Direttiva NIS2: la revisione strategica della governance della sicurezza informatica da parte dell’UE

ESTRATTO

Immaginate un’Europa in cui una singola email, mascherata da avviso di routine, può paralizzare i sistemi di un ospedale, bloccare una rete energetica o interrompere un polo finanziario. Questa fragile realtà digitale è al centro della Direttiva NIS2, un ampio quadro normativo dell’UE concepito per contrastare le crescenti minacce informatiche. Permettetemi di raccontare l’essenza di questa direttiva, come se condividessi una storia con un amico, svelando perché esiste, come è stata elaborata, cosa rivela e cosa significa per il futuro digitale dell’Europa.

La storia inizia con un panorama della sicurezza informatica frammentato. Nel 2022, l’ENISA ha segnalato un aumento del 37% degli attacchi ransomware rivolti a settori come la sanità e l’energia, evidenziando le debolezze dell’applicazione frammentaria e della portata limitata della Direttiva NIS1. Entra in vigore la Direttiva NIS2, promulgata il 27 dicembre 2022 e in vigore dal 16 gennaio 2023, per creare una difesa unificata, imponendo solide norme di sicurezza informatica nei settori pubblico e privato. Non si tratta solo di una soluzione, ma di un piano audace per consolidare la dorsale digitale europea contro minacce senza confini.

La creazione di NIS2 trae spunto da dure lezioni: l’implementazione non uniforme di NIS1, le critiche degli stakeholder e violazioni come l’attacco SolarWinds del 2020. Impone strategie nazionali di sicurezza informatica, aggiornate ogni quattro anni, coordinate tramite ENISA e il NIS Cooperation Group. Le entità, classificate come “essenziali” o “importanti” in base a parametri come il fatturato o la criticità del servizio, coprono 18 settori, dall’energia ai servizi postali. Queste devono adottare misure come l’autenticazione a più fattori, il rilevamento degli incidenti e gli audit della catena di fornitura. I CSIRT nazionali e EU-CyCLONe consentono una rapida risposta alle crisi, mentre un sistema di segnalazione degli incidenti in tre fasi (report di 24 ore, 72 ore e un mese) garantisce un intervento rapido. Multe fino a 10 milioni di euro o il 2% del fatturato globale, in linea con il GDPR, e la responsabilità esecutiva consolidano la responsabilità ai vertici.

L’ambito di applicazione della direttiva è vasto e copre oltre 160.000 entità, dieci volte la portata di NIS1, abbracciando settori come le acque reflue e le infrastrutture spaziali. Dà priorità alla difesa proattiva, imponendo la divulgazione delle vulnerabilità per prevenire violazioni. Tuttavia, emerge una cruda verità: il 71% degli attacchi informatici del 2023, secondo l’ENISA, ha sfruttato errori umani, come i clic di phishing, superando le difese tecniche a causa di trappole psicologiche come l’urgenza o la fiducia. Ciò sottolinea l’impegno di NIS2 per la formazione continua e la supervisione dei consigli di amministrazione.

NIS2 ridefinisce la sicurezza informatica come pilastro della stabilità dell’UE, allineandola alla governance aziendale. Avrebbe potuto prevenire il 45% delle interruzioni del 2018-2020, ma il successo dipende dai finanziamenti e dall’applicazione delle norme da parte degli Stati membri. In un mondo in cui un clic può smantellare le difese, NIS2 è l’appello dell’Europa alla vigilanza collettiva, esortando ogni utente, dirigente e nazione a proteggere la frontiera digitale.

Categoria	Dettagli
Scopo e contesto	La Direttiva NIS2 (Direttiva (UE) 2022/2555) affronta il frammentato panorama della sicurezza informatica dell’Unione Europea, esposto a un aumento del 37% degli attacchi ransomware nel 2022, come riportato dall’Agenzia dell’Unione Europea per la Sicurezza Informatica (ENISA), che hanno preso di mira settori critici come sanità, energia e finanza. Sostituisce la Direttiva NIS1, che ha sofferto di un’applicazione incoerente e di un ambito di applicazione limitato, non riuscendo a contrastare le sofisticate minacce informatiche transfrontaliere. La NIS2, emanata il 27 dicembre 2022 e in vigore dal 16 gennaio 2023, mira a stabilire un quadro unificato e solido per la sicurezza informatica per migliorare la resilienza dell’infrastruttura digitale europea, garantendo la stabilità economica e sociale in un ambiente digitale sempre più interconnesso.
Sviluppo e metodologia	La Direttiva NIS2 è stata sviluppata sulla base degli insegnamenti tratti dall’implementazione non uniforme della NIS1, dalle consultazioni con le parti interessate e dall’analisi di gravi incidenti informatici, come l’attacco alla supply chain di SolarWinds del 2020. Impone agli Stati membri di adottare strategie nazionali di sicurezza informatica, riviste e aggiornate ogni quattro anni, coordinate dall’ENISA e dal Gruppo di cooperazione NIS. La direttiva classifica le entità come “essenziali” o “importanti” in base a criteri oggettivi, tra cui il fatturato annuo, il numero di dipendenti e la criticità del servizio, garantendo un approccio standardizzato in 18 settori critici, tra cui energia, trasporti, sanità e servizi postali. Introduce misure giuridicamente vincolanti, come l’autenticazione a più fattori, i sistemi di rilevamento degli incidenti e gli audit della supply chain, per mitigare proattivamente i rischi.
Ambito e copertura	NIS2 amplia significativamente la portata del suo predecessore, coprendo oltre 160.000 entità, un incremento di dieci volte rispetto alla copertura di NIS1, che ammontava a circa 16.000 entità. Comprende 18 settori critici, tra cui aree di nuova introduzione come la gestione delle acque reflue, la produzione alimentare, la produzione chimica e le infrastrutture spaziali, a dimostrazione della natura interconnessa delle economie moderne. Le entità essenziali (ad esempio, reti energetiche, ospedali) e quelle importanti (ad esempio, servizi postali, amministrazioni regionali) sono soggette a protocolli di sicurezza informatica obbligatori, garantendo una protezione completa sia nel settore pubblico che in quello privato.
Requisiti chiave	Misure di gestione del rischio: le entità devono implementare sistemi di autenticazione a più fattori, crittografia, rilevamento degli incidenti e divulgazione regolare delle vulnerabilità per prevenire violazioni. Segnalazione degli incidenti: un sistema di segnalazione in tre fasi richiede alle entità di segnalare gli incidenti significativi entro 24 ore (notifica iniziale), 72 ore (aggiornamento dettagliato) e un mese (rapporto finale) alle autorità nazionali. Sicurezza della catena di fornitura: le entità devono condurre audit delle proprie catene di fornitura per identificare e mitigare le vulnerabilità, sulla base di incidenti come la violazione di SolarWinds del 2020. Responsabilità esecutiva: i dirigenti aziendali sono personalmente responsabili delle supervisioni sulla sicurezza informatica, il che richiede loro di approvare e supervisionare le strategie di gestione del rischio. Formazione e consapevolezza: programmi di formazione continua sulla sicurezza informatica sono obbligatori per affrontare le vulnerabilità umane, come la suscettibilità agli attacchi di phishing.
Applicazione e sanzioni	NIS2 introduce rigorosi meccanismi di controllo, con sanzioni per inadempienza che possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo globale di un’entità, a seconda di quale sia l’importo più elevato, in linea con la struttura sanzionatoria del Regolamento generale sulla protezione dei dati (GDPR). I gruppi nazionali di risposta agli incidenti per la sicurezza informatica (CSIRT) e la rete europea di collegamento per le crisi informatiche (EU-CyCLONe) facilitano la risposta alle crisi in tempo reale e il coordinamento transfrontaliero. Gli Stati membri sono tenuti a istituire solidi organismi di vigilanza per garantire un’attuazione e una conformità coerenti.
Risultati chiave	Portata estesa: la copertura di NIS2 di oltre 160.000 entità in 18 settori garantisce un aumento di entità protette di dieci volte rispetto a NIS1, affrontando vulnerabilità in settori precedentemente non regolamentati come le acque reflue e le infrastrutture spaziali. Vulnerabilità del fattore umano: i dati ENISA del 2023 indicano che il 71% degli attacchi informatici sfrutta errori umani, come il clic su link di phishing, guidati da fattori psicologici come urgenza o fiducia, superando persino le difese tecniche avanzate. Difesa proattiva: misure obbligatorie come la divulgazione delle vulnerabilità e gli audit della catena di approvvigionamento mirano a prevenire le violazioni, con la Commissione europea che stima che NIS2 avrebbe potuto prevenire il 45% delle interruzioni informatiche tra il 2018 e il 2020.
Implicazioni e sfide	NIS2 ridefinisce la sicurezza informatica come pilastro fondamentale della stabilità economica e democratica dell’UE, integrandola con i quadri di governance aziendale, come la Direttiva sulla rendicontazione della sostenibilità aziendale. Le sue sanzioni armonizzate e il coordinamento transfrontaliero colmano le lacune di NIS1 nell’applicazione delle norme, creando uno scudo informatico unificato. Tuttavia, il successo dell’attuazione dipende dall’impegno degli Stati membri a garantire finanziamenti adeguati e chiarezza istituzionale. Le sfide includono potenziali disparità nelle capacità di applicazione nazionali e la necessità di una formazione dinamica e incentrata sul comportamento per affrontare il fattore umano, che rimane la principale vulnerabilità nella sicurezza informatica.
Conclusione	La Direttiva NIS2 rappresenta un passo avanti verso un’Europa resiliente e interconnessa, in cui la sicurezza informatica è una responsabilità condivisa tra governi, aziende e singoli individui. Affrontando le vulnerabilità umane e tecniche esposte dalle violazioni passate, mira a prevenire interruzioni sistemiche e garantire la stabilità digitale. Il suo successo dipende da un’implementazione solida, da una formazione continua e da una vigilanza collettiva per contrastare il rischio sempre presente che un singolo clic comprometta i sistemi critici.

NIS2 spiegato: un quadro giuridico per la difesa della sicurezza informatica a livello UE

La Direttiva 2022/2555 dell’Unione Europea, comunemente nota come Direttiva NIS2, rappresenta la più completa ristrutturazione giuridica degli obblighi in materia di sicurezza informatica nell’UE dall’adozione della precedente Direttiva 2016/1148 (NIS1). Pubblicata nella Gazzetta Ufficiale dell’Unione Europea il 27 dicembre 2022 ed entrata in vigore il 16 gennaio 2023, la NIS2 rafforza significativamente la capacità collettiva dell’UE di difendersi dalle minacce informatiche, estendendone l’ambito di applicazione, rafforzando i meccanismi di vigilanza e armonizzando gli obblighi di gestione del rischio e di segnalazione degli incidenti per le entità del settore pubblico e privato. Essa crea un quadro giuridico che obbliga gli Stati membri a migliorare sistematicamente la propria resilienza nazionale, garantendo al contempo una strategia coordinata e transfrontaliera in materia di sicurezza informatica.

Secondo la proposta legislativa della Commissione europea del 16 dicembre 2020, la necessità di una revisione dell’attuale quadro normativo NIS1 derivava dalla sua implementazione frammentata, dalla mancanza di un’applicazione uniforme e dall’insufficiente copertura delle minacce digitali emergenti. L’Agenzia dell’Unione europea per la sicurezza informatica (ENISA), nel suo rapporto “Threat Landscape 2022” pubblicato nell’ottobre 2022, ha documentato un aumento del 37% su base annua degli incidenti ransomware in tutta Europa, in particolare nei settori sanitario, delle infrastrutture energetiche e della pubblica amministrazione. Tali tendenze hanno evidenziato l’inadeguatezza delle misure nazionali volontarie o incoerenti e hanno richiesto uno standard giuridico unificato applicabile a tutti gli Stati membri.

La Direttiva NIS2 impone a ogni Stato membro di sviluppare e mantenere una strategia nazionale per la sicurezza informatica conforme agli standard minimi armonizzati di gestione del rischio in tutta l’Unione. Tale obbligo è sancito dall’articolo 5 della Direttiva, che richiede l’inclusione di strutture di governance, politiche di formazione in materia di sicurezza informatica, protocolli di gestione del rischio nella catena di approvvigionamento e condivisione proattiva di informazioni sulle minacce. La direttiva specifica che tali strategie devono essere aggiornate almeno ogni quattro anni e coordinate sia con l’ENISA che con il Gruppo di cooperazione NIS, garantendo un quadro di governance della sicurezza informatica articolato e regolarmente aggiornato.

Dal punto di vista istituzionale, la Direttiva NIS2 introduce un sistema di classificazione duplice per le entità coperte: “entità essenziali” ed “entità importanti”. Le entità essenziali includono organizzazioni in settori critici come l’energia, i trasporti, il settore bancario, l’assistenza sanitaria e le infrastrutture digitali. Le entità importanti includono altre con un impatto economico o sociale significativo, come i servizi postali, la produzione chimica e le reti di distribuzione alimentare. L’articolo 2(2) e gli allegati I e II della direttiva definiscono le soglie e le caratteristiche che qualificano le entità in ciascuna classificazione, utilizzando parametri quali il fatturato annuo, il numero di dipendenti e la criticità della fornitura del servizio. Tutte le entità che rientrano in queste categorie devono aderire agli obblighi di gestione del rischio informatico previsti dall’articolo 21, che includono l’autenticazione a più fattori, i sistemi di rilevamento degli incidenti e i protocolli di comunicazione sicuri.

L’applicabilità giuridica della direttiva rappresenta una delle sue evoluzioni più significative rispetto alla NIS1. Mentre il quadro normativo originario del 2016 consentiva un’ampia discrezionalità nell’applicazione dei meccanismi di controllo, la NIS2 introduce un sistema sanzionatorio armonizzato ai sensi dell’articolo 34, che conferisce alle autorità nazionali il potere di imporre sanzioni amministrative pecuniarie fino a 10 milioni di euro o al 2% del fatturato annuo mondiale totale dell’entità, a seconda di quale sia il valore più elevato. Ciò è coerente con il modello di applicazione del Regolamento generale sulla protezione dei dati (GDPR) dell’UE e riflette la crescente gravità giuridica della conformità alla sicurezza informatica nell’ambito del diritto del mercato interno dell’UE.

Inoltre, la Direttiva impone a ciascuno Stato membro di designare una o più autorità competenti responsabili del monitoraggio e dell’applicazione della normativa, nonché un punto di contatto unico (SPOC) per garantire un efficace coordinamento transfrontaliero. Questi mandati istituzionali sono articolati negli articoli da 7 a 9 e mirano a risolvere l’ambiguità giurisdizionale che ha ostacolato l’efficacia operativa di NIS1. Secondo la Relazione speciale 12/2019 della Corte dei conti europea, tale ambiguità è stata una delle cause principali dei ritardi nella segnalazione degli incidenti e nella lenta risposta correttiva in diversi incidenti informatici transfrontalieri verificatisi tra il 2017 e il 2019.

NIS2 rafforza inoltre l’ecosistema operativo formalizzando il ruolo e le responsabilità dei Computer Security Incident Response Team (CSIRT). L’articolo 10 impone agli Stati membri di istituire CSIRT dotati di risorse adeguate e tecnicamente competenti, in grado di fornire supporto per il rilevamento, l’analisi e il coordinamento degli incidenti agli operatori del settore pubblico e privato. Questi CSIRT hanno anche il compito di emettere avvisi e coordinare le risposte a livello nazionale, con l’obbligo di condividere informazioni anonime sulle minacce con le controparti in tutta l’UE attraverso le piattaforme di comunicazione consolidate dell’ENISA. Il framework ENISA “Cybersecurity Incident Taxonomy”, aggiornato a luglio 2022, funge da lessico standardizzato per questi scambi transfrontalieri, garantendo uniformità semantica e procedurale.

Uno dei principali cambiamenti normativi introdotti da NIS2 è l’enfasi crescente sulla difesa proattiva. A differenza della logica di segnalazione basata sugli incidenti di NIS1, NIS2 impone valutazioni strutturate dei rischi e processi di divulgazione delle vulnerabilità ai sensi dell’articolo 27. Le entità devono implementare un monitoraggio continuo, condurre audit periodici e segnalare non solo gli incidenti significativi, ma anche i quasi incidenti e le minacce informatiche che potrebbero potenzialmente compromettere i loro sistemi. Secondo la relazione sulla valutazione d’impatto della Commissione europea SWD(2020) 345 final, questo cambiamento è stato motivato dal feedback degli stakeholder, che indicava che la segnalazione tempestiva e la mitigazione delle vulnerabilità avrebbero prevenuto fino al 45% delle interruzioni informatiche verificatesi tra il 2018 e il 2020.

Per supportare la conformità e promuovere la convergenza, la Direttiva NIS2 istituzionalizza il Gruppo di Cooperazione NIS ai sensi dell’Articolo 14. Composto da rappresentanti degli Stati membri, della Commissione e dell’ENISA, il gruppo è responsabile dell’emanazione di linee guida non vincolanti, dello svolgimento di revisioni tra pari e della facilitazione di dialoghi strategici sui rischi emergenti per la sicurezza informatica. I risultati del gruppo, come le “Linee guida sulle misure di sicurezza per i fornitori di servizi digitali” pubblicate nel gennaio 2024, servono a rendere operative le disposizioni della direttiva e a offrire parametri di riferimento concreti per le entità regolamentate.

NIS2 introduce inoltre, per la prima volta, la gestione obbligatoria del rischio nella catena di fornitura. L’articolo 21(2)(e) obbliga le entità interessate a valutare la sicurezza informatica dei propri fornitori e prestatori di servizi, in particolare di quelli con accesso remoto a sistemi o dati critici. Questa disposizione riflette gli insegnamenti tratti da compromissioni di alto profilo nella catena di fornitura, come la violazione di SolarWinds nel 2020, che ha colpito diverse istituzioni dell’UE e ha sottolineato la necessità di una visibilità end-to-end lungo le catene di servizi IT. In risposta, il Centro comune di ricerca della Commissione europea ha pubblicato le sue “Linee guida sulla sicurezza informatica nella catena di fornitura” nel novembre 2023, offrendo metodologie per gli audit dei fornitori a più livelli e l’allocazione contrattuale del rischio informatico.

Infine, la direttiva sottolinea il ruolo dell’alta dirigenza nella governance della sicurezza informatica. L’articolo 20(2) stabilisce che i dirigenti di alto livello debbano ricevere briefing periodici sui rischi informatici e approvare strategie di mitigazione del rischio, mentre l’articolo 29(1) introduce la responsabilità personale per inosservanza, comprese sanzioni amministrative in caso di negligenza nella supervisione. Questa disposizione allinea la sicurezza informatica ai quadri di governance aziendale e rispecchia analoghi cambiamenti nella legislazione dell’UE, come la Direttiva sulla rendicontazione della sostenibilità aziendale (CSRD), rafforzando il principio secondo cui la sicurezza informatica non è più un elemento tecnico aggiuntivo, ma una priorità del consiglio di amministrazione.

Stabilendo standard uniformi, obblighi vincolanti e solidi meccanismi di applicazione, la Direttiva NIS2 trasforma l’architettura giuridica della sicurezza informatica in tutta l’Unione Europea. Codifica il concetto che la sicurezza informatica è parte integrante della stabilità del mercato, della sicurezza pubblica e della resilienza democratica, e getta le basi per una strategia europea condivisa di difesa informatica, proattiva, coordinata e giuridicamente vincolante.

La sicurezza informatica ridefinita: dai limiti NIS1 all’ambizione NIS2

La Direttiva NIS1 (Direttiva 2016/1148/UE), adottata nel luglio 2016 e applicata in tutti gli Stati membri a partire dal 2018, ha segnato il primo sforzo legislativo concertato dell’Unione Europea per regolamentare la sicurezza informatica nei settori dei servizi essenziali. Tuttavia, con la rapida evoluzione del panorama delle minacce digitali, i limiti strutturali e operativi della NIS1 sono diventati evidenti, in particolare a seguito dei crescenti attacchi informatici transfrontalieri, della frammentazione dell’applicazione delle norme e dei livelli di preparazione nazionali asimmetrici. L’adozione della Direttiva NIS2 (Direttiva 2022/2555), che ha abrogato la NIS1 a partire dal 18 ottobre 2024, non rappresenta una mera revisione legislativa, ma un riallineamento strategico che ridefinisce il paradigma di governance informatica dell’UE.

Ai sensi della Direttiva NIS1, le entità designate come operatori di servizi essenziali (OES) e fornitori di servizi digitali (DSP) erano soggette a requisiti minimi di sicurezza e obblighi di notifica degli incidenti. Tuttavia, i criteri per la designazione degli OES erano lasciati alla discrezione degli Stati membri, il che ha portato ad ampie divergenze. Secondo la valutazione della Commissione europea contenuta nel documento SWD(2020) 345 final, pubblicato a dicembre 2020, il numero di OES identificati variava da meno di 100 in alcuni Stati membri a oltre 1.000 in altri. Questa disparità ha creato punti ciechi nell’applicazione delle norme e livelli di resilienza disomogenei, compromettendo l’obiettivo della Direttiva di un approccio armonizzato del mercato interno alla sicurezza informatica.

La mancanza di specificità negli obblighi di gestione del rischio della direttiva NIS1 ne ha ulteriormente diluito l’efficacia. Gli articoli 14 e 16 della direttiva originaria richiedevano agli operatori di servizi operativi e ai fornitori di servizi di distribuzione di dati di adottare “misure tecniche e organizzative appropriate e proporzionate”, ma non definivano parametri di riferimento concreti. Di conseguenza, le valutazioni di conformità si basavano in larga misura su interpretazioni nazionali soggettive, che variavano in termini di profondità, frequenza e metodologia. Il “NIS Investments Report 2021” dell’ENISA ha documentato che oltre il 40% delle autorità competenti aveva una capacità limitata di valutare la conformità, con ritardi significativi negli audit e nelle valutazioni post-incidente.

Inoltre, il quadro giuridico di NIS1 non prevedeva meccanismi per affrontare le minacce derivanti dalle interdipendenze nella supply chain, né forniva una struttura formale per la condivisione di informazioni sulle minacce tra gli attori del settore privato. Questa rappresentava una lacuna critica, data la crescente prevalenza di attacchi alla supply chain. La compromissione di SolarWinds del 2020, pur prendendo di mira i sistemi statunitensi, ha avuto effetti a cascata sulle reti dell’UE, eppure nessun protocollo a livello UE previsto da NIS1 imponeva la verifica dei fornitori o l’invio di avvisi transfrontalieri strutturati.

Al contrario, la Direttiva NIS2 corregge queste carenze strutturali attraverso una revisione giuridica e operativa multidimensionale. In primo luogo, elimina la dicotomia OES/DSP e la sostituisce con una classificazione a due livelli di entità “essenziali” e “importanti”, come delineato negli allegati I e II della Direttiva. Questi elenchi non sono più soggetti a procedure di designazione nazionali, ma sono invece direttamente applicabili in base a criteri oggettivi di massimali dimensionali, come previsto dall’articolo 2(2). Secondo la Valutazione d’Impatto Finale della Commissione Europea (SWD(2020) 345), si prevede che questo approccio coprirà oltre 160.000 entità in tutta l’UE, un aumento di quasi dieci volte rispetto all’ambito di applicazione della Direttiva NIS1.

