Cyber risk: cos'è e come si gestisce il rischio informatico

Il cyber risk, o rischio informatico, è la possibilità che un evento sui sistemi informatici (un attacco, un guasto, un errore umano, un fornitore che si ferma) produca un danno all'azienda: fermo delle attività, perdita di dati, costi, sanzioni. Si misura combinando due fattori, l'impatto dell'evento e la probabilità che accada. Gestirlo, il cyber risk management, significa identificarlo, valutarlo, decidere cosa farne e tenerlo sotto controllo nel tempo.

Qui trovi la definizione che usano le norme, le componenti del rischio, il ciclo di gestione in quattro fasi, cosa chiedono NIS2, DORA e ISO/IEC 27001 e come si fa un cyber risk assessment senza trasformarlo in un esercizio di carta.

Cos'è il cyber risk: la definizione che usano le norme

La definizione più utile per un'azienda italiana è quella del D.Lgs. 138/2024, il decreto che recepisce la NIS2. All'articolo 2, comma 1, lettera aa), il rischio è la combinazione dell'entità dell'impatto di un incidente, in termini di danno o di perturbazione, e della probabilità che quest'ultimo si verifichi. Due variabili, nessuna delle due basta da sola: un evento molto probabile ma innocuo non è un rischio rilevante, e nemmeno uno devastante che non può accadere.

Il regolamento DORA, per il settore finanziario, usa l'espressione rischi informatici e li definisce all'articolo 3, punto 5, come qualunque circostanza ragionevolmente identificabile, legata all'uso dei sistemi informatici e di rete, che se si concretizza può comprometterne la sicurezza o la fornitura dei servizi, con effetti avversi nell'ambiente digitale o fisico. La guida NIST SP 800-30 dice la stessa cosa in termini generali: il rischio è di norma funzione degli impatti negativi di un evento e della sua probabilità.

Cyber risk, rischio informatico, rischio cyber, rischio per la sicurezza delle informazioni: nella pratica sono sinonimi. Cambia la parola che usa la norma di riferimento, non l'oggetto.

Le quattro componenti: minaccia, vulnerabilità, probabilità, impatto

Per valutare un rischio bisogna scomporlo. Le misure di sicurezza di base di ACN lo dicono nel titolo della misura ID.RA-05: Minacce, vulnerabilità, probabilità e impatti sono utilizzati per comprendere il rischio inerente e per informare la prioritizzazione della risposta al rischio.

• Minaccia: chi o cosa può causare il danno. Un gruppo ransomware, un dipendente che apre l'allegato sbagliato, un aggiornamento difettoso, un incendio in sala server.
• Vulnerabilità: la debolezza che la minaccia sfrutta. Una VPN senza autenticazione a più fattori, un server non aggiornato, un backup raggiungibile dalla stessa rete che viene cifrata.
• Probabilità: quanto è plausibile che quella minaccia trovi quella vulnerabilità nel tuo contesto, tenuto conto delle difese che già hai.
• Impatto: cosa succede se accade. Giorni di fermo, ordini persi, dati di clienti esposti, notifiche alle autorità, costi di ripristino.

Due concetti completano il quadro. Il rischio inerente è quello che esiste prima delle contromisure; il rischio residuo è quello che resta dopo. Le decisioni del management si prendono sul residuo: è quello che l'azienda sceglie, in modo esplicito, di tenersi.

Perché il cyber risk è un rischio di business

Il rischio informatico non riguarda solo l'IT: quando si concretizza ferma la produzione, blocca la fatturazione, rallenta la supply chain. Qualche dato per dare la misura.

• Il Rapporto Clusit 2026 (comunicato dell'11 marzo 2026) ha censito in Italia 507 incidenti gravi nel 2025, contro i 357 del 2024: +42%, pari al 9,6% degli incidenti gravi rilevati nel mondo. Sono solo gli attacchi noti, andati a buon fine e con impatti significativi, quindi una parte del totale.
• Il Cost of a Data Breach Report 2026 di IBM, nel comunicato italiano del 29 luglio 2026, stima il costo medio di una violazione in Italia in 3,55 milioni di euro, in crescita rispetto ai 3,31 milioni dell'edizione 2025.

