Il registro dei rischi NIS2: impatto × probabilità senza filosofia

Il registro dei rischi NIS2 è il documento in cui un’organizzazione elenca i rischi di sicurezza che gravano sui propri servizi e sistemi, li misura combinando impatto e probabilità e decide, per ciascuno, come trattarli. È uno dei pilastri dell’adeguamento alla Direttiva (UE) 2022/2555 e al D.Lgs. 138/2024: l’approccio della norma è basato sul rischio, e senza una valutazione dei rischi documentata tutte le altre misure restano scelte arbitrarie. La buona notizia: si può fare bene senza filosofia, con un metodo di quattro passi.

L’anatomia di un rischio ben scritto

Un rischio non è una frase vaga tipo «rischio cyber» o «rischio ransomware in generale». Un rischio ben formulato lega sempre tre elementi:

• Un asset o un servizio: il server gestionale, la posta elettronica, la linea di produzione, il portale clienti. Qualcosa di vostro, con un nome.
• Una minaccia: cifratura da ransomware, indisponibilità del fornitore cloud, errore umano su una configurazione, furto di credenziali.
• Una conseguenza: interruzione del servizio, perdita di dati, danno economico, inadempimento verso i clienti.

«Il ransomware cifra il file server e blocca la fatturazione per giorni» è un rischio su cui si può decidere. «Rischio malware» no. La qualità del registro si gioca tutta in questa formulazione: se il rischio non nomina un asset e una minaccia specifici, la valutazione che segue sarà aria fritta.

Impatto × probabilità = livello, senza girarci intorno

La formula è volutamente elementare: si assegna al rischio un valore di impatto (quanto farebbe male se accadesse) e uno di probabilità (quanto è verosimile che accada), su una scala semplice — ad esempio da 1 a 4: basso, medio, alto, critico. Il prodotto dei due valori è il livello di rischio, che ordina il registro dal rischio più urgente al meno urgente.

Due accorgimenti evitano le derive filosofiche:

L’impatto si ancora a dati, non a sensazioni. Se avete censito i servizi critici con una mini-BIA — tempo massimo tollerabile di interruzione (MTPD), obiettivi di ripristino (RTO/RPO), impatto economico e operativo — l’impatto di un rischio che colpisce quel servizio è già stimato. Un servizio che l’azienda può perdere per due ore ha rischi a impatto alto quasi per definizione; uno che può restare fermo una settimana no. La BIA fatta prima rende la valutazione dei rischi un calcolo, non un dibattito.

La probabilità si ancora alle misure esistenti. La probabilità non è quella astratta della minaccia nel mondo, ma quella nella vostra situazione: con o senza backup testati, con o senza autenticazione robusta, con o senza aggiornamenti regolari. Stessa minaccia, probabilità diverse a seconda di ciò che avete già in piedi.

Il punto di partenza migliore: le misure non attuate

Molte aziende bloccano il registro dei rischi alla pagina bianca: da dove tiro fuori i rischi? La risposta più concreta viene dall’autovalutazione sulle specifiche di base ACN: 16 ambiti, 43 misure. Ogni misura non attuata o attuata parzialmente è, letta al contrario, un rischio già identificato. Non fate i riesami periodici degli accessi? Ecco il rischio di utenze attive di ex collaboratori. Non testate i ripristini? Ecco il rischio di backup inutilizzabili il giorno in cui servono.

Partire dai gap dell’autovalutazione ha due vantaggi: il registro nasce già agganciato alle misure richieste dalla norma, e ogni rischio ha per costruzione una misura mitigante candidata — proprio quella non ancora attuata. Ai rischi derivati dai gap si aggiungono poi quelli specifici del vostro contesto: dipendenze da fornitori critici, sistemi legacy, sedi, personale.

Il trattamento: quattro scelte, una decisione per riga

Valutare non basta: per ogni rischio il registro deve dire cosa si è deciso di fare. Le opzioni classiche sono quattro:

• Mitigare: attuare misure che riducono impatto o probabilità. È il caso più frequente, e ogni mitigazione va collegata a misure concrete con un responsabile e una scadenza.
• Trasferire: spostare parte del rischio su terzi, tipicamente con assicurazioni o clausole contrattuali verso i fornitori.
• Evitare: eliminare l’attività o l’asset che genera il rischio, quando il gioco non vale la candela.
• Accettare: prendersi il rischio residuo, consapevolmente e per iscritto. Accettare è legittimo; accettare senza traccia scritta no, perché la NIS2 chiede che le scelte sui rischi siano governate dai vertici, e i vertici possono governare solo ciò che è documentato.

La riga tipo del registro, alla fine, contiene: asset/servizio, minaccia, impatto, probabilità, livello, misure mitiganti collegate, decisione di trattamento, responsabile. Otto colonne. Tutto ciò che va oltre è raffinatezza; tutto ciò che manca è un buco.

Un documento vivo, non un rito annuale

Il registro dei rischi invecchia in fretta: un fornitore nuovo, un servizio migrato in cloud, un incidente occorso cambiano il quadro. Per tenerlo vivo bastano tre regole: un riesame periodico a cadenza fissa messo a scadenzario; un aggiornamento puntuale a ogni cambiamento rilevante (nuovo servizio, nuovo fornitore critico, incidente significativo); la ricalibrazione del livello quando una misura mitigante viene completata — è il momento più gratificante, perché il registro mostra nero su bianco che il lavoro fatto ha abbassato il rischio.

In sintesi

Niente matrici barocche, niente metodologie da manuale accademico: asset più minaccia, impatto per probabilità, una decisione di trattamento per ogni riga e un riesame a calendario. Un registro dei rischi così costruito guida davvero le priorità di spesa e di lavoro — ed è esattamente ciò che un verificatore si aspetta di trovare: non la perfezione, ma un metodo applicato con costanza.