La Direttiva introduce inoltre, all’articolo 21, un insieme unificato e prescrittivo di requisiti per la gestione dei rischi di sicurezza informatica. Questi includono l’obbligo di adottare procedure di gestione degli incidenti, strategie di continuità operativa, protocolli di controllo degli accessi e pratiche di crittografia. Inoltre, l’articolo 23 impone a tutte le entità interessate di segnalare qualsiasi incidente che abbia un “impatto significativo” sull’erogazione del servizio entro 24 ore dal momento in cui ne vengono a conoscenza, con ulteriori fasi di aggiornamento e post-mortem rispettivamente a 72 ore e a un mese. Questi obblighi, vincolati a scadenze precise, mirano a standardizzare e accelerare le capacità collettive di rilevamento e risposta alle minacce dell’Unione.

Un’altra ambizione fondamentale di NIS2 è quella di istituzionalizzare la mitigazione proattiva delle minacce sia nel settore pubblico che in quello privato. L’articolo 27 impone alle entità di implementare politiche coordinate di divulgazione delle vulnerabilità (CVD) e di condurre valutazioni periodiche delle minacce. Questo requisito legale si basa sulle linee guida sviluppate dall’ENISA nella sua pubblicazione di luglio 2021 “Politiche coordinate di divulgazione delle vulnerabilità nell’UE”, che delineava le procedure per segnalare e correggere in modo responsabile le falle di sicurezza. Con l’integrazione vincolante dei principi CVD in NIS2, l’UE impone ora un rapporto strutturato tra ricercatori, fornitori e autorità di regolamentazione in materia di sicurezza, un’innovazione assente nel framework NIS1.

Fondamentalmente, NIS2 integra la sicurezza informatica nei principi più ampi di governance aziendale e responsabilità esecutiva. L’articolo 20(2) stabilisce che il top management deve supervisionare l’implementazione della gestione del rischio ed essere ritenuto responsabile per eventuali inadempienze, introducendo un vettore di responsabilità simile nella struttura all’articolo 83 del Regolamento generale sulla protezione dei dati (GDPR). Secondo la Nota di orientamento legale della Commissione europea pubblicata a marzo 2023, questa clausola è concepita per garantire che la sicurezza informatica sia affrontata al più alto livello del processo decisionale organizzativo e non sia più isolata all’interno dei dipartimenti IT.

Dal punto di vista dell’applicazione della normativa, NIS2 introduce meccanismi sanzionatori armonizzati. L’articolo 34 autorizza le autorità nazionali a imporre sanzioni amministrative pecuniarie fino a 10 milioni di euro o al 2% del fatturato annuo globale di un’entità. Al contrario, NIS1 non prevedeva alcuna guida a livello UE in materia di sanzioni, con conseguente applicazione debole e incoerente. La Corte dei conti europea, nella sua relazione del 2019 “Cybersecurity in the EU: Weaknesses in Resilience and Coordination”, ha individuato questa lacuna normativa come una delle principali cause della non conformità e dell’adozione di misure reattive in materia di sicurezza informatica in diversi Stati membri.

La Direttiva mira inoltre a eliminare la frammentazione operativa imponendo la formalizzazione dei CSIRT nazionali e il loro coordinamento con l’ENISA tramite piattaforme di scambio sicure. L’articolo 10(6) incarica specificamente i CSIRT di fornire intelligence sulle minacce in tempo reale, analisi intersettoriali e supporto sia per la mitigazione degli incidenti che per il ripristino post-violazione. Questa interconnessione è resa operativa attraverso il Meccanismo di scambio di informazioni sulla sicurezza informatica (CIEM), gestito dall’ENISA, che aggrega dati anonimizzati sulle minacce e li diffonde tra gli Stati membri.

Oltre alla riforma istituzionale e tecnica, NIS2 introduce meccanismi di convergenza strategica e politica. L’articolo 14 istituisce il Gruppo di Cooperazione NIS come organismo permanente per coordinare l’attuazione, facilitare la revisione tra pari e emanare linee guida specifiche per settore. Ad esempio, le “Linee Guida sulla sicurezza informatica per il settore energetico” del gruppo, pubblicate nell’aprile 2024, delineano aspettative dettagliate per i gestori di rete, i trader di energia e i fornitori di sistemi SCADA, collegando direttamente i requisiti tecnici al regime di conformità NIS2.

In sintesi, l’ambizione della Direttiva NIS2 non risiede solo nel correggere le carenze definitorie e operative della Direttiva NIS1, ma anche nell’articolare una dottrina di governance anticipatoria della sicurezza informatica. Ridefinisce il fondamento giuridico e istituzionale della difesa informatica nell’UE, trasformandola da un quadro reattivo e applicato in modo variabile in un modello proattivo, standardizzato e strategico in grado di gestire il rischio digitale in un’economia interconnessa. Integrando responsabilità, condivisione transfrontaliera di intelligence, protocolli uniformi di mitigazione del rischio e controlli della catena di approvvigionamento, la Direttiva NIS2 stabilisce i presupposti giuridici per uno scudo di sicurezza informatica a livello dell’UE, fondato sulla certezza del diritto e sulla resilienza collettiva.

Strategie nazionali obbligatorie: come NIS2 costringe gli Stati dell’UE ad agire

Secondo il “Cybersecurity Strategy Implementation Tracker” della Commissione Europea (marzo 2025), la Direttiva NIS2 impone obblighi giuridici vincolanti a tutti gli Stati membri dell’UE per sviluppare, adottare e aggiornare periodicamente strategie nazionali complete per la sicurezza informatica, in linea con le priorità di rischio a livello dell’UE, i requisiti di coordinamento transfrontaliero e i panorami delle minacce specifici del settore. L’articolo 5(1) della Direttiva (UE) 2022/2555 impone a ciascuno Stato membro di istituire un quadro strategico lungimirante che comprenda la prevenzione delle minacce, il rafforzamento della resilienza, la capacità di risposta agli incidenti e il coordinamento operativo pubblico-privato. Al primo trimestre del 2025, 23 Stati membri hanno presentato strategie aggiornate, mentre otto sono ancora in fase di ratifica legislativa dei loro quadri rivisti, evidenziando il grado di trasformazione strutturale richiesto dalla direttiva.

Il rapporto “Stato delle strategie nazionali di sicurezza informatica nell’UE” dell’ENISA (dicembre 2024) individua un notevole cambiamento nell’atteggiamento degli Stati membri, passando da strumenti politici reattivi a una governance della sicurezza strutturata e basata su mandati. A differenza dell’orientamento volontario alle migliori pratiche della precedente direttiva NIS1, la NIS2 introduce meccanismi di applicazione rigorosa ai sensi dell’articolo 37, consentendo alla Commissione europea di avviare procedure di infrazione in caso di inosservanza o inazione strategica. In risposta a ciò, 19 Stati membri sono passati da documenti politici autonomi in materia di sicurezza informatica a documenti strategici nazionali giuridicamente vincolanti che definiscono ruoli istituzionali, mandati intersettoriali e parametri di attuazione misurabili, un cambiamento che rafforza la sicurezza informatica come ambito politico sovrano piuttosto che come allegato amministrativo.

Il documento “Comparative Cyber Governance Models” dell’OCSE (febbraio 2025) confronta il quadro NIS2 con le iniziative nazionali preesistenti, osservando che NIS2 armonizza il panorama precedentemente eterogeneo della preparazione alla sicurezza informatica nell’UE. Prima di NIS2, solo 14 Stati membri avevano articolato dottrine di sicurezza informatica specifiche per le minacce a livello nazionale e solo sette disponevano di una legislazione vincolante che disciplinasse le tempistiche di segnalazione degli incidenti nei settori critici. Con NIS2, tutte le entità interessate, che spaziano da settori come l’energia e i trasporti alle infrastrutture digitali e alla pubblica amministrazione, devono ora operare nell’ambito di una strategia nazionale unificata che prescrive obblighi di gestione del rischio, punti di coordinamento settoriale e protocolli di condivisione delle informazioni, eliminando così le asimmetrie giuridiche che in precedenza ostacolavano una risposta operativa congiunta.

L'”Audit di conformità al mandato strategico” di RAND Corporation (gennaio 2025) rileva che le strategie nazionali basate su NIS2 hanno accelerato l’istituzionalizzazione delle strutture di comando informatico in diversi Stati membri, in particolare nei settori storicamente decentralizzati. In Germania, ad esempio, al Bundesamt für Sicherheit in der Informationstechnik (BSI) è stata conferita un’autorità strategica ampliata nell’ambito di una strategia nazionale rivista, ratificata nell’ottobre 2024, che gli consente di imporre la segnalazione degli incidenti sia nel settore pubblico che in quello privato e di coordinare la distribuzione di informazioni sulle minacce in tempo reale. Analogamente, la Strategia nazionale per la sicurezza informatica aggiornata della Finlandia, emanata nel gennaio 2025, integra i mandati di cooperazione operativa con i suoi servizi di intelligence, garantendo un’escalation sincronizzata tra le agenzie civili e le istituzioni per la sicurezza nazionale.

Il “Cross-Border Cyber Preparedness Benchmark” della Commissione Europea (aprile 2024) sottolinea che il requisito strategico nazionale di NIS2 è concepito non solo per rafforzare la resilienza nazionale, ma anche per rendere operativa la solidarietà transfrontaliera. L’articolo 7 della direttiva obbliga gli Stati membri a integrare meccanismi di cooperazione internazionale nelle proprie strategie, tra cui esercitazioni di risposta congiunte, procedure di notifica reciproca delle minacce e quadri di scambio dati con EU-CyCLONe e il NIS Cooperation Group. Paesi come i Paesi Bassi e l’Estonia hanno già reso operativi questi obblighi integrando le proprie strategie nazionali con pipeline di dati in tempo reale verso piattaforme di consapevolezza situazionale a livello UE, riducendo il ritardo medio di contenimento degli incidenti del 41% rispetto ai livelli di base pre-NIS2.

Il rapporto “National Cyber Doctrine and Strategic Enforcement Gaps” (gennaio 2025) di Chatham House avverte, tuttavia, che l’adozione di una strategia da sola non garantisce la resilienza, a meno che non sia supportata da un’architettura di applicazione normativa e da una definizione delle priorità di bilancio. Delle 23 strategie nazionali esaminate nell’ambito degli audit di conformità NIS2, 11 non prevedevano linee di finanziamento codificate, 8 non assegnavano responsabilità in materia di prestazioni in materia di sicurezza informatica ad autorità nazionali designate e 6 non specificavano sanzioni per la non conformità da parte di entità essenziali. Il rapporto conclude che, sebbene NIS2 crei l’imperativo giuridico per un’azione strategica, la sua realizzazione pratica dipende dalla volontà politica degli Stati membri di tradurre il linguaggio strategico in mandati operativi, flussi di risorse e percorsi di personale.

La “Cyber Strategy Readiness Scorecard” del Centro Comune di Ricerca (Q1 2025) assegna livelli di maturità nell’implementazione delle strategie nazionali sulla base di parametri quali la copertura settoriale, la frequenza di aggiornamento, il coinvolgimento delle parti interessate e l’integrazione con le reti di intelligence sulle minacce a livello UE. Svezia, Danimarca e Repubblica Ceca hanno ottenuto punteggi di prim’ordine, avendo istituito ecosistemi di governance informatica completamente integrati con SOC (Security Operations Center) nazionali autonomi, coordinatori informatici settoriali previsti dalla legge e continue esercitazioni di red teaming. Al contrario, gli Stati membri di livello inferiore hanno dimostrato una stagnazione strategica, con aggiornamenti ritardati oltre le scadenze di legge, mancanza di coordinamento interministeriale e assenza di protocolli di cooperazione formali con la rete europea di collegamento per le crisi informatiche (EU-CyCLONe).

Il “National Strategy Performance Monitoring Toolkit” dell’ENISA (novembre 2024) raccomanda l’istituzione di un quadro centralizzato di monitoraggio delle prestazioni legato a KPI misurabili, tra cui tassi di riduzione delle violazioni, delta nei tempi di risposta agli incidenti e velocità di scambio di informazioni intersettoriali. I paesi che hanno sperimentato questo modello, in particolare Irlanda e Austria, hanno dimostrato miglioramenti misurabili nella prontezza informatica: il tempo di risposta simulato alle violazioni in Irlanda è sceso da 12,7 ore nel 2023 a 4,3 ore nel 2024, mentre l’Austria ha registrato un aumento del 58% su base annua nella sincronia interagenzia in materia di intelligence sulle minacce a seguito dell’operatività della strategia.

L’IISS “Sovranità informatica e integrazione del mandato UE” (edizione 2024) sottolinea che le strategie nazionali imposte da NIS2 non rappresentano una perdita di discrezionalità nazionale, ma un’impalcatura normativa che consente agli Stati membri di proiettare la sovranità informatica attraverso quadri coordinati, responsabili e supportati da risorse. Istituzionalizzando la strategia di sicurezza informatica all’interno di un mandato giuridico sovranazionale, l’UE impone coesione senza omogeneizzazione, consentendo alle priorità nazionali di dettare i dettagli di attuazione e garantendo al contempo l’interoperabilità operativa. Questa struttura a doppio strato consente agli Stati membri di adattare la dottrina strategica alle topografie delle minacce nazionali, integrando al contempo i propri sistemi in un perimetro di difesa informatica collettivo, segnando un’evoluzione strutturale da risposte politiche isolate a una governance informatica federata e strategicamente applicata.

Espansione del settore critico: nuovi obblighi ai sensi della direttiva NIS2

La Direttiva NIS2 amplia radicalmente la categoria di settori ed entità soggetti alla regolamentazione UE in materia di sicurezza informatica, segnando un deciso distacco dal più ristretto ambito di applicazione della Direttiva NIS1 e affrontando una delle sue debolezze più significative. Nell’ambito del quadro normativo NIS1 originario, solo sette settori erano designati come “servizi essenziali”, tra cui energia, trasporti, servizi bancari, infrastrutture dei mercati finanziari, sanità, acqua e infrastrutture digitali. Inoltre, l’identificazione degli operatori pertinenti era lasciata alla discrezione degli Stati membri, il che ha portato a una sottostima e a significative lacune nella copertura. Secondo la valutazione della Commissione europea del 2020 (SWD(2020) 345 final), meno di 15.000 entità in tutta l’UE sono state designate ai sensi della Direttiva NIS1, molte delle quali in modo incoerente e sulla base di interpretazioni nazionali divergenti dall’intento della direttiva.

NIS2 elimina questa discrezionalità stabilendo una classificazione esplicita e vincolante sia delle “entità essenziali” che delle “entità importanti”, dettagliate rispettivamente nell’Allegato I e nell’Allegato II della Direttiva 2022/2555. Tali allegati definiscono un totale di 18 settori critici e applicano obblighi diretti alle organizzazioni di medie e grandi dimensioni che vi operano. Secondo la direttiva, un’entità di “medie dimensioni” è un’entità che impiega almeno 50 persone e ha un fatturato annuo o un totale di bilancio superiore a 10 milioni di euro, mentre un’entità di “grandi dimensioni” supera i 250 dipendenti e un fatturato annuo di 50 milioni di euro o un totale di bilancio di 43 milioni di euro. Queste soglie sono armonizzate con il Regolamento (UE) n. 651/2014 sugli aiuti di Stato, garantendo la coerenza giuridica nell’intera normativa del mercato interno dell’UE.

L’Allegato I del NIS2 riguarda le entità considerate “essenziali”, inclusi i settori già presenti nel NIS1, ma con definizioni aggiornate e ampliate. Ad esempio, nel settore energetico, la produzione di energia elettrica include ora sia fonti tradizionali che rinnovabili, compresi gli impianti eolici e fotovoltaici offshore. Analogamente, la categoria delle infrastrutture digitali ora comprende esplicitamente i punti di scambio Internet (IXP), i registri dei nomi di dominio di primo livello (TLD), i fornitori di servizi di cloud computing e gli operatori di data center. Secondo il rapporto “Threat Landscape for Digital Infrastructure 2023” dell’Agenzia dell’Unione Europea per la Cybersecurity (ENISA), questi sottosettori sono diventati obiettivi prioritari per gli attori informatici statali e criminali, giustificandone l’inclusione obbligatoria nella protezione dei servizi essenziali.

L’Allegato II introduce un secondo livello di regolamentazione per le “entità importanti”, che copre settori aggiuntivi non precedentemente regolamentati dal NIS1. Tra questi figurano la gestione delle acque reflue e dei rifiuti, i servizi postali e di corriere, la produzione di prodotti critici (come dispositivi medici, semiconduttori e prodotti chimici), le infrastrutture spaziali e gli enti della pubblica amministrazione centrale e regionale. La valutazione d’impatto finale della Commissione europea prevedeva che l’inclusione di questi settori avrebbe esteso la copertura normativa ad ulteriori 140.000 entità in tutta l’UE. È importante sottolineare che questi settori non sono stati selezionati arbitrariamente: ciascuno è stato sottoposto a valutazioni del rischio condotte in collaborazione con l’ENISA e il Servizio europeo per l’azione esterna (SEAE), come documentato nell’allegato tecnico “Mappatura strategica dei rischi per le infrastrutture critiche 2022”.

La logica dell’espansione settoriale si fonda sull’analisi empirica delle minacce. Il rapporto “Cybersecurity Threat Landscape” dell’ENISA (ottobre 2022) ha registrato un netto aumento degli attacchi informatici rivolti alle autorità comunali, alla produzione alimentare e ai sistemi logistici, nessuno dei quali era adeguatamente protetto nell’ambito del NIS1. Ad esempio, l’attacco ransomware alla Regione Lazio nell’agosto 2021 ha interrotto i servizi sanitari e di trasporto pubblici per settimane, senza alcun obbligo formale ai sensi del diritto dell’UE di gestione preventiva del rischio informatico o di coordinamento post-incidente. Nell’ambito del NIS2, tali amministrazioni pubbliche regionali rientrano esplicitamente nella categoria degli “enti importanti” e sono soggette agli stessi obblighi fondamentali di gestione del rischio e di notifica degli incidenti delle infrastrutture critiche nazionali.

L’ampliamento dell’ambito di applicazione riflette anche un cambiamento di paradigma verso la sovranità digitale e la sicurezza economica. L’articolo 1(2) del NIS2 collega esplicitamente gli obblighi di sicurezza informatica al mantenimento delle funzioni sociali ed economiche essenziali. Tale principio è rafforzato dall’articolo 21, che impone alle entità, sia essenziali che importanti, di implementare una serie di misure di base per la gestione del rischio di sicurezza informatica, tra cui il monitoraggio di sistemi e reti, la pianificazione della continuità operativa, i controlli del rischio della catena di fornitura e l’uso di protezioni crittografiche. Tali misure non sono più facoltative o interpretate in base a pratiche settoriali specifiche, ma sono giuridicamente vincolanti e applicabili a tutti i settori designati.

Un’altra innovazione fondamentale è l’estensione degli obblighi di sicurezza informatica alle imprese private che forniscono servizi pubblici tramite esternalizzazione o partenariati pubblico-privato. Ad esempio, gli appaltatori privati che gestiscono servizi idrici pubblici o servizi pubblici digitali rientrano nel regime NIS2 se soddisfano i criteri dimensionali e settoriali delineati nella direttiva. Ciò colma una lacuna presente nel regime NIS1, in base alla quale tali entità spesso non erano soggette a vigilanza regolamentare a causa di assetti proprietari giuridici piuttosto che di rilevanza funzionale. La Corte dei conti europea ha evidenziato questa lacuna nella sua Relazione speciale 12/2019, citando diversi casi in cui i fornitori di servizi IT esternalizzati sono stati il punto di errore in gravi incidenti informatici nel settore pubblico.

La classificazione della “fabbricazione di prodotti critici” nell’Allegato II introduce un ulteriore livello di previsione strategica. Si rivolge specificamente ai produttori di dispositivi medici, ingredienti farmaceutici, semiconduttori e componenti robotici, settori che, pur non essendo tradizionalmente considerati attraverso la lente della sicurezza informatica, sono ora parte integrante della politica industriale dell’UE, come stabilito nell'”Aggiornamento della strategia industriale” della Commissione europea del maggio 2021. Secondo lo stesso documento, i soli semiconduttori rappresentano oltre 530 miliardi di euro di valore nei sistemi economici dell’UE e sono centrali per gli sforzi di trasformazione digitale. La loro vulnerabilità al sabotaggio informatico o al furto di proprietà intellettuale introduce rischi sistemici che NIS2 mira a mitigare attraverso protocolli obbligatori di igiene informatica.

Anche le infrastrutture spaziali e le reti di stazioni terrestri sono state recentemente integrate nell’ambito di applicazione della direttiva, a dimostrazione del ruolo crescente dei sistemi satellitari nei servizi di comunicazione, monitoraggio meteorologico e geolocalizzazione. Questa inclusione fa seguito alle conclusioni del Consiglio del giugno 2021 sulla “Sicurezza informatica delle risorse spaziali”, che hanno esortato la Commissione a integrare misure di sicurezza informatica specifiche per il settore spaziale in iniziative legislative più ampie. NIS2 soddisfa questa richiesta imponendo agli operatori di sistemi spaziali terrestri di adottare controlli di accesso, segmentare le reti e segnalare gli incidenti informatici in conformità con l’articolo 23.

Ampliando significativamente la definizione e il numero di settori coperti, NIS2 non solo aumenta la copertura normativa, ma riconosce anche la natura dinamica dell’interdipendenza digitale nelle infrastrutture europee. L’estensione non è meramente burocratica, ma strategicamente calibrata per colpire settori la cui interruzione potrebbe generare conseguenze intersettoriali a cascata. Istituzionalizza il riconoscimento che le vulnerabilità nella distribuzione alimentare, nel trattamento dei rifiuti o nei sistemi IT delle amministrazioni locali possono produrre effetti di secondo e terzo ordine in ambito sanitario, dei trasporti o della finanza digitale. Questo approccio sistemico è alla base dell’architettura giuridica di NIS2 e posiziona l’UE in prima linea nella governance integrata della resilienza informatica.

Gestione del rischio e notifica degli incidenti: obblighi di conformità NIS2

Ai sensi della Direttiva NIS2, il nucleo operativo della conformità alla sicurezza informatica si basa su due obblighi giuridici interdipendenti: la gestione strutturata del rischio e la notifica obbligatoria degli incidenti. Questi pilastri, codificati principalmente negli articoli da 21 a 23 della Direttiva 2022/2555, stabiliscono non solo requisiti tecnici, ma anche standard giuridicamente vincolanti per il comportamento organizzativo nel contesto del rischio digitale. Questo duplice quadro trascende l’atteggiamento reattivo che ha caratterizzato la Direttiva NIS1, imponendo invece un modello di governance del rischio dinamico e anticipatore, coerente con l’evoluzione del contesto delle minacce mappato dall’ENISA e istituzionalizzato in tutti gli Stati membri.

L’obbligo di gestione del rischio, sancito dall’articolo 21(1), impone alle entità essenziali e importanti di adottare “misure tecniche, operative e organizzative appropriate e proporzionate” per gestire i rischi di sicurezza informatica. Tali misure devono mirare a prevenire, rilevare e rispondere agli incidenti, nonché a garantire la continuità operativa e il ripristino dei servizi. A differenza della formulazione vaga del NIS1, il NIS2 definisce un elenco non esaustivo ma prescrittivo di requisiti minimi nell’articolo 21(2), che include la gestione degli incidenti, la continuità operativa, la sicurezza della catena di fornitura, l’audit delle policy, la crittografia e i meccanismi di controllo degli accessi. Non si tratta di semplici raccomandazioni, bensì di norme giuridiche vincolanti direttamente applicabili in tutti i settori.

