Il 20 gennaio 2026 la Commissione Europea ha presentato un pacchetto di riforme destinato a ridisegnare il panorama normativo della Cybersecurity nell’Unione europea.

A cura Stefano Capelli
[Consulente Senior – Area Sostenibilità]

Quadro normativo

Arrivano novità importanti sul versante della Sicurezza Informatica. Lo scorso gennario, la CE ha presentato un nuovo Regolamento – denominato Cybersecurity Act 2 – che abroga e sostituisce la precedente versione, accompagnato da proposte di modifiche alla Direttiva NIS 2.

Infatti, gli incidenti informatici sono aumentati in modo esponenziale e gli attacchi sono diventati sempre più sofisticati, capaci di colpire settori critici.

Sempre più spesso, inoltre, gli attaccanti sfruttano tecnologie emergenti come l’intelligenza artificiale per amplificare e ottimizzare le proprie offensive, mentre gli attacchi ransomware* continuano a rappresentare una delle minacce principali per l’ecosistema digitale europeo.

Se sei interessato, entriamo nel dettaglio.

*crittografare i file di una vittima, rendendoli inaccessibili, e richiedere un riscatto (ransom) per la decrittazione. 

L’utilizzo di Ransomware è una delle prassi più comuni del Cybercrime e il recente attacco informatico all’università della Sapienza di Roma ne è un esempio. Esistono addirittura servizi Ransomware-as-a-Service (RaaS) dove il funzionamento è gestito da “operatori RaaS” che creano il software dannoso e gestiscono l’infrastruttura, mentre gli affiliati pagano una quota (o condividono i profitti) per utilizzarlo in attacchi.

CLUSIT (Associazione Italiana per la Sicurezza Informatica), nel rapporto annuale sullo stato della Cybersecurity nel mondo e in Italia, riporta che nel 2025 il tasso di crescita annuale degli attacchi è di circa il 15,2% mentre le tipologie di attacchi sono per il 78% di cybercrime, il 22% di Hactivism (promuovere cambiamenti politici, sociali o ideologici), mentre sono trascurabili gli attacchi in ambito di spionaggio industriale.

Il ransomware è un tipo di malware (software dannoso) che infetta dispositivi informatici, crittografando file o bloccando l’accesso al sistema. L’obiettivo è estorcere un riscatto (“ransom” in inglese), solitamente in criptovalute, per ripristinare l’accesso ai dati o evitarne la pubblicazione, spesso attraverso una doppia estorsione.

Tutto ciò ci porta ad affermare che oggi le tematiche legate alla cybersecurity non possono più essere considerate una variabile tecnica relegata alla periferia dell’organizzazione ma una vera e propria componente del business.

Il rischio informatico deve essere percepito, quindi, come un fattore sistemico, con impatti potenzialmente rilevanti sul valore dell’impresa e sulla sua resilienza complessiva.

Come implementare una difesa proattiva utilizzando ISO 27001

Alla luce dell’attuale quadro normativo in materia di Cybersecurity, la ISO 27001 definisce un sistema di gestione della sicurezza delle informazioni (ISMS) basato su rischi e controlli strutturati. È uno standard volontario, ma funge da framework unificante utile per dimostrare maturità e facilitare l’adempimento ad altri regimi di compliance ed è centrale perché fornisce controlli e processi che supportano NIS 2, GDPR e controlli di Cybersecurity che rendono più semplice costruire modelli integrati di governance.

La Cybersecurity è un elemento strutturale del Sistema di Gestione della Sicurezza delle Informazioni (SGSI), come definito dalla ISO/IEC 27001, e incide direttamente sulla continuità operativa e sulla protezione degli asset informativi.

Nonostante l’evoluzione delle minacce e degli strumenti di difesa, il fattore umano rimane il punto più critico. Secondo il report Voice of the CISO 2025 di Proofpoint, il 68% dei Chief Information Security Officer (CISO) italiani identifica le persone come il principale rischio, pur riconoscendo che la maggior parte dei dipendenti conosce le buone pratiche di sicurezza. Questo divario tra consapevolezza e comportamento evidenzia la necessità di rafforzare i controlli relativi alla competenza e consapevolezza del personale (ISO/IEC 27001, clausola 7.2 e controllo A.6.3).

La maggior parte delle perdite di dati è attribuita a errori o azioni improprie degli insider, con un 94% dei CISO che segnala criticità legate ai dipendenti in uscita. La ISO/IEC 27001 affronta esplicitamente questo rischio attraverso i controlli sulla gestione del ciclo di vita del personale (A.6.1–A.6.5), che includono onboarding, offboarding e gestione degli accessi.

Anche la diffusione dell’AI generativa introduce nuove sfide: il 69% dei CISO ritiene prioritario abilitarne un uso sicuro, mentre il 60% teme la perdita di dati attraverso piattaforme pubbliche e strumenti basati su LLM. La norma, pur non citando esplicitamente l’AI, fornisce un quadro di riferimento applicabile: dalla classificazione delle informazioni (A.5.12) alla protezione dei dati in transito e in uso (A.8.24–A.8.25), fino alla necessità di definire politiche e linee guida per l’uso di tecnologie emergenti (A.5.1).

Molte organizzazioni stanno quindi passando da un approccio difensivo a uno orientato alla governance dell’AI, coerente con i principi di miglioramento continuo (clausola 10) e gestione del cambiamento (A.5.30).

I dati riflettono una carenza nei processi di valutazione e trattamento del rischio (ISO/IEC 27001, clausola 6.1), così come nella capacità di assorbire l’impatto degli incidenti. Il rapporto sottolinea che oltre il 75% dei responsabili hanno sperimentato una perdita di dati significativa nell’ultimo anno: un chiaro segnale della necessità di rafforzare i controlli relativi alla gestione degli incidenti di sicurezza delle informazioni (A.5.24) e alla continuità operativa (A.5.30).

La sicurezza informatica si conferma quindi un tema di governance, che richiede decisioni strategiche su investimenti, priorità e responsabilità, in linea con i requisiti di leadership e supporto della norma (clausole 5 e 7).

Il valore della conformità ISO 27001

In un contesto in cui le minacce si moltiplicano e l’AI accelera la trasformazione dei processi, la sicurezza informatica e la resilienza organizzativa nel suo complesso diventano elementi chiave del business. La sfida è integrare tecnologia, governance e cultura, in piena coerenza con l’approccio sistemico e basato sul rischio della ISO/IEC 27001.

Una corretta implementazione dello standard ISO 27001, pur non potendo mettere al riparo al 100% dall’eventualità di un attacco cyber, non va vista solo come sicurezza tecnica ma è anche un fattore competitivo e un abilitatore di business che opera sulle seguenti leve.

• Migliora la fiducia di clienti e partner: dimostra un livello di sicurezza certificato, riducendo le barriere all’ingresso nei mercati e facilitando le trattative.
• Riduce rischi e costi operativi: un approccio strutturato alla gestione del rischio minimizza incidenti, downtime e impatti operativi.
• Abilita nuove opportunità commerciali: molti bandi, gare e grandi clienti richiedono la certificazione per collaborare.
• Supporta la conformità normativa: rende più semplice l’allineamento al GDPR, alle best practice del settore e alle richieste di audit.
• Aumenta la resilienza organizzativa: il framework di gestione assicura continuità anche in caso di eventi imprevisti (cyber attacchi, blackout, crisi operative).

Da questo approfondimento risulta chiara una cosa: fare una Gap Analysis dei processi è fondamentale. In NIER lo sappiamo bene e possiamo affiancarti in tutto il tuo percorso.