Appartiene all'agenda di chi guida l'azienda, non a chi gestisce i server.
C'è un momento preciso in cui il rischio cyber smette di essere un problema tecnico e diventa un problema d'impresa.
Non è quando arriva il ransomware. Non è quando i dati dei clienti finiscono sul dark web. Non è quando il commercialista chiama perché ha ricevuto una fattura con il tuo IBAN e un numero di conto diverso.
È prima. È adesso. È il momento in cui chi guida l'azienda decide, consapevolmente o per inerzia, quanto rischio è disposto ad accettare.
Perché di questo si tratta: una decisione. Non una questione tecnica da delegare, non un adempimento normativo da archiviare, non un costo da minimizzare. Una decisione strategica con conseguenze operative, economiche e reputazionali che ricadono sull'intera organizzazione.
Il rischio che non appare nei report
Ogni imprenditore gestisce rischi ogni giorno. Il rischio di mercato, il rischio finanziario, il rischio operativo. Li conosce, li misura, li bilancia. Prende decisioni su di essi con la consapevolezza che fanno parte del mestiere di guidare un'azienda.
Il rischio cyber ha una caratteristica che lo distingue da quasi tutti gli altri: è invisibile finché non si materializza, e quando si materializza lo fa tutto insieme.
Un macchinario che si deteriora dà segnali. Un cliente che vacilla lo si vede. Un margine che si stringe appare nel conto economico. Un incidente informatico in corso non appare da nessuna parte: non nei report operativi, non nelle riunioni di management, non nei report che il responsabile IT porta ogni trimestre. Fino al giorno in cui appare ovunque simultaneamente. (Abbiamo raccontato questo scarto tra ciò che si vede e ciò che accade in Il peso invisibile.)
Questa non è una caratteristica dell'IT. È la natura del rischio cyber. E ha un'implicazione precisa per chi guida un'azienda: i meccanismi di monitoraggio che funzionano per tutti gli altri rischi non bastano per questo. Serve una scelta attiva, non aspettare che il problema diventi visibile da solo.
Cosa significa gestire questo rischio
La gestione del rischio cyber non richiede competenze tecniche. Richiede le stesse competenze che un imprenditore usa ogni giorno: valutare probabilità e impatto, allocare risorse, definire priorità, accettare consapevolmente i trade-off.
Concretamente, significa portare nell'agenda del vertice domande che raramente ci entrano.
Quali sono i dati e i processi che, se compromessi, bloccherebbero l'operatività dell'azienda? Non tutti i sistemi hanno lo stesso valore. Sapere quali sono quelli critici e assicurarsi che abbiano una protezione proporzionata è il punto di partenza di qualsiasi strategia seria.
Il livello di investimento in sicurezza è proporzionato al rischio che si corre? Secondo il Rapporto CLUSIT 2026, l'Italia investe in cybersecurity lo 0,13% del PIL, mentre Francia e Germania si attestano attorno allo 0,3%: meno della metà. Sul perché questo ci espone tanto, abbiamo scritto in Perché le PMI vengono attaccate. Qui conta un'altra cosa: quella differenza non è un caso, è la somma di scelte di investimento prese una per una, azienda per azienda.
Chi in azienda ha la responsabilità formale di monitorare il rischio cyber e di portarlo all'attenzione del vertice? Se la risposta è "il responsabile IT quando succede qualcosa", il processo non esiste ancora. Esiste una reazione, non una gestione.
Rispondere a queste domande non richiede di diventare esperti di sicurezza informatica. Richiede la stessa lucidità con cui si valuta qualsiasi altro rischio d'impresa e la disponibilità a trattare la sicurezza per quello che è: una componente della solidità aziendale, non un costo tecnico.
Il costo dell'incertezza e dell'inerzia
C'è una tentazione comprensibile nel rimandare queste decisioni: i sistemi funzionano, non è successo nulla di grave, ci sono priorità più urgenti e più visibili.
Il problema è che l'inerzia ha un costo e quel costo non è lineare.
Quando un incidente si materializza in una PMI, non tocca un reparto. Tocca l'azienda intera. Ferma la produzione, blocca l'accesso ai dati, paralizza le operazioni. I costi diretti sono misurabili. Quelli indiretti (settimane di fermo, fiducia di clienti e partner erosa, reputazione danneggiata in modo spesso irreversibile) sono quasi sempre più alti.
Il Cisco Cybersecurity Readiness Index 2024 documenta che il 73% delle organizzazioni si aspetta un incidente informatico significativo nei prossimi 12-24 mesi. Non è una proiezione esterna: è la valutazione che le aziende danno di sé stesse. Tre su quattro si aspettano un problema serio.
L'inerzia, in questo contesto, non è una posizione neutra. È una scelta con un profilo di rischio preciso e documentato.
La NIS2: un cambio di paradigma, non un adempimento
La Direttiva NIS2, in vigore dall'ottobre 2024, introduce qualcosa che va oltre i requisiti tecnici: attribuisce esplicitamente la responsabilità della sicurezza informatica agli organi di vertice delle organizzazioni.
Non all'IT. Non al responsabile della sicurezza. Al management.
È un cambiamento che riflette una realtà già esistente: il rischio cyber produce conseguenze che ricadono sull'intera organizzazione, e le decisioni che determinano il livello di esposizione (budget, priorità, processi, cultura aziendale) vengono prese dal vertice. Era logico, prima o poi, che anche la responsabilità formale seguisse la stessa direzione.
Per chi coglie questa transizione nella sua portata reale, la NIS2 non è un onere burocratico. È un'occasione per costruire una governance del rischio cyber che funzioni davvero, con responsabilità chiare, processi definiti, e una visione che va oltre la conformità minima. Per chi la tratta come una checklist da spuntare, il risultato sarà documentazione in regola e postura invariata. Non è la stessa cosa.
Una questione di leadership
Le aziende che gestiscono meglio il rischio cyber non sono necessariamente quelle con i budget più alti o le tecnologie più avanzate. Sono quelle in cui il vertice ha deciso di trattarlo come un rischio d'impresa a tutti gli effetti, con la stessa serietà con cui si gestisce il rischio finanziario o operativo.
Questa scelta non richiede di diventare esperti tecnici. Richiede visibilità sul rischio reale, responsabilità chiara su chi lo gestisce, e strumenti adeguati al contesto, proporzionati alle dimensioni dell'organizzazione, sostenibili nelle risorse che richiedono, efficaci nei momenti che contano.
Hoxey è stato costruito per le PMI italiane con questa logica: non aggiungere complessità a chi ne ha già troppa, ma dare strumenti che funzionano nel contesto reale in cui le PMI operano.