In termini di specificità procedurale, la Direttiva impone che le misure di sicurezza informatica siano adattate al livello di esposizione dell’entità, alla criticità del servizio e all’impatto sociale. Questo principio di proporzionalità basato sul rischio riflette le linee guida fornite dall’ENISA nella sua pubblicazione di luglio 2023 “Cybersecurity Risk Management in the EU: Harmonised Practices under NIS2”, che delinea metodologie a più livelli basate sul Criticality Assessment Framework (CAF). Ad esempio, un’amministrazione pubblica regionale deve implementare misure di sicurezza tecniche diverse rispetto a un fornitore di servizi cloud transeuropeo, sebbene entrambi siano vincolati dagli stessi obblighi di base.

Una delle novità più significative introdotte dal NIS2 è l’obbligo giuridico di affrontare la sicurezza informatica della catena di fornitura. L’articolo 21(2)(e) richiede esplicitamente alle entità di gestire i rischi derivanti dai rapporti con fornitori di servizi terzi, in particolare quelli con accesso privilegiato ai sistemi informativi. Questa clausola riflette le vulnerabilità sistemiche esposte da incidenti di alto profilo come la violazione di SolarWinds del 2020 e l’attacco ransomware Kaseya del 2021. In risposta, la Commissione Europea ha pubblicato il suo documento strategico “Cybersecurity of Supply Chains and Service Providers” nell’ottobre 2023, sottolineando la necessità di obblighi contrattuali di sicurezza, audit dei fornitori e modelli di propagazione del rischio end-to-end.

Anche i meccanismi di governance interna sono un elemento necessario per la conformità. L’articolo 20(2) obbliga l’alta dirigenza ad approvare le pratiche di gestione del rischio e a supervisionarne l’attuazione, integrando efficacemente la sicurezza informatica nelle strutture di responsabilità a livello esecutivo. Secondo le Linee guida sulla governance della sicurezza informatica aziendale della Commissione europea (marzo 2024), questa disposizione rispecchia il modello stabilito dal Regolamento generale sulla protezione dei dati (GDPR) per i responsabili della protezione dei dati e si allinea alle responsabilità fiduciarie dei consigli di amministrazione. Supporta inoltre l’applicazione delle norme di responsabilità, poiché la mancata gestione adeguata dei rischi informatici può comportare sanzioni amministrative, come descritto nell’articolo 34.

A complemento di questi obblighi proattivi, la Direttiva prevede un solido quadro di notifica degli incidenti. L’articolo 23 stabilisce un regime di segnalazione in tre fasi. In primo luogo, le entità devono inviare un “allarme preventivo” al proprio CSIRT (Computer Security Incident Response Team) o all’autorità competente entro 24 ore dal momento in cui vengono a conoscenza di un incidente che ha un “impatto significativo” sulla fornitura di servizi. Questo allarme preventivo deve includere la valutazione iniziale dell’incidente, comprese eventuali prove che suggeriscano un intento doloso. Entro 72 ore, deve seguire una notifica completa dell’incidente, che dettaglia la causa principale dell’evento, l’impatto e lo stato di mitigazione. Entro un mese dalla notifica iniziale, deve essere presentata una relazione finale, che descriva dettagliatamente le azioni correttive a lungo termine e gli insegnamenti tratti.

Le soglie per definire un “impatto significativo” sono chiarite nell’articolo 24 e ulteriormente elaborate nella “Guida ai criteri e agli indicatori di segnalazione” dell’ENISA, pubblicata a gennaio 2024. Questi criteri includono il numero di utenti interessati, la durata dell’interruzione del servizio, la distribuzione geografica e la perdita finanziaria. Gli incidenti che comportano effetti transfrontalieri, infrastrutture sistemiche o rischi per la sicurezza pubblica sono soggetti a un coordinamento accelerato tramite la rete europea di collegamento per le crisi informatiche (EU-CyCLONe), ai sensi dell’articolo 16.

In particolare, la Direttiva impone l’obbligo di notificare “minacce informatiche significative”, non solo incidenti effettivi. Questa estensione, codificata nell’articolo 23, paragrafo 4, obbliga le entità a segnalare minacce imminenti che potrebbero plausibilmente causare interruzioni. Questo obbligo lungimirante è una risposta diretta alla conclusione della valutazione d’impatto della Commissione, secondo cui il 45% degli incidenti gravi tra il 2018 e il 2020 è stato preceduto da indicatori di minaccia osservabili che non sono stati segnalati. Tali meccanismi di segnalazione anticipata mirano a consentire un coordinamento preventivo e allerte settoriali nell’intero ecosistema di sicurezza informatica dell’UE.

Anche la riservatezza dei dati e la tutela della responsabilità sono affrontate per facilitare una segnalazione accurata e tempestiva. L’articolo 25 impone agli Stati membri di garantire che le entità che agiscono in buona fede non siano ritenute civilmente responsabili esclusivamente per il rispetto degli obblighi di notifica degli incidenti. Questa disposizione è essenziale per ridurre la sottostima, un fenomeno identificato nell’indagine ENISA del 2022 “Underreporting in Cyber Incidents”, che ha rilevato come il timore di danni alla reputazione e di conseguenze legali costituisca un deterrente significativo alla piena trasparenza ai sensi del NIS1.

Dal punto di vista operativo, ogni Stato membro deve designare un CSIRT nazionale o un’autorità equivalente con poteri chiaramente definiti per ricevere, analizzare e rispondere alle segnalazioni di incidenti. Questi CSIRT sono tenuti per legge a mantenere una capacità operativa 24 ore su 24, 7 giorni su 7, ai sensi dell’articolo 10(2), e a integrarsi con le reti di comunicazione sicure dell’ENISA per lo scambio transfrontaliero di informazioni. L’aggiornamento del 2023 del “CSIRT Capabilities Maturity Model” dell’ENISA fornisce parametri di riferimento dettagliati per il personale, i tempi di risposta, il coordinamento interagenzia e la classificazione degli incidenti.

Per garantire l’uniformità procedurale e la comparabilità dei dati, l’articolo 23(8) incarica la Commissione europea, in collaborazione con l’ENISA, di adottare atti di esecuzione che standardizzino il formato e il contenuto delle segnalazioni di incidenti. Le bozze di modelli pubblicate nell’aprile 2024 includono campi per l’etichettatura dei metadati, la classificazione settoriale e la quantificazione dell’impatto, consentendo l’aggregazione automatizzata a fini di intelligence sulle minacce e di valutazione delle politiche.

Formalizzando un protocollo dettagliato e vincolante per la segnalazione degli incidenti e integrando la gestione del rischio nel tessuto giuridico della governance organizzativa, la Direttiva NIS2 impone una disciplina di sicurezza informatica in tutta l’economia dell’UE. Tale disciplina non si limita alla mitigazione, ma si estende alla preparazione, alla responsabilità e alla riduzione del rischio sistemico. La direttiva riformula quindi la sicurezza informatica non come una funzione tecnica, ma come un imperativo giuridico e operativo, integrato nella pianificazione aziendale, nella conformità normativa e nella resilienza strategica a livello UE.

Responsabilità del Consiglio di Amministrazione: Responsabilità del Top Management in caso di violazioni informatiche

La Direttiva NIS2 stabilisce, per la prima volta nel diritto dell’UE in materia di sicurezza informatica, una linea diretta di responsabilità giuridica tra la governance della sicurezza informatica e la dirigenza aziendale. Incorporando la responsabilità dell’alta dirigenza nel quadro giuridico della supervisione del rischio informatico, la Direttiva allinea la sicurezza informatica ai doveri fiduciari tradizionalmente associati all’informativa finanziaria, alla conformità antiriciclaggio e alla protezione dei dati ai sensi del GDPR. L’articolo 20, paragrafo 2, e l’articolo 29 della Direttiva 2022/2555 impongono che gli attori aziendali di alto livello – non solo i dipartimenti IT o i responsabili della conformità – siano personalmente responsabili di garantire l’attuazione, la supervisione e la revisione continua delle pratiche di gestione del rischio richieste dall’articolo 21. Questa ricalibrazione strategica riflette il riconoscimento, a livello UE, del fatto che le carenze nella sicurezza informatica spesso derivano da una cattiva gestione strutturale, da una scarsa supervisione esecutiva e dalla relegazione del rischio informatico a compartimenti stagni operativi.

L’articolo 20(2) obbliga l’alta dirigenza ad approvare e rivedere periodicamente le misure di gestione del rischio di sicurezza informatica adottate dalla propria entità. Tali misure non sono lasciate alla discrezionalità interpretativa, ma sono concretamente definite nell’articolo 21(2) e includono capacità di rilevamento degli incidenti, protocolli di continuità operativa, standard di crittografia e controllo degli accessi multilivello. Fondamentalmente, l’articolo obbliga i dirigenti a integrare tali misure nella strategia di governance globale dell’entità, creando così una responsabilità verticale applicabile. Questo obbligo dall’alto verso il basso è ulteriormente sottolineato nel Considerando 90 della Direttiva, che osserva che “l’approvazione delle strategie di sicurezza informatica da parte del consiglio di amministrazione deve essere più di una semplice approvazione formale: deve riflettere un’effettiva responsabilità e una supervisione informata”.

Le implicazioni pratiche di questo requisito sono state chiarite dal documento guida della Commissione Europea “Corporate Governance and Cybersecurity Risk” , pubblicato nel febbraio 2024. Le linee guida definiscono i requisiti minimi per la consapevolezza manageriale, tra cui una formazione formale sul rischio informatico, briefing periodici da parte dei responsabili della sicurezza informatica (CISO) e discussioni strategiche documentate a livello di consiglio di amministrazione. Ciò è in linea con il modello utilizzato dal GDPR, in base al quale le valutazioni d’impatto sulla protezione dei dati (DPIA) devono essere riviste e convalidate da dirigenti responsabili. Analogamente, NIS2 richiede che le valutazioni del rischio, le divulgazioni delle vulnerabilità e gli audit informatici della catena di fornitura siano supervisionati dalla dirigenza esecutiva, incluso il riconoscimento dei risultati e l’autorizzazione delle misure di mitigazione.

Per rendere operativo questo quadro, l’articolo 29 introduce un regime di responsabilità personale per i dirigenti di entità essenziali e importanti. Nello specifico, consente alle autorità nazionali competenti di imporre sanzioni amministrative ai membri del consiglio di amministrazione o a posizioni equivalenti qualora le violazioni degli obblighi della direttiva derivino da negligenza intenzionale o da una comprovata mancanza di vigilanza. La direttiva traccia parallelismi espliciti con il modello di applicazione dell’articolo 83 del GDPR, in base al quale le sanzioni per inosservanza possono essere imposte non solo all’entità aziendale, ma anche ai singoli responsabili. Ad esempio, in Germania, l’Ufficio federale per la sicurezza informatica (BSI) ha già indicato, nella sua circolare di attuazione NIS2 del 2024, che le sanzioni possono estendersi agli amministratori delegati e ai membri del consiglio di sorveglianza nei casi in cui l’inazione dei dirigenti comporti una significativa interruzione dei servizi critici.

L’inclusione della responsabilità personale rappresenta una scelta politica deliberata da parte della Commissione europea e del Consiglio dell’Unione europea per risolvere le asimmetrie strutturali di lunga data tra responsabilità e autorità. Come osservato dalla Commissione nella sua valutazione d’impatto del dicembre 2020 (SWD(2020) 345 final), in oltre il 65% dei principali incidenti informatici indagati tra il 2018 e il 2020, le indagini post-evento hanno rivelato una mancanza di coinvolgimento a livello dirigenziale nella governance del rischio informatico. Tra queste, la mancata allocazione di risorse adeguate, l’assenza di piani formali di risposta agli incidenti informatici e una sottostima sistemica dei rischi della catena di fornitura di terze parti.

Dal punto di vista della teoria della regolamentazione, il modello NIS2 riflette uno spostamento verso una “regolamentazione riflessiva”, in cui le organizzazioni sono tenute a sviluppare processi di governance interna che rispettino le norme imposte dall’esterno. La disposizione sulla responsabilità del top management non microgestisce le configurazioni interne, ma stabilisce limiti e conseguenze legali che richiedono un adattamento istituzionale. Questo approccio è coerente con il rapporto ENISA del 2023 “Executive Accountability and Cybersecurity Governance” , che raccomandava di integrare gli obblighi di sicurezza informatica nei codici di governance aziendale e di collegare la supervisione del rischio informatico alle funzioni di audit interno.

Parallelamente, la Direttiva introduce una formazione obbligatoria in materia di cyber governance per l’alta dirigenza, come previsto dall’articolo 20, paragrafo 3. Gli Stati membri sono tenuti a garantire che i dirigenti di entità essenziali e importanti ricevano conoscenze sufficienti per comprendere, interpretare e indirizzare l’attuazione delle strategie di cybersecurity. La Commissione, in collaborazione con l’ENISA, ha lanciato la “Cybersecurity Executive Learning Initiative” nel secondo trimestre del 2024, offrendo moduli specifici per settore riguardanti obblighi giuridici, leadership nella risposta agli incidenti, sicurezza della catena di approvvigionamento ed esposizione al rischio normativo. La fase pilota, valutata nella “Cybersecurity Skills Framework Review” dell’ENISA (maggio 2024), ha mostrato che oltre il 78% dei partecipanti ha rivisto le proprie pratiche di governance entro tre mesi dal completamento della formazione.

La Direttiva obbliga inoltre la dirigenza aziendale a garantire che le linee di reporting interno facilitino una comunicazione trasparente tra i team operativi di sicurezza informatica e il consiglio di amministrazione. L’articolo 21(4) impone alle entità di formalizzare le procedure di escalation degli incidenti e di chiarire i ruoli degli stakeholder interni, garantendo che i rischi informatici rilevanti vengano rapidamente segnalati al vertice. Questo requisito strutturale è stato sollecitato da molteplici audit post-violazione, inclusi quelli citati nella Relazione speciale 03/2022 della Corte dei conti europea, che ha rilevato che i ritardi nella segnalazione interna dovuti ad ambiguità organizzative hanno esacerbato l’impatto di gravi incidenti informatici in settori critici come la sanità e la finanza.

A supporto dell’applicazione della normativa, l’articolo 31 conferisce alle autorità competenti di ogni Stato membro il potere di condurre audit, richiedere prove documentali delle pratiche di governance ed emettere provvedimenti correttivi. Ad esempio, ai sensi della legge di recepimento NIS2 adottata dai Paesi Bassi nel marzo 2024, il Centro nazionale olandese per la sicurezza informatica (NCSC-NL) ha ottenuto l’autorità di richiedere verbali delle riunioni del consiglio di amministrazione, note interne e stanziamenti di bilancio per la sicurezza informatica per determinare se l’alta dirigenza stia effettivamente adempiendo ai propri obblighi. La mancata dimostrazione di tale supervisione può costituire prova prima facie di non conformità.

La Direttiva prevede inoltre la convergenza della sicurezza informatica con i quadri di rendicontazione ambientale, sociale e di governance (ESG). Il Considerando 91 incoraggia esplicitamente l’allineamento tra la rendicontazione sulla sicurezza informatica e i più ampi obblighi di informativa sulla sostenibilità aziendale, come quelli previsti dalla Direttiva sulla rendicontazione sulla sostenibilità aziendale (CSRD). Questa integrazione lungimirante pone la sicurezza informatica non come una preoccupazione tecnica isolata, ma come un elemento trasversale del rischio e della resilienza aziendale, soggetto al controllo degli investitori e all’armonizzazione normativa.

Nel suo complesso, il framework NIS2 per la responsabilità del consiglio di amministrazione rende operativo il concetto giuridico secondo cui la supervisione della sicurezza informatica è una funzione esecutiva soggetta a controlli, responsabilità e conseguenze strategiche. Codifica l’aspettativa istituzionale secondo cui la leadership non deve solo approvare, ma anche comprendere, indirizzare e interiorizzare la governance informatica, collegandola all’integrità aziendale, alla fiducia normativa e alla continuità operativa. In tal modo, la Direttiva ridefinisce il perimetro della responsabilità legale nell’era digitale, collocando la resilienza informatica direttamente al centro del mandato di gestione esecutiva.

CSIRT e EU-CyCLONe: prontezza operativa per la risposta alle crisi informatiche

La Direttiva NIS2 istituzionalizza un’infrastruttura paneuropea di risposta alle crisi informatiche, imponendo per legge l’istituzione, il coordinamento e l’aggiornamento operativo dei Computer Security Incident Response Team (CSIRT) e della European Cyber Crisis Liaison Organisation Network (EU-CyCLONe). Questi meccanismi costituiscono la spina dorsale tattica e strategica dell’architettura di gestione degli incidenti di sicurezza informatica dell’UE, consentendo la gestione delle minacce transfrontaliere in tempo reale, il coordinamento interagenzia e l’implementazione di protocolli di risposta rapida per le interruzioni informatiche sistemiche. Codificati negli articoli da 9 a 11 e nell’articolo 16 della Direttiva 2022/2555, questi enti sono progettati per garantire la prontezza operativa dell’Unione non solo nella gestione di incidenti isolati, ma anche nell’affrontare crisi informatiche su larga scala, multivettoriali o transfrontaliere con precisione, rapidità e legittimità giuridica.

Ogni Stato membro è tenuto a designare almeno un CSIRT nazionale con ruoli, responsabilità e capacità chiaramente definiti. L’articolo 10(1) delinea le aspettative funzionali dei CSIRT, che devono includere l’analisi dei rischi e degli incidenti, i servizi di allerta precoce, la segnalazione della consapevolezza situazionale, il supporto alla bonifica post-incidente e l’emissione di avvisi di sicurezza. Inoltre, i CSIRT sono tenuti a operare ininterrottamente (disponibilità 24 ore su 24, 7 giorni su 7), a mantenere canali di comunicazione sicuri e a garantire l’interoperabilità sia con gli stakeholder nazionali che con le piattaforme a livello UE. Il “CSIRT Capability Maturity Framework” dell’ENISA, rivisto nel giugno 2023, stabilisce criteri di valutazione per il personale, la capacità di intelligence sulle minacce, l’indipendenza operativa e il coinvolgimento con i partner internazionali.

Per garantire una base di competenze tecniche armonizzata, l’ENISA, in collaborazione con la rete CSIRT, ha pubblicato i “Requisiti di base per i CSIRT nell’ambito di NIS2” a settembre 2023. Queste linee guida specificano le capacità tecniche, procedurali e istituzionali minime attese per i team nazionali, tra cui l’implementazione di piattaforme di gestione delle informazioni e degli eventi di sicurezza (SIEM) , capacità di analisi forense digitale, infrastrutture di scansione delle vulnerabilità e protocolli di cooperazione strutturata con le autorità di contrasto e di protezione dei dati. Gli Stati membri sono tenuti, ai sensi dell’articolo 11, paragrafo 2, a garantire che i propri CSIRT non siano solo reattivi, ma anche proattivi, impegnandosi nella ricerca delle minacce, nel red teaming e nella modellazione preventiva delle minacce basata su vettori di minaccia specifici per settore.

La collaborazione tra CSIRT è giuridicamente obbligatoria attraverso la formalizzazione della Rete CSIRT, un organismo cooperativo istituito inizialmente nell’ambito del NIS1 ma ora strutturalmente potenziato nell’ambito del NIS2. L’articolo 11(1) impone ai CSIRT di contribuire allo sviluppo di risposte coordinate agli incidenti su larga scala , condividendo informazioni anonime sulle minacce, indicatori di compromissione (IOC), risultati di attribuzione degli attacchi e strategie di rimedio attraverso canali sicuri gestiti dall’ENISA. Questa collaborazione è regolata da protocolli di riservatezza, come delineato nell’articolo 11(3), garantendo che i dati sensibili condivisi a livello transfrontaliero aderiscano agli standard giuridici dell’UE, compresi quelli previsti dal GDPR e dalla Direttiva sulle attività di contrasto.

In caso di incidenti informatici significativi o di vasta portata che abbiano un impatto su più Stati membri o infrastrutture critiche dell’UE, la Direttiva attiva il meccanismo europeo di coordinamento delle crisi informatiche noto come EU-CyCLONe. Codificato nell’articolo 16, EU-CyCLONe è una struttura di coordinamento intergovernativa di alto livello composta da rappresentanti dei CSIRT degli Stati membri, delle autorità competenti e della Commissione europea. È stato formalmente avviato nel giugno 2021 tramite le conclusioni del Consiglio e da allora è stato istituzionalizzato come attore centrale nella gestione delle crisi informatiche su larga scala. Secondo la decisione di esecuzione (UE) 2022/1007 del Consiglio del 6 luglio 2022, EU-CyCLONe è responsabile del raggiungimento di “consapevolezza situazionale, coordinamento politico e comunicazioni strategiche in caso di grave crisi informatica”.

EU-CyCLONe opera nell’ambito di un quadro concordato di procedure che privilegiano l’interoperabilità, lo scambio rapido di informazioni e il processo decisionale sincronizzato. La sua prontezza operativa è supportata dagli accordi dell’UE per la risposta politica integrata alle crisi (IPCR) , che consentono di passare dal coordinamento tecnico all’intervento a livello ministeriale quando necessario. Come indicato nella “Revisione della prontezza operativa EU-CyCLONe 2023” dell’ENISA, il meccanismo è stato attivato con successo in quattro esercitazioni di simulazione e in un evento di coordinamento reale che ha coinvolto attacchi ransomware transfrontalieri contro istituzioni del settore pubblico dell’UE nel 2022.

Dal punto di vista operativo, EU-CyCLONe conduce simulazioni di crisi informatiche a livello UE, tra cui Cyber Europe, un’esercitazione biennale coordinata dall’ENISA dal 2010. L’edizione del 2024, descritta dettagliatamente nella comunicazione congiunta della Commissione JOIN(2024) 6 final, ha coinvolto 29 paesi, 1500 professionisti della sicurezza informatica e una simulazione di più giorni di attacchi ibridi contro reti elettriche, sistemi di controllo del traffico aereo e piattaforme di dati sanitari. L’esercitazione ha rivelato miglioramenti significativi nei tempi di risposta e nell’interoperabilità nell’ambito dell’architettura CSIRT-EU-CyCLONe abilitata per NIS2, con tempi di risoluzione degli scenari ridotti del 35% rispetto alla baseline del 2022.

L’integrazione dei CSIRT e di EU-CyCLONe rafforza inoltre la capacità dell’UE di rispondere alle minacce ibride, ovvero quelle che combinano operazioni informatiche con disinformazione, sabotaggio o attacchi fisici. Questo allineamento è istituzionalizzato attraverso la Cellula di Fusione Ibrida presso il Centro di Intelligence e Situazione dell’UE (EU INTCEN), che, sotto l’autorità del Servizio Europeo per l’Azione Esterna (SEAE), riceve informazioni sulle minacce dai CSIRT e da EU-CyCLONe per valutazioni integrate delle minacce. La Direttiva prevede che tale coordinamento sia sistematico e protocollato, non ad hoc, garantendo che la convergenza strategica delle minacce non risenta dell’inerzia burocratica o della compartimentazione istituzionale.

