Le imprese europee affrontano le stesse minacce dei mega-eventi globali, ma senza anni di simulazioni alle spalle
La preparazione che non avete
Nel febbraio 2018, il malware Olympic Destroyer mise fuori uso Wi-Fi, sistemi di ticketing e broadcast durante la cerimonia di apertura dei Giochi di Pyeongchang. Non un attacco sofisticato nel suo obiettivo, disruption pura, ma devastante nei tempi e nel contesto. Anni dopo, il governo italiano ha confermato di aver sventato tentativi analoghi nell'ambito della preparazione di Milano-Cortina 2026. La tipologia di minacce è identica a quella che colpisce qualsiasi organizzazione: ransomware, phishing, DDoS, esfiltrazione dati, compromissione della catena di fornitura. La differenza non sta nell'arsenale offensivo. Sta nella profondità della risposta. Gli organizzatori di eventi globali dedicano anni a stress-test continui: tabletop exercise, red team e blue team drill, coordinamento multi-agenzia, simulazioni di crisi con tempi compressi e comunicazione esterna sotto pressione. È un investimento in resilienza operativa che ha pochi equivalenti nel settore privato europeo. L'ecosistema di terze parti, dai fornitori di servizi digitali agli sponsor, dai partner logistici ai broadcaster, rappresenta la superficie d'attacco più critica: un singolo anello debole può compromettere l'intera operazione. E questo vale per le Olimpiadi come per la vostra azienda.
Il rischio che il board non vede
La lezione che emerge da questi scenari non è tecnica. È organizzativa. Un piano di incident response che esiste solo come documento approvato in comitato, mai testato sotto pressione reale, è un'illusione di resilienza. È un artefatto di compliance, non uno strumento operativo. Il rischio terze parti, troppo spesso confinato nelle valutazioni di procurement, è in realtà un rischio di continuità operativa che impatta direttamente la responsabilità del board. Se un fornitore critico viene compromesso, la domanda che arriva al vertice non è "chi ha firmato il contratto?" ma "chi ha valutato il rischio e chi ne risponde?". La comunicazione di crisi aggiunge un ulteriore livello di esposizione. Una risposta lenta, incoerente o non coordinata tra funzioni interne, legal, comunicazione, operations, IT, amplifica il danno reputazionale e può generare responsabilità diretta per il management. E c'è un rischio che quasi nessuno mappa formalmente: gli executive in viaggio, con device esposti e identità digitali vulnerabili in contesti ad alto rischio. La compromissione personale di un C-level può tradursi in accesso diretto ai sistemi aziendali.
Compliance formale, resilienza assente
La frizione più acuta è lo scollamento tra ciò che le organizzazioni dichiarano e ciò che sono realmente in grado di fare. Molte imprese europee hanno un IR plan formale, playbook documentati, riferimenti a esercitazioni nel proprio framework di governance. Sulla carta, tutto è in ordine. Ma quanti di questi piani sono stati testati con tempi compressi, comunicazione esterna attiva, coordinamento reale tra funzioni che normalmente non si parlano? Le evidenze di settore indicano che la maggior parte delle aziende, anche quelle soggette a NIS2 e DORA, non ha mai condotto una simulazione seria, una simulazione in cui il CEO viene svegliato alle tre di notte, il legale deve decidere cosa comunicare al regolatore entro un'ora, e il team tecnico scopre che il fornitore chiave non risponde. La compliance formale copre il requisito documentale. Non copre l'incidente. E quando l'incidente arriva, il gap tra il piano scritto e la capacità reale di esecuzione diventa visibile a tutti, regolatori, investitori, clienti, media.
Il quadro normativo non lascia margini
Il contesto regolatorio europeo ha reso questo gap misurabile e sanzionabile. La Direttiva NIS2, all'articolo 21, impone ai soggetti essenziali e importanti misure concrete di gestione degli incidenti, sicurezza della catena di approvvigionamento e continuità operativa. Non misure dichiarate: misure implementate e verificabili. L'articolo 23 della stessa direttiva introduce obblighi di notifica con tempi stringenti, tempi che presuppongono una comunicazione di crisi strutturata, non improvvisata. Il Regolamento DORA rafforza ulteriormente la pressione. Il Capo III impone test di resilienza operativa digitale, inclusi test avanzati basati su scenari di minaccia realistici (TLPT). Il Capo V disciplina in modo puntuale la gestione del rischio ICT derivante da terze parti. Non si tratta di raccomandazioni: sono obblighi con conseguenze dirette per il management. Il perimetro è chiaro. La domanda è se le vostre esercitazioni, i vostri piani, le vostre catene di escalation siano all'altezza di ciò che la norma richiede, o se stiate gestendo un rischio regolatorio senza saperlo.
I primi sessanta minuti
C'è un test che nessun audit può sostituire. Immaginate che domani il vostro ecosistema di fornitori subisca un attacco coordinato durante un momento di massima esposizione operativa. Non un'esercitazione pianificata, non un tabletop in sala riunioni. Un incidente reale, con il telefono che squilla, i sistemi che non rispondono, i media che chiedono conferme. Il vostro IR plan reggerebbe i primi sessanta minuti? Oppure scoprireste in tempo reale che nessuno sa chi deve comunicare cosa, a chi, e in che ordine? Che il playbook prevede ruoli che non esistono più nell'organigramma? Che il fornitore critico non ha un contatto di emergenza aggiornato? Sessanta minuti sono il tempo in cui si decide se un incidente resta un problema gestibile o diventa una crisi che ridefinisce la reputazione dell'organizzazione. E quei sessanta minuti non si improvvisano.
La distanza tra un piano scritto e un piano che regge sotto pressione si misura solo quando la pressione arriva. A quel punto, non c'è budget, consulente o framework che possa colmare il gap in tempo reale.