenti in cybersecurity, con un mercato che nel 2025 ha raggiunto un valore di 2,78 miliardi di euro, in crescita del 12% sull’anno precedente. Tuttavia, la crescente sofisticazione degli attacchi mostra che la semplice protezione tecnologica non basta più.
In questo scenario si inserisce la direttiva europea NIS2, recepita in Italia con il D.Lgs. 138/2024, destinata ai soggetti “essenziali” e “importanti” in base al settore e alla dimensione aziendale. La normativa ridefinisce la governance della cybersecurity, facendo sì che la gestione del rischio cyber sia supervisionata anche dagli organi di amministrazione. I consigli di amministrazione devono conoscere i rischi informatici principali, approvare le politiche di sicurezza, verificarne l’attuazione e ricevere formazione specifica, equiparando la cybersecurity ai rischi finanziari, operativi e reputazionali.
Per i CEO, questo rappresenta un cambio di paradigma: non è sufficiente comprendere il rischio digitale, ma bisogna saperlo interpretare e integrare nelle strategie aziendali, diventando il punto di raccordo tra il linguaggio tecnico del CISO e le decisioni strategiche. La cybersecurity assume così una dimensione reputazionale, poiché un attacco può causare una crisi di fiducia tra clienti, investitori, partner e istituzioni.
Pur non essendo una normativa ESG, la NIS2 rafforza la “G” della governance, facendo della resilienza digitale un elemento centrale nella valutazione della gestione aziendale. Per questo motivo, la normativa prevede un sistema di vigilanza e sanzioni rigoroso con l’Agenzia per la Cybersicurezza Nazionale incaricata di ispezioni e sanzioni che, per i soggetti essenziali, possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.
Sul fronte della responsabilità penale, la NIS2 non introduce nuovi reati, ma prevede che una grave negligenza nella gestione della sicurezza possa rilevare penalmente se ricondotta a fattispecie esistenti. Al momento non vi sono casi pubblici in Italia di amministratori sanzionati per inadempienze sotto il decreto, che si propone di promuovere un cambiamento culturale nella governance della sicurezza prima che si verifichino incidenti.
L’aspetto più innovativo della NIS2 è proprio il riconoscimento della cybersecurity come elemento strategico della gestione aziendale, paragonabile alla sostenibilità nelle logiche ESG. Di conseguenza, non basta più investire in tecnologie, ma occorre sviluppare processi e responsabilità adeguate per affrontare il rischio digitale.
Per i CEO, ciò significa adottare azioni concrete come la mappatura del rischio cyber, la regolare discussione del tema in consiglio, l’organizzazione di formazione per il board e la costruzione di un dialogo continuo con il CISO o i responsabili della sicurezza. La capacità di governare il rischio digitale si misura oggi più su questi aspetti di governance che sulla sola tecnologia, con l’obiettivo di proteggere la continuità operativa e la fiducia degli stakeholder.
Autore
About The Author