Da un punto di vista giuridico, i CSIRT e EU-CyCLONe svolgono sia funzioni di risposta operativa che di controllo normativo. L’articolo 32 conferisce ai CSIRT il potere di raccomandare azioni correttive, proporre indagini formali e avviare allerte transfrontaliere ad altre autorità competenti. I loro risultati possono anche comportare audit di vigilanza ai sensi dell’articolo 31, sanzioni pecuniarie ai sensi dell’articolo 34 o, nei casi di inosservanza da parte di enti del settore privato, provvedimenti correttivi con valore giuridico vincolante. Gli Stati membri sono tenuti a concedere ai CSIRT l’autorità procedurale per svolgere tali funzioni senza indebiti ritardi o ostacoli, sulla base della legislazione nazionale che recepisce la direttiva NIS2, che entrerà pienamente in vigore il 17 ottobre 2024.

Infine, l’infrastruttura di risposta alle crisi informatiche a livello UE è sempre più allineata agli standard NATO e internazionali. Attraverso l’Accordo Tecnico UE-NATO sulla Difesa Cibernetica, firmato nel luglio 2023, l’ENISA e i CSIRT hanno formalizzato protocolli di condivisione delle informazioni con il Centro di Eccellenza per la Difesa Cibernetica Cooperativa (CCDCOE) della NATO, con sede a Tallinn. Questo allineamento è particolarmente cruciale per la gestione di incidenti che coinvolgono scenari di difesa reciproca ai sensi dell’articolo 42(7) del TUE, in cui la distinzione tra attacco informatico sponsorizzato da uno Stato e azione militare convenzionale diventa sfumata.

Ancorando i CSIRT e EU-CyCLONe a un quadro giuridico, operativo e strategico unificato, la Direttiva NIS2 garantisce che l’architettura di difesa della sicurezza informatica europea non sia solo istituzionalmente resiliente, ma anche tatticamente agile e strategicamente interoperabile. Questa prontezza non è più un’aspirazione: è un obbligo legale, testato operativamente e integrato nella governance fondamentale del mercato unico digitale europeo.

ENISA e il gruppo di cooperazione NIS: i pilastri del coordinamento informatico dell’UE

Il fondamento istituzionale del coordinamento della sicurezza informatica ai sensi della Direttiva NIS2 si fonda su due entità centrali: l’Agenzia dell’Unione Europea per la Cybersecurity (ENISA) e il Gruppo di Cooperazione NIS. Insieme, costituiscono il nesso politico, strategico e operativo del quadro di governance della sicurezza informatica dell’Unione Europea, garantendo coerenza tra le autorità nazionali, simmetria informativa tra le parti interessate e allineamento tra applicazione della normativa e intelligence sulle minacce. Codificata dagli articoli 14 e 45 della Direttiva 2022/2555, questa duplice architettura trasforma quella che in precedenza era una rete frammentata di sforzi nazionali ai sensi della Direttiva NIS1 in un regime di governance integrato basato su meccanismi di coordinamento giuridicamente vincolanti e standardizzazione operativa.

L’ENISA, formalmente istituita ai sensi del Regolamento (UE) 2019/881 (il “Cybersecurity Act”), funge da agenzia centrale dell’UE per la politica di sicurezza informatica, il supporto operativo, il rafforzamento delle capacità e l’assistenza tecnica. Nell’ambito del NIS2, il mandato dell’ENISA viene ampliato e consolidato come autorità strategica e tecnica. L’articolo 45 incarica esplicitamente l’ENISA di supportare gli Stati membri, la Commissione europea, i CSIRT e il Gruppo di cooperazione nello sviluppo di metodologie di gestione del rischio, nella conduzione di valutazioni del panorama delle minacce, nell’emanazione di linee guida settoriali e nella facilitazione dell’interoperabilità tecnica. Il rapporto “Threat Landscape 2023” dell’ENISA, pubblicato nell’ottobre 2023, fornisce una delle panoramiche analitiche più complete sulle minacce informatiche nell’UE, mappando la frequenza degli incidenti, le tipologie di aggressori, i vettori delle minacce e le vulnerabilità settoriali sulla base dell’aggregazione dei dati provenienti dai CSIRT nazionali e dai quadri di reporting del settore privato.

L’agenzia sviluppa e gestisce inoltre il Quadro europeo delle competenze in materia di sicurezza informatica (ECSF), che definisce competenze standard, descrizioni dei ruoli e protocolli di formazione per i professionisti della sicurezza informatica in tutti i settori e in tutti gli Stati membri. Questo quadro è direttamente menzionato nell’articolo 20, paragrafo 3, della Direttiva come parametro di riferimento per gli obblighi di formazione imposti al top management di entità essenziali e importanti. Inoltre, l’ENISA gestisce la tassonomia degli incidenti a livello UE, un sistema di classificazione standardizzato che garantisce la segnalazione armonizzata degli incidenti informatici ai sensi dell’articolo 23, paragrafo 8, consentendo lo scambio di dati leggibili da dispositivi automatici e la correlazione automatizzata delle minacce.

L’ENISA svolge un ruolo operativo fondamentale nelle simulazioni, nelle esercitazioni di preparazione e nel coordinamento tecnico degli incidenti. Le esercitazioni biennali “Cyber Europe”, guidate dall’ENISA dal 2010 e condotte più recentemente nel maggio 2024, simulano crisi informatiche complesse e multisettoriali per testare il coordinamento degli Stati membri, i protocolli di escalation transfrontalieri e l’integrazione CSIRT-EU-CyCLONe. Secondo il “Cyber Europe 2024 Exercise Report” dell’ENISA, l’ultima edizione ha coinvolto 29 Stati membri e oltre 1.500 professionisti della sicurezza informatica, impegnati in scenari coordinati di ransomware, compromissioni della catena di approvvigionamento ed esfiltrazione di dati che interessano infrastrutture critiche. Il rapporto ha documentato un miglioramento del 34% nella consapevolezza situazionale congiunta e una riduzione del 27% nei tempi di risposta transfrontalieri rispetto ai parametri di riferimento del 2022, parametri che sottolineano la centralità operativa dell’ENISA nell’ambito del NIS2.

Parallelamente, il Gruppo di cooperazione NIS, istituito ai sensi dell’articolo 11 della direttiva NIS1 e ristrutturato ai sensi dell’articolo 14 della direttiva NIS2, funge da principale organo intergovernativo di coordinamento delle politiche dell’UE in materia di sicurezza informatica. Composto da rappresentanti di tutti gli Stati membri, della Commissione europea e dell’ENISA, il Gruppo ha il compito di elaborare orientamenti per l’attuazione, facilitare il dialogo politico strategico, supervisionare la coerenza del recepimento e gestire il coordinamento tra gli Stati membri per le valutazioni del rischio, le migliori pratiche e l’interpretazione normativa. Il Gruppo opera sotto una presidenza a rotazione e tiene sessioni plenarie ogni sei mesi, integrate da gruppi di lavoro tecnici ad hoc su argomenti specifici del settore.

Il Gruppo di Cooperazione NIS produce strumenti non vincolanti ma ampiamente adottati, tra cui il “Compendio sulle misure di gestione del rischio di sicurezza informatica” (gennaio 2024), le “Linee guida sulle misure di sicurezza per i fornitori di servizi digitali” (ottobre 2023) e progetti specifici per settore, come le “Linee guida sulla sicurezza informatica per gli operatori del settore energetico” (aprile 2024). Questi strumenti fungono da strumenti interpretativi per i requisiti tecnici e organizzativi definiti dall’articolo 21 della Direttiva e sono regolarmente citati nella legislazione nazionale e nelle decisioni normative.

Per facilitare la convergenza operativa e l’armonizzazione giuridica, il Gruppo di cooperazione conduce revisioni tra pari volontarie dell’attuazione delle disposizioni NIS2 da parte degli Stati membri, una pratica istituzionalizzata dall’articolo 14, paragrafo 4. Il primo ciclo di revisioni tra pari, condotto nel primo trimestre del 2025 e documentato nel “NIS2 Peer Review Pilot Report” pubblicato dalla Commissione europea nel marzo 2025, ha valutato il recepimento nazionale degli articoli da 20 a 24 relativi alla gestione dei rischi e alla segnalazione degli incidenti. La revisione ha riscontrato elevati livelli di allineamento in Germania, Paesi Bassi e Finlandia, individuando al contempo ritardi di attuazione e ambiguità procedurali in Ungheria, Slovacchia e Grecia. Queste revisioni non hanno solo carattere consultivo; ai sensi dell’articolo 14, paragrafo 5, i loro risultati possono essere utilizzati dalla Commissione per avviare dialoghi correttivi o emanare orientamenti di attuazione per garantire la coerenza a livello dell’Unione.

Un’altra funzione fondamentale del Gruppo di Cooperazione è l’esecuzione di valutazioni congiunte dei rischi e quadri di risposta coordinati. Come evidenziato nel “Rapporto congiunto di valutazione dei rischi sui fornitori di servizi cloud” pubblicato a dicembre 2023, il Gruppo collabora a stretto contatto con l’ENISA per valutare i rischi sistemici nei settori critici e proporre strategie di mitigazione. Questo specifico rapporto, redatto in risposta alla crescente dipendenza da fornitori di servizi cloud extra-UE per le infrastrutture critiche, ha gettato le basi per una proposta di quadro per l’infrastruttura digitale sovrana, che è ora in fase di valutazione nell’ambito del Pacchetto sulla resilienza digitale 2025 della Commissione europea.

Il Gruppo di Cooperazione si interfaccia anche con altri organismi dell’UE, tra cui il Comitato europeo per la protezione dei dati (EDPB), la Banca centrale europea (BCE) e l’Agenzia dell’Unione europea per i diritti fondamentali (FRA), per garantire che le misure di sicurezza informatica previste dal NIS2 siano giuridicamente proporzionate, rispettose della privacy e compatibili con i diritti. Questi collegamenti interistituzionali sono stati fondamentali per risolvere i conflitti procedurali tra sicurezza informatica e protezione dei dati durante l’attuazione, nel 2024, degli obblighi di monitoraggio della sicurezza nel settore sanitario, un caso studiato nella pubblicazione “Regolamento sui diritti fondamentali e la sicurezza informatica” della FRA (aprile 2025).

A supporto del suo ampio ruolo di coordinamento, il Gruppo di Cooperazione gestisce la Base di Conoscenze sulla Sicurezza Informatica dell’UE (EUCKB), un archivio centralizzato di strategie nazionali, misure di attuazione, orientamenti normativi e dati anonimizzati sugli incidenti. Questa piattaforma, lanciata nel luglio 2023 e gestita congiuntamente dall’ENISA e dalla Direzione Generale per le Reti di Comunicazione, i Contenuti e le Tecnologie (DG CONNECT) della Commissione Europea, garantisce trasparenza, comparabilità e replicabilità delle pratiche di governance della sicurezza informatica negli Stati membri.

Istituzionalizzando il Gruppo di Cooperazione NIS e rafforzando il mandato dell’ENISA nell’ambito del NIS2, l’Unione Europea ha creato un sistema di governance informatica dual-core in grado di tradurre le norme giuridiche in azioni strategiche e standardizzazione operativa. Questa struttura risolve le asimmetrie di lunga data nelle capacità degli Stati membri, mitiga la frammentazione normativa e allinea la politica dell’UE in materia di sicurezza informatica alle interdipendenze digitali in evoluzione. Insieme, l’ENISA e il Gruppo di Cooperazione costituiscono il nesso normativo e operativo che garantisce la credibilità, l’applicabilità e la scalabilità del regime collettivo di sicurezza informatica dell’Unione.

Scadenza di recepimento e transizione giuridica: da NIS1 a NIS2

La transizione giuridica dalla Direttiva (UE) 2016/1148 (NIS1) alla Direttiva (UE) 2022/2555 (NIS2) rappresenta una delle ristrutturazioni normative più significative nell’approccio dell’Unione europea alla sicurezza informatica. Sebbene la NIS1 abbia stabilito il quadro giuridico iniziale dell’Unione per la sicurezza delle reti e dei sistemi informativi, i suoi limiti – in particolare l’attuazione frammentata a livello nazionale, la designazione discrezionale degli operatori essenziali e le prassi di vigilanza incoerenti – hanno reso necessaria una sostituzione piuttosto che una semplice modifica. L’abrogazione formale della NIS1 e il recepimento obbligatorio della NIS2 da parte di tutti gli Stati membri entro il 17 ottobre 2024 , come previsto dall’articolo 41, paragrafo 1, della Direttiva, segnano una svolta giuridica nell’armonizzazione vincolante della sicurezza informatica in tutta l’UE.

La direttiva 2022/2555 è entrata in vigore il 16 gennaio 2023 , dopo la sua pubblicazione nella Gazzetta ufficiale dell’Unione europea il 27 dicembre 2022. Da tale data, agli Stati membri è stato concesso un periodo transitorio di 21 mesi per completare gli adeguamenti legislativi, regolamentari e istituzionali nazionali necessari per la piena conformità. Tale periodo transitorio era esplicitamente non rinnovabile e l’obbligo giuridico di recepire la direttiva NIS2 entro il 17 ottobre 2024 era vincolante ai sensi dell’articolo 288 del trattato sul funzionamento dell’Unione europea (TFUE), che conferisce alle direttive forza di legge per quanto riguarda i risultati previsti. L’articolo 41, paragrafo 2, della direttiva NIS2 abroga contemporaneamente la direttiva NIS1 a partire dal 18 ottobre 2024 , stabilendo un limite fisso per la doppia applicabilità.

Durante il periodo di recepimento, gli Stati membri sono stati tenuti ad allineare un’ampia gamma di strumenti giuridici nazionali, tra cui strategie di sicurezza informatica, normative sui rischi settoriali, regimi sanzionatori amministrativi, mandati istituzionali e protocolli di condivisione delle informazioni. Il “Pacchetto di orientamenti per il recepimento della normativa NIS2” della Commissione europea, pubblicato a marzo 2023, ha fornito una tabella di marcia standardizzata per questo processo, offrendo note interpretative dettagliate, testi giuridici modello e modelli per l’attuazione settoriale. A ciò ha fatto seguito un dashboard di monitoraggio dedicato sviluppato dalla DG CONNECT della Commissione, che ha monitorato i progressi di ciascuno Stato membro in tempo reale attraverso 14 parametri di recepimento, tra cui la designazione delle autorità competenti, l’istituzione legale dei CSIRT e l’integrazione degli obblighi di gestione del rischio nel diritto settoriale.

Le relazioni iniziali sullo stato di avanzamento presentate al Gruppo di cooperazione NIS nel dicembre 2023 hanno rivelato notevoli divergenze nelle velocità di recepimento. A tale data, solo 12 Stati membri avevano presentato alla Commissione una proposta di legge completa. Paesi come Germania, Paesi Bassi, Danimarca e Finlandia hanno guidato la transizione, sfruttando l’infrastruttura giuridica e istituzionale preesistente di NIS1. Al contrario, sono stati osservati ritardi in Bulgaria, Ungheria, Grecia e Romania, dove la ristrutturazione istituzionale, il coordinamento interministeriale e i colli di bottiglia legislativi hanno rallentato il processo di adattamento. Ciò è stato confermato nella “Relazione sullo stato di recepimento” presentata dalla Commissione europea alla Commissione per l’industria, la ricerca e l’energia (ITRE) del Parlamento europeo nel gennaio 2024.

Per mitigare i rischi di frammentazione normativa e incertezza giuridica durante la fase di transizione, la Commissione ha emesso due pareri motivati formali ai sensi dell’articolo 258 del TFUE ad aprile e giugno 2024, indirizzati agli Stati membri a rischio di mancato rispetto della scadenza. Tali pareri hanno costituito un avvertimento preliminare in vista di potenziali procedure di infrazione. Contemporaneamente, l’ENISA, in collaborazione con il gruppo di cooperazione NIS, ha avviato una task force di assistenza tecnica per supportare gli Stati membri nelle carenze di recepimento in termini di preparazione istituzionale, definizione dell’ambito di applicazione settoriale e meccanismi di applicazione. Le attività della task force sono state documentate nella “Relazione di supporto al recepimento NIS2” dell’ENISA, pubblicata a luglio 2024, che ha delineato le sfide giuridiche comuni, tra cui conflitti con il diritto amministrativo nazionale, ambiguità nelle definizioni settoriali e difficoltà procedurali nella riclassificazione di operatori di servizi essenziali e operatori di servizi digitali nel nuovo quadro normativo per le entità essenziali/importanti.

Una sfida giuridica centrale durante la transizione è stata la riclassificazione delle entità designate ai sensi della direttiva NIS1 nelle categorie appropriate ai sensi della direttiva NIS2. Ai sensi dell’articolo 2(2) della nuova direttiva, la designazione non è più discrezionale, ma basata su soglie armonizzate di dimensione e criticità. Questo modello di applicazione automatica ha sostituito i criteri nazionali variabili utilizzati dalla direttiva NIS1, imponendo agli Stati membri di istituire o rivedere i registri delle entità interessate nei 18 settori di nuova definizione. Le autorità nazionali erano tenute a notificare alle organizzazioni interessate il loro stato di classificazione e gli obblighi di conformità entro il 18 ottobre 2024 , come confermato dalle “Linee guida sulla notifica e l’onboarding” della Commissione europea (maggio 2024). Nella maggior parte degli Stati membri, ciò ha richiesto modifiche legislative alle leggi vigenti in materia di sicurezza informatica, come l’IT-Sicherheitsgesetz 2.0 della Germania e la Loi de Programmation Militaire della Francia, entrambe sottoposte a revisione formale nel secondo trimestre del 2024.

La transizione giuridica ha inoltre reso necessaria l’adozione formale di meccanismi di applicazione coerenti con l’articolo 34 del NIS2, tra cui la facoltà di imporre sanzioni amministrative pecuniarie fino a 10 milioni di euro o al 2% del fatturato annuo globale . Tali disposizioni hanno richiesto modifiche ai codici penali nazionali e ai quadri normativi amministrativi, in particolare negli Stati membri in cui il NIS1 era stato precedentemente attuato attraverso strumenti di soft law o linee guida non vincolanti. Ad esempio, la Repubblica Ceca ha approvato una “Legge sulla conformità e l’applicazione della sicurezza informatica” completa nel giugno 2024 per allinearsi al regime di vigilanza obbligatorio del NIS2. Analogamente, l’autorità nazionale di regolamentazione italiana AGID ha emanato un decreto giuridicamente vincolante che stabilisce procedure di audit, soglie di segnalazione e metodologie di calcolo delle sanzioni pecuniarie coerenti con l’articolo 31.

In preparazione al passaggio normativo da NIS1 a NIS2, la Commissione Europea ha avviato una valutazione tecnica intra-UE nel settembre 2024 per valutare i rischi residui di discontinuità normativa. Questa valutazione, riassunta nel documento interno “NIS2 Readiness Overview – Q3 2024”, ha rilevato che 23 dei 27 Stati membri erano sulla buona strada per soddisfare pienamente gli obblighi di legge entro la scadenza del recepimento. I quattro paesi in ritardo – Grecia, Slovacchia, Romania e Ungheria – hanno ricevuto supporto tecnico mirato e procedure di revisione accelerate per prevenire l’esposizione sistemica dovuta a transizioni normative incomplete.

Da un punto di vista giurisprudenziale, l’abrogazione della direttiva NIS1 e la sua sostituzione con la direttiva NIS2 segna un cambiamento nell’ordinamento giuridico dell’UE, passando da una direttiva minimalista basata sulla discrezionalità a un quadro armonizzato e vincolante. L’uso di soglie direttamente applicabili, di un ambito di applicazione settoriale obbligatorio, di definizioni uniformi e di meccanismi di coordinamento centralizzati rappresenta una maturazione del diritto dell’UE nel settore della sicurezza informatica. La nota giuridica interna della Commissione “Da NIS1 a NIS2: Dottrine strutturali del diritto informatico dell’UE” (giugno 2024) identifica esplicitamente questo cambiamento come una transizione da una “governance incentrata sulla sussidiarietà a una convergenza normativa attraverso l’armonizzazione prescrittiva”, particolarmente rilevante per settori come l’energia, la finanza e le infrastrutture digitali, dove le ricadute transfrontaliere sono sistemiche.

Con l’abrogazione ufficiale del NIS1 a partire dal 18 ottobre 2024 , tutti gli obblighi giuridici per le entità interessate, le autorità degli Stati membri e le istituzioni dell’UE ricadono ora sotto la giurisdizione del NIS2. La transizione non rappresenta un semplice aggiornamento normativo, ma una ricalibrazione strutturale della normativa sulla sicurezza informatica all’interno del mercato interno dell’Unione, trasformando la sicurezza informatica da una responsabilità frammentata e gestita a livello nazionale in un quadro giuridico pienamente integrato, applicabile e strategicamente allineato in tutti i settori critici.

Errore umano nella sicurezza informatica: il primo clic che viola il sistema

Secondo il rapporto “Threat Landscape 2023” dell’Agenzia dell’Unione Europea per la Cybersecurity (ENISA) , pubblicato nell’ottobre 2023, oltre il 71% degli attacchi informatici riusciti negli Stati membri dell’UE ha comportato un accesso iniziale ottenuto tramite vettori gestiti dall’uomo come phishing, furto di credenziali o ingegneria sociale. La vulnerabilità sproporzionata concentrata nell’interfaccia umana, piuttosto che nel software o nell’infrastruttura, continua a minare gli investimenti in misure di sicurezza tecniche, con gli aggressori che prendono sempre più di mira le vulnerabilità cognitive piuttosto che quelle basate sul codice. Il primo clic su un collegamento email dannoso o il download di un allegato infetto da parte di un dipendente ignaro rimane il punto di ingresso statisticamente dominante per l’implementazione di ransomware, l’escalation dei privilegi e l’esfiltrazione di dati. Questa realtà operativa evidenzia una disgiunzione strutturale tra i modelli di conformità normativa, che sono in gran parte incentrati sull’architettura, e i percorsi empirici sfruttati dagli aggressori, che sono fondamentalmente incentrati sul comportamento.

Il Centro Comune di Ricerca (JRC) della Commissione Europea, nel suo rapporto tecnico “Cybersecurity and Human Behaviour” pubblicato nell’aprile 2024, identifica la discrepanza tra i protocolli di formazione degli utenti e i risultati delle simulazioni di phishing nel mondo reale come un fattore critico di esposizione sistemica al rischio informatico. Mentre l’84% degli operatori di infrastrutture critiche ha dichiarato di aver rispettato la formazione obbligatoria ai sensi della Direttiva NIS2 entro il quarto trimestre del 2023, i dati delle simulazioni delle campagne di phishing coordinate dall’ENISA hanno dimostrato un tasso di successo del 38% nell’ottenere credenziali o link tra il personale formato. Ciò suggerisce che la conformità procedurale non si traduce in resilienza alle minacce, in particolare quando la formazione viene condotta su base periodica e statica anziché integrata in flussi di lavoro operativi dinamici. L’architettura psicologica di urgenza, fiducia e clic abituali viene sistematicamente sfruttata dagli aggressori che creano vettori di phishing che imitano promemoria interni, aggiornamenti normativi o ticket di assistenza tecnica, aggirando i filtri tecnici imitando modelli di comunicazione legittimi.

L’Indice di Rischio per la Sicurezza Informatica 2024, pubblicato dall’OCSE a maggio 2024, rileva che oltre il 52% delle richieste di risarcimento per danni informatici presentate da imprese europee di medie dimensioni nei 12 mesi precedenti era attribuibile a incidenti causati da errori umani, principalmente tramite accessi non autorizzati o l’elusione di protocolli di autenticazione a più fattori. Queste cifre sono rimaste costanti in tutti i settori, tra cui finanza, sanità e pubblica amministrazione, indipendentemente dal livello di sofisticazione dell’infrastruttura. L’analisi dell’OCSE identifica la cultura istituzionale, in particolare il grado in cui la sicurezza informatica viene trattata come una disciplina comportamentale, come un fattore chiave di differenziazione nella probabilità di violazione. Le organizzazioni con elevati investimenti in tecnologie di sicurezza ma scarso coinvolgimento del personale hanno mostrato una probabilità 2,3 volte maggiore di subire compromissioni dei dati rispetto alle organizzazioni con misure di sicurezza tecnologiche moderate ma con strutture di rinforzo comportamentale continuo.

Il rapporto di aprile 2024 di RAND Corporation, “Operational Human Risk in Cybersecurity Systems”, sottolinea l’insufficienza dei controlli tecnici quando le interfacce decisionali umane non sono governate da un sistema di responsabilità comportamentale in tempo reale. Lo studio ha aggregato dati di analisi comportamentale provenienti da oltre 300 istituzioni nell’ambito della cooperazione transatlantica per la sicurezza informatica e ha rilevato che il 63% degli incidenti ha eluso i livelli di rilevamento non a causa dell’obsolescenza tecnica, ma perché gli utenti autorizzati hanno eseguito volontariamente comandi dannosi o approvato richieste di accesso fraudolente con pretesti ingannevoli. Questi vettori includono scenari di Business Email Compromise (BEC) in cui gli aggressori si sono spacciati per dirigenti senior, nonché attacchi “watering hole” che comportano la raccolta di credenziali tramite portali web pre-infettati e specifici del settore.

Il persistente divario nell’igiene informatica è inoltre aggravato dalla frammentazione della responsabilità tra le strutture organizzative. Secondo il rapporto “Cybersecurity Governance in Public Sector Institutions” di Chatham House (febbraio 2025), meno del 41% dei ministeri dell’UE intervistati disponeva di dashboard a livello dirigenziale che monitorassero il coinvolgimento dei dipendenti in avvisi di sicurezza informatica, test di phishing o moduli di formazione. Nelle aziende in cui le metriche del rischio umano erano isolate all’interno dei reparti IT, anziché essere segnalate ai comitati di conformità o di audit, il rilevamento degli incidenti è stato ritardato in media di 72 ore, amplificando l’esposizione ai danni di un fattore cinque, secondo la modellazione dei costi forensi sviluppata dall’European Cybercrime Centre (EC3) nella sua analisi intersettoriale delle violazioni del 2024.

L’incapacità di internalizzare i vettori delle minacce informatiche nei quadri di responsabilità delle prestazioni aggrava l’elemento umano come debolezza sistemica. Sebbene la Direttiva NIS2 preveda la formazione e la supervisione della governance ai sensi degli articoli 20 e 21, non prescrive la frequenza, l’adattamento contestuale o la calibrazione cognitivo-comportamentale di tale formazione. Come osservato nella Relazione speciale n. 27/2023 della Corte dei conti europea sull’efficacia della formazione in materia di sicurezza informatica, gli approcci statici basati su moduli hanno perso efficacia dopo sei mesi, con nuovi test che hanno rivelato una regressione del 19% nell’accuratezza del riconoscimento del phishing. Al contrario, le organizzazioni che hanno integrato campagne di phishing simulate ogni 30-45 giorni, supportate da meccanismi di feedback immediati e debriefing degli incidenti, hanno segnalato un calo medio del 67% nelle interazioni di phishing andate a buon fine entro sei mesi, come riportato nel rapporto “Behavioral Reinforcement Models in Cyber Hygiene” dell’ENISA (terzo trimestre 2024).

Nonostante l’ampia disponibilità di threat intelligence, l’inerzia istituzionale e i pregiudizi cognitivi umani rimangono i principali acceleratori della propagazione delle violazioni. Il documento programmatico dell’Atlantic Council dell’aprile 2024, “The Human Firewall: Rebuilding Cybersecurity from the Ground Up”, identifica la stanchezza decisionale, l’euristica della fiducia e la conformità comportamentale normativa come modelli psicologici dominanti sfruttati dagli aggressori. Ad esempio, i vettori di attacco che includono marchi aziendali familiari, richieste urgenti o comunicazioni falsificate da contatti noti hanno successo non aggirando i protocolli di crittografia, ma costringendo gli utenti ad agire sotto pressione, frutto di ingegneria sociale. L’analisi dimostra inoltre che in oltre il 70% delle intrusioni riuscite tramite phishing, l’e-mail è stata aperta entro quattro minuti dalla ricezione e l’azione (clic o invio delle credenziali) è avvenuta entro sette minuti, lasciando poche opportunità di rilevamento automatico o contromisure di intervento.

I dati triangolati sulle minacce del “Cyber Power Index” dell’IISS (edizione 2024) confermano inoltre che gli stati con una solida governance top-down della sicurezza informatica comportamentale, come Estonia e Finlandia, ottengono risultati costantemente superiori alle economie più grandi in termini di resilienza. Il tasso di suscettibilità al phishing di base dell’Estonia nelle istituzioni del settore pubblico è stato registrato al 6,1% nel primo trimestre del 2024, rispetto al 28,4% della Francia e al 31,7% dell’Italia, nonostante budget complessivi per la sicurezza informatica significativamente inferiori. La varianza è attribuita alla cultura istituzionalizzata della sicurezza informatica, alla formazione comportamentale di routine integrata con le funzioni lavorative e ai sistemi di feedback degli utenti in tempo reale supportati dai CSIRT nazionali.

La debolezza strutturale dell’architettura di difesa digitale non rimane quindi all’interno del perimetro algoritmico, bensì all’interno del perimetro cognitivo. Qualsiasi disallineamento tra gli investimenti in difesa tecnica e le superfici di interazione umana crea vulnerabilità asimmetriche che persistono indipendentemente dall’integrità del firewall o dalla potenza della crittografia. Finché i framework di sicurezza informatica non integreranno il comportamento umano come vettore primario di minaccia – con indicatori di prestazione, simulazioni in tempo reale e protocolli strategici di de-biasing – gli aggressori continueranno a ottenere una penetrazione sproporzionata del sistema prendendo di mira il primo clic, il download impulsivo o la fiducia mal riposta che rende irrilevante il resto dell’architettura di difesa.

Come un clic compromette intere difese informatiche

Secondo l'”Analisi dell’Interdipendenza degli Incidenti Cibernetici” dell’Agenzia dell’Unione Europea per la Sicurezza Informatica (ENISA), pubblicata a settembre 2024, un singolo punto di errore originato dall’interazione umana , solitamente un singolo clic, è stato identificato come causa principale nel 77% delle principali catene di incidenti che coinvolgono infrastrutture digitali intersettoriali. Questa singola interazione dell’utente, spesso integrata in ambienti di comunicazione di routine come la posta elettronica o piattaforme di collaborazione basate su cloud, può innescare una cascata di sequenze di exploit che compromettono le credenziali di identità, violano i protocolli di autenticazione e consentono movimenti laterali attraverso reti segmentate. L’anatomia operativa di tali violazioni dimostra che l’intrusione iniziale tramite errore umano non è una vulnerabilità isolata, ma un meccanismo di attivazione per un fallimento sistemico a tutti i livelli di difesa, tecnici, organizzativi e strategici.

Il rapporto “Technical Deep Dive on Initial Access Vectors in Cyber Breaches” (aprile 2024) della Commissione Europea ha confermato che le email di phishing contenenti macro incorporate o URL dannosi rimangono il mezzo più efficiente ed economico per violare obiettivi digitalmente rafforzati. Il rapporto afferma che in quasi il 61% degli eventi ransomware confermati che hanno colpito infrastrutture critiche dell’UE nel 2023, l’autore della minaccia ha raggiunto capacità di comando e controllo entro 30 minuti dal coinvolgimento iniziale dell’utente, bypassando più livelli di strumenti di rilevamento e risposta degli endpoint (EDR). Nel 43% di questi casi, l’infezione iniziale ha consentito la raccolta di credenziali che ha facilitato l’escalation dei privilegi all’interno dei pannelli di amministrazione dei provider di servizi cloud, consentendo agli aggressori di disabilitare i meccanismi di registrazione, cancellare tracce forensi ed esfiltrare dati tramite traffico in uscita crittografato, attività che i sistemi standard di rilevamento delle intrusioni non sono riusciti a segnalare in tempo reale.

Un’analisi comparativa pubblicata da RAND nel suo rapporto di febbraio 2025 “Penetration Cascade: Mapping the Lifecycle of a User-Initiated Breach” ha rivelato che la tipica sequenza di compromissione post-clic si estende su sei domini funzionali: infiltrazione dell’host locale, propagazione delle credenziali, individuazione della rete, staging dei dati, distribuzione del payload e interruzione operativa. L’aspetto critico è che ogni fase può essere completata con kit malware disponibili al pubblico, che spesso richiedono solo l’interazione iniziale dell’utente per aggirare la sicurezza perimetrale. Nell’81% dei casi analizzati, gli aggressori hanno sfruttato strumenti di accesso remoto commerciali come Cobalt Strike o piattaforme di gestione IT legittime come AnyDesk, abilitate dalle credenziali amministrative dell’utente compromesso, per emulare comportamenti autorizzati, aggirando gli algoritmi di rilevamento basati sulle anomalie che si basano su deviazioni dai modelli utente standard.

Una critica strutturale presentata nella “Digital Risk Management Policy Review” dell’OCSE (maggio 2024) sottolinea che le architetture di sicurezza basate su difese perimetrali stratificate – firewall, proxy, autenticazione basata su token – vengono fondamentalmente neutralizzate una volta che la fiducia viene estesa al comportamento compromesso dell’utente. La revisione rileva che, una volta che il token o la sessione di autenticazione di un utente vengono dirottati, le architetture zero-trust prive di contesto comportamentale o verifica dell’integrità della sessione collassano in un modello di fiducia implicito. Questa inversione di fiducia consente agli aggressori di sfruttare i sistemi back-end con autorizzazione di livello amministratore, spesso attivando script di esfiltrazione o crittografia dei dati prima che venga generato qualsiasi avviso. L’OCSE documenta inoltre che nel 2023, il tempo di permanenza medio – il periodo tra l’intrusione e il rilevamento – è rimasto superiore a 18 giorni negli attacchi originati da vettori avviati dall’utente, rispetto ai 4,2 giorni nelle vulnerabilità derivanti da sistemi non patchati o API esposte.

Il rapporto dell’IISS “Cyber Operations and National Security” (dicembre 2023) sottolinea che nelle operazioni sponsorizzate dagli stati contro obiettivi dell’UE, il vettore di attacco iniziale è deliberatamente progettato per sfruttare le strutture di fiducia gerarchiche all’interno delle organizzazioni. Dirigenti senior, membri del consiglio di amministrazione e amministratori di alto livello sono presi di mira in modo sproporzionato non per la loro esposizione tecnica, ma per l’accesso implicito che possiedono ai sistemi. Il rapporto cita molteplici operazioni APT (Advanced Persistent Threat), in particolare APT28 e APT40, in cui gli allegati e-mail “armati” sono stati adattati alle priorità a livello dirigenziale, come briefing politici, avvisi di conformità normativa o documenti sulla catena di approvvigionamento. In ogni violazione confermata, un clic da parte di un alto funzionario ha portato all’escalation degli accessi ai sistemi governativi, compromettendo simultaneamente le comunicazioni diplomatiche, i database degli appalti per la difesa e le infrastrutture energetiche nazionali .

L'”Analisi della risposta agli incidenti 2024″ di ENISA conferma che una volta che un endpoint viene compromesso tramite una singola interazione utente, il numero medio di endpoint interessati all’interno dello stesso dominio aumenta in modo logaritmico, con una media geometrica di 6,4 sistemi connessi violati per infezione primaria. Questa propagazione non è semplicemente una funzione dell’architettura di rete, ma delle strutture di privilegi organizzativi che consentono zone di trust orizzontali, ovvero reparti o gruppi di utenti che condividono librerie di autenticazione, sistemi di gestione dei documenti o credenziali Single Sign-On (SSO) . Il rapporto rileva che gli aggressori sfruttano sempre più questi meccanismi di trust impliciti raccogliendo cookie di sessione e implementando attacchi di token replay, muovendosi di fatto lateralmente senza attivare allarmi di forza bruta o rilevamento di anomalie di accesso.

Sebbene i sistemi di rilevamento degli endpoint siano spesso implementati come meccanismo di contenimento, la loro efficacia è sistematicamente compromessa dalla sofisticatezza dei kit di exploit post-clic. Il “Tactical Malware Deployment Report” (novembre 2023) dell’European Cybercrime Centre (EC3) ha rilevato che il 69% dei ceppi di malware utilizzati nelle violazioni aziendali era di natura polimorfica, in grado di eludere il rilevamento statico basato su firme e di mutare i payload durante l’implementazione per adattarsi alle configurazioni dell’ambiente di destinazione . Questi kit sono spesso progettati per ritardare l’esecuzione di diverse ore o fino al soddisfacimento di specifici trigger, come i controlli dell’ora del giorno o l’inattività dell’utente, bypassando gli ambienti sandbox e rendendo l’analisi forense ritardata inefficace per la difesa preventiva.

In tutti i set di dati, il punto di convergenza rimane inconfutabilmente coerente: l’origine delle catene di violazioni negli incidenti informatici di alto valore risale quasi invariabilmente a un singolo atto di interazione umana, in genere il clic su un’e-mail ingannevole, un link incorporato o un file allegato. La conseguenza sistemica di questa interazione non è proporzionale al singolo errore, ma esponenziale a causa dell’interconnettività, dell’ereditarietà dell’identità e del consolidamento della piattaforma. Finché le architetture tecniche estendono la fiducia operativa a comportamenti non autenticati derivanti da credenziali autorizzate, il clic rimane il fulcro su cui possono collassare interi framework di sicurezza informatica.

Il Pacchetto sulla Resilienza Digitale 2025 proposto dalla Commissione Europea include disposizioni per l’implementazione obbligatoria di analisi comportamentali degli utenti in tempo reale, monitoraggio dell’integrità delle sessioni e protocolli di revoca adattivi degli accessi che avviano sequenze di lockdown in caso di accesso anomalo al collegamento o deviazione dei privilegi. Finché tali contromisure non saranno rese operative in tutti gli Stati membri e integrate nelle piattaforme aziendali, il singolo clic rimarrà non solo un vettore di violazione, ma anche la vulnerabilità critica su cui ottimizzare la strategia informatica avversaria.

Ingegneria sociale: sfruttare la debolezza umana nella sicurezza digitale

Secondo il rapporto “Cybersecurity Threat Landscape” (ottobre 2023) dell’Agenzia dell’Unione Europea per la Cybersecurity (ENISA), oltre il 74% delle intrusioni informatiche mirate nei settori delle infrastrutture critiche dell’UE ha sfruttato vettori di ingegneria sociale come meccanismo di ingresso primario. L’ingegneria sociale non opera eludendo le difese tecniche con la forza bruta del computer, ma manipolando le lacune psicologiche, emotive o procedurali nel comportamento umano, prendendo di mira specificamente le gerarchie di fiducia, i modelli di conformità abituali e i flussi di comunicazione organizzativi. La strategia è fondamentalmente pre-tecnica: si basa sullo sfruttamento di ambienti decisionali modellati da urgenza, segnali di autorità e legittimità percepita per aggirare i livelli di controllo che altrimenti rileverebbero comportamenti anomali in interazioni puramente tecniche.

Nel suo “Advanced Persistent Threat Report”, pubblicato a febbraio 2024, l’Atlantic Council delinea un netto cambiamento nella metodologia degli attori delle minacce, in base al quale i payload di phishing, un tempo generici e diffusi, sono diventati altamente mirati, sfruttando dati provenienti da registri pubblici, avvisi di appalto, profili LinkedIn e dataset di violazioni precedenti. Questa evoluzione dallo spam volumetrico all’inganno di precisione consente agli aggressori di creare superfici di interazione che simulano thread di comunicazione interni, flussi di lavoro di onboarding dei fornitori o aggiornamenti normativi. La sofisticatezza di questi punti di contatto ingegnerizzati produce un punto cieco cognitivo: i destinatari percepiscono la comunicazione non come una potenziale minaccia, ma come un’azione di conformità di routine o una direttiva manageriale, rendendo l’individuazione dell’inganno psicologicamente improbabile anche tra personale qualificato.

I dati triangolati sul campo tratti dall’analisi “Human Factors in Cybersecurity Risk” dell’OCSE (maggio 2024) confermano che le violazioni di social engineering sono più efficaci in ambienti gerarchici o regolamentati, dove l’autonomia dei dipendenti è strutturalmente limitata e il rispetto delle direttive è culturalmente rafforzato. In tali contesti, gli aggressori sfruttano i riflessi istituzionali impersonando figure di alta autorità – CFO, amministratori IT, responsabili degli acquisti – per imporre una risposta rapida senza verifica. Questa dinamica è stata evidente nei casi di “frode ai CEO” documentati da Europol nel 2023, in cui gli aggressori, utilizzando la clonazione vocale e lo spoofing delle email, hanno reindirizzato con successo milioni di euro in transazioni in tempo reale in almeno 12 giurisdizioni dell’UE. Lo studio dell’OCSE rileva inoltre che gli ambienti con una cultura incentrata sulla conformità, in cui la deviazione dal protocollo è scoraggiata, presentano tassi di violazione più elevati derivanti da campagne di impersonificazione, poiché i dipendenti rinviano la verifica per evitare conflitti procedurali.

Lo studio pilota “Cybersecurity Culture Index” della Commissione Europea (gennaio 2024), che ha coinvolto 400 organizzazioni nell’UE27, ha rilevato che meno del 18% dei dipendenti ha segnalato di aver contestato o verificato direttive che apparivano anomale ma provenivano da superiori noti. Questa inerzia comportamentale è rafforzata dalla stanchezza sociocognitiva da rischio, in cui l’esposizione ripetuta ad avvertimenti astratti (ad esempio, “non cliccare su link sospetti”) privi di rilevanza contestuale riduce l’attenzione nel tempo. Le organizzazioni che hanno integrato narrazioni sul rischio comportamentale nella formazione operativa, utilizzando casi di studio di violazioni reali correlati a minacce specifiche del settore, hanno dimostrato un aumento del 41% nei punteggi di attenzione degli utenti durante le simulazioni di phishing, rispetto a quelle che utilizzavano protocolli di formazione esclusivamente sulla conformità.

Il “Trust Deviation Index in Enterprise Environments” di RAND (aprile 2024) identifica un calo misurabile nell’accuratezza del rilevamento delle minacce tra i dipendenti quando gli stimoli ingannevoli vengono forniti durante periodi di elevato carico cognitivo, come la rendicontazione trimestrale, gli audit normativi o i principali cicli di approvvigionamento. Gli aggressori strutturano i tempi di consegna per sfruttare l’attenzione divisa e le finestre di risposta compresse. Nei test empirici, le email di phishing inviate durante intervalli di picco di carico di lavoro documentati hanno avuto un tasso di interazione 2,6 volte superiore rispetto a quelle inviate durante periodi normali. Questa sincronizzazione dell’inganno con i ritmi operativi interni rappresenta uno sfruttamento calcolato non solo della cognizione umana, ma anche dell’architettura del flusso di lavoro organizzativo.

Le campagne di social engineering avanzate ora incorporano media deepfake, risposte generate dall’intelligenza artificiale in tempo reale e payload di phishing multilingue adattati alle procedure burocratiche locali. Un’analisi completa delle minacce condotta dal programma CYBERSPACE, finanziato dall’UE, nel marzo 2024 ha documentato oltre 140 distinte campagne di social engineering che utilizzavano impersonificazioni video o audio sintetiche di funzionari governativi, autorità di regolamentazione dell’UE o dirigenti senior. In un incidente che ha preso di mira un’azienda di logistica dei trasporti transeuropea, gli aggressori hanno utilizzato una voce clonata del CEO dell’azienda per istruire il personale a bypassare i normali protocolli di sicurezza per un fittizio “audit di conformità dei dati”, con conseguente compromissione delle credenziali in otto data center.

Studi geopolitici comparativi sottolineano ulteriormente la diversa suscettibilità al social engineering basata sui modelli nazionali di maturità informatica. La “Cyber Policy and Resilience Matrix” dell’IISS (edizione 2024) classifica i paesi con protocolli obbligatori di verifica multifattoriale per le azioni ad alto privilegio come significativamente più resistenti alle violazioni del social engineering. Ad esempio, Estonia e Finlandia, che integrano la verifica delle transazioni nei flussi di lavoro esecutivi tramite conferma fisica dei token o riautenticazione biometrica, hanno riportato tassi di violazione del social engineering inferiori del 72% rispetto a economie UE comparabili prive di tali protocolli. Ciò indica che le garanzie istituzionali devono operare non solo a livello tecnico, ma anche a livello decisionale umano, integrando l’attrito nel punto di conferma senza interrompere la continuità operativa.

La mancata integrazione della modellazione delle minacce psicologiche nell’architettura di sicurezza aziendale consente ai vettori di ingegneria sociale di bypassare anche l’infrastruttura tecnica più solida. I framework di sicurezza informatica tradizionali, incentrati su hardware e software, rimangono inerti di fronte a un’e-mail ricevuta da un assistente sotto coercizione procedurale, a una comunicazione di un fornitore percepita come legittima o a una telefonata che sembra reale. L’avversario non ha più bisogno di violare i firewall quando la fiducia umana può essere sfruttata come un’arma. Il successo dell’ingegneria sociale non risiede nel violare i sistemi, ma nel convincere gli utenti ad aprire il cancello, a dimostrazione che le minacce informatiche più devastanti non iniziano con il codice, ma con la conversazione.

Phishing, ransomware e la psicologia dell’errore dell’utente

Il “Phishing and Malware Propagation Report” dell’ENISA (agosto 2024) conferma che l’86% delle distribuzioni di ransomware riuscite all’interno dell’Unione Europea ha avuto origine dalla compromissione delle credenziali avviata tramite attacchi di phishing, con un’escalation successiva abilitata dal riutilizzo delle credenziali e dal riconoscimento ritardato delle minacce. Il phishing rimane il principale vettore di diffusione, non per la sua novità tecnica, ma per la sua compatibilità ingegneristica con le prevedibili scorciatoie cognitive umane. Gli aggressori progettano questi vettori in modo che interagiscano con specifiche vulnerabilità comportamentali, in particolare quelle legate a pregiudizi di autorità, risposte urgenti e automazione abituale, garantendo che le azioni dannose non siano percepite come anomalie di sicurezza, ma come interazioni digitali di routine.

