Cultura della sicurezza e incident reporting: guida alla conformità NIS 2 e gestione processi

Nel panorama aziendale italiano del 2025, la cultura della sicurezza sta vivendo una trasformazione radicale. Il recepimento della Direttiva NIS 2 attraverso il d.lgs. 138/2024 ha segnato il passaggio definitivo da una gestione reattiva a una proattiva della resilienza aziendale. In questo contesto, l’incident reporting non è più un semplice adempimento burocratico, ma il pilastro su cui poggia la capacità di un’organizzazione di resistere e adattarsi alle minacce, siano esse fisiche o digitali. Questa guida esplora come trasformare gli obblighi normativi in un’opportunità strategica, integrando tecnologia e fattore umano per costruire un’azienda realmente resiliente.

L’evoluzione della cultura della sicurezza: dal d.lgs. 81/08 alla NIS 2

Per decenni, la cultura della sicurezza in Italia è stata dominata dal d.lgs. 81/08, focalizzato principalmente sulla protezione dell’integrità fisica dei lavoratori. Tuttavia, l’avvento del Testo ufficiale del d.lgs. 138/2024 (Recepimento NIS 2) ha ampliato questo perimetro, introducendo la cybersecurity come componente essenziale della sicurezza industriale ⁴.

Oggi esiste un profundo parallelo tra la sicurezza industriale (EHS) e quella informatica. Come evidenziato dalla ricercatrice Claire Blackett, entrambe le discipline richiedono un approccio olistico che superi i silos organizzativi, integrando misure tecniche e comportamentali ³. La Direttiva NIS 2 impone alle imprese di considerare il rischio informatico con la stessa serietà con cui si gestisce il rischio infortunistico, creando una visione di sicurezza integrata.

Perché la segnalazione incidenti è il cuore della resilienza

La segnalazione incidenti rappresenta il sensore principale della resilienza aziendale. Non si tratta solo di registrare un evento negativo, ma di attivare un processo di apprendimento che identifichi le vulnerabilità prima che diventino critiche. Secondo l’ENISA, la Cybersecurity Culture (CSC) non riguarda solo la tecnologia installata, ma l’insieme di valori e comportamenti che portano i dipendenti a riconoscere e segnalare tempestivamente le anomalie ². Una segnalazione rapida permette di contenere i danni e di analizzare le cause profonde, trasformando un potenziale disastro in un’occasione di miglioramento dei processi.

Processi di Incident Reporting: come implementare un sistema efficace

Per implementare un sistema di gestione incidenti che sia realmente efficace e conforme alle normative vigenti, le aziende devono adottare un modello strutturato. Seguendo le Linee guida ACN per la gestione degli incidenti NIS 2, il processo deve articolarsi in cinque fasi fondamentali: Preparazione, Rilevamento, Analisi, Contenimento/Ripristino e attività Post-incidente ¹.

La centralizzazione dei dati è un requisito essenziale. L’utilizzo di software certificati permette di standardizzare le segnalazioni, garantendo che nessuna informazione critica vada perduta e che i tempi di risposta siano monitorati costantemente.

Gestione dei near miss: prevenire gli infortuni e i data breach

Un elemento spesso trascurato ma vitale è la gestione dei near miss, ovvero i “quasi incidenti”. Si tratta di eventi che avrebbero potuto causare un danno ma che, per fortuna o per un intervento tempestivo, non lo hanno fatto. Mutuando la metodologia dal Manuale INAIL sulla gestione dei near miss e cultura della sicurezza, le aziende possono applicare lo stesso rigore alla prevenzione proattiva dei data breach ⁵. Segnalare un tentativo di phishing bloccato o una porta di un server lasciata aperta è fondamentale per correggere le debolezze sistemiche prima che un attaccante le sfrutti.

