Business Impact Analysis NIS2: MTPD, RTO e RPO spiegati senza giri di parole
La Business Impact Analysis (BIA) è l’analisi con cui un’azienda misura le conseguenze dell’interruzione dei propri servizi critici: quanto tempo può stare ferma, quanti dati può permettersi di perdere, quanto le costa ogni ora di fermo. Nel contesto NIS2 è la base della continuità operativa richiesta dal D.Lgs. 138/2024. NIS2Hub, la piattaforma di Gendata — MSP italiano certificato ISO 27001 — la integra come mini-BIA guidata nel primo passo del percorso.
Perché la BIA è il punto di partenza, non un esercizio accademico
La continuità operativa è uno degli ambiti delle misure di base NIS2 (Determinazione ACN 379907/2025: 43 misure in 16 ambiti, pienamente operative entro il 31 ottobre 2026 per i soggetti in elenco dal 2025, entro il 31 luglio 2027 per quelli del 2026). Ma non puoi pianificare la continuità di qualcosa che non hai misurato: prima di decidere backup, ridondanze e piani di ripristino devi sapere quali servizi sono davvero critici e quanto fermo puoi sopportare.
Questo è il lavoro della BIA. Non parte dalla tecnologia: parte dal business. Per ogni servizio che eroghi ti chiedi cosa succede se si ferma — chi smette di lavorare, quali clienti non servi, quali obblighi violi, quanti soldi perdi — e per quanto tempo la situazione resta tollerabile. Solo dopo, dai numeri della BIA, discendono le scelte tecniche: un servizio che può stare fermo una settimana non giustifica gli stessi investimenti di uno che deve ripartire in un’ora.
Il beneficio collaterale è la conversazione con la direzione: la BIA traduce la sicurezza in impatti economici e operativi, il linguaggio che gli organi di amministrazione — direttamente responsabilizzati dalla NIS2 — capiscono e su cui possono decidere.
MTPD, RTO, RPO: le tre sigle che devi saper leggere
Tutta la BIA ruota intorno a tre parametri. Ecco cosa significano e come si usano.
| Parametro | Cosa misura | Domanda a cui risponde | Esempio pratico |
|---|---|---|---|
| MTPD (Maximum Tolerable Period of Disruption) |
Il tempo massimo di interruzione tollerabile prima che il danno diventi inaccettabile | “Oltre quanto tempo di fermo l’azienda entra in crisi seria?” | Se l’e-commerce è l’unico canale di vendita, l’MTPD può essere di poche ore; per un gestionale di magazzino può essere di giorni |
| RTO (Recovery Time Objective) |
Il tempo obiettivo entro cui il servizio deve essere ripristinato | “In quanto tempo dobbiamo far ripartire il servizio?” | L’RTO deve sempre essere inferiore all’MTPD: se il limite di sopportazione è 8 ore, punti a ripartire in 4 |
| RPO (Recovery Point Objective) |
La quantità massima di dati che puoi permetterti di perdere, espressa in tempo | “Quanto lavoro possiamo perdere senza danni gravi?” | Un RPO di 24 ore significa che un backup al giorno basta; un RPO di 15 minuti richiede replica continua |
La relazione tra i tre è la sostanza della BIA: l’MTPD lo fissa il business (è un limite di sopravvivenza), l’RTO e l’RPO sono obiettivi che l’IT deve garantire restando dentro quel limite. Se scopri che l’RTO reale dei tuoi sistemi è superiore all’MTPD di un servizio critico, hai trovato un rischio concreto — ed è esattamente il tipo di scoperta per cui la BIA esiste.
Come si fa una BIA in una PMI, senza esagerare
La BIA ha una fama di esercizio pesante perché nelle grandi organizzazioni lo è. In una PMI può e deve essere proporzionata. Il percorso ragionevole:
- Elenca i servizi, non i server. Il punto di vista è quello del cliente e del business: “vendita online”, “produzione”, “assistenza” — non “il server X”. Se hai già comunicato ad ACN il tuo elenco di servizi, parti da quello.
- Valuta gli impatti su due assi: economico e operativo. Quanto costa un’ora o un giorno di fermo, e cosa blocca in concreto. Non servono stime al centesimo: servono ordini di grandezza onesti, condivisi con chi conosce i numeri.