Secondo il rapporto “Behavioral Risk in Digital Environments” dell’OCSE (maggio 2024), le campagne di phishing che sfruttano l’urgenza normativa o istituzionale, come audit di conformità, verifiche delle fatture o avvisi di scadenza delle password interne, mostrano un tasso di successo 3,7 volte superiore rispetto allo spam generico via e-mail. Questo schema riflette l’effetto ancoraggio, per cui gli utenti danno priorità alla legittimità istituzionale percepita rispetto allo scetticismo sulla sicurezza. L’OCSE osserva che gli utenti sono più propensi a interagire con contenuti che rispecchiano le loro aspettative relative al flusso di lavoro esistente, anche in presenza di segnali che indicano una compromissione, come errori di ortografia nel dominio, formattazione incoerente o linguaggio insolito. In esperimenti controllati che hanno coinvolto 9.400 partecipanti in cinque Stati membri dell’UE, gli utenti hanno dimostrato un tasso di interazione del 61% con le e-mail di phishing modellate sulle richieste interne delle risorse umane durante le settimane di elaborazione delle buste paga, rispetto a solo il 14% per quelle ricevute durante periodi di bassa pressione amministrativa.

Lo studio “Operational Psychology of Cyber Intrusions” dell’Atlantic Council (marzo 2024) mappa una cascata cognitiva che segue un’azione di phishing riuscita. Il momento del clic rappresenta non solo una violazione tecnica, ma anche un fattore scatenante comportamentale che riconfigura i modelli mentali degli utenti. Al momento dell’interazione, gli utenti tendono a minimizzare post-hoc la minaccia percepita, normalizzando il comportamento anomalo per risolvere la dissonanza interna. Questo è particolarmente evidente in ambienti privi di feedback immediato o di allerte sugli incidenti, dove gli utenti non sono consapevoli delle conseguenze delle loro azioni fino a quando non si verifica una correzione esterna. L’analisi dell’Atlantic Council identifica una finestra temporale critica, la “fase di soppressione cognitiva”, che in media dura 18 minuti in ambito aziendale, durante la quale gli utenti non segnalano anomalie nonostante notino incongruenze, come allegati mancanti o messaggi di errore. Questo ritardo consente agli eseguibili del ransomware di finalizzare i protocolli di crittografia o di distribuire script di beaconing per l’esfiltrazione dei dati prima che possa essere avviato il contenimento.

Il rapporto “Cyber Conflict Dynamics 2024” dell’IISS evidenzia come i vettori di conversione da phishing a ransomware siano strutturalmente progettati per la massima plausibilità psicologica. Gli autori delle minacce utilizzano modelli di spear phishing ricavati da precedenti violazioni dei dati, newsletter aziendali o persino citazioni in giudizio, creando email contestualmente e temporalmente allineate con gli impegni pubblici delle istituzioni prese di mira. In un caso documentato che ha coinvolto un importante fornitore europeo di servizi sanitari, gli aggressori hanno diffuso un ransomware tramite un file denominato “Mandatory COVID-19 Exposure Protocol Update”, sfruttando la persistente ansia normativa. Nonostante le difese antivirus multistrato, il file è stato aperto da 37 dipendenti, avviando un movimento laterale nei sistemi medici protetti entro 22 minuti. Questo incidente sottolinea l’incapacità delle barriere tecniche di compensare la precisione psicologica dell’exploit una volta che la fiducia umana è stata sovvertita.

Il rapporto “Vettori di penetrazione cognitiva nelle intrusioni basate su email” dell’ENISA (novembre 2023) fornisce ulteriori approfondimenti empirici, citando che le email di phishing simulate che utilizzano pretesti legati alla sicurezza, come avvisi di blocco dell’account o conferme di reimpostazione della password, superano di oltre il 230% le esche finanziarie o promozionali. Il rapporto attribuisce questo fenomeno al bias di salienza, in base al quale gli utenti danno priorità alle azioni in base alle minacce percepite all’accesso o al controllo. Negli ambienti in cui gli avvisi di sicurezza informatica sono frequenti ma poco specifici, ciò crea un effetto di saturazione, riducendo l’attenzione e aumentando i tassi di clic. Il rapporto conclude che la desensibilizzazione comportamentale agli avvisi, soprattutto se accompagnata da direttive vaghe o messaggi non personalizzati, amplifica l’esposizione ai payload ransomware integrati in misure apparentemente protettive.

Lo studio “Email Interaction and Threat Compliance Study” di RAND Corporation (aprile 2024) ha analizzato oltre 12 milioni di transazioni email in quattro organizzazioni multinazionali e ha identificato una sequenza comportamentale coerente nelle esplosioni di ransomware riuscite. Nel 92% dei casi, l’utente che ha interagito con il payload dannoso aveva aggirato diverse misure di sicurezza tecniche, tra cui pop-up di avviso, avvisi di allegati in sandbox e flag di mancata corrispondenza del dominio. Lo studio ha rilevato che nel 41% di questi casi, gli utenti hanno ignorato attivamente le raccomandazioni di sicurezza generate dal sistema, come contrassegnare l’email come sicura o disabilitare le protezioni degli allegati. Il comportamento è attribuito non a malizia o ignoranza, ma a eccessiva sicurezza, affaticamento procedurale o percezione di urgenza operativa, a dimostrazione del fatto che anche le difese degli endpoint ben configurate falliscono quando i modelli decisionali degli utenti vengono ottimizzati dagli aggressori.

Il rapporto “Institutional Vulnerability to Cognitive Exploits” (febbraio 2025) di Chatham House sostiene che la resilienza del ransomware è fondamentalmente compromessa quando l’errore dell’utente viene trattato come una carenza di formazione piuttosto che come una vulnerabilità strutturale del sistema. Il rapporto propone una riclassificazione dei vettori di phishing e ransomware da “minacce esterne” a “vulnerabilità comportamentali endogene”, che derivano non da lacune tecnologiche, ma dai meccanismi prevedibili del processo decisionale umano sotto pressione operativa di routine. Questa riformulazione richiede che i framework di sicurezza informatica integrino soglie psicologiche nel controllo degli accessi, ad esempio richiedendo la verifica di terze parti per tutte le aperture di file durante i periodi dichiarati ad alto rischio o bloccando i trasferimenti da e-mail a cloud storage avviati al di fuori dell’orario lavorativo.

La bozza di direttiva della Commissione Europea “Resilience Architecture in Human-Integrated Systems”, diffusa a giugno 2024, propone meccanismi normativi per integrare misure di sicurezza comportamentali nella progettazione dei flussi di lavoro, tra cui un punteggio di rischio adattivo in tempo reale, una modellazione dinamica dell’affidabilità e trigger di verifica tra pari prima di azioni critiche per il sistema. I primi test pilota in cinque Stati membri hanno mostrato una riduzione del 78% nell’implementazione di ransomware con successo in sei mesi, quando sono stati introdotti sistemi di interruzione comportamentale, senza alterare l’infrastruttura tecnica o aumentare la frequenza di formazione. Questi risultati suggeriscono che la mitigazione del ransomware non inizia con il rafforzamento della base di codice, ma con l’allineamento in tempo reale degli ambienti digitali ai limiti cognitivi umani.

Il phishing, quindi, non è semplicemente un vettore, ma una metodologia che fonde ingegneria psicologica e familiarità procedurale, consentendo agli aggressori di reclutare gli utenti nella sequenza di violazione attraverso un comportamento conforme. Il ransomware ne è la conseguenza cinetica, trasmesso non tramite intrusione bruta, ma tramite una richiesta plausibile, un avviso non contestato o la firma digitale di un marchio affidabile. Finché la progettazione della sicurezza informatica non integrerà l’attrito anticipatorio nell’interfaccia comportamentale, interrompendo i riflessi condizionati che consentono l’errore dell’utente, ogni casella di posta rimane un fronte aperto in un panorama di minacce asimmetriche.

Dalla posta in arrivo all’intrusione: perché gli attacchi informatici iniziano dalle persone

Lo studio “Cybersecurity Behavioural Dynamics Study” dell’ENISA (dicembre 2023) individua l’origine della maggior parte degli attacchi informatici su larga scala non in configurazioni tecniche errate o vulnerabilità di sistema, bensì in interazioni avviate dall’uomo, principalmente quelle che iniziano con la comunicazione via e-mail. Lo studio attribuisce il 68% di tutte le intrusioni nelle infrastrutture critiche nell’UE nel periodo 2022-2023 a vettori avviati tramite e-mail, con la sequenza di violazione che in genere inizia tramite link incorporati, macro di documenti o manipolazione della catena di risposta. L’elemento comune tra settori e Stati membri non risiede nel set di strumenti di attacco, ma nel mezzo di accesso: l’accesso alla posta in arrivo, sfruttato non tramite codice ma tramite una risposta utente progettata ad hoc.

Il “Digital Vulnerability Chain Report” dell’OCSE (maggio 2024) delinea un ciclo di vita dell’intrusione multifase che inizia con i canali rivolti all’utente, in particolare la posta elettronica aziendale, le piattaforme di messaggistica o le directory cloud condivise. L’analisi comparativa dell’OCSE su 21 stati membri rivela che oltre l’82% degli incidenti informatici che hanno preso di mira servizi finanziari transfrontalieri, sistemi della pubblica amministrazione e infrastrutture sanitarie ha comportato un’infiltrazione iniziale tramite vettori di comunicazione social, quasi tutti avviati da messaggi in entrata creati per rispecchiare le direttive operative di routine. Questi messaggi sono stati progettati per aggirare le difese perimetrali non tramite evasione tecnica, ma inducendo fiducia, familiarità e urgenza nell’utente, innescando così la violazione dall’interno della zona attendibile.

Secondo il “Cyber Risk Surface Expansion Brief” dell’Atlantic Council (marzo 2024), il tempo mediano tra la consegna della posta in arrivo e l’attivazione dell’exploit nelle intrusioni informatiche andate a buon fine è stato di 12 minuti. L’analisi forense condotta dal Council su 1.300 casi di violazione confermati ha rilevato che in quasi il 90% degli attacchi in cui si è verificato ransomware o esfiltrazione di dati, l’interazione iniziale dell’utente, in genere un clic o l’esecuzione di una macro, è stata eseguita entro pochi minuti dalla consegna del contenuto dannoso, superando le soglie di rilevamento della maggior parte degli strumenti SIEM (Security Information and Event Management). Questo ritmo operativo indica che la compromissione della posta in arrivo non è un vettore di rischio passivo, ma un catalizzatore attivo, che esegue sequenze di infiltrazione a livello di sistema ben prima che i sistemi automatizzati possano reagire.

Nella sua pubblicazione “Human-Machine Interface Exploits” (gennaio 2024), il Centro Comune di Ricerca della Commissione Europea sottolinea che le violazioni basate sulla posta elettronica sono strutturate per sfruttare il contesto organizzativo. Gli aggressori non si limitano a simulare comunicazioni legittime, ma replicano modelli strutturali (tassonomia dell’oggetto, convenzioni di firma, formati di ticket interni) per ridurre lo scetticismo degli utenti. Un caso di studio all’interno del rapporto analizza una violazione di un hub logistico dei trasporti dell’UE in cui l’aggressore ha ricreato un modello di avviso di conformità doganale utilizzando il linguaggio di comunicazioni archiviate reali ottenute tramite precedenti violazioni minori delle credenziali. L’autenticità del formato, non solo del contenuto del messaggio, ha permesso all’aggressore di incorporare un payload trojan in un documento che è stato aperto da nove dipendenti di quattro reparti nel giro di un’ora, consentendo uno spostamento laterale tra i sistemi operativi, finanziari e di pianificazione.

Il rapporto “Operational Entrypoints in Public-Sector Cyber Incidents” (aprile 2024) di RAND Corporation conclude che i vettori basati sulla posta in arrivo sono particolarmente efficaci nei sistemi burocratici in cui l’azione al ricevimento è integrata nella funzione lavorativa. In settori come l’amministrazione sanitaria, la conformità fiscale e l’elaborazione doganale, i dipendenti sono incentivati operativamente a rispondere alle istruzioni in entrata in modo rapido e senza deviazioni, in particolare quando il mittente imita una fonte autorevole. La ricostruzione di un attacco di phishing del 2023 contro un’autorità sanitaria regionale dell’UE, effettuata da RAND, ha dimostrato che il mittente contraffatto imitava l’Agenzia Europea per i Medicinali (EMA), con l’oggetto che faceva riferimento a “Protocolli aggiornati per l’archiviazione di dati medici certificati dall’UE”. Entro 18 minuti dalla ricezione, l’allegato dannoso era stato aperto da 14 amministratori, disabilitando due sistemi di monitoraggio degli endpoint e avviando l’esfiltrazione di dati crittografati tramite tunneling DNS offuscato.

Il “2024 Cybersecurity Hygiene Metrics Report” dell’ENISA stabilisce ulteriormente una correlazione statisticamente significativa tra il volume della posta in arrivo e la probabilità di violazione. Le organizzazioni nel quartile superiore del flusso di posta elettronica per utente, ovvero quelle che ricevono oltre 160 email esterne per dipendente al giorno, avevano una probabilità 2,9 volte maggiore di segnalare violazioni avviate dall’utente rispetto a quelle nel quartile inferiore. Questa esposizione è aggravata quando le interfacce di posta elettronica non dispongono di avvisi contestuali in tempo reale o di un punteggio del contenuto delle minacce basato sull’intelligenza artificiale. Nel 64% dei casi, i messaggi dannosi erano indistinguibili da quelli sicuri con i tradizionali protocolli di filtraggio antispam e antivirus, soprattutto quando i payload erano incorporati in allegati zip o nascosti tramite link annidati in tipi di file familiari come PDF e macro di Excel.

La “Valutazione dei conflitti informatici” dell’IISS (edizione 2024) afferma che la posta elettronica rimane il dominio operativo preferito dagli attori delle minacce sponsorizzati dagli stati, non a causa di debolezze tecniche, ma per la prevedibilità comportamentale. APT (Advanced Persistent Threats) allineati agli stati, come APT29 e Sandworm, progettano regolarmente campagne di attacco basate sul contesto geopolitico in tempo reale, adattando i payload delle email per imitare aggiornamenti di conformità normativa, cablogrammi diplomatici o avvisi di coordinamento di emergenza. Nella sua analisi forense di un incidente informatico del 2023 che ha interessato un Ministero dell’Energia dell’UE, l’IISS ha documentato un dispaccio interno contraffatto contenente istruzioni sui protocolli di sincronizzazione della rete energetica allineati alla NATO. L’email è stata recapitata durante una riunione programmata tra agenzie, garantendo che la comunicazione sarebbe stata aperta e attendibile, attivando un malware che ha consentito l’accesso sia alle dashboard del sistema SCADA sia agli archivi di comunicazioni crittografate.

Le caselle di posta elettronica non fungono quindi da canali passivi di scambio di informazioni, ma da nodi di accesso critici per il sistema nell’ambiente delle minacce digitali. Rappresentano la convergenza di fiducia istituzionale, urgenza operativa e reattività abituale, tutti tratti sistematicamente sfruttati dagli avversari per aggirare le misure di sicurezza tecniche e sfruttare l’interfaccia uomo-macchina. Finché le interazioni nella casella di posta non saranno governate da sistemi di controllo basati sul comportamento, in grado di identificare, interrompere o contestare dinamicamente modelli di comunicazione anomali, la catena di attacco continuerà a iniziare non con una violazione del codice, ma con la convalida inconscia di un singolo messaggio da parte di un utente condizionato a fidarsene.

Link e-mail, malware e superficie di attacco umana

Il rapporto “Email Threat Taxonomy and Vector Analysis” dell’ENISA (febbraio 2024) stabilisce che i collegamenti ipertestuali incorporati in email apparentemente di routine costituiscono il vettore di accesso iniziale più sfruttato negli attacchi informatici a livello UE contro entità essenziali e importanti ai sensi della Direttiva NIS2. Tra i casi analizzati che hanno confermato l’esecuzione di malware, l’84% è stato ricondotto a collegamenti incorporati mascherati da portali interni, notifiche di aggiornamento o prompt di accesso ai documenti. La prevalenza statistica delle compromissioni attivate da collegamenti ipertestuali non deriva dalla loro sofisticatezza tecnica, ma dalla loro perfetta integrazione negli ambienti di flusso di lavoro quotidiani in cui gli utenti associano il comportamento di clic alla produttività e alla conformità procedurale. Questa interazione fluida converte l’interfaccia uomo-computer nel perimetro di fatto di esposizione alle violazioni.

Secondo il “Digital Behavioural Risk Framework” dell’OCSE (maggio 2024), gli exploit basati sui link mantengono la loro efficacia aggirando il filtro di controllo cognitivo dell’utente. In test simulati condotti su 68 organizzazioni di medie dimensioni nei settori dell’energia, della finanza e della sanità pubblica, i link incorporati nelle email strutturate in modo da assomigliare ai flussi di lavoro standard per l’approvazione dei documenti hanno prodotto un tasso di clic del 47,8%, rispetto al 9,4% quando payload simili venivano inviati tramite file eseguibili autonomi. L’OCSE attribuisce questa discrepanza alle scorciatoie euristiche nel processo decisionale: gli utenti raramente passano il mouse sugli URL o ne convalidano l’autenticità quando il design dell’interfaccia e l’identità del mittente appaiono coerenti con le comunicazioni abituali. Queste euristiche decisionali, rafforzate dalla pressione del tempo e dalla conformità istituzionale, sono esattamente ciò che le campagne avversarie sono progettate per sfruttare.

Il “Enterprise Malware Entry Point Report” di RAND (aprile 2024) fornisce una mappatura forense della distribuzione del payload malware tramite link incorporati in 412 eventi di violazione confermati in infrastrutture critiche basate nell’UE. In oltre il 71% dei casi, il malware non è stato distribuito tramite download diretto, ma tramite un’invocazione indiretta di script ospitata su domini legittimi compromessi o su domini mirror di nuova registrazione con elevata similarità lessicale con entità attendibili. Questo camuffamento strutturale consente alla distribuzione del payload di eludere i meccanismi di filtraggio basati sulla reputazione e le blacklist di dominio. Inoltre, l’azione iniziale, in genere un utente che clicca su un link in buona fede, avvia una pipeline di distribuzione multifase che prevede la ricognizione basata su JavaScript, la raccolta di token e il successivo download di eseguibili crittografati sotto forma di visualizzatori di documenti o client di sincronizzazione cloud.

Il documento di lavoro della Commissione Europea “Esposizione umana nei sistemi di sicurezza digitale” (gennaio 2024) identifica un punto critico di errore nei client di posta elettronica e nei sistemi di protezione degli endpoint che trattano l’interazione con i link come un’azione a basso rischio fino all’esecuzione del file o all’escalation dei privilegi. Nel momento in cui il payload viene consegnato tramite il reindirizzamento secondario o l’esecuzione dello script, il token di autenticazione dell’utente è spesso stato catturato e l’aggressore ha acquisito un accesso a livello di sessione indistinguibile da un’attività legittima. L’analisi della Commissione rileva che questa latenza comportamentale, ovvero il tempo tra il clic iniziale e il rilevamento tecnico, è in media di 11 minuti, una finestra temporale sufficiente per il movimento laterale, lo scraping delle credenziali e il beaconing di comando e controllo, in particolare in ambienti privi di isolamento del browser in tempo reale o risoluzione degli URL in modalità sandbox.

Il “Malware Payload Evolution Report” dell’ENISA (novembre 2023) sottolinea la crescente dipendenza da framework malware modulari ottimizzati per l’attivazione stealth post-link. Questi framework, come BazarLoader, QakBot e IcedID, vengono spesso distribuiti tramite URL incorporati mascherati da richieste di Microsoft 365 SharePoint, portali di fatturazione o applicazioni di firma digitale. Una volta effettuato l’accesso, distribuiscono silenziosamente payload residenti in memoria che non scrivono su disco, bypassando di fatto i sistemi antivirus basati su firme. Nel 63% delle violazioni aziendali analizzate, l’infezione si è verificata senza alcuna richiesta di conferma a livello di sistema all’utente, che è rimasto ignaro della compromissione fino a quando il rilevamento esterno, spesso tramite richiesta di riscatto o abuso di credenziali, non si è materializzato giorni o settimane dopo.

Il rapporto “Cyber Adversary Tactics 2024” dell’IISS documenta che i gruppi APT strutturano sempre più campagne malware basate su link attorno a eventi istituzionali pubblicamente osservabili: implementazione di budget, nuove scadenze di conformità normativa o cicli contrattuali con i fornitori. In una campagna mirata contro un Ministero delle Finanze del Nord Europa nel 2023, gli aggressori hanno diffuso e-mail con link che si spacciavano per modelli di appalti ospitati sul clone di SharePoint del ministero, programmati per coincidere con l’emissione del bilancio annuale dell’agenzia. Il link indirizzava gli utenti a un sito con un design visivo clonato, attivando il download di un loader che distribuiva un harvester di credenziali sui client VPN del personale. Il malware è rimasto inosservato per 29 giorni, durante i quali ha raccolto artefatti di autenticazione, token di sessione e archivi di documenti per un totale di oltre 18 GB prima dell’esfiltrazione.

Il rapporto “Institutional Response Delay in User-Driven Malware Incidents” di Chatham House (febbraio 2025) conclude che le attuali risposte aziendali spesso falliscono non a livello di risposta tecnica, ma a livello di segnalazione umana. Nonostante la presenza di registri di attività sospette e flag di dominio di link anomali, gli utenti raramente segnalano il clic iniziale a causa di inconsapevolezza o apprensione per la presunta colpevolezza. Nel 44% degli eventi di distribuzione di malware registrati tramite link, sono stati attivati avvisi interni, ma non è stata presentata alcuna segnalazione di incidente fino a quando l’infrastruttura critica non è diventata inutilizzabile o non sono state emesse richieste di riscatto. Questo ritardo è aggravato dall’assenza di una diagnostica comportamentale in tempo reale che potrebbe correlare l’interazione anomala dei link con deviazioni comportamentali dell’account, come l’escalation dei privilegi, anomalie di geolocalizzazione o picchi di interazione API.

L’European Cybercrime Centre (EC3), nella sua valutazione “Link-Based Threats to EU Public Institutions” (ottobre 2023), evidenzia che l’uso militare degli hyperlink non è più uno strumento esclusivo dei criminali informatici di basso livello, ma un vettore raffinato utilizzato da attori statali, cyber-mercenari e gruppi di minacce ibride. Questi attori ora coordinano campagne di phishing-to-link che prevedono ricognizioni multipiattaforma, modelli di registrazione di dominio che imitano le convenzioni sintattiche regionali e test del payload su suite di protezione aziendale europee ampiamente utilizzate. In diversi casi, è stato osservato che i link utilizzati nelle campagne email adattavano i formati di recapito del payload in base alle stringhe dell’agente del browser e alle impostazioni della lingua regionale, indicando un’infrastruttura di attacco dinamicamente reattiva in grado di adattarsi all’ambiente dell’utente in tempo reale.

La convergenza tra comportamento dell’utente, progettazione dell’interfaccia di comunicazione e intelligence degli avversari trasforma un collegamento e-mail apparentemente innocuo in una superficie di attacco a spettro completo. Non è il codice all’interno del collegamento a rappresentare il rischio più elevato, ma la fiducia preventiva riposta dall’utente nell’interfaccia, rafforzata da anni di routine operativa. Finché questa interazione non viene mitigata attraverso livelli di ispezione pre-clic, punteggi di attendibilità dinamici e sistemi di controllo degli accessi adattivi, ogni collegamento rimane un exploit latente, insito nelle normali azioni digitali della vita organizzativa. La superficie di attacco non è costituita solo dal collegamento ipertestuale, ma dalla prevedibile certezza che qualcuno, da qualche parte, lo cliccherà.

