La normativa stabilisce un livello minimo di sicurezza, ma le minacce informatiche evolvono più rapidamente della legislazione. Per questo motivo, un'organizzazione che soddisfa formalmente i requisiti non è automaticamente resiliente.

La differenza emerge quando le misure vengono messe alla prova. Policy, procedure e soluzioni tecniche devono essere integrate da test periodici e simulazioni di incidenti informatici per verificare come l’organizzazione reagisce, ripristina i sistemi colpiti e mantiene la propria operatività.

La questione non è solo se esista un piano di continuità operativa o una procedura di risposta agli incidenti, ma se l’organizzazione sia davvero in grado di mettere in pratica quel piano quando un incidente colpisce sistemi e servizi critici.

In definitiva, la ciberresilienza è più della protezione dell’infrastruttura IT: è la capacità dell’azienda di continuare a operare e a erogare servizi essenziali durante e dopo un incidente.

La conformità deve essere dimostrabile

Con l’Ordinanza DNSC n. 1/2026, la domanda per le organizzazioni interessate non è più semplicemente “La NIS2 si applica a noi?”, ma anche “Comprendiamo i rischi a cui siamo esposti, abbiamo adottato le misure necessarie e possiamo dimostrare che funzionano?”

L’obiettivo non è limitarsi a spuntare caselle di conformità o preparare documentazione per un audit. Valutazione del rischio, valutazione della maturità, correzione, implementazione e test delle misure di sicurezza devono costituire un processo continuo attraverso il quale la conformità contribuisce concretamente a rafforzare la resilienza dell’organizzazione.