Il quadro completo dei numeri sull'Italia è in attacchi cyber in Italia: i dati. Il punto per chi decide è un altro: questi numeri descrivono il mercato, non la tua azienda. Il tuo rischio dipende da quali sistemi hai, da quanto dipendi da ciascuno e da come sono esposti. Per questo va valutato, non stimato a sensazione.

Cyber risk management: il ciclo in quattro fasi

La gestione del rischio non è un documento, è un ciclo. La guida NIST SP 800-39 lo descrive in quattro componenti, che ritrovi con nomi diversi in ISO/IEC 27001 e nelle misure ACN.

1. Inquadrare: contesto e tolleranza

Prima di valutare si stabilisce cosa conta e quanto rischio l'azienda è disposta ad accettare. Quali servizi sono critici, quali vincoli legali e contrattuali valgono, chi decide. Le misure ACN aprono proprio così: un elenco aggiornato dei sistemi informativi e di rete rilevanti (GV.OC-04) e un piano di gestione dei rischi per la sicurezza informatica che dica come identificarli, analizzarli, valutarli, trattarli e monitorarli (GV.RM-03).

2. Valutare: il cyber risk assessment

È la fase che dà i numeri. Secondo la misura ACN ID.RA-05 la valutazione comprende almeno tre passi: identificazione del rischio, analisi e ponderazione, cioè il confronto con i criteri per decidere cosa trattare prima. Va considerata anche la dipendenza da fornitori e partner terzi, che è il terreno del third party risk management.

3. Trattare: le opzioni di risposta

Per ogni rischio si sceglie cosa farne. La SP 800-39 elenca le risposte possibili:

• Accettare, quando il rischio sta dentro la tolleranza decisa.
• Evitare, rinunciando all'attività o al sistema che lo genera.
• Mitigare, con controlli che riducono probabilità o impatto: MFA, segmentazione, patch, backup isolati, monitoraggio.
• Condividere o trasferire, per esempio con contratti o una polizza cyber, che sposta parte del danno economico ma non il fermo né gli obblighi di notifica.

Spesso la risposta è una combinazione. Le scelte finiscono nel piano di trattamento, che per ACN (ID.RA-06) indica per ogni rischio le opzioni e le misure con le priorità, chi le attua e con che tempi, e le ragioni con cui si accettano i rischi residui.

4. Monitorare

Il rischio cambia perché cambiano i sistemi, i fornitori e le minacce. ACN chiede di ripetere la valutazione a intervalli pianificati e comunque almeno ogni due anni, e in più dopo incidenti significativi, variazioni organizzative o mutamenti dell'esposizione alle minacce. Due anni sono il minimo richiesto, non il ritmo con cui cambia un'infrastruttura: per questo molte aziende affiancano alla valutazione periodica una misura continua dell'esposizione, come descritto in CTEM, continuous threat exposure management.

Cosa chiedono NIS2, DORA e ISO 27001

NIS2 e D.Lgs. 138/2024

L'articolo 24 del decreto obbliga i soggetti essenziali e importanti ad adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi alla sicurezza dei sistemi informativi e di rete. Il comma 2 mette al primo posto, lettera a), le politiche di analisi dei rischi, e alla lettera f) le procedure per valutare l'efficacia delle misure. L'articolo 23 assegna agli organi di amministrazione e direttivi l'approvazione delle modalità con cui queste misure vengono attuate.

La determinazione ACN 379907/2025 rende il tutto verificabile: la valutazione del rischio (ID.RA-05) e il piano di trattamento, compresa l'accettazione dei rischi residui (ID.RA-06), vanno approvati dagli organi di amministrazione e direttivi. Per i soggetti inseriti nell'elenco nazionale NIS nel 2025 il termine per adottare le misure è di 18 mesi dalla comunicazione di inserimento, che la pagina ACN sulle specifiche di base colloca a ottobre 2026; per i soggetti inseriti per la prima volta nel 2026 una determinazione ACN del 13 aprile 2026 lo fissa al 31 luglio 2027. Il quadro completo è nella guida completa alla NIS2.

