Le norme olandesi sulla cybersicurezza rendono più stringente la governance, ma ogni piccola impresa deve conoscere le dipendenze da cui dipende la prossima fattura.
La titolare di una piccola impresa all’ingrosso arriva in azienda lunedì mattina. Ci sono ordini da evadere e merce in magazzino. Nessuno ha attaccato la sua società. È la piattaforma logistica a non funzionare, perché il fornitore ha subito un incidente informatico. La merce non può essere svincolata, le conferme di consegna non sono accessibili e i clienti hanno già iniziato a chiedere spiegazioni.
All’ora di pranzo, il problema tecnologico è diventato un problema di liquidità.Il lavoro è stato svolto, ma l’impresa non dispone dei documenti necessari per emettere le fatture. Il personale può rispondere al telefono, ma non riesce a consultare informazioni affidabili sugli ordini. L’azienda è aperta e, tuttavia, non è in grado di operare correttamente.
È questo il rischio cyber che molte piccole imprese sottovalutano. Il sistema decisivo può appartenere a qualcun altro.
Anche il quadro giuridico olandese è cambiato. La Cyberbeveiligingswet è entrata in vigore il 15 agosto 2026, insieme alla Wet weerbaarheid kritieke entiteiten. La prima legge recepisce la direttiva NIS2 e riguarda le organizzazioni che forniscono servizi essenziali o importanti in 18 settori. Queste organizzazioni sono soggette a obblighi in materia di registrazione, gestione del rischio, notifica degli incidenti e governance.
Gli amministratori delle organizzazioni interessate devono conoscere i rischi cyber e le misure di sicurezza abbastanza bene da poterli valutare. Devono inoltre ricevere una formazione adeguata. La resilienza informatica non è quindi più una questione riservata all’IT. Per le organizzazioni che rientrano nell’ambito della legge, è una responsabilità dell’organo amministrativo legata alla continuità operativa.
La responsabilità va oltre l’ambito della legge
La maggior parte delle microimprese e delle piccole imprese non rientra automaticamente nella Cyberbeveiligingswet. Esistono eccezioni per alcuni servizi fiduciari, servizi relativi ai nomi di dominio e servizi pubblici di comunicazione elettronica. Il ministro competente può inoltre designare un’impresa più piccola quando i suoi servizi sono cruciali per la società o l’economia olandese.
È una distinzione importante. Evita che a ogni piccolo imprenditore venga detto, erroneamente, che la NIS2 si applica direttamente alla sua attività. Le pressioni commerciali, però, continuano a propagarsi lungo la filiera.
Un cliente di maggiori dimensioni soggetto alla legge può chiedere ai propri fornitori informazioni sui diritti di accesso, sui referenti in caso di incidente, sulle procedure di ripristino e sui subfornitori essenziali. Un assicuratore o una banca possono porre domande analoghe. Al momento del rinnovo di un contratto può comparire all’improvviso un questionario sulla sicurezza che il fondatore dell’impresa non ha mai visto prima.
A mio avviso, la direzione intrapresa dal mercato olandese è chiara. Gli obblighi di legge possono fermarsi ai confini della società, ma la responsabilità per la continuità segue le dipendenze operative. Se il vostro servizio contribuisce a un’attività essenziale di un’altra organizzazione, la capacità di spiegare come gestite le interruzioni può determinare il rinnovo o la perdita del contratto.
Non si tratta di produrre un manuale di sicurezza imponente. Si tratta di saper rispondere a domande normali. Chi può accedere al sistema contabile? Dove si trova l’ultimo elenco clienti effettivamente utilizzabile? Quale fornitore controlla il dominio aziendale? Come riceverà istruzioni il personale se la posta elettronica non sarà disponibile?
Anche i guasti ordinari meritano attenzione
Secondo il CBS, nel 2024 il 4% delle imprese olandesi con almeno due addetti ha subito un incidente cyber esterno con conseguenze concrete. Nel 2016 la percentuale corrispondente era dell’11%.
Gli incidenti interni hanno interessato il 7% delle imprese. Il caso più comune è stato il malfunzionamento dei sistemi ICT interni, che ha colpito il 6% delle aziende. Il 23% delle imprese si è invece imbattuto in phishing e spoofing.
Questi dati indicano un problema concreto di continuità. L’operatività può interrompersi anche senza un’azione criminale spettacolare. Un aggiornamento software può non riuscire. Una casella di posta può essere compromessa. Un dipendente può eseguire un’istruzione di pagamento fraudolenta. Un ambiente cloud può diventare inaccessibile proprio nel momento peggiore.
