Dalla direttiva al piano del board: decisioni approvabili

Le direttive europee sono scritte per i giuristi, non per chi deve decidere come allocare un budget. Il divario tra il testo di NIS2 o del CRA e una decisione che un consiglio possa approvare è ampio, e riempirlo è precisamente il lavoro che separa un progetto di conformità utile da una pila di documenti che nessuno userà.

Il problema non è tecnico. È di traduzione: portare obblighi normativi, rischio effettivo e vincoli di budget su un unico piano leggibile, in cui ogni voce ha una motivazione, un costo e una priorità. Ecco come lo affronto.

Primo: un gap assessment che dice la verità

Tutto parte da una fotografia onesta dello stato attuale rispetto agli obblighi applicabili — l’articolo 21 di NIS2, l’Allegato I del CRA — e rispetto al rischio reale. La tentazione, in questa fase, è l’autoindulgenza: dichiararsi conformi dove si è solo parzialmente coperti. Un gap assessment che sopravvaluta la maturità è peggio che inutile, perché produce un falso senso di sicurezza e un piano tarato sui problemi sbagliati. Ogni lacuna va documentata con evidenza, non con opinione.

Secondo: prioritizzare per rischio, non per facilità

Da un gap assessment emergono sempre decine di lacune. Affrontarle in ordine di facilità — prima quelle rapide — è l’errore più comune e il più costoso, perché consuma budget su interventi a basso impatto e lascia scoperti i rischi che contano. La priorità corretta nasce dall’incrocio tra probabilità e impatto: quali lacune espongono a scenari plausibili e gravi? Quali toccano funzioni essenziali? Quali sono richieste dalla norma come precondizione? Il risultato è una sequenza difendibile, in cui l’ordine degli interventi si può spiegare in una frase.

Terzo: la roadmap deve avere dei numeri

Un piano senza costi non è un piano: è una lista di desideri. Ogni intervento della roadmap deve portare con sé una stima di costo (persone, tecnologia, servizi esterni), una tempistica realistica e il rischio che riduce. Questo trasforma la conversazione con il vertice da “dobbiamo fare più sicurezza” — affermazione ingestibile — a “con questa spesa riduciamo questa esposizione entro questa data”. È l’unica forma in cui un board può effettivamente decidere: approvare, rinviare, o accettare consapevolmente il rischio.

Va reso esplicito anche il rischio residuo. Nessuna roadmap porta l’esposizione a zero, e fingere il contrario mina la credibilità di tutto il piano. Dire chiaramente cosa resta scoperto, e perché quella scelta è ragionevole, è ciò che distingue un consulente da un venditore.

Un accorgimento utile è separare, nella stessa roadmap, ciò che serve per essere conformi da ciò che serve per essere sicuri: spesso coincidono, ma non sempre. Alcuni interventi sono richiesti dalla norma anche se il loro contributo al rischio è modesto; altri riducono molto l’esposizione pur non essendo esplicitamente imposti. Rendere visibile questa distinzione permette al vertice di decidere con lucidità, invece di trattare ogni voce come un obbligo indistinto e ugualmente urgente.

Quarto: reporting che il board possa usare

Sotto NIS2 e DORA gli organi di gestione approvano e sorvegliano: hanno quindi bisogno di informazioni ricorrenti, non di un unico documento iniziale. Ma un consiglio non legge log né dashboard tecniche. Ha bisogno di poche metriche stabili nel tempo: avanzamento della roadmap rispetto al piano, evoluzione dell’esposizione sui rischi principali, stato degli incidenti significativi, aree in cui il rischio residuo supera la soglia di tolleranza definita. Poche righe, sempre le stesse, che raccontano una direzione.

Il valore di un reporting così non è estetico. È che rende la responsabilità del vertice esercitabile davvero: un consiglio che riceve queste informazioni può dimostrare di aver sorvegliato, e può decidere con cognizione di causa. È esattamente ciò che la normativa gli chiede.

Il ruolo di chi accompagna

La parte difficile non è produrre i documenti, ma tenere insieme tre linguaggi — quello giuridico della norma, quello tecnico del rischio e quello economico della decisione — senza tradire nessuno dei tre. È un lavoro di sintesi e di onestà intellettuale, dove la tentazione ricorrente è compiacere: sovrastimare la conformità raggiunta, o gonfiare i rischi per giustificare la spesa. Entrambe le derive fanno perdere fiducia al board, e la fiducia è la sola valuta con cui un piano di sicurezza viene finanziato.

In sintesi

Una direttiva diventa azione solo quando qualcuno la traduce in decisioni approvabili: gap misurato con evidenza, priorità per rischio, interventi con un costo e una data, reporting che il vertice possa davvero usare. È un lavoro poco appariscente, ma è quello che separa la conformità sulla carta dalla sicurezza che regge.