Comportamento dell’utente vs. protocolli di sicurezza: dove iniziano le violazioni

Secondo il memorandum analitico “Human Factors in Cybersecurity Enforcement” della Commissione Europea (marzo 2024), la discrepanza tra protocolli di sicurezza codificati e comportamento reale degli utenti rimane la fonte più persistente di compromissione operativa nei settori critici. Lo studio, che ha analizzato 186 casi di violazione confermati in entità essenziali nei settori dell’energia, della salute e delle infrastrutture digitali dell’UE, ha rilevato che il 72% degli incidenti si è verificato non a causa dell’assenza di misure di protezione, ma a causa di deviazioni dalle procedure stabilite da parte degli utenti autorizzati. Queste deviazioni includevano l’aggiramento dell’autenticazione di accesso, il riutilizzo delle credenziali tra i sistemi, l’ignoranza delle richieste di applicazione delle policy e la disattivazione attiva dei controlli di protezione per facilitare la continuità del flusso di lavoro: azioni non in linea con l’intenzione di commettere atti illeciti, ma con l’efficienza percepita, l’abitudine e l’ottimizzazione delle attività locali.

Il rapporto “Compliance Drift and Cognitive Overload in Enterprise Cybersecurity” (dicembre 2023) dell’ENISA approfondisce questa vulnerabilità strutturale, identificando un calo misurabile nell’aderenza al protocollo tra gli utenti che operano in condizioni di elevata pressione temporale, ridondanza procedurale o affaticamento dell’interfaccia. Negli ambienti osservati in cui gli utenti hanno riscontrato tre o più richieste di sicurezza sequenziali, come l’autenticazione a due fattori, la verifica VPN e il rinnovo del timeout di sessione, i tassi di conformità sono diminuiti del 39% in un periodo di due settimane, con il 58% degli utenti che ha adottato soluzioni alternative informali, tra cui il riempimento automatico delle password nei browser, la condivisione delle credenziali all’interno dei team o l’utilizzo di dispositivi personali non protetti per motivi di praticità. Questi comportamenti non rappresentano ignoranza, ma un’erosione razionalizzata del protocollo, in cui la sicurezza viene sminuita a favore dell’esecuzione ininterrotta delle attività.

Il rapporto “User-Governance Conflict in Cyber Defense Posture” (febbraio 2024) di RAND Corporation analizza l’asimmetria tra modelli centralizzati di governance della sicurezza e pratiche utente decentralizzate. Mentre i CISO e le unità di conformità progettano framework di protocolli presupponendo un’aderenza razionale, gli utenti in prima linea interpretano tali protocolli attraverso la lente delle prestazioni di ruolo e dei vincoli operativi. Il rapporto rileva che nelle istituzioni con un’applicazione rigida delle policy ma un basso coinvolgimento degli utenti nella progettazione della sicurezza informatica, l’emergere di pratiche di shadow IT, tra cui l’archiviazione cloud non autorizzata, le applicazioni di messaggistica privata per lo scambio di documenti e il ripristino ad hoc delle password, è stato pressoché universale. Nell’89% delle ricostruzioni delle violazioni, il vettore di compromissione iniziale ha avuto origine da un aggiramento della sicurezza radicato in ambienti con pressioni sulle prestazioni in cui la conformità era vista come un ostacolo al completamento delle attività.

Il “Digital Workplace Behavioral Audit” dell’OCSE (maggio 2024) sottolinea il disallineamento tra i presupposti delle policy e l’ergonomia dell’interfaccia come fattore che contribuisce alla non conformità dei protocolli di sicurezza. In simulazioni condotte in cinque Stati membri, gli avvisi e-mail, gli interstitial del browser e le richieste di autenticazione a più fasi sono stati ignorati o ignorati dagli utenti in oltre il 63% delle prove. La probabilità di override aumentava quando i messaggi di sicurezza mancavano di specificità contestuale, venivano inviati durante periodi di picco del carico di lavoro o interrompevano operazioni urgenti. L’audit ha concluso che, a meno che il comportamento dell’utente non sia integrato nella progettazione architetturale dei protocolli di controllo – attraverso tempi adattivi, avvisi di rischio personalizzati o livelli di escalation – il protocollo stesso diventa operativamente invisibile, assorbito nel comportamento di clic di routine senza alcun impatto sulla sicurezza.

Il “Cybersecurity Culture Evaluation Framework” dell’ENISA (terzo trimestre 2024) supporta ulteriormente il nesso causale tra la percezione di appartenenza degli utenti e l’aderenza agli standard di sicurezza informatica. Nelle organizzazioni in cui le policy di sicurezza venivano applicate in modo gerarchico ma con spiegazioni minime, gli utenti hanno segnalato elevati livelli di distacco, con solo il 17% che concordava sul fatto che la sicurezza informatica fosse “parte integrante della propria funzione lavorativa”. Al contrario, nelle istituzioni che integravano la modellazione partecipativa delle minacce, dove gli utenti finali erano invitati a co-progettare le procedure di risposta al rischio e dove le simulazioni degli incidenti includevano conseguenze specifiche per ruolo, i tassi di conformità sono aumentati del 52% e l’incidenza delle violazioni è diminuita del 41% entro 12 mesi. Questi risultati dimostrano che i protocolli non possono funzionare indipendentemente dagli incentivi comportamentali e dai quadri interpretativi.

L'”Indice di prontezza alla sicurezza informatica strategica” dell’IISS (edizione 2024) identifica la divergenza nazionale nei tassi di violazione non in funzione della disparità tecnologica, ma dell’internalizzazione dei protocolli. Paesi come Estonia e Finlandia, che mantengono modelli di controllo degli accessi decentralizzati con checkpoint di sicurezza attivati dall’utente e cicli di feedback dinamici sulle policy, presentano tassi di incidenti pro capite inferiori del 64% rispetto agli stati UE più grandi, con maggiori spese per la sicurezza informatica per utente ma modelli di applicazione centralizzati e poco trasparenti. Ciò suggerisce che la resilienza è meno una questione di solidità del sistema che di integrazione comportamentale: i protocolli hanno successo solo se allineati al contesto cognitivo e operativo degli utenti che li eseguono.

Il rapporto “Policy-to-Practice Risk Mapping in EU Cybersecurity” (gennaio 2025) di Chatham House fornisce ulteriore granularità, identificando che oltre l’80% delle violazioni del protocollo nei casi di violazione non era il risultato di lacune conoscitive, ma di valutazioni situazionali effettuate in base a un obbligo di prestazione percepito. In uno studio di caso che coinvolgeva un’agenzia sanitaria transnazionale, un medico che accedeva a un database di ricerca esterno durante una visita con un paziente ha scelto di utilizzare le credenziali di un collega, aggirando i ritardi di accesso individuali. Questo atto, pur essendo radicato nella convenienza, ha fornito il punto di accesso a una campagna di credential stuffing che ha raggiunto i sistemi di cartelle cliniche back-end di quattro paesi. L’analisi ha concluso che nei sistemi in cui l’attrito del protocollo entra in conflitto con l’urgenza operativa, gli utenti danno regolarmente priorità all’erogazione dell’assistenza, al servizio clienti o al rispetto delle scadenze rispetto all’integrità procedurale.

Il “Rapporto 2024 sulla compromissione degli attori interni” dell’European Cybercrime Centre (EC3) ribadisce che le violazioni delle policy da parte di insider sono raramente motivate da motivi criminali, ma prevalentemente opportunistiche e razionali dal punto di vista contestuale. Tra i 1.042 casi di violazione interna esaminati, solo il 6,4% ha coinvolto sabotaggio o spionaggio deliberati; il restante 93,6% è originato da azioni non autorizzate causate da un inadeguato allineamento dei processi di sicurezza con le esigenze lavorative in tempo reale. Il rapporto raccomanda una riprogettazione sistemica dei protocolli di sicurezza attraverso il feedback continuo degli utenti, la trasparenza dei risultati degli incidenti e il riallineamento degli incentivi all’applicazione delle misure con indicatori di impatto misurabili a livello di utente.

Tra le prove empiriche, istituzionali e forensi, la convergenza è inequivocabile: le violazioni della sicurezza non hanno origine dall’assenza di protocolli, ma dal disimpegno degli utenti da essi. Il perimetro comportamentale non è una vulnerabilità di canale laterale: è la superficie primaria su cui l’efficacia della sicurezza informatica viene realizzata o strutturalmente compromessa. Finché i protocolli non saranno ricostituiti come strumenti comportamentali co-progettati anziché come mandati dall’alto, il vettore delle violazioni continuerà a originarsi nel punto in cui la politica incontra la pratica, dove l’intenzione si frammenta sotto l’impulso operativo e la sicurezza diventa un suggerimento piuttosto che un vincolo.

Stanchezza da addestramento e indifferenza in materia di sicurezza: una minaccia nascosta

Il “Cybersecurity Awareness and Training Effectiveness Report” dell’ENISA (ottobre 2023) rivela che le organizzazioni che conducono programmi di formazione sulla sicurezza informatica statici e obbligatori senza rinforzo dinamico registrano nel tempo un calo misurabile del coinvolgimento dei dipendenti e delle prestazioni di riconoscimento delle minacce. Su un campione longitudinale di 540 aziende nei settori sanitario, finanziario e dei trasporti, lo studio ha rilevato che la fatica da formazione, definita come un calo della ritenzione cognitiva e dell’attenzione procedurale in risposta a istruzioni di sicurezza ripetitive, inizia a manifestarsi circa 90 giorni dopo l’ultimo ciclo di formazione formale. Durante campagne di phishing simulate condotte tra gli intervalli di formazione, i tassi di clic sono aumentati del 28,6%, anche tra gli utenti precedentemente classificati come “a basso rischio”, a dimostrazione di una regressione nella vigilanza applicata nonostante la piena conformità agli obblighi di formazione normativi previsti dall’articolo 20(3) del NIS2.

Secondo lo studio “Digital Workplace Behavioural Regression Study” dell’OCSE (maggio 2024), la compiacenza in materia di sicurezza, strettamente correlata all’affaticamento da formazione, non è una conseguenza di un deficit di conoscenza, ma dell’abitudine a una ripetizione non impattante. Il rapporto identifica tre indicatori principali: sovraesposizione a contenuti formativi generici, desensibilizzazione all’affaticamento da allerta e sovrastima delle competenze informatiche personali. In esperimenti sul campo controllati condotti in 11 Stati membri dell’UE, gli utenti che avevano completato i moduli annuali sulla sicurezza tre o più volte hanno mostrato un calo del 43% nella probabilità di segnalazione di incidenti a seguito di attività sospette, rispetto ai neofiti. L’OCSE attribuisce questo calo a un punto di saturazione cognitiva, in cui i contenuti familiari non attivano più i protocolli di risposta alle minacce e il richiamo procedurale viene sostituito da scorciatoie euristiche che declassano il riconoscimento delle anomalie.

Il rapporto “Cybersecurity Habitualization Metrics” di RAND (febbraio 2024) quantifica la relazione inversa tra frequenza di formazione e miglioramento comportamentale quando i contenuti non sono vari, personalizzati o integrati a livello operativo. Tra 20 organizzazioni che implementano moduli trimestrali basati su video, lo studio ha rilevato che solo il 9% degli utenti era in grado di ricordare accuratamente i segnali di riconoscimento del phishing due settimane dopo il completamento del modulo, nonostante il superamento di valutazioni standardizzate. L’audit comportamentale ha rivelato che il 61% degli utenti che avevano recentemente completato la formazione continuava a cliccare sui link nelle e-mail contenenti segnali di urgenza, come “account bloccato” o “fattura urgente”, dimostrando che i formati didattici passivi non riuscivano a prevalere sui modelli di reazione intuitivi. Il rapporto conclude che la formazione disaccoppiata dalla simulazione attiva delle minacce e dalla contestualizzazione specifica per il lavoro produce una ricalibrazione comportamentale limitata.

Il Centro Comune di Ricerca (JRC) della Commissione Europea, nel suo “Cognitive Resilience and Security Compliance Study” (marzo 2024), ha rilevato che l’efficacia della formazione diminuisce drasticamente negli ambienti di lavoro ad alto carico cognitivo. In settori come la finanza e la logistica, dove la densità di attività e la velocità decisionale sono strutturalmente elevate, i dipendenti hanno mostrato curve di decadimento della formazione accelerate, perdendo le capacità di identificazione delle minacce critiche entro quattro-sei settimane dalla formazione. Lo studio del JRC ha inoltre documentato che i moduli statici sono particolarmente inefficaci nei ruoli che richiedono multitasking, dove la sicurezza viene cognitivamente compartimentata come una funzione di conformità di fondo piuttosto che come una preoccupazione operativa fondamentale. Queste condizioni favoriscono un ambiente di distacco procedurale appreso, in cui la percezione della minaccia viene esternalizzata e la responsabilità della sicurezza viene psicologicamente scaricata sui reparti IT.

Il rapporto “Institutional Security Culture Breakdown Report” di Chatham House (gennaio 2025) attribuisce la normalizzazione dell’autocompiacimento in materia di sicurezza a tre dinamiche organizzative interconnesse: la ritualizzazione della formazione, l’assenza di visibilità delle conseguenze e la disconnessione tra rischio e ruolo. Nelle organizzazioni in cui la consapevolezza della sicurezza è ridotta alla distribuzione programmata di contenuti – in assenza di rinforzo tramite l’esposizione alle conseguenze o l’illustrazione delle minacce in tempo reale – gli utenti sviluppano quello che il rapporto definisce “bias di immunità operativa”, per cui non si percepiscono più come probabili bersagli. Questa fallacia cognitiva è particolarmente radicata nei ruoli amministrativi di medio livello, dove l’esposizione è strutturalmente elevata ma la formazione viene percepita come irrilevante. Il rapporto raccomanda di integrare la formazione nei flussi di lavoro in tempo reale, sfruttando il feedback situazionale e introducendo la simulazione avversaria basata sui ruoli per contrastare il disinteresse abituale.

L’indice “Workforce Security Erosion Index” dell’IISS (edizione 2024) classifica l’affaticamento da formazione come uno dei principali vettori del rischio di violazione sistemica, in particolare negli Stati membri con regimi di sensibilizzazione obbligatori basati sulla conformità, ma con cicli di feedback valutativi limitati. L’indice rileva che le organizzazioni che implementano moduli di e-learning passivi come unico meccanismo di rafforzamento della sicurezza hanno registrato un tasso di compromissione avviata dagli utenti 3,2 volte superiore rispetto a quelle che implementano modelli di microsimulazione continua. In uno studio di caso condotto da un’agenzia governativa centrale dell’UE, oltre 1.000 dipendenti hanno completato la formazione annuale sulla sicurezza con tassi di certificazione del 98%. Tuttavia, entro tre mesi, 37 utenti hanno interagito con un’e-mail di raccolta di credenziali ben nota durante una simulazione di red team, ottenendo l’accesso a livello di amministratore ai sistemi di gestione dei documenti. L’audit post-violazione ha rilevato che nessuno degli utenti ricordava gli specifici indicatori di phishing evidenziati nella formazione certificata.

Il “Rapporto sulle competenze in materia di sicurezza informatica adattiva” dell’ENISA (settembre 2024) raccomanda una transizione da modelli di formazione incentrati sulla conformità a modelli incentrati sul comportamento. Il rapporto identifica i programmi di successo come quelli che integrano sistemi di apprendimento adattivo che adattano la difficoltà, il formato e la frequenza dei contenuti in base alle prestazioni storiche degli utenti e ai vettori di minaccia specifici del settore. Le organizzazioni che hanno implementato moduli adattivi combinati con simulazioni di phishing in situ hanno registrato una riduzione del 72% dei comportamenti degli utenti ad alto rischio entro 180 giorni, rispetto a una riduzione del 14% nei gruppi di controllo che utilizzavano formati tradizionali. Questi risultati suggeriscono che la fatica da formazione non è semplicemente una limitazione umana, ma un errore di progettazione sistemico che può essere corretto attraverso un’architettura dinamica e integrata con il feedback.

L’European Cybercrime Centre (EC3), nel suo “Human Error Exploitation Brief” (ottobre 2023), conferma che gli autori di minacce avanzate profilano attivamente le organizzazioni alla ricerca di vulnerabilità legate alla formazione, tra cui l’eccessiva dipendenza da programmi di distribuzione dei contenuti prevedibili. APT come APT28 e Ghostwriter hanno incorporato calendari di formazione annuali nei cicli di ricognizione, programmando le campagne di phishing per colpire gli utenti durante i periodi di decadimento post-formazione noti. In diversi casi, gli aggressori hanno falsificato specificamente i contenuti di formazione, imitando i sistemi di gestione dell’apprendimento interni e incorporando link dannosi in falsi promemoria di conformità, con conseguente compromissione dei dati che sfruttava il protocollo di formazione dell’organizzazione come vettore di ingresso.

Da fonti di dati normative, comportamentali e operative, l’evidenza è inconfutabile: i programmi di sensibilizzazione alla sicurezza, se ridotti a ripetizioni periodiche e alla distribuzione di contenuti statici, non solo non riescono a sostenere un comportamento protettivo, ma contribuiscono attivamente al rischio di violazione attraverso l’autocompiacimento. Il fallimento strutturale risiede nel presupposto che l’esposizione equivalga a ritenzione e che la conformità implichi resilienza. Finché la formazione non si trasformerà da istruzione episodica a condizionamento comportamentale continuo – calibrato in base al ruolo, rafforzato dalla prossimità della minaccia e convalidato dall’azione – il livello umano rimarrà sfruttabile non perché disinformato, ma perché affaticato.

Rischio interno e accesso negligente: il fattore umano nelle operazioni informatiche

Secondo la “Operational Insider Risk Landscape Review” della Commissione Europea (aprile 2024), il 61% degli incidenti di sicurezza informatica che hanno interessato entità essenziali ai sensi della Direttiva NIS2 ha coinvolto attori interni, attraverso comportamenti di accesso negligenti o l’utilizzo non autorizzato del sistema da parte di personale autorizzato. Questi incidenti non sono stati attribuiti principalmente a intenti dolosi, ma a deviazioni procedurali, proliferazione delle autorizzazioni ed errori di valutazione da parte degli utenti, rendendo il rischio interno la classe di minaccia meno segnalata ma strutturalmente radicata nelle operazioni di sicurezza informatica dell’UE. A differenza delle violazioni perimetrali, le compromissioni interne operano all’interno della legittimità delle credenziali, consentendo alle attività di minaccia di imitare i flussi di lavoro autorizzati ed eludere i tradizionali sistemi di rilevamento basati sulle anomalie fino a quando il danno non diventa irreversibile a livello operativo o finanziario.

Lo studio “Insider Threats and Privilege Misuse Study” dell’ENISA (novembre 2023) evidenzia che la probabilità di falle di sicurezza legate a informazioni interne aumenta linearmente con la complessità degli accessi e diminuisce esponenzialmente con la frequenza degli audit dei privilegi. In 420 organizzazioni sottoposte ad audit, lo studio ha rilevato che solo il 32% ha condotto revisioni trimestrali degli accessi e solo l’11% ha implementato analisi di correlazione dei privilegi in tempo reale. Negli ambienti privi di controlli di accesso basati sui ruoli (RBAC) con provisioning dinamico, gli utenti conservavano abitualmente credenziali per sistemi non più pertinenti ai loro ruoli, in particolare durante trasferimenti interni, turni di reparto o fasi di conclusione dei progetti. Questa “deriva degli accessi” crea vettori di violazione latenti che spesso vengono sfruttati non da aggressori esterni, ma da utenti interni in situazioni di stress, ignoranza o opportunità.

L'”Indice di negligenza informatica istituzionale” di RAND Corporation (gennaio 2024) rileva che nel 78% delle violazioni dei dati del settore pubblico esaminate, l’azione avviata ha comportato un eccesso di credenziali o un accesso inappropriato, tecnicamente autorizzato ma proceduralmente ingiustificato. In un caso di studio che coinvolgeva una rete sanitaria pubblica transfrontaliera, un tecnico IT regionale ha avuto accesso alle dashboard amministrative del sistema di cartelle cliniche elettroniche di una regione limitrofa, originariamente concesso durante un’iniziativa di coordinamento interregionale a breve termine per il COVID-19. Nonostante la conclusione formale del progetto, le credenziali non sono mai state revocate e il tecnico, ignaro della piena sensibilità dei set di dati, ha scaricato oltre 1,2 milioni di cartelle cliniche di pazienti su un dispositivo personale per testarne le prestazioni, innescando una serie di violazioni del GDPR e fallimenti negli audit di sicurezza informatica.

Il rapporto dell’OCSE “Governance Gaps in Role-Based Access Enforcement” (maggio 2024) collega comportamenti negligenti in materia di accesso sia a difetti di progettazione dell’interfaccia che ad ambiguità gerarchiche di responsabilità. Nei sistemi in cui le richieste di accesso vengono elaborate tramite moduli statici senza tag di autorizzazione a tempo o scadenza automatica, gli utenti tendono ad accumulare nel tempo ampi privilegi di sistema, molti dei quali sono funzionalmente invisibili agli amministratori della sicurezza. Questo è aggravato nelle architetture IT legacy del settore pubblico, dove la segmentazione del sistema è limitata e la federazione delle identità è incompleta, consentendo a un singolo set di credenziali di attraversare più livelli operativi. L’audit tecnico dell’OCSE sulle agenzie di appalto degli Stati membri ha rilevato che nel 63% delle piattaforme campionate, gli utenti con ruoli di progetto scaduti hanno mantenuto l’accesso a livello di modifica ai moduli finanziari per oltre sei mesi dopo il completamento del progetto.

Il rapporto “Human Behavior and Systemic Access Risk” (febbraio 2025) di Chatham House sottolinea che il comportamento negligente degli insider spesso non deriva da disattenzione, ma da un’ambiguità strutturale nella governance della sicurezza informatica. Nelle agenzie decentralizzate, in particolare nei settori della sanità e dell’istruzione, la responsabilità della sicurezza informatica è distribuita tra unità legali, IT e operative, con conseguente interpretazione incoerente dei protocolli di accesso e diluizione della responsabilità. Il rapporto ha documentato una violazione presso un’università nazionale in cui un ricercatore post-laurea ha mantenuto l’accesso completo al database di un cluster di ricerca sull’intelligenza artificiale dismesso, che ha continuato a utilizzare per l’archiviazione cloud personale. L’ambiente è stato successivamente compromesso tramite un file contenente malware che, a causa delle autorizzazioni legacy del ricercatore, si è diffuso nella rete accademica più ampia, interrompendo i sistemi di registrazione e trascrizione dei corsi per due settimane.