Anche le capacità disponibili sono distribuite in modo diseguale. Nel 2025 la crittografia dei dati era utilizzata dal 33% delle imprese con un numero di addetti compreso tra due e dieci, contro il 91% delle imprese con almeno 250 addetti. Le organizzazioni più grandi dispongono generalmente di più persone, maggiori risorse finanziarie e controlli più formalizzati. Le imprese più piccole dipendono spesso da un solo consulente, un solo amministratore di sistema o un solo fornitore.
Questa concentrazione può essere efficiente finché qualcosa non si rompe. Se lo stesso fornitore gestisce gli account del personale, i backup e il ripristino, l’impresa rischia di perdere sia i sistemi utilizzati ogni giorno sia la via per recuperarli.
La continuità comincia dalla prossima fattura
Torniamo alla grossista con la merce ferma in magazzino. La sua prima preoccupazione non è la definizione giuridica di rischio cyber. Deve sapere che cosa è stato ordinato, quale merce può essere svincolata, quale cliente deve essere chiamato e se è ancora possibile emettere una fattura.
È qui che la governance diventa concreta. Una piccola impresa dovrebbe sapere quali servizi esterni le servono per accettare un incarico, eseguirlo, registrarlo, fatturarlo e incassare. Ondernemersplein consiglia alle imprese di mappare le dipendenze digitali, prepararsi agli incidenti, mantenere copie di sicurezza e proteggere le informazioni relative ai fornitori e ai processi produttivi.
Un buon primo passo è una mappa delle dipendenze di una sola pagina. Elencate i sistemi e i soggetti esterni indispensabili per ordini, stipendi, pagamenti, consegne e contatti con i clienti. Per ogni dipendenza annotate chi gestisce il rapporto, dove si trova il contratto, come si segnala un incidente e quale alternativa rimane disponibile.
Poi ponetevi una domanda scomoda: se questo servizio sparisse prima dell’apertura di domani, l’impresa potrebbe continuare a operare per un’intera giornata lavorativa?
La risposta deve riguardare i documenti e i dati, non soltanto la tecnologia. Un backup serve a poco se nessuno sa come recuperarlo, se si trova nello stesso ambiente colpito dall’incidente o se l’unica persona autorizzata non è disponibile. L’assicurazione può contribuire a una successiva richiesta di indennizzo, ma non ricrea la prova di una consegna durante la prima ora dell’interruzione.
Anche i contratti meritano una lettura sobria. Controllate i referenti per gli incidenti, l’esportazione dei dati, le responsabilità per i backup, l’assistenza al ripristino, il supporto durante la transizione e i limiti di responsabilità. La promessa di discutere i danni in un secondo momento non sostituisce la necessità di informare oggi i clienti.
L’orientamento olandese è sempre più lineare: occorre sapere da che cosa dipende l’impresa ed essere in grado di rendere conto delle scelte compiute. Non tutte le piccole aziende hanno bisogno di un vasto programma di cybersicurezza. Tutte, però, devono attribuire responsabilità precise, disporre di documenti recuperabili e prevedere un’alternativa praticabile per le attività che non possono aspettare.
La grossista potrebbe comunque perdere parte del lunedì. Una buona governance non può impedire ogni guasto di un fornitore. Può però evitare che una sola piattaforma fuori uso trascini con sé i dati, le decisioni e la capacità dell’impresa di incassare.
I dati, le fonti e l’analisi di questo articolo sono stati curati da Paolo Maria Pavan. L’IA non è stata usata per individuare le fonti, costruire la base fattuale o produrre il giudizio analitico. L’IA è stata usata solo come aiuto di redazione. Il testo italiano finale è stato rivisto, corretto e approvato personalmente da Paolo Maria Pavan prima della pubblicazione.
Riferimenti
- Waarom cyberincidenten bij één organisatie doorwerken in de hele keten | PwC
- Rijksoverheid - Current Dutch cyber resilience law and board responsibility
- Ondernemersplein / Rijksdienst voor Ondernemend Nederland - Which small firms are directly in scope, and which are not
- Ondernemersplein / KVK / Nationaal Cyber Security Centrum / Rijksdienst voor Ondernemend Nederland - Digital dependency mapping and continuity preparation
- CBS - Observed incident patterns among Dutch businesses
- CBS - Internal failure, phishing and data-leak pressure
- Rijksoverheid - Supplier concentration and digital continuity
- Rechtspraak, Gerechtshof Amsterdam - Contract allocation, backups and consequential loss