Ecco a cosa dovrebbe servire la NIS 2!

Il 2 novembre 2026 un attacco informatico ha mandato fuori controllo i sistemi di refrigerazione di numerosi supermercati europei, con conseguenze anche in Italia. È un caso esemplare per comprendere perché la cybersicurezza non dovrebbe essere trattata come un adempimento, ma come una responsabilità di governo aziendale. E perché la direttiva NIS 2, pur non essendo una soluzione magica, può rappresentare un importante cambiamento culturale.

È bastato trasformare un congelatore in un forno

In diversi Paesi europei alcuni supermercati si sono trovati con frigoriferi e congelatori fuori controllo: temperature portate fino a 50 °C, prodotti alimentari deteriorati, merci da eliminare e attività commerciali interrotte. In Svezia sono stati coinvolti negozi ICA e Coop; problemi sono stati segnalati anche in Belgio, Lussemburgo, Irlanda, Estonia e altri Paesi. In Italia, secondo le testimonianze raccolte dall’ANSA, sono stati colpiti sistemi di refrigerazione di punti vendita Coop in Sicilia.

Non è stato necessario sottrarre dati riservati, compromettere conti correnti o cifrare i server con un ransomware. È bastato intervenire su qualcosa che quasi nessuno considera un sistema informatico: il controllo della refrigerazione. Eppure quei frigoriferi sono governati da controllori, software e collegamenti spesso utilizzati per monitoraggio, manutenzione e assistenza da remoto.

Il risultato è immediatamente tangibile: un incidente digitale che produce danni materiali, economici e operativi. Ed è la seconda ondata in poche settimane. Già il 12 ottobre centinaia di supermercati francesi avevano subito incidenti simili, tanto da spingere il CERT-FR a pubblicare un’allerta tecnica sui controllori remoti degli impianti di refrigerazione.

La domanda non è più se questi sistemi possano essere compromessi. La domanda è perché, conoscendo i rischi, continuiamo a lasciarli esposti.

La nostra debolezza non è soltanto tecnologica. È organizzativa.

Per anni abbiamo considerato la cybersicurezza una questione prevalentemente informatica. Abbiamo protetto server e postazioni, adottato firewall, sistemi di rilevamento e strumenti di sicurezza per la posta elettronica. Interventi necessari, ma insufficienti quando i processi dipendono anche da macchinari industriali, impianti di climatizzazione, sistemi di refrigerazione, automazione e controllori connessi.

Abbiamo digitalizzato i processi più velocemente di quanto abbiamo imparato a proteggerli.

Il confine più delicato è quello tra Information Technology (IT) e Operational Technology (OT), cioè le tecnologie che controllano i processi fisici. Un impianto può essere affidato all’area manutenzione; la connettività può essere gestita da un fornitore; il software può essere proprietario; gli accessi possono appartenere a tecnici esterni. Ma chi risponde della sicurezza complessiva? Il direttore IT, il responsabile dello stabilimento, gli acquisti, il manutentore, il produttore?

Se la risposta non è chiara, abbiamo già individuato una vulnerabilità organizzativa.

Per gli incidenti francesi, il CERT-FR ha indicato compromissioni di diverse famiglie di controllori di refrigerazione e ha richiamato l’esposizione delle interfacce di amministrazione su Internet. Questo non dimostra che tutti gli episodi del 2 novembre abbiano utilizzato la stessa tecnica, ma rivela un problema strutturale: apparecchiature e accessi remoti che non ricevono sufficiente attenzione.

Non dobbiamo necessariamente immaginare attaccanti capaci di sfruttare strumenti sconosciuti e tecniche eccezionalmente sofisticate. A volte il rischio nasce da controlli di base assenti, responsabilità frammentate e tecnologie dimenticate. La tecnologia può essere complessa. La vulnerabilità può essere banale.

Non tutti gli attacchi informatici servono a rubare denaro

Quando si parla di hacker, l’immaginario aziendale corre subito al furto di dati, alla frode e al ransomware. Ma questa rappresentazione è incompleta. Nella dimensione geopolitica, l’obiettivo di un’operazione informatica può essere interrompere servizi, degradare infrastrutture e compromettere la continuità economica e sociale, senza alcun profitto immediato.

Non bisogna confondere uno scenario di rischio con un’attribuzione. Non esistono, allo stato delle informazioni pubbliche considerate, elementi sufficienti per attribuire gli attacchi ai supermercati del 2 novembre a uno Stato o a una campagna geopolitica coordinata. Le modalità e gli autori restano oggetto di accertamento.

