Continuità operativa NIS2: continuità, disaster recovery e gestione delle crisi

Un attacco, un incendio nel locale tecnico, tre giorni senza linea Internet: la domanda è sempre la stessa, cioè come si continua a lavorare e in quanto tempo si torna alla normalità. La NIS2 mette tra gli elementi minimi delle misure la «continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove applicabile, e gestione delle crisi» (d.lgs. 138/2024, art. 24, c. 2, lett. c). Le misure dell'ACN chiedono, per almeno i sistemi rilevanti, tre piani: continuità operativa, ripristino in caso di disastro e gestione delle crisi informatiche.

Vediamo cosa deve contenere ciascuno, come si costruiscono partendo dai servizi, cosa cambia per i soggetti essenziali e quali prove tenere.

Cosa chiede l'ACN

I requisiti sono nella determinazione ACN 379907/2025 (allegato 1 per gli importanti, allegato 2 per gli essenziali):

I tre piani valgono per importanti ed essenziali, per almeno i sistemi rilevanti. Vanno definiti, attuati, aggiornati e documentati (ID.IM-04, punti 1-3), approvati dall'organo di amministrazione (punto 4), che non può delegare l'approvazione (FAQ ACN ODA.8 e ODA.10), e riesaminati almeno ogni due anni, oppure prima dopo un incidente significativo o un cambiamento delle minacce (punto 5).

Tre piani, tre domande

Si possono scrivere in un unico documento, purché ogni parte copra i suoi elementi: la documentazione si organizza come si preferisce (guida alla lettura ACN v2.1, par. 2.5). Il piano di gestione delle crisi è diverso dal piano di gestione degli incidenti: il secondo dice come si tratta e si notifica ogni incidente, il primo come si governa una situazione eccezionale che coinvolge tutta l'azienda.

Come si costruiscono, partendo dai servizi

Il metodo più semplice per una media impresa parte dai servizi per cui siete soggetti NIS e dai sistemi rilevanti che li sostengono. Per ciascuno chiedetevi:

• per quanto tempo può restare fermo prima che il danno diventi grave: un'ora, un giorno, una settimana;
• quanti dati potete permettervi di perdere: gli ordini dell'ultima ora, del giorno, della settimana;
• come si lavora nel frattempo: ordini a mano, spedizioni con documenti stampati, produzione con le ricette salvate in locale;
• da cosa dipende: altri sistemi, fornitori, linee, persone con competenze che nessun altro ha.

Le prime due risposte diventano gli obiettivi di ripristino che il piano di disaster recovery deve indicare (ID.IM-04, punto 2, lettera g), e dicono ogni quanto fare i backup: la misura PR.DS-11 chiede proprio backup coerenti con queste esigenze. La terza è il cuore del piano di continuità. La quarta porta ai fornitori, che nei piani devono comparire con i contatti di emergenza e i tempi di intervento.

L'approccio richiesto è multi-rischio: le misure proteggono i sistemi e il loro ambiente fisico (art. 24, c. 2), e l'ACN ricorda che contano anche incendi, inondazioni e interruzioni di energia o telecomunicazioni (FAQ ISB.G.2). Un piano che prevede solo il ransomware è incompleto.

Solo per gli essenziali: comunicazioni di emergenza

I soggetti essenziali usano, in base alla valutazione del rischio, sistemi di comunicazione di emergenza protetti, con procedure scritte (PR.IR-03). Per l'ACN sono sistemi per comunicare in modo sicuro quando quelli principali non sono disponibili, per esempio dopo un attacco o un disastro (guida alla lettura, appendice D). Se posta e chat aziendali sono cifrate o compromesse, dovete sapere già dove ci si parla: un canale alternativo predisposto in anticipo, con gli account pronti e l'elenco dei partecipanti, non un gruppo improvvisato sui telefoni personali.

Anche per gli importanti il piano di continuità deve indicare i canali di comunicazione interni ed esterni (ID.IM-04, punto 1, lettera c): pensarci prima conviene a tutti.

Le prove da tenere pronte

• i piani di continuità operativa, di disaster recovery e di gestione delle crisi, con versione e data, per i sistemi rilevanti;
• la delibera dell'organo di amministrazione che li approva;
• gli obiettivi di ripristino per sistema e l'ordine di ripristino;
• l'elenco dei contatti di emergenza, interni e dei fornitori, disponibile anche su carta;
• i verbali di riesame, almeno ogni due anni, e quelli di eventuali esercitazioni e test di ripristino;
• per gli essenziali, la descrizione del canale di comunicazione di emergenza e la procedura.

Gli errori più comuni

• Il piano solo informatico. Il piano di continuità dice come lavora l'azienda, non solo come si riaccendono i server: logistica, produzione e amministrazione devono averlo letto.
• Obiettivi di ripristino scritti a tavolino. Se dite «quattro ore» e il ripristino completo del gestionale non è mai stato provato, quel numero non vale.
• Il piano dentro il server. Quando il server è cifrato, il piano deve essere leggibile altrove.
• I fornitori senza contatti di emergenza. Il numero del centralino commerciale non serve alle due di notte.
• Nessuno sa chi dichiara la crisi. Le condizioni di attivazione e l'autorità per farlo vanno scritte.
• Mai riaperto. Nuovi sistemi, nuovi fornitori, un trasloco: il piano va riesaminato prima dei due anni.

Entro quando

I tre piani seguono il termine di tutte le misure di sicurezza di base, compresa l'approvazione dell'organo di amministrazione. Poi si riesaminano almeno ogni due anni.

• Entrati nell'elenco NIS nel 2025: 18 mesi dalla comunicazione di inserimento (det. ACN 379907/2025, art. 3), cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025. Il termine è passato: se scoprite che qualcosa manca, il decreto chiede di correggere «senza indebito ritardo» (art. 24, c. 4).
• Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. ACN 127434/2026).
• Entrati dal 2027: l'ACN non ha ancora fissato il termine.

Lo stesso termine vale per le approvazioni dell'organo di amministrazione (art. 23). Tutte le date sono in scadenze 2026-2027. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure «rafforzate», che integreranno e sostituiranno quelle di base: al 13 novembre 2026 non sono state adottate, e finché non lo saranno valgono i requisiti di questa pagina.

Da dove partire

1. Elencate i servizi NIS e, per ciascuno, il fermo massimo tollerabile e i dati che potete perdere.
2. Scrivete come si lavora senza sistemi con i responsabili di produzione, logistica e amministrazione.
3. Fissate ordine e obiettivi di ripristino con il fornitore IT, e provateli con un test.
4. Definite chi dichiara la crisi, i canali di emergenza e i contatti su carta; poi fate approvare i piani.

Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita; per una fotografia di tutte le misure c'è l'autovalutazione, e tra i modelli gratuiti la checklist delle misure ACN. Nella sesta tappa di Pilot la scheda «Continuità e backup» vi fa scrivere i sistemi da far ripartire per primi con il fermo accettabile, i backup, cosa fate se un sistema critico si ferma e i numeri da chiamare in emergenza; lo scadenzario ricorda il riesame dei piani: provatelo gratis. Se volete costruire i piani con un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti