No. E pensare il contrario può costare molto caro all’azienda.
Quando un attacco informatico blocca la produzione, il danno non riguarda i computer: riguarda i soldi che si perdono, i clienti che non si riescono a servire, il tempo necessario per ripristinare le attività. Per questo la cybersecurity non può più essere considerata una responsabilità esclusiva del reparto IT.
La realtà delle fabbriche connesse ha cambiato le regole del gioco. L’interruzione dei sistemi digitali si traduce rapidamente nell’impossibilità di produrre, di rispettare gli impegni commerciali, di mantenere la continuità operativa. La sicurezza informatica è diventata una componente essenziale della gestione del rischio d’impresa, e questo richiede un cambio di prospettiva soprattutto a livello di management.
Il primo cambiamento riguarda la percezione del problema.
Le minacce informatiche al settore manifatturiero sono in aumento, con attacchi prevalentemente motivati da finalità economiche e conseguenze che vanno ben oltre la compromissione dei dati. Ma sta cambiando anche la percezione del mercato: molte imprese richiedono già certificazioni e requisiti di sicurezza ai propri fornitori. Poter affermare che la propria azienda, i propri processi e i propri prodotti sono più sicuri di quelli dei concorrenti è diventato un elemento di competitività commerciale.
Le nuove normative europee, come la NIS 2, stanno formalizzando questo cambiamento. La direttiva chiede esplicitamente di portare la cybersecurity nelle discussioni dei vertici aziendali. Non significa che gli amministratori debbano diventare esperti informatici, ma che devono assumersi la responsabilità delle misure adottate e avere il controllo della gestione del rischio.
Come si traduce concretamente questa responsabilità? Occorre distinguere tre livelli.
- Il primo è la governance, che definisce le responsabilità e approva le scelte strategiche.
- Il secondo è il management, che traduce queste scelte in processi e procedure operative.
- Il terzo è la resilienza operativa, che permette all’impresa di affrontare gli incidenti senza compromettere irrimediabilmente le proprie attività.
La difficoltà è che le imprese devono gestire contemporaneamente normative differenti: alcune intervengono sull’organizzazione, come la NIS 2, altre sulla sicurezza dei prodotti, come il Cyber Resilience Act e il Regolamento Macchine. Quando si verifica un incidente, le responsabilità e gli obblighi previsti da queste disposizioni possono sovrapporsi.
Le domande critiche da porsi sono chiare:
- Chi decide come intervenire quando si verifica un incidente?
- Chi può autorizzare la disconnessione di una rete?
- Chi è responsabile della gestione dell’emergenza?
Tutte questioni che devono essere definite prima, non durante l’attacco.
La risposta è adottare un modello di governance integrato, evitando di affrontare ogni normativa con un progetto indipendente. La cybersecurity deve entrare nei processi decisionali dell’impresa, coinvolgendo il management, i responsabili della produzione, le funzioni IT e OT e i partner della filiera.
Chi guida l’azienda deve sapere cosa chiedere e di cosa è responsabile. Non può delegare completamente a chi sistema la rete, perché le conseguenze di un attacco riguardano la continuità del business, non solo l’infrastruttura tecnologica. La sicurezza informatica è una questione di business, e come tale va gestita.