Questi episodi mostrano però cosa può accadere quando un attaccante interviene sulla disponibilità dei servizi anziché sulla riservatezza delle informazioni. Estendiamo il ragionamento a una rete logistica, alla distribuzione alimentare, all’energia, alla sanità o alle telecomunicazioni: anche senza distruggere un’infrastruttura, renderla temporaneamente inutilizzabile può generare conseguenze lungo intere filiere.

Le interruzioni possono propagarsi ai fornitori e ai clienti, ridurre la disponibilità di beni, produrre perdite economiche e minare la fiducia. Un incidente circoscritto è spesso gestibile; interruzioni simultanee e prolungate possono assumere un rilievo politico e sociale. La Commissione europea ha esplicitamente richiamato il rischio per la catena di approvvigionamento alimentare dopo questi attacchi.

La resilienza del sistema economico non coincide con quella dell’impresa più forte: dipende anche dalla tenuta dei suoi elementi più vulnerabili. Ecco perché la cybersicurezza è ormai anche un tema di stabilità economica e sicurezza nazionale.

NIS 2: non funziona ancora?

L’Unione europea ha introdotto la direttiva NIS 2 per rafforzare la sicurezza informatica e la resilienza delle organizzazioni che operano in settori rilevanti per l’economia e la società. In Italia è stata recepita con il decreto legislativo 138/2024.

Eppure continuiamo ad assistere a incidenti che coinvolgono vulnerabilità note, sistemi insufficientemente protetti e responsabilità organizzative frammentate. Allora la NIS 2 non funziona? Possiamo affermare che non abbiamo ancora raggiunto il livello di resilienza di cui abbiamo bisogno. Sarebbe invece scorretto dedurre da questi eventi che la direttiva abbia fallito.

Nessuna norma impedisce ogni attacco e nessuna trasformazione organizzativa produce risultati immediati. Inoltre, non tutti i supermercati coinvolti sono automaticamente soggetti alla NIS 2: nel settore alimentare il campo di applicazione è definito da specifiche tipologie di attività, tra cui distribuzione all’ingrosso e produzione o trasformazione industriale, e da ulteriori criteri normativi.

Il problema vero è culturale. Troppo spesso la conformità viene affrontata come un progetto documentale: si preparano politiche, registri, matrici e procedure; poi si scopre che un sistema essenziale è accessibile dall’esterno o che un fornitore dispone di accessi non adeguatamente controllati.

Abbiamo la documentazione. Ma non abbiamo la sicurezza. Una procedura approvata non ferma un attacco; una valutazione del rischio archiviata non garantisce la continuità operativa. Se la compliance serve solo a dimostrare di aver fatto qualcosa, abbiamo già perso di vista l’obiettivo.

Ecco a cosa dovrebbe servire davvero la NIS 2

Sono un convinto sostenitore della NIS 2. Non perché le aziende abbiano bisogno di altra burocrazia, né perché ritenga le sanzioni la leva migliore. La sostengo perché può costringere le organizzazioni a guardare seriamente rischi che troppo spesso hanno preferito ignorare.

La direttiva porta la cybersicurezza all’attenzione degli organi di amministrazione e direzione. Chiede una gestione strutturata dei rischi, misure proporzionate, attenzione ai fornitori, gestione degli incidenti e continuità operativa. Introduce un principio essenziale: la sicurezza non è soltanto responsabilità dell’IT. È responsabilità dell’intera organizzazione.

Un amministratore dovrebbe sapere quali processi aziendali possono fermarsi, per quanto tempo l’azienda possa resistere senza i propri sistemi essenziali e da quali fornitori dipenda. Dovrebbe pretendere prove dell’efficacia delle misure adottate, non soltanto documenti che ne dichiarano l’esistenza.

La vera utilità della NIS 2 non è obbligare le aziende a dichiararsi sicure. È spingerle a diventarlo.

Quanto costa davvero non essere preparati?

Quando un’impresa valuta gli investimenti in cybersicurezza, il confronto si concentra frequentemente sul costo delle misure e sulle possibili sanzioni. È un confronto incompleto. Prendiamo il caso di un supermercato: un attacco ai sistemi di refrigerazione può comportare distruzione delle scorte, interruzione delle vendite, interventi tecnici, sostituzione delle merci, costi del personale impegnato nell’emergenza e danni reputazionali.

Non serve paralizzare tutta l’azienda: può bastare perdere il controllo di un singolo processo operativo essenziale.