DORA

Per banche, assicurazioni, SGR e le altre entità finanziarie, l'articolo 6 del Regolamento (UE) 2022/2554 chiede un quadro per la gestione dei rischi informatici solido, esaustivo e adeguatamente documentato, dentro il sistema di gestione globale del rischio. L'articolo 5 è netto sulla responsabilità: l'organo di gestione assume la responsabilità finale per la gestione dei rischi informatici dell'entità finanziaria e definisce il livello di tolleranza a quei rischi. Gli altri pilastri del regolamento sono in DORA: la guida completa.

ISO/IEC 27001

Nella ISO/IEC 27001:2022 il rischio è il motore del sistema di gestione: l'introduzione della norma spiega che l'ISMS mantiene riservatezza, integrità e disponibilità delle informazioni applicando un processo di gestione del rischio. I requisiti stanno nelle clausole 6.1.2 e 6.1.3, valutazione e trattamento del rischio relativo alla sicurezza delle informazioni, e nelle clausole operative 8.2 e 8.3, che li mettono in esecuzione. Come si costruisce il sistema intorno al rischio è spiegato in ISMS (SGSI): cos'è. Il rischio è anche una delle tre parti di un programma GRC (governance, risk and compliance), che usa lo stesso registro per decidere e per dimostrare la conformità.

Come si fa un cyber risk assessment in un'azienda mid-market

Un metodo che regge a un audit e resta utile anche dopo, in sette passi.

1. Inventario dei sistemi rilevanti. Applicazioni, server, servizi cloud, reti di produzione, account privilegiati. Senza un inventario aggiornato il resto poggia sul vuoto.
2. Processi critici e impatti. Per ogni sistema: quali attività sostiene e cosa costa il suo fermo nel tempo. È il lavoro della business impact analysis, che dà la colonna dell'impatto.
3. Minacce realistiche. Quelle che colpiscono davvero aziende come la tua, non un catalogo di cento voci. Per molte aziende la lista parte da ransomware, furto di credenziali e frodi via email.
4. Vulnerabilità reali. Misurate sui sistemi, non dichiarate in un questionario: scansioni, configurazioni del cloud, test. Un vulnerability assessment dà la base oggettiva.
5. Scala e registro dei rischi. Una scala di probabilità e impatto con tre o cinque livelli, definiti a parole e in euro o in ore di fermo dove possibile. Ogni rischio nel registro ha uno scenario scritto e un responsabile.
6. Piano di trattamento. Per ogni rischio sopra soglia: risposta scelta, misure, chi, entro quando. I rischi accettati hanno una motivazione.
7. Approvazione e riesame. Il piano va al consiglio di amministrazione, che per NIS2 e DORA è chi risponde, e torna in agenda alle scadenze e dopo ogni cambiamento rilevante.

Gli errori che vediamo più spesso

• La matrice compilata a tavolino. Probabilità assegnate in riunione senza guardare i sistemi: il risultato rispecchia le opinioni, non l'esposizione.
• Rischi senza scenario. Attacco informatico non è un rischio valutabile. Ransomware che cifra il gestionale e i backup in linea lo è.
• Rischi senza responsabile. Se nessuno ne risponde, nessuno li tratta.
• Valutazione ferma. Fatta per l'audit e riaperta l'anno dopo, mentre nel frattempo sono cambiati fornitori, accessi e sistemi esposti.
• Solo IT. Un rischio descritto in termini tecnici non si confronta con gli altri rischi d'impresa. Al consiglio serve l'impatto in giorni di fermo e in euro.

Come lavora AmagisTech sul rischio cyber

Con le aziende del mid-market italiano lavoriamo sulle due metà del cyber risk management: la valutazione e il piano di trattamento, scritti in modo che il consiglio li possa approvare e un auditor li possa verificare, e la parte operativa, cioè la riduzione del rischio sui sistemi e il monitoraggio continuo con il nostro SOC. Se vuoi capire da dove partire nel tuo caso, trovi come lavoriamo nella pagina dei servizi di cybersecurity.

In sintesi: il cyber risk è la combinazione tra impatto di un incidente informatico e probabilità che accada, come lo definisce il D.Lgs. 138/2024. Si gestisce con un ciclo continuo: contesto, valutazione, trattamento, monitoraggio. NIS2, DORA e ISO/IEC 27001 chiedono tutte la stessa cosa in forme diverse: una valutazione documentata e un piano di trattamento; NIS2 e DORA aggiungono un vertice aziendale che li approva e ne risponde.