Preparare l'azienda alle normative su cybersecurity e privacy

Una ricerca condotta da Canon ha rivelato che, negli ultimi cinque anni, i responsabili IT hanno costantemente classificato la sicurezza delle informazioni tra le tre sfide più complesse e impegnative da gestire.

In particolare, la sicurezza delle informazioni (33%) è stata indicata come la principale sfida, seguita a breve distanza dal mantenimento della conformità normativa (25%). Di conseguenza, la sicurezza delle informazioni rimane una priorità assoluta, in un contesto in cui gli obblighi regolamentari e la complessità tecnologica continuano a crescere.

La normativa continua a evolversi e ad ampliare il proprio raggio d'azione: l'UE e i governi nazionali stanno rafforzando le disposizioni in materia di cybersecurity ed estendendole a un numero crescente di settori. Di conseguenza, sempre più organizzazioni devono dimostrare di adottare misure efficaci per la gestione dei rischi e degli incidenti, la supervisione della catena di fornitura e la pianificazione della resilienza.

Nel 2026, questa evoluzione normativa entra in una nuova fase, passando dalla preparazione all'attuazione concreta. Il DORA è applicabile da gennaio 2025 e impone alle entità finanziarie di rafforzare la gestione dei rischi ICT, i test di resilienza, la segnalazione degli incidenti e la supervisione dei fornitori terzi critici. Anche il Cyber Resilience Act sta entrando in una fase operativa decisiva: a partire da settembre 2026, i produttori di prodotti con elementi digitali saranno tenuti a segnalare le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi, in vista della piena applicazione del regolamento da dicembre 2027. Queste scadenze confermano che la conformità normativa continuerà a essere una priorità per i vertici aziendali negli anni a venire.

Anche la NIS2 riveste un ruolo centrale in questa evoluzione. La direttiva, pensata per rafforzare la resilienza informatica nell'UE, amplia l'ambito di applicazione della normativa precedente e introduce obblighi più rigorosi in materia di gestione dei rischi e segnalazione degli incidenti, una vigilanza normativa più incisiva e maggiori responsabilità per l'alta dirigenza. Man mano che gli Stati membri recepiscono e applicano la direttiva nelle rispettive legislazioni nazionali, le organizzazioni che operano in più Paesi dovranno prestare particolare attenzione ai requisiti previsti nei diversi mercati.

Per rispettare gli obblighi attuali e prepararsi alle sfide future in materia di sicurezza delle informazioni, è fondamentale poter contare su un partner con le competenze, i servizi e le soluzioni necessari per garantire che le attività aziendali siano pronte ad affrontare l'evoluzione del panorama normativo. Concentrandosi sugli aspetti indicati di seguito, le aziende possono prepararsi alle normative nuove ed emergenti, evitare interventi costosi a ridosso delle scadenze e adottare un approccio più proattivo alla sicurezza delle informazioni.

Le aziende devono innanzitutto conoscere con chiarezza le normative applicabili alla propria organizzazione, al settore di appartenenza e ai Paesi in cui operano. È quindi importante avvalersi di esperti in ambito legale, normativo e della sicurezza per comprendere non solo gli obblighi specifici, ma anche le implicazioni più ampie per prodotti, servizi, fornitori e processi interni.

È altrettanto importante predisporre un processo di monitoraggio continuo delle nuove normative, delle tempistiche di recepimento nei singoli Paesi e delle indicazioni delle autorità competenti. Questa attività può essere gestita da un team interno dedicato oppure affidata a un fornitore specializzato, così da consentire alle organizzazioni di anticipare i requisiti futuri e adeguarsi per tempo, anziché dover intervenire con urgenza a ridosso delle scadenze.

Per orientarsi in un quadro normativo in continua evoluzione, i team di sicurezza potrebbero inoltre dover ampliare le proprie competenze, assumendo personale specializzato o formando le risorse esistenti in ambiti quali la conformità in materia di sicurezza, l'interpretazione delle normative, la gestione dei rischi e l'implementazione dei controlli di sicurezza. A seconda dell'entità degli adeguamenti necessari, questo processo potrebbe richiedere ulteriori risorse e incidere sull'organico e sui budget.

I team IT devono definire procedure chiare per la gestione delle vulnerabilità, l'applicazione delle patch, la risposta agli incidenti, i test di resilienza e la notifica delle violazioni dei dati. Tali procedure devono essere documentate, testate e riesaminate periodicamente per garantire il rispetto degli obblighi previsti da normative quali NIS2, DORA e Cyber Resilience Act. Ove necessario, le organizzazioni potrebbero inoltre dover investire in software aggiuntivi, strumenti di monitoraggio e servizi gestiti in grado di supportare queste attività nel tempo.

Anche se operano al di fuori dell'organizzazione, i fornitori possono incidere direttamente sull'esposizione al rischio attraverso il proprio livello di sicurezza, le procedure di segnalazione adottate e il grado di preparazione rispetto agli obblighi di conformità. È quindi importante mantenere un confronto costante con i fornitori, valutarne le pratiche di sicurezza, verificare i requisiti contrattuali ed effettuare audit o valutazioni per accertarsi che rispettino gli standard di conformità dell'organizzazione.

Poiché alcuni incidenti di sicurezza possono avere conseguenze significative sull'attività aziendale, è essenziale che i dipendenti segnalino tempestivamente eventuali rischi e che l'organizzazione promuova una cultura basata sulla comunicazione aperta e trasparente. Procedure di escalation chiare, una maggiore consapevolezza da parte dei dipendenti e segnalazioni trasparenti aiutano le organizzazioni a imparare dagli incidenti, rispettare le scadenze previste per le notifiche e rafforzare i propri controlli, senza creare una cultura basata sulla ricerca del colpevole.

Le normative nuove ed emergenti rappresentano un'evoluzione positiva sia per i consumatori sia per il settore della sicurezza nel suo complesso. Nel lungo periodo contribuiranno a creare un ecosistema digitale più sicuro, resiliente e trasparente per le aziende. Sebbene l'adeguamento possa richiedere investimenti e un maggiore impegno operativo nel breve periodo, i vantaggi di intervenire tempestivamente e adottare un approccio proattivo alla conformità normativa superano ampiamente le difficoltà da affrontare.