NIS2 piano continuità operativa PMI: guida BCP pratica
NIS2 piano continuità operativa PMI: cosa serve davvero
Il 31 ottobre 2026 è la data entro cui le aziende soggette alla direttiva NIS2 devono aver implementato le misure di sicurezza previste, incluso il NIS2 piano continuità operativa PMI. Non è una raccomandazione: è un obbligo normativo con sanzioni (Hi-Keep). Se la tua azienda rientra nei settori coinvolti — manifattura critica, logistica, alimentare, servizi digitali, gestione rifiuti — devi avere un Business Continuity Plan (BCP) e un Disaster Recovery Plan (DRP) documentati, testati e aggiornati.
Molte PMI pensano di dover chiamare una società di consulenza per produrre un documento da duecento pagine. Non è così. Un piano efficace per un'azienda da 20-50 persone può essere costruito internamente, a patto di seguire un metodo chiaro. Questa guida ti porta dal foglio bianco al piano finito.
Perché la NIS2 chiede un piano di continuità operativa
La direttiva NIS2 elenca esplicitamente la continuità operativa tra le misure di sicurezza obbligatorie. In concreto, le aziende soggette devono garantire la capacità di mantenere i servizi essenziali anche durante un incidente — attacco informatico, guasto hardware, evento naturale — e di ripristinare la normalità in tempi definiti (ICT Security Magazine).
Tra i requisiti specifici indicati dalla normativa ci sono:
- Politiche di backup e ripristino dei dati
- Piani di disaster recovery documentati
- Procedure di gestione delle crisi
- Test periodici di tutti i piani
La logica è semplice: non basta proteggere i sistemi. Devi dimostrare che, se qualcosa va storto, sai come ripartire. E devi averlo scritto nero su bianco prima che succeda.
BCP e DRP: la differenza che conta
Prima di partire, chiariamo i termini. Vengono spesso confusi, ma coprono ambiti diversi.
Il Business Continuity Plan (BCP) è il piano che descrive come l'azienda continua a operare durante un'emergenza. Copre tutti i processi critici: produzione, spedizioni, fatturazione, comunicazione con i clienti. Non è solo IT.
Il Disaster Recovery Plan (DRP) è il sottoinsieme del BCP dedicato ai sistemi informatici. Risponde a una domanda precisa: se il server si spegne (o il gestionale diventa inaccessibile, o i dati vengono cifrati da un ransomware), come ripristini tutto e in quanto tempo