- Assegna MTPD, RTO e RPO ai servizi critici. Pochi valori, decisi con la direzione, documentati. La coerenza conta più della precisione: un RTO scritto e verificabile vale più di dieci stime perfette mai formalizzate.
- Usa i risultati. La BIA alimenta il registro dei rischi, orienta gli investimenti di continuità e finisce nel dossier come evidenza. Una BIA che non produce decisioni è un documento in più, non un’analisi.
E va rivista quando cambia qualcosa di sostanziale: un nuovo servizio, un nuovo fornitore critico, una crescita che rende intollerabile un fermo che prima si sopportava.
Come lo fa NIS2Hub
In NIS2Hub la BIA non è un modulo separato da compilare a parte: è dentro il primo passo del percorso NIS2 guidato, “Servizi e Fornitori”. Carichi il file dei servizi già comunicato ad ACN — o usi il censimento guidato — e per i servizi critici compili una mini-BIA: MTPD, RTO/RPO, impatto economico e impatto operativo. Proporzionata a una PMI, con una sola “prossima azione” alla volta e salvataggio automatico.
Parte dai servizi ACN
Il censimento riusa il file già comunicato ad ACN: niente doppio lavoro, e il foglio servizi ufficiale resta esportabile e coerente.
Mini-BIA guidata
MTPD, RTO/RPO e impatti economici e operativi per ogni servizio critico, raccolti con quesiti semplici invece che con un template da interpretare.
Collegata a rischi e fornitori
I servizi critici si legano a fornitori e rischi: il registro dei rischi valuta impatto × probabilità partendo da ciò che la BIA ha reso misurabile.
Delegabile ai colleghi
Le attività si assegnano come task: chi conosce i numeri compila gli impatti, chi conosce i sistemi compila i tempi di ripristino.
Evidenza nel dossier
La BIA entra nel dossier ZIP pronto per un controllo ACN, insieme a documenti, registri ed evidenze ordinati in cartelle.
Disponibile dal Modulo 1
La mini-BIA fa parte del Modulo 1 · Base (Fornitori & Servizi): puoi iniziare da qui e passare al percorso documentale completo quando vuoi.
Approfondisci nella pagina dedicata: Servizi critici e mini-BIA in NIS2Hub.
Domande frequenti
Cos’è la Business Impact Analysis nella NIS2?
È l’analisi che misura le conseguenze dell’interruzione dei servizi critici — tempo massimo tollerabile di fermo (MTPD), obiettivi di ripristino (RTO/RPO), impatti economici e operativi — ed è la base della continuità operativa richiesta tra le misure del D.Lgs. 138/2024.
Che differenza c’è tra MTPD, RTO e RPO?
L’MTPD è il limite di sopportazione del business: oltre quel fermo il danno è inaccettabile. L’RTO è l’obiettivo di ripristino del servizio e deve stare sotto l’MTPD. L’RPO è la quantità massima di dati che puoi perdere, espressa in tempo: determina la frequenza di backup o replica.
La BIA è obbligatoria per la NIS2?
La continuità operativa è uno degli ambiti delle misure di base ACN, e per pianificarla e dimostrarla serve un’analisi degli impatti sui servizi critici. Una BIA proporzionata è il modo concreto di soddisfare e documentare questo requisito.
Quanto deve essere complessa la BIA di una PMI?
Proporzionata: servizi (non server), impatti economici e operativi in ordini di grandezza onesti, MTPD/RTO/RPO per i servizi critici. La mini-BIA di NIS2Hub raccoglie esattamente questo, con quesiti guidati e salvataggio automatico.
Chi deve partecipare alla BIA?
Il business e l’IT insieme: la direzione fissa cosa è tollerabile e quanto vale un fermo, l’IT dice quanto è realistico ripristinare. In NIS2Hub le attività si delegano come task ai colleghi giusti.
Serve il Modulo 2 di NIS2Hub per fare la BIA?
No: la mini-BIA dei servizi critici fa parte del Modulo 1 · Base (Fornitori & Servizi). Il Modulo 2 · Completo aggiunge il percorso documentale NIS2, dal registro dei rischi al dossier per l’ACN.
Scopri quanto fermo può sopportare davvero la tua azienda
In una demo di 20 minuti ti mostriamo la mini-BIA di NIS2Hub: dal file servizi ACN a MTPD, RTO/RPO e impatti, senza fogli di calcolo. Senza impegno.