Il costo di un incidente informatico non coincide con il costo della riparazione informatica. Comprende le conseguenze economiche dell’interruzione delle attività. Per questo la domanda corretta non è solo «quanto costa proteggere il sistema?», ma «quanto ci costerebbe non averlo protetto, e quanto tempo impiegheremmo a ripartire?».

Le sanzioni sono un rischio reale. Ma una conformità soltanto formale può lasciare l’impresa esposta a danni molto superiori, senza offrire alcuna capacità effettiva di risposta.

Sei verifiche che ogni azienda dovrebbe fare

1. Conoscere i sistemi che sostengono i processi

Non soltanto computer, server e gestionali. Anche impianti, controllori industriali, sistemi di automazione e dispositivi connessi. Un componente sconosciuto all’organizzazione difficilmente può essere protetto correttamente.

2. Verificare accessi remoti ed esposizione a Internet

Le interfacce amministrative non dovrebbero essere pubblicamente raggiungibili senza adeguata protezione. Gli accessi dei fornitori devono essere autorizzati, autenticati, limitati alle necessità operative e tracciati.

3. Governare obsolescenza e aggiornamenti

Un’apparecchiatura può funzionare perfettamente dal punto di vista operativo ed essere insicura. Fine del supporto, vulnerabilità note e impossibilità di aggiornamento devono entrare nelle analisi di rischio e negli investimenti.

4. Definire responsabilità anche per i servizi esternalizzati

Affidare un impianto a un fornitore non significa trasferire automaticamente ogni responsabilità sul rischio. Servono requisiti contrattuali, controlli, procedure di intervento e una gestione effettiva della filiera.

5. Provare la continuità operativa

Business continuity e incident response non devono essere soltanto documenti. Occorrono scenari, responsabilità, prove periodiche e modalità alternative per mantenere le funzioni essenziali, quando tecnicamente realizzabili.

6. Misurare i risultati, non la produzione documentale

Quanti sistemi critici sono censiti? Quanti accessi remoti sono protetti? Quali vulnerabilità sono state risolte? Quali fornitori sono stati verificati? I piani di continuità funzionano durante una prova? Questi indicatori descrivono la maturità molto meglio di una checklist firmata.

La cybersicurezza è una responsabilità reciproca

Non dobbiamo proteggerci soltanto per difendere noi stessi. Dobbiamo proteggerci anche per non diventare un problema per gli altri.

Un’impresa vulnerabile può diventare un punto d’accesso verso altre organizzazioni. Un fornitore compromesso può fermare decine di clienti. Un’interruzione logistica può propagarsi lungo una filiera. Il funzionamento quotidiano della società dipende da sistemi digitali e dalle organizzazioni che li gestiscono.

Proteggere questi sistemi significa contribuire alla fiducia, alla continuità dei servizi e alla prosperità collettiva. È anche una forma di rispetto reciproco, verso clienti, dipendenti, fornitori e comunità.

La NIS 2 serve a costruire resilienza, non a collezionare conformità

Gli attacchi del 2 novembre non dimostrano che la NIS 2 sia inutile. Dimostrano quanto lavoro rimanga da fare. La direttiva è uno strumento importante, ma senza un cambiamento culturale resta insufficiente.

Non abbiamo bisogno di altre procedure scritte soltanto per soddisfare un requisito. Abbiamo bisogno di organizzazioni capaci di conoscere i rischi, assumerne la responsabilità, prepararsi agli incidenti e verificare che le protezioni funzionino.

Non mi interessa un’Europa nella quale tutte le imprese possano esibire una dichiarazione di conformità. Mi interessa un’Europa nella quale le imprese siano concretamente più difficili da compromettere, più capaci di resistere e più rapide nel riprendersi.

Quando proteggiamo un’organizzazione non difendiamo soltanto un bilancio: contribuiamo a proteggere l’economia e la società in cui viviamo. Prima ancora che un obbligo normativo, è una responsabilità che abbiamo gli uni verso gli altri.

Fonti e approfondimenti

• Reuters, 2 novembre 2026 – Attacchi ai sistemi di refrigerazione dei supermercati europei.
• ANSA, 2 novembre 2026 – Casi confermati in Sicilia.
• RaiNews, 3 novembre 2026 – Allerta ACN e misure di prevenzione.
• SVT Nyheter, 2 novembre 2026 – Il parere degli esperti svedesi.
• CERT-FR, allerta del 12 ottobre 2026 – Compromissioni dei controllori remoti.
• Direttiva (UE) 2022/2555 (NIS 2) e D.Lgs. 138/2024.