Valutazione del rischio
La valutazione del rischio informatico mette in ordine che cosa conta per l’azienda, che cosa può andare storto e quanto peserebbe sul lavoro. Ne esce una mappa dei rischi per il consiglio, con le priorità e un piano dei primi 90 giorni. È il punto di partenza per la NIS2, per i questionari dei clienti e per l’assicurazione.
01 · copia il link alla sezioneLa situazione
Tempo e budget per la sicurezza sono limitati. La valutazione del rischio dice dove metterli.
Senza una valutazione del rischio la sicurezza procede a strappi. Si compra lo strumento consigliato dal fornitore, oppure si corre dietro all’ultimo questionario arrivato.
La valutazione parte dal lavoro, non dalla tecnologia. Quali dati e quali sistemi, se si fermano, bloccano gli ordini, la produzione o i pagamenti? Da lì si capisce che cosa proteggere prima e quanto conviene spendere.
Per chi è soggetto alla NIS2 non è una scelta. Le politiche di analisi dei rischi sono la prima delle misure dell’articolo 24 del D.Lgs. 138/2024.
Scenario tipico
Un’azienda ha appena rinnovato il firewall, ma le copie dei dati sono raggiungibili dalla stessa rete degli uffici. Un attacco che cifra i file cifrerebbe anche le copie. La valutazione del rischio lo mette in cima alla lista, prima di qualunque acquisto.
02 · copia il link alla sezioneIl metodo
Si lavora con la direzione, con l’IT e con chi gestisce i processi che contano.
Sistemi, dati, servizi e fornitori importanti per il lavoro, con chi ne risponde.
Che cosa può succedere: attacchi, errori, guasti, un fornitore che si ferma. La NIS2 chiede un approccio multi-rischio, che guarda anche all’ambiente fisico.
Dove l’azienda è esposta: accessi, copie dei dati, aggiornamenti, procedure. Quando serve, con un vulnerability assessment.
Quanto peserebbe sul lavoro e quanto è probabile. Si stima con chi gestisce i processi, non solo con l’IT.
Per ogni rischio una scelta: ridurlo, trasferirlo, per esempio con un’assicurazione, evitarlo oppure accettarlo per iscritto.
03 · copia il link alla sezioneChe cosa resta all’azienda
La mappa dei rischi. Una pagina con i rischi principali, messi in ordine per impatto e probabilità.
Le priorità. Che cosa fare prima, chi lo fa e perché, in parole semplici.
Il piano dei primi 90 giorni. Attività, date e responsabili, da rivedere a ogni riunione.
Il registro dei rischi. Il documento di lavoro per l’IT e per chi gestisce i fornitori. Si aggiorna senza ricominciare da capo.
04 · copia il link alla sezioneRiquadro di riferimento
Aggiornato il 7 novembre 2026
In breve: la stessa valutazione risponde a più richieste. Basta scriverla una volta e tenerla aggiornata.
| Per | Che cosa chiede | Riferimento |
|---|---|---|
| Soggetti NIS2 | Politiche di analisi dei rischi. Tra le evidenze, un piano di gestione del rischio e un piano di trattamento del rischio. | D.Lgs. 138/2024, art. 24, c. 2, lett. a) · FAQ ACN MSB.11 |
| Fornitori dei soggetti NIS2 | Il soggetto valuta e documenta il rischio delle sue forniture. Per questo chiede ai fornitori informazioni e garanzie. | FAQ ACN MSB.13 |
| Enti pubblici della legge 90/2024 | Una struttura per la cybersicurezza che produce e aggiorna un piano per la gestione del rischio informatico. | Legge 28 giugno 2024, n. 90, art. 8 |
| Dati personali in Italia | Misure di sicurezza adeguate al rischio per i diritti delle persone. | Regolamento (UE) 2016/679, art. 32 |
| Dati personali a San Marino | Misure di sicurezza adeguate al rischio, sotto il controllo dell’Autorità Garante sammarinese. | Legge 21 dicembre 2018, n. 171, art. 33 |
| Clienti e assicurazione | Questionari su accessi, copie dei dati e incidenti. Le risposte vengono dalla stessa valutazione. | — |
Il riquadro è informativo e non costituisce parere legale.
05 · copia il link alla sezioneDomande frequenti
06 · copia il link alla sezioneOsservatorio
Analisi e guide della Redazione Strategic.
Molte intrusioni lasciano tracce fuori dall’azienda prima di dare segni all’interno: credenziali in vendita, domini che imitano il marchio, fornitori colpiti. Quali segnali controllare e che cosa fare quando compaiono.
5 agosto 2026Il backup rimedia a un danno già avvenuto, ma non impedisce l’ingresso e non segnala chi è entrato. I tre pilastri della difesa di base e la revisione trimestrale da fare con IT e direzione.
22 aprile 2026Assistenza da remoto, utenze condivise, programmi installati anni fa e mai tolti: gli accessi dei fornitori sono una delle vie d’ingresso più sfruttate. Come si censiscono, si limitano, si registrano e si chiudono.
12 ottobre 2026Tre copie, due supporti, una fuori sede, una isolata e zero errori alla prova: la regola del backup spiegata con i cassetti di un nonno, e tradotta in decisioni per la direzione, per l’IT e per i fornitori.
19 gennaio 2026Le parti essenziali di questa pagina si stampano in una sintesi di poche pagine, senza immagini e senza gli inviti al contatto.
07 · copia il link alla sezioneContatto
Bastano poche righe: che azienda siete, perché vi serve la valutazione, eventuali scadenze. Rispondiamo per email, di norma entro due giorni lavorativi.
Nel modulo non vanno inseriti credenziali, indirizzi IP o dettagli di vulnerabilità: si scambiano dopo, sui canali concordati.
Oppure scriveteci:WhatsAppstaff@strategic.sm
Su WhatsApp risponde un assistente AI di Strategic. Non va usato per informazioni riservate.
