CYBSicurezza informatica

Valutazione del rischio informatico: come si fa e che cosa deve vedere il consiglio

La valutazione del rischio informatico mette in fila che cosa conta per l’azienda, che cosa può andare storto e quanto peserebbe sul lavoro. Al consiglio serve una pagina sola, con le decisioni da prendere.

Redazione Strategic 12 novembre 2026 7 min di lettura

Copertina: «Rischio informatico: una pagina per il consiglio», Sicurezza informatica

Una valutazione del rischio informatico si fa in cinque passi. Si elencano i beni e i dati che contano, si descrivono le minacce, si cercano le debolezze, si stima l’impatto sul lavoro e si decide che cosa fare per ogni rischio. Al consiglio non serve il registro completo. Serve una pagina con i rischi principali, le decisioni da prendere e i rischi che l’azienda sceglie di accettare, con una firma. Per le aziende soggette alla NIS2 l’analisi dei rischi è la prima delle misure richieste, e le modalità le approva l’organo di amministrazione.

Che cos’è una valutazione del rischio informatico?

È un documento di lavoro che risponde a tre domande. Che cosa ci farebbe più male, se si fermasse o finisse in mani sbagliate? Quanto è probabile che succeda? Che cosa facciamo per evitarlo, e chi lo fa?

Non è un elenco di difetti tecnici e non è il risultato di un programma che scansiona la rete. Quelli sono pezzi utili, ma arrivano dopo. La valutazione parte dal lavoro dell’azienda, cioè ordini, produzione, pagamenti e dati dei clienti. Poi guarda i sistemi che lo sostengono.

Il risultato è una lista ordinata. In cima ci sono i pochi rischi che meritano tempo e budget adesso. In fondo ci sono quelli da tenere d’occhio o da accettare.

Come si fa, passo per passo?

1. Beni e dati. Si parte dai processi che non possono fermarsi e si risale ai sistemi, ai dati e ai fornitori che li reggono. Per ogni voce si scrive chi ne risponde. Un gestionale senza un responsabile è già un rischio.

2. Minacce. Si descrive che cosa può succedere, con esempi concreti. Un attacco che cifra i file, un’email che fa cambiare l’IBAN di un fornitore, un errore durante un aggiornamento, un guasto nella sala server, un fornitore che si ferma. La legge italiana sulla NIS2 chiede un approccio multi-rischio, che protegge anche l’ambiente fisico dei sistemi.

3. Debolezze. Si cerca dove l’azienda è esposta. Accessi senza doppio controllo, copie dei dati raggiungibili dalla rete degli uffici, programmi non aggiornati, procedure che esistono solo nella testa di una persona. Per la parte tecnica aiuta un vulnerability assessment.

4. Impatto e probabilità. Per ogni rischio si stima quanto peserebbe sul lavoro e quanto è probabile. Si fa con chi gestisce i processi, non solo con l’IT. Il responsabile della produzione sa meglio di chiunque altro che cosa vuol dire un giorno di fermo.

5. Trattamento. Per ogni rischio si sceglie una strada e un responsabile. Le strade sono quattro. Si può ridurre il rischio, trasferirne una parte con un’assicurazione o un contratto, evitarlo cambiando il modo di lavorare, oppure accettarlo. Un rischio accettato si scrive, con il ruolo di chi lo accetta e la data in cui si rivede.

Come si stimano impatto e probabilità senza numeri inventati?

Con scale brevi e descritte a parole. Una scala da 1 a 4 basta, se ogni livello ha un significato concreto e uguale per tutti. Ecco un esempio da adattare.

Livello	Impatto sul lavoro	Probabilità
1	Disagio di qualche ora, nessun dato perso	Mai successo, sistema poco esposto
2	Un reparto fermo per una giornata	Possibile, nel settore succede
3	Ordini o produzione fermi per più giorni, dati di clienti esposti	Già successo da noi o in un’azienda simile
4	Fermo di una settimana o più, danni ai clienti, obblighi di notifica	Debolezza nota e facile da sfruttare

Il punteggio può essere il prodotto dei due numeri, oppure una griglia a colori. Conta meno il metodo e più la coerenza. Due persone che valutano lo stesso rischio devono arrivare a un giudizio vicino. Se non succede, la scala va riscritta.

Le cifre si usano dove ci sono davvero, per esempio il fatturato di un giorno di fermo. Dove non ci sono, è meglio una descrizione chiara di un numero di fantasia.

Che cosa deve vedere il consiglio?

Una pagina, al massimo due. Il registro completo resta all’IT e a chi gestisce i fornitori. Al consiglio servono cinque cose.

I rischi principali, di solito tra cinque e dieci, scritti in parole semplici. «Un attacco che cifra insieme il gestionale e le sue copie ferma le spedizioni per una settimana» si capisce. «Vulnerabilità critiche non sanate sul perimetro» no.
La tendenza, cioè se ogni rischio è salito, sceso o rimasto uguale dall’ultima volta.
Le decisioni richieste, con le alternative e il loro peso su tempi e budget.
I rischi accettati, uno per riga, con chi li ha accettati e quando si rivedono.
Il piano dei prossimi 90 giorni, con attività, responsabili e date.

