Maturità Cyber-resilienza delle istituzioni pubbliche

La cyber-resilienza del settore pubblico si legge in diversi testi che si sovrappongono: la direttiva NIS 2, che inserisce le amministrazioni pubbliche tra le entità interessate, i referenziali dell’ANSSI sull’omologazione e la sicurezza dei sistemi informativi dello Stato, i principi di continuità operativa dell’ISO 22301, e gli obblighi propri dei dati degli utenti. L’oggetto valutato qui non è la sola protezione tecnica: è la capacità di un ente locale, di un ospedale, di un ministero o di un operatore pubblico di mantenere i propri servizi essenziali durante un incidente, di dichiararlo entro i termini previsti e di tornare a uno stato di funzionamento controllato.

In pratica, questo governo è difficile per ragioni strutturali. Il sistema informativo è spesso ereditato, distribuito tra direzioni operative autonome e fornitori di lunga data. Alcune domande concrete: sapete quali servizi agli utenti devono ripartire in via prioritaria, e in quale ordine. I vostri backup sono stati ripristinati davvero, su uno scenario completo, o solo testati singolarmente. Chi decide di spegnere un’applicazione operativa di domenica, e questa persona è stata contattata durante l’ultima esercitazione.

Va posto un elemento di contesto: il recepimento della NIS 2 amplia notevolmente il perimetro delle entità pubbliche interessate e introduce una catena di segnalazione degli incidenti a più fasi, con responsabilità dell’organo di gestione. Molte istituzioni hanno iniziato mappando i propri obblighi senza aver affrontato la questione operativa che viene dopo: il vostro dispositivo di crisi funziona in un giorno di vacanze scolastiche, quando il servizio informatico è ridotto e l’amministratore o il direttore generale deve comunicare.

Va chiarita una confusione frequente: l’audit di conformità conclude con conforme o non conforme, requisito per requisito. La diagnosi di maturità risponde a un’altra domanda: a quale livello di controllo si trova ciascuna prassi, e quale azione concreta permette di passare al livello successivo. Un’istituzione può essere in regola sulla carta e incapace di ripristinare il proprio stato civile in 48 ore. La scala di maturità rende visibile questo scostamento e lo converte in un piano d’azione quantificato, con costo, tempistica ed effetto atteso sul punteggio.

In Datamensio, il quadro di riferimento è pronto all’uso e resta vostro. Adattate gli ambiti, le domande e le formulazioni dei livelli in base al vostro status, alla vostra dimensione e ai vostri servizi essenziali. L’IA affina i livelli secondo il metodo CMMI, oppure costruisce una declinazione a partire dai vostri stessi documenti: piano di continuità, analisi dei rischi, resoconti di esercitazione.