Cybersecurity oggi: da scelta a necessità per le imprese

A fronte di una digitalizzazione sempre più pervasiva, la cybersecurity non è più un'opzione: è diventata una necessità. L’espansione delle tecnologie e dei servizi digitali comporta infatti l’aumento esponenziale della superficie di attacco per i criminali informatici e il tema più grave è che non sempre gli utilizzatori ne sono pienamente consapevoli. Secondo il più recente Rapporto CLUSIT, nel 2024 sono stati registrati 3.541 attacchi cyber gravi a livello globale, il numero più alto mai censito, con una crescita del 27% rispetto all’anno precedente[1]. In Italia, il quadro è particolarmente allarmante: il nostro Paese ha subito il 10% degli attacchi globali, pur rappresentando solo l’1,8% del PIL mondiale. Con 357 attacchi gravi noti nel 2024, l’Italia è stabilmente “nel mirino” dei cybercriminali[2]. Il cybercrime è responsabile di circa l’86% degli attacchi informatici a livello globale, un fenomeno in costante crescita. Tra i principali fattori che alimentano questa tendenza vi è la diffusione di strumenti “as-a-Service” a basso costo nel dark web, che rendono accessibili attività illecite anche a soggetti con competenze tecniche limitate[3].

La governance della cybersecurity rappresenta l’insieme coordinato di politiche, standard, assetti organizzativi e meccanismi di conformità volti a garantire un presidio rigoroso della sicurezza digitale. Ambiti come energia, sanità, finanza, telecomunicazioni e trasporti sono infatti bersagli ricorrenti di minacce informatiche sempre più complesse e persistenti. Inoltre, a essere colpiti non sono solo i grandi gruppi o le infrastrutture critiche, ma anche e soprattutto le piccole e medie imprese, spesso meno strutturate e quindi più vulnerabili. Un modello di governance efficace consente di creare un ambiente digitale protetto, tutelare informazioni sensibili, assicurare la continuità operativa dei servizi essenziali e contribuire alla stabilità economica. Proprio in virtù del suo impatto sistemico, la cybersecurity viene oggi sempre più riconosciuta come una priorità: governi e autorità regolatorie hanno cominciato da alcuni anni a promuovere l’adozione di normative e standard internazionali, che fungono da riferimento per lo sviluppo di strategie di sicurezza mature e sostenibili.

Proprio su questi temi ci siamo confrontati a Milano, dal 14 al 16 maggio, in occasione dell’incontro che ha riunito i team cybersecurity delle member firm del network internazionale Grant Thornton. L’evento ha rappresentato un’importante opportunità di dialogo e di condivisione delle prospettive ed esperienze operative di ciascun invitato, focalizzata sulle principali sfide attuali in materia di sicurezza informatica. Tra i temi più dibattuti, hanno trovato particolare rilevanza la Direttiva NIS2 (Network Information Security) e lo standard ISO/IEC 27001:2022, a conferma della loro centralità nella definizione di modelli di governance cyber efficaci e scalabili.  

La prima Direttiva NIS (2016/1148) ha definito un quadro normativo a livello europeo, pensato per migliorare il coordinamento sovranazionale nella gestione della sicurezza delle reti e dei sistemi informativi, con l’obiettivo di proteggere i servizi essenziali per il funzionamento dell’economia e della società dell’UE[4]. In seguito alla rapida evoluzione dell’ecosistema digitale, la Commissione Europea ha avviato un processo di revisione che ha portato all’adozione della Direttiva NIS2, entrata in vigore a gennaio 2023. Gli Stati membri erano tenuti a recepire la nuova direttiva nei rispettivi ordinamenti nazionali entro il 17 ottobre 2024[5]. La NIS2 ha l’obiettivo di uniformare e rafforzare maggiormente la cybersecurity all’interno dell’Unione Europea, introducendo obblighi più stringenti in materia di gestione del rischio e notifica degli incidenti ed estendendoli a un numero maggiore di soggetti pubblici e privati (la NIS riguardava circa 300 aziende italiane, la NIS2 ne coinvolge oltre diecimila). Inoltre, la Direttiva stabilisce regole per migliorare la cooperazione tra Stati membri, promuovere la condivisione di informazioni e garantire un'applicazione più efficace delle misure di protezione a livello nazionale ed europeo[6].

Parallelamente, molte aziende scelgono di adottare volontariamente standard internazionali come la ISO/IEC 27001:2022, che definisce un modello per la gestione della sicurezza delle informazioni (ISMS). Questo approccio consente di mappare i rischi, pianificare contromisure, monitorare l’efficacia dei controlli e perseguire un miglioramento continuo. La norma ISO/IEC 27002:2022, complementare alla 27001, fornisce indicazioni operative dettagliate per l’implementazione dei controlli di sicurezza. L’integrazione di questi standard all’interno dei processi aziendali è spesso vista come una best practice, in grado di rafforzare la postura di sicurezza, migliorare la fiducia degli stakeholder e facilitare la compliance a normative come NIS2 e GDPR.

 
[1] Clusit, Rapporto sulla Cybersecurity in Italia e nel mondo 2025, p. 9.
[2] Ibid, pp. 30–31.
[3] Ibid, pp. 13–14.
[4] Commissione Europea, Domande e risposte sulla direttiva NIS – Rafforzare la sicurezza delle reti e dei sistemi informativi nell’UE, n.d.
[5] Agenzia per la Cybersicurezza Nazionale (ACN), Direttiva NIS, n.d.
[6] Commissione Europea, NIS2 Directive, n.d.