Digitalizzazione e software per la gestione incidenti

L’abbandono dei sistemi cartacei o dei fogli di calcolo frammentati è un passo obbligato per le PMI che mirano alla conformità. La digitalizzazione della sicurezza attraverso software gestione incidenti dedicati offre vantaggi immediati: tempestività nella raccolta dati, analisi automatizzata dei trend e facilità nel rispettare gli obblighi di notifica. I sistemi software EHS certificati permettono di integrare la gestione dei rischi fisici e digitali in un’unica piattaforma, migliorando la visibilità complessiva per i responsabili della sicurezza.

Superare le barriere psicologiche: promuovere la Just Culture

Uno dei maggiori ostacoli alla segnalazione è la paura di segnalare incidenti. Molti dipendenti temono ritorsioni o sanzioni se ammettono un errore umano. Per superare questa mancanza di segnalazione incidenti, le aziende devono promuovere una “Just Culture” (cultura equa).

Il report ENISA sottolinea l’importanza di evitare passaggi onerosi o punitivi che impediscono il lavoro quotidiano, puntando invece sulla consapevolezza ². In una Just Culture, l’errore è visto come un sintomo di un problema nel sistema, non come una colpa individuale.

Dalla colpa alla responsabilità: cambiare il mindset aziendale

Promuovere cultura segnalazione incidenti richiede un cambio di mindset che parta dal management. La formazione sulla sicurezza non deve essere solo tecnica, ma deve includere la gestione psicologica dell’errore. Fornire feedback positivi a chi segnala un near miss, mostrando come quella segnalazione abbia portato a un miglioramento concreto, incentiva la trasparenza e la responsabilità condivisa.

Conformità NIS 2: l’obbligo di notifica entro 24 ore

Il d.lgs. 138/2024 introduce requisiti stringenti per la notifica incidenti NIS 2. Per gli incidenti definiti “significativi”, le aziende hanno l’obbligo di inviare una notifica iniziale al CSIRT Italia entro 24 ore dalla conoscenza dell’evento ⁴. Questo lasso di tempo estremamente ridotto richiede che i processi di segnalazione interna siano perfettamente oliati.

Come prepararsi allo ‘stress test’ delle notifiche

Per rispettare la scadenza delle 24 ore, le organizzazioni devono stabilire procedure operative chiare. È necessario definire chi ha l’autorità di classificare l’incidente e chi deve effettuare la comunicazione ufficiale all’Agenzia per la Cybersicurezza Nazionale (ACN). La Guida tecnica ENISA per l’attuazione della Direttiva NIS 2 fornisce protocolli di segnalazione dettagliati che possono essere utilizzati come base per lo sviluppo del proprio incident response plan ⁶.

Sinergia tra Sicurezza Fisica (EHS) e Informatica

La moderna gestione rischi aziendali non può più permettersi di trattare la sicurezza fisica e quella informatica come entità separate. La convergenza EHS e Cyber è una necessità operativa: un malfunzionamento in un sistema di controllo industriale (OT) può causare un infortunio fisico, così come una violazione fisica di un data center può portare a un massiccio data breach.

L’integrazione dei manuali operativi e l’uso di piattaforme comuni per la sicurezza integrata permettono di abbattere i silos organizzativi, come suggerito dalle ricerche di Claire Blackett ³. Questa sinergia garantisce una visione a 360 gradi del rischio, rendendo l’azienda capace di rispondere in modo coordinato a qualsiasi minaccia.

In conclusione, la cultura della sicurezza e l’incident reporting sono i veri motori della resilienza moderna. La Direttiva NIS 2 non deve essere percepita come un peso normativo, ma come una guida per proteggere il valore aziendale attraverso l’integrazione di tecnologia avanzata e un coinvolgimento umano consapevole e trasparente.

Scarica la nostra checklist per l’adeguamento dei processi di incident reporting alla NIS 2 o richiedi una consulenza per integrare i tuoi sistemi EHS e Cyber.

Le informazioni contenute in questo articolo hanno scopo puramente informativo e non sostituiscono la consulenza legale o tecnica specialistica in materia di sicurezza sul lavoro o cybersecurity.