NIS2: dall’attestato alla prova pratica, come costruire competenze che servono davvero

Dalla partecipazione alla capacità operativa

Un’azienda può avere un registro presenze completo e scoprire, durante un incidente, che nessuno sa chi deve prendere la prima decisione. La distanza tra partecipazione e capacità operativa è il problema da affrontare quando si progetta la formazione sulla sicurezza informatica.

Il riferimento normativo va collocato correttamente. L’articolo 20 della direttiva NIS2 prevede formazione per i membri degli organi di gestione dei soggetti essenziali e importanti. In Italia, l’articolo 23 del decreto legislativo 138/2024 disciplina gli organi di amministrazione e direttivi, includendo la formazione e la promozione di un’offerta periodica coerente per i dipendenti. L’applicabilità va verificata rispetto alla singola organizzazione. [1] [2]

Sul versante delle competenze, ENISA ha pubblicato il 26 giugno 2025 una guida che collega gli obblighi NIS2 ai profili dell’European Cybersecurity Skills Framework. È un riferimento per ragionare su ruoli e capacità professionali; non è un nuovo obbligo formativo entrato in vigore oggi. [3]

Obiettivi diversi per responsabilità diverse

La proposta operativa di DM Web Solution è partire dalle decisioni che l’azienda deve saper prendere. La domanda iniziale diventa: “Che cosa deve riuscire a fare questa persona, nel proprio ruolo, dopo il percorso?”. Le ore di corso restano un dato utile, ma l’obiettivo deve descrivere un comportamento osservabile.

Per la direzione, proponiamo un modulo centrato su priorità, rischio e continuità. Un caso può richiedere di scegliere tra sospensione temporanea di un servizio e prosecuzione con misure compensative. Il risultato atteso è una decisione motivata, con responsabilità, informazioni mancanti e condizioni per il riesame. Lo scenario deve essere ipotetico e adattato ai servizi effettivamente erogati.

Per il personale tecnico, il percorso può concentrarsi sull’acquisizione delle prime evidenze, sull’escalation e sul coordinamento con i fornitori. Una prova utile consiste nel ricostruire la gestione di un accesso sospetto utilizzando registri predisposti per l’esercitazione. Il partecipante dovrebbe spiegare quali fatti conosce, quali verifiche propone e quali interventi richiedono autorizzazione.

Anche le funzioni amministrative hanno obiettivi specifici. Gli acquisti possono esercitarsi nel riconoscere un servizio informatico critico e nel coinvolgere chi valuta il rischio. Le risorse umane possono verificare il passaggio di informazioni necessario per attivare o revocare un accesso. I responsabili operativi possono provare a segnalare un disservizio descrivendone l’impatto sul lavoro.

Una matrice e criteri di valutazione chiari

Questa articolazione richiede una matrice essenziale. Suggeriamo cinque campi: ruolo, attività da svolgere, competenza richiesta, esercizio e prova del risultato. In una piccola struttura la stessa persona può coprire più ruoli; la matrice deve rendere visibili anche sovrapposizioni e dipendenze. Quando una competenza è esterna, occorre stabilire come viene attivata e chi ne valuta il contributo.

La valutazione dovrebbe combinare comprensione e applicazione. Un questionario può verificare termini e procedure; un caso guidato mostra come vengono usati. Per evitare giudizi arbitrari, suggeriamo criteri comunicati in anticipo: riconoscimento del problema, correttezza dell’escalation, qualità delle informazioni e rispetto delle autorizzazioni. Le carenze emerse devono generare un’attività di recupero proporzionata.

Un’esercitazione breve può coinvolgere più funzioni. Immaginiamo un fornitore che segnali un possibile incidente su un servizio utilizzato dall’azienda. L’IT raccoglie i dettagli tecnici, il responsabile operativo identifica le attività coinvolte, la direzione valuta le conseguenze e il referente competente verifica gli eventuali adempimenti. Non serve introdurre scadenze inventate: l’esercizio deve usare le procedure applicabili all’organizzazione.

Evidenze e miglioramento continuo

Le evidenze proposte sono semplici: programma, partecipanti, materiali utilizzati, risultati e azioni successive. Nei verbali conviene distinguere un errore individuale da un difetto della procedura. Se tutti cercano un recapito inesistente, la correzione riguarda prima di tutto l’organizzazione. Un corso successivo potrà verificare se il problema è stato effettivamente risolto.

Per misurare l’efficacia, suggeriamo di osservare la qualità delle segnalazioni, i tempi di attivazione dei referenti e la chiusura delle azioni correttive. Sono indicatori interni proposti, da interpretare insieme al contesto: una segnalazione più rapida è utile solo se contiene informazioni sufficienti.

Il piano formativo diventa così un ciclo: individuare una capacità necessaria, esercitarla, valutarla e correggere ciò che manca. Per l’impresa, il beneficio atteso è poter contare su persone che conoscono il proprio compito e sanno collaborare quando il normale funzionamento dei servizi viene messo alla prova.