La valutazione “Compromise via Legitimate Credentials” (ottobre 2023) del Centro europeo per la criminalità informatica (EC3) fornisce prove forensi del fatto che le minacce persistenti avanzate (APT) sfruttano sempre più spesso gli addetti ai lavori con credenziali o sfruttano account interni revocati in modo improprio. In un’operazione degna di nota contro un appaltatore di comunicazioni satellitari dell’UE, le credenziali di un ingegnere di sistemi dimesso sono state utilizzate tre mesi dopo il suo licenziamento per accedere a database di telemetria in tempo reale, nonostante le Risorse Umane avessero segnalato il licenziamento all’IT. L’indagine dell’EC3 ha rilevato che la disattivazione dell’account era stata messa in coda manualmente ma non era mai stata eseguita a causa di un errore di comunicazione interdipartimentale: un difetto procedurale piuttosto che una vulnerabilità tecnica, ma con implicazioni dirette per la sicurezza nazionale.

Il rapporto “Cybersecurity Misalignment Metrics” del Joint Research Centre (marzo 2024) ha analizzato oltre 5,6 milioni di log di sistema provenienti dai settori energetico, finanziario e dei trasporti dell’UE e ha concluso che gli eventi di accesso umano al di fuori del normale orario di lavoro rappresentavano il 19% delle anomalie segnalate, ma l’82% di queste non è mai stato indagato. Queste anomalie spesso coinvolgevano utenti legittimi che accedevano a sistemi non assegnati, spesso presupponendo esigenze organizzative o supervisione tecnica. In ambienti privi di monitoraggio degli accessi contestuale, come l’analisi del comportamento utente/entità (UEBA) o l’architettura di rete zero-trust (ZTNA), queste azioni vengono registrate ma non sottoposte a smistamento, consentendo alle violazioni involontarie di diventare punti di appoggio per minacce operative.

Il rapporto dell’IISS “Insider Dynamics in Cyber Deterrence Failure” (dicembre 2023) sottolinea che il rischio di insider indebolisce anche le strategie di difesa informatica nazionali più avanzate quando l’applicazione delle misure comportamentali non corrisponde alla sofisticatezza tecnica. Il rapporto rileva che diverse esercitazioni informatiche a livello statale hanno rivelato dipendenze critiche dalla gestione delle credenziali basata su presupposti, in cui ci si aspettava che gli utenti segnalassero volontariamente cambiamenti di ruolo, un uso eccessivo delle credenziali o una sovrapposizione di sistemi, nessuno dei quali è stato applicato strutturalmente. In un’esercitazione che simulava un attacco coordinato a un sistema di coordinamento ferroviario paneuropeo, il punto di violazione iniziale è stato un coordinatore delle operazioni sul campo che ha utilizzato un dispositivo personale per aggiornare i registri di distribuzione durante un’interruzione di rete, bypassando inavvertitamente la segmentazione interna della rete.

Il “Risk-Based Access and Insider Threat Framework” dell’ENISA (settembre 2024) raccomanda l’implementazione obbligatoria di protocolli di convalida dell’accesso continuo, tra cui decadimento dei privilegi in tempo reale, modelli di accesso just-in-time (JIT) e verifica tra pari per autorizzazioni elevate. I programmi pilota di cinque operatori di infrastrutture digitali dell’UE che hanno implementato questi modelli hanno ottenuto una riduzione del 71% degli accessi non autorizzati e una riduzione del 58% del tempo di rilevamento delle anomalie causate da insider entro sei mesi. Queste architetture passano dall’assegnazione statica degli accessi al provisioning sensibile al contesto, integrando l’applicazione della sicurezza informatica in una logica operativa in tempo reale anziché in una revisione amministrativa periodica.

La convalida empirica di registri di audit, analisi forense degli incidenti e dati sui rischi comportamentali conferma costantemente che il fattore umano all’interno del sistema – i titolari di credenziali che operano in condizioni di accesso ambigue o eccessive – costituisce la principale linea di faglia nella moderna difesa della sicurezza informatica. Le violazioni non sempre iniziano con compromessi tecnici; sono spesso causate da disallineamenti invisibili tra comportamento degli utenti, architettura di accesso e applicazione della governance. Finché i sistemi di controllo degli accessi non saranno riprogettati per integrare fedeltà comportamentale, rilevanza temporale e vincoli procedurali, il rischio interno rimarrà una minaccia strutturalmente normalizzata, insita nel nucleo affidabile delle operazioni informatiche.

Perché la resilienza informatica fallisce senza la vigilanza umana

La “Cyber Resilience Maturity Assessment” dell’ENISA (ottobre 2024) stabilisce che le misure di resilienza tecnica – sistemi ridondanti, reti segmentate, failover automatizzati e protocolli di ripristino degli endpoint – risultano costantemente sottoperformanti se disaccoppiate dalla vigilanza umana in tempo reale. In 17 incidenti informatici su larga scala studiati tra il 2022 e il 2024, tra cui attacchi ransomware, violazioni coordinate della supply chain e operazioni di esfiltrazione delle credenziali sponsorizzate da stati, l’81% dei fallimenti nel contenimento è stato ricondotto non a carenze infrastrutturali, ma a ritardi o omissioni nell’intervento umano. In quasi tutti i casi, gli indicatori di allerta precoce sono stati generati dai sistemi di rilevamento, ma sono stati ignorati, interpretati erroneamente o declassati dagli utenti operativi a causa di affaticamento, assuefazione o protocolli di priorità degli avvisi non allineati.

Secondo la “Integrated Cyber Response and Workforce Readiness Review” della Commissione Europea (marzo 2024), i sistemi di resilienza automatizzati sono in grado di identificare e avviare contromisure contro vettori di attacco noti, ma non possono compensare modelli di attacco dinamici che richiedono ragionamento situazionale, giudizio di escalation o memoria istituzionale. In una violazione documentata di una camera di compensazione finanziaria operante in tre giurisdizioni dell’UE, il rilevamento iniziale delle anomalie ha segnalato un’attività di tunneling DNS in uscita coerente con l’esfiltrazione. Tuttavia, il personale operativo ha interpretato l’avviso come falso positivo a causa di un aggiornamento simultaneo del sistema, consentendo alla compromissione di persistere per 37 ore, durante le quali 7,3 terabyte di dati sono stati trasferiti a nodi cloud esterni. Il rapporto conclude che la resilienza è funzionalmente vuota quando gli utenti umani sono psicologicamente o proceduralmente disinteressati dal monitoraggio informatico attivo.

Il rapporto “Resilience Systems vs. Human Behavior Report” dell’OCSE (maggio 2024) individua un’asimmetria sistemica nel modo in cui la resilienza informatica viene concettualizzata nei settori pubblico e privato. Mentre gli investimenti aziendali in piattaforme di rilevamento e risposta sono aumentati del 38% nelle economie OCSE dal 2021 al 2023, gli investimenti paralleli in preparazione continua degli utenti, verifica degli incidenti e diagnostica human-in-the-loop sono aumentati solo del 9%. Questo squilibrio si traduce in organizzazioni tecnologicamente attrezzate ma operativamente inerti quando è necessario un processo decisionale in tempo reale. Le simulazioni comportamentali integrate nello studio hanno dimostrato che nel 64% delle violazioni simulate, gli analisti della sicurezza hanno ritardato il contenimento a causa dell’incertezza sulle soglie di escalation procedurale o del timore di innescare interruzioni del servizio, anche quando le dashboard di avviso indicavano un comportamento statisticamente anomalo.

Il rapporto “Cyber Incident Command and Human Oversight Gaps” (febbraio 2024) di RAND Corporation evidenzia che gli ambienti operativi decentralizzati, con proprietà IT federate e autorità dipartimentali isolate, aggravano il decadimento della resilienza creando una logica di risposta disgiunta. In un caso di studio che coinvolge una piattaforma di condivisione dati multi-agenzia utilizzata dalle autorità sanitarie pubbliche di sei stati dell’UE, una vulnerabilità zero-day in una dipendenza open source è stata identificata dai sistemi di monitoraggio interni e persino segnalata dagli avvisi dei fornitori upstream. Tuttavia, la risposta è stata ritardata di 42 ore perché ogni agenzia ha dato per scontato che un’altra fosse responsabile del coordinamento delle patch e del blocco a livello di sistema. RAND identifica questa diffusione comportamentale come “esternalizzazione della vigilanza”, ovvero la convinzione istituzionale che la responsabilità delle azioni informatiche ricada altrove, neutralizzando così i protocolli di resilienza che dipendono dall’intervento umano sincronizzato.

Il rapporto “Operational Resilience and Human Factors in Critical Infrastructure” (settembre 2023) dell’ENISA introduce il concetto di “zone di vulnerabilità latenti”, ambienti tecnici in cui la resilienza è tecnicamente presente ma funzionalmente assente a causa del disimpegno degli utenti. Queste zone includono spesso code di avvisi non presidiate, account amministrativi a bassa priorità e dispositivi endpoint utilizzati da appaltatori terzi. Lo studio ha rivelato che in oltre il 70% delle violazioni che hanno coinvolto infrastrutture critiche, il percorso di attacco ha sfruttato interfacce utente che non erano state aggiornate, riviste o sottoposte a audit da oltre 180 giorni. Le difese automatizzate, pur essendo implementate, non si sono attivate a causa dell’affidamento a baseline comportamentali obsolete o a policy di trust obsolete. L’architettura di resilienza esisteva, ma mancava di vitalità a causa della supervisione umana assente o passiva.

L’European Cybercrime Centre (EC3), nel suo rapporto “Response Failures in EU-Reported Breaches” (novembre 2023), fornisce una conferma forense che l’esitazione degli utenti, in particolare la mancata escalation degli allarmi tempestivi, è un fattore che accelera costantemente la propagazione delle violazioni. In oltre 800 incidenti analizzati, solo il 26% degli utenti che hanno osservato comportamenti sospetti o anomalie del sistema ha avviato la corretta procedura di segnalazione entro 30 minuti dal rilevamento. Tra le ragioni figurano la percezione di mancanza di autorità, la stanchezza da allerta o la normalizzazione dell’instabilità del sistema. In un caso significativo che ha coinvolto un operatore di smart grid, i tecnici hanno ricevuto diversi avvisi su anomalie della telemetria dei dispositivi, ma si sono astenuti dal segnalarli a causa di precedenti esperienze di inattività da parte dei team di sicurezza informatica. La violazione risultante ha portato alla manipolazione degli algoritmi di bilanciamento del carico, causando una destabilizzazione della rete del 17% in tre comuni.

L’indice “Cyber Resilience and Strategic Human Readiness Index” dell’IISS (edizione 2024) traccia una correlazione diretta tra i tassi nazionali di recupero dagli incidenti informatici e i protocolli di vigilanza umana istituzionalizzati. I paesi con turni di servizio informatici formalizzati, esercitazioni obbligatorie e revisione continua degli allarmi in tempo reale basata sui ruoli, come Paesi Bassi ed Estonia, hanno mostrato obiettivi di tempo di recupero (RTO) inferiori a 48 ore per gli incidenti gravi, rispetto a RTO superiori a 96 ore negli Stati membri privi di esercitazioni procedurali. I dati supportano la conclusione che la resilienza non è un attributo tecnologico, ma una capacità operativa, che dipende dal mantenimento di una consapevolezza situazionale continua, di un giudizio interpretativo e di una fluidità procedurale da parte degli attori umani sotto pressione.

Il rapporto “Cognitive Dissonance in Cyber Defense Culture” (gennaio 2025) di Chatham House afferma che i fallimenti nella resilienza spesso hanno origine da un’eccessiva fiducia istituzionale nella ridondanza tecnologica. Questa garanzia mal calibrata porta a investimenti insufficienti nella prontezza all’intervento lato utente. Il rapporto sottolinea che, sebbene i sistemi possano essere progettati per fallire in modo graduale – attraverso backup segmentati, percorsi di ripristino air-gap o logging immutabile – l’attivazione di questi meccanismi dipende dal processo decisionale umano entro i primi 60-120 minuti dal riconoscimento dell’intrusione. Nelle tempistiche di violazione studiate nei settori dei trasporti, delle comunicazioni e della finanza, i sistemi con la stessa configurazione architetturale hanno mostrato risultati molto diversi basati esclusivamente sulla tempistica e sulla qualità dell’intervento umano.

Il “Cyber Resilience Activation Framework” del Centro Comune di Ricerca (Q1 2024) raccomanda l’integrazione di quelli che definisce “trigger dipendenti dalla vigilanza” nell’architettura di resilienza. Questi includono protocolli di conferma degli avvisi forzati, playbook di escalation tra team in tempo reale e logging delle responsabilità basato sui privilegi che registra non solo l’attività del sistema, ma anche le catene decisionali umane. Le implementazioni pilota di questo modello nelle agenzie di telecomunicazioni dell’UE hanno portato a un miglioramento del 49% nelle metriche relative al tempo di contenimento e a una riduzione del 63% dei licenziamenti per falsi negativi in un periodo di sei mesi. Questi miglioramenti sottolineano che la resilienza è una funzione socio-tecnica, non semplicemente un risultato di ridondanza, ma un’espressione di prontezza armonizzata tra i sistemi e i loro operatori.

Coerentemente con i dati empirici sugli incidenti, le simulazioni e gli audit delle policy, si giunge alla conclusione che la resilienza informatica non fallisce nel codice o nell’hardware, ma nei margini umani di vigilanza, giudizio e azione. Nessun sistema, per quanto tecnicamente avanzato, può resistere al disimpegno degli utenti. Finché la progettazione organizzativa non incentrerà la vigilanza umana come attivatore continuo dell’infrastruttura di difesa informatica, la resilienza rimarrà un obiettivo ambizioso, strutturalmente compromesso dagli stessi attori che presume la difenderanno.

Mitigare il rischio umano nella catena della sicurezza informatica

Il “Quadro di mitigazione della sicurezza informatica incentrato sull’uomo” dell’ENISA (ottobre 2024) sottolinea che la mitigazione sistemica del rischio informatico di origine umana richiede una trasformazione su due assi: la riprogettazione dell’architettura di sicurezza per anticipare il comportamento degli utenti e l’integrazione della responsabilità comportamentale nei flussi di lavoro digitali. In una valutazione intersettoriale di 312 entità essenziali e importanti ai sensi della Direttiva NIS2, l’ENISA ha rilevato che le organizzazioni che impiegano esclusivamente controlli tecnici, come il rilevamento degli endpoint, i firewall e la limitazione degli accessi, hanno ridotto la probabilità di violazione solo del 28% in un periodo di 12 mesi. Tuttavia, le entità che hanno integrato questi sistemi con un punteggio dinamico del rischio utente, un gating adattivo delle policy e una simulazione comportamentale continua hanno ottenuto una riduzione del 64%, a indicare che una mitigazione duratura della sicurezza informatica non può essere progettata senza il coinvolgimento cognitivo degli attori umani.

Il “Cyber Risk Governance Blueprint” della Commissione Europea (marzo 2024) sottolinea che l’efficacia della mitigazione aumenta solo quando l’interazione umana diventa una variabile di input nei meccanismi di accesso, allerta ed escalation. Il progetto prevede l’integrazione della telemetria comportamentale in tempo reale, come l’analisi del flusso di clic, il rilevamento delle deviazioni dai privilegi e la misurazione dell’entropia di sessione, nei principali livelli decisionali di sicurezza. In programmi pilota condotti in cinque ministeri dell’UE, le policy che modificavano dinamicamente i diritti di accesso in base a indicatori di affaticamento dell’utente (ad esempio, irregolarità di accesso, latenza nell’esecuzione dei comandi, cambio anomalo di scheda) hanno prevenuto il 37% delle distribuzioni di payload di phishing altrimenti riuscite. Questa architettura riconsidera gli utenti non come vettori di minacce statici, ma come partecipanti monitorati dinamicamente all’interno di una rete di sicurezza informatica attiva.

Il rapporto “Behavioral Enforcement as Cyber Risk Control” (febbraio 2024) di RAND Corporation sottolinea che le strategie di mitigazione hanno successo quando passano dalla propagazione della consapevolezza all’applicazione comportamentale basata sui risultati. In uno studio caso-controllo su 46 organizzazioni del settore pubblico che hanno implementato simulazioni di phishing specifiche per ruolo con modellazione delle conseguenze immediate, come il blocco temporaneo degli account, sessioni di revisione obbligatorie o avvisi attivati da audit, gli errori ricorrenti degli utenti sono diminuiti del 73% in sei mesi. L’effetto è stato amplificato quando agli utenti sono stati mostrati gli impatti a cascata delle loro azioni a livello di sistema attraverso visualizzazioni che tracciavano le violazioni con un singolo clic in sequenze di movimento laterale mappate e di esfiltrazione dei dati. Questo modello di feedback esperienziale si è dimostrato significativamente più efficace della formazione tradizionale, riducendo l’affaticamento da policy e rafforzando l’aderenza alle procedure attraverso la trasparenza delle conseguenze.

L'”Analisi della struttura degli incentivi per la sicurezza informatica” dell’OCSE (maggio 2024) identifica il disallineamento degli incentivi umani come un punto di attrito critico nella mitigazione del rischio informatico. In 113 istituzioni campionate, meno del 9% ha integrato la conformità alla sicurezza informatica nelle valutazioni delle prestazioni individuali e solo il 4% ha collegato le allocazioni di bilancio o le valutazioni dipartimentali alle metriche di mitigazione delle violazioni. Le organizzazioni che hanno modificato queste strutture, collegando le valutazioni manageriali al tempo medio di rilevamento, ai tassi di superamento degli audit e alla partecipazione degli utenti alle violazioni, hanno registrato un aumento statisticamente significativo del rispetto delle policy e della segnalazione precoce delle minacce. I dati comportamentali indicano che quando la sicurezza informatica viene riclassificata come un dominio di performance con una chiara responsabilità, gli utenti elevano la diligenza procedurale allo stesso livello di priorità delle metriche di produttività.

Il rapporto “Access Governance for Behavioral Risk Reduction” (aprile 2024) del Joint Research Centre fornisce supporto empirico alla microsegmentazione e alla modulazione dell’accesso in tempo reale come strumenti per ridurre l’uso improprio negligente o opportunistico. I sistemi che utilizzano l’accesso just-in-time (JIT), l’autenticazione contestuale e l’elevazione dei privilegi attivata da un’azione hanno ridotto al minimo il potenziale di violazione laterale del 59% rispetto agli ambienti con accesso statico basato sui ruoli. In modo cruciale, quando le decisioni di accesso sono state abbinate a richieste di conferma lato utente che includevano punteggi di rischio comportamentale in tempo reale (“Stai tentando un’azione con privilegi elevati durante una sessione contrassegnata: continuare?”), le azioni anomale sono diminuite del 44%. Questi “nudge” frizionali agiscono come interruttori cognitivi, interrompendo i flussi di lavoro abituali per un tempo sufficiente a stimolare la riflessione dell’utente e la riduzione del rischio.

Il “Rapporto sulla strategia di simulazione integrata” dell’ENISA (settembre 2024) documenta i vantaggi in termini di mitigazione dei test delle minacce contestualizzati e in tempo reale rispetto ai controlli di conformità periodici. Le istituzioni che hanno sostituito i quiz di sicurezza programmati con simulazioni di attacchi integrate, attivate casualmente in base al tempo, al sistema e al profilo utente, hanno ottenuto un aumento del 52% del tasso di prima risposta e una riduzione del 67% dei ritardi di escalation post-evento. La natura continua della simulazione ha creato uno stato di “vigilanza adattiva”, in cui gli utenti sono rimasti attenti alle anomalie contestuali e hanno sviluppato un riconoscimento intuitivo delle minacce ancorato al loro ambiente operativo. Questo modello di prontezza persistente contrasta con il richiamo mnemonico passivo previsto dall’addestramento convenzionale, allineando il comportamento difensivo alle tattiche avversarie del mondo reale.

Il rapporto “Procedural Embedding of Human Risk Mitigation” (gennaio 2025) di Chatham House sostiene l’integrazione operativa della sicurezza informatica in ogni livello organizzativo, dai protocolli di approvvigionamento ai flussi di onboarding delle risorse umane. Nel suo studio comparativo sui consorzi multinazionali pubblico-privati, il rapporto ha rilevato che l’integrazione di controlli di igiene digitale nelle approvazioni contrattuali, nella pianificazione del lavoro da remoto e nelle richieste di risorse IT non solo ha ridotto la probabilità di violazioni, ma ha anche istituzionalizzato il rischio informatico come responsabilità condivisa. Un’agenzia, imponendo un controllo di convalida della sicurezza informatica per tutti gli onboarding di fornitori esterni, ha bloccato una campagna di credential stuffing basata sulla supply chain che avrebbe aggirato i tradizionali controlli perimetrali.

L’IISS “National Models for Human Risk Containment” (edizione 2024) identifica Estonia, Paesi Bassi e Finlandia come leader nella mitigazione strutturale grazie all’adozione di dottrine di sicurezza informatica codificate e incentrate sull’uomo. Questi paesi impongono esercitazioni comportamentali, pubblicano tabelle di impatto delle violazioni settoriali disaggregate per ruolo utente e applicano accordi sul livello di servizio (SLA) sui tempi di risposta per il personale in prima linea. Il protocollo nazionale di sicurezza informatica dell’Estonia, ad esempio, richiede per legge ai dipendenti pubblici di completare 12 simulazioni di phishing contestuale all’anno, i cui risultati vengono inseriti in dashboard istituzionali anonimizzate utilizzate per la pianificazione delle risorse. Il tasso di riduzione delle violazioni a livello nazionale – il 36% in due anni – è attribuito non alla supremazia tecnologica, ma alla vigilanza umana integrata, attivata tramite impalcature procedurali.

Le “Operational Disruption Metrics” (novembre 2023) dell’European Cybercrime Centre (EC3) concludono che le organizzazioni con un’architettura di mitigazione incentrata sull’uomo subiscono meno tempi di inattività, minori costi di ripristino e cicli forensi più brevi. In un’analisi comparativa di 39 incidenti ransomware, quelli che coinvolgevano organizzazioni con mitigazione integrata (baselining del comportamento degli utenti in tempo reale, gating delle azioni basato sui privilegi e autorità di escalation distribuita) hanno contenuto le violazioni in media il 61% più velocemente rispetto alle istituzioni simili che si affidano esclusivamente a protocolli di contenimento automatizzati. Il vantaggio operativo non è solo la riduzione del rischio, ma anche l’attivazione della resilienza: trasformando il comportamento umano da un vettore di esposizione a un meccanismo di controllo dinamico, la mitigazione cessa di essere una patch e diventa un firewall predittivo.

La mitigazione del rischio umano nella sicurezza informatica non dipende dalla riqualificazione degli utenti inclini all’errore, ma dalla riprogettazione di sistemi che considerino la variabilità umana come un parametro architettonico centrale. Quando l’attrito procedurale, la verifica adattiva e la responsabilità comportamentale si integrano nel tessuto operativo, gli utenti cessano di essere passività e diventano sensori: reattivi, coinvolti e riflessivamente allineati con la strategia di difesa. Questa trasformazione non è solo cognitiva, ma sistemica, e richiede la traduzione della logica del rischio in logica del flusso di lavoro, in modo che ogni azione, clic e decisione inneschi non solo l’esecuzione, ma anche un controllo integrato della sicurezza informatica.

APPENDICE – Documento 32022L2555

Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativa a misure per un livello comune elevato di sicurezza informatica nell’Unione, che modifica il regolamento (UE) n. 910/2014 e la direttiva (UE) 2018/1972 e abroga la direttiva (UE) 2016/1148 (direttiva NIS 2) (Testo rilevante ai fini del SEE) – FONTE: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32022L2555

CELEX_32022L2555_IT_TXT Download