Per i soggetti NIS2 non è solo buona pratica. Il D.Lgs. 138/2024 stabilisce che gli organi di amministrazione approvano le modalità con cui si applicano le misure di gestione dei rischi, ne sovrintendono l’attuazione e rispondono delle violazioni (articolo 23). Le stesse persone devono seguire una formazione sulla sicurezza informatica. Una pagina chiara è il modo più semplice per approvare sapendo che cosa si approva.

Quali sono gli sbagli più frequenti?

L’elenco infinito. Duecento righe tutte uguali non aiutano nessuno a decidere. Meglio pochi rischi descritti bene.
Tutto rosso. Se ogni rischio è alto, nessuno lo è davvero. Di solito vuol dire che i livelli della scala non sono descritti.
Solo l’IT al tavolo. Senza chi gestisce produzione, vendite e pagamenti l’impatto si indovina.
Fatta una volta, per un questionario. La valutazione invecchia in fretta, perché cambiano sistemi, fornitori e attacchi.
Rischi accettati a voce. Se nessuno firma, dopo un anno nessuno ricorda chi ha deciso e perché.
Azioni senza nome. Un’azione senza responsabile e senza data resta sulla carta.

Che cosa chiedono la NIS2 e le altre regole?

Per i soggetti NIS2 in Italia le politiche di analisi dei rischi sono il primo degli elementi minimi delle misure di sicurezza (D.Lgs. 138/2024, articolo 24, comma 2, lettera a). L’ACN non impone un modello preciso per il documento di valutazione del rischio. Ogni soggetto può usare quello che ha già, o quello che ritiene più adatto (FAQ MSB.9). Tra le evidenze da preparare l’ACN indica un piano di gestione del rischio e un piano di trattamento del rischio (FAQ MSB.11).

Chi tratta dati personali deve applicare misure di sicurezza adeguate al rischio per le persone. In Italia, come in tutta l’Unione, lo chiede l’articolo 32 del GDPR. A San Marino lo chiede, con parole simili, l’articolo 33 della legge 171/2018.

Chi non è soggetto a queste regole ci arriva spesso per un’altra strada. I clienti soggetti alla NIS2 devono valutare il rischio delle loro forniture, e per farlo mandano questionari ai fornitori. Le assicurazioni fanno domande simili. Una valutazione fatta bene risponde a tutti con lo stesso documento.

Ogni quanto si rifà?

Di regola una volta l’anno. È una nostra indicazione, non una scadenza di legge. Si rivede subito quando succede qualcosa di grosso, per esempio un passaggio al cloud, un fornitore nuovo per un sistema importante, un’acquisizione, un incidente o una norma nuova.

Tra una revisione e l’altra il registro resta vivo. Le azioni chiuse si segnano e i rischi nuovi si aggiungono. Così la volta dopo non si ricomincia da capo. Anche gli accessi esterni cambiano spesso, e conviene ricontrollarli a ogni giro. Lo spieghiamo nella guida sugli accessi dei fornitori.

In sintesi

La valutazione del rischio informatico parte dal lavoro dell’azienda, non dalla tecnologia.
I passi sono cinque. Beni e dati, minacce, debolezze, impatto e probabilità, trattamento.
Le scale si descrivono a parole, così due persone arrivano allo stesso giudizio.
Al consiglio arriva una pagina con rischi principali, tendenza, decisioni, rischi accettati e piano dei 90 giorni.
Per i soggetti NIS2 è la prima delle misure richieste e l’organo di amministrazione ne approva le modalità.
Si aggiorna di regola una volta l’anno e subito dopo i cambiamenti grandi.

Domande frequenti

Serve un software per la valutazione del rischio?

Non sempre. Per molte aziende basta un foglio di calcolo tenuto bene. Un software aiuta quando i rischi sono tanti e sono molte le persone che li aggiornano. Conta di più che il metodo sia scritto e uguale per tutti.

Quanto tempo ci vuole?

Dipende da quanti processi e sistemi entrano nella valutazione. In un’azienda media la parte più lunga è raccogliere le informazioni. Servono poche riunioni brevi, preparate prima, con le persone giuste.

Chi la firma?

La prepara chi segue la sicurezza, insieme all’IT e ai responsabili dei processi. Le priorità e i rischi accettati li decide la direzione. Nei soggetti NIS2 le modalità di gestione dei rischi le approva l’organo di amministrazione.

Si può fare da soli?

Sì, se in azienda c’è chi conosce bene sistemi e processi e ha il tempo per farlo. Un aiuto esterno serve soprattutto la prima volta, per impostare il metodo, e quando occorre uno sguardo che non dipenda da chi gestisce i sistemi.

Valutare i rischi con la direzione, l’IT e chi gestisce i processi, e preparare la pagina per il consiglio, è il lavoro della nostra valutazione del rischio informatico. Quando servono prove tecniche sui sistemi in cima alla lista, si passa al penetration test. Per chi è soggetto alla NIS2 la valutazione è il primo passo dell’adeguamento NIS2.

Fonti

Consultate il 7 novembre 2026.

ApprofondisciCybersecurityVerifiche fatte come le farebbe un attaccante (penetration test), gestione degli incidenti, continuità operativa e aiuto ad adeguarsi alla NIS2, anche per i fornitori.