La cybersecurity non si costruisce sulla carta. Eppure, ancora oggi, troppe organizzazioni ignorano le vulnerabilità presenti nei propri sistemi informativi.
Sistemi obsoleti, servizi esposti su Internet senza adeguate protezioni, password deboli, account amministrativi utilizzati per le normali attività quotidiane, scarsa conoscenza della propria infrastruttura di rete e difficoltà persino nell’identificare i sistemi informativi e di rete rilevanti. E l’elenco potrebbe continuare.
È questa la realtà che continuo a riscontrare durante le attività di Gap Analysis rispetto alle misure di sicurezza di base previste dall’ACN nell’ambito della normativa NIS2.
Il problema, spesso, non è soltanto la mancata conformità normativa, ma qualcosa di più profondo: non si può proteggere ciò che non si conosce e non si può governare un rischio di cui non si ha consapevolezza.
Un quadro quindi che evidenzia come, al di là del mero adeguamento normativo — che, per i soggetti NIS2 registrati nel 2025, avrebbe già dovuto trovare attuazione entro ottobre 2026, secondo le scadenze applicabili — sia indispensabile maturare una reale consapevolezza dei rischi cyber e rafforzare concretamente la governance della sicurezza informatica all’interno delle organizzazioni. Perché la conformità normativa non può ridursi a un adempimento formale, ma deve tradursi in misure di sicurezza effettive, verificabili e integrate nei processi aziendali.
E poi se succede qualcosa, non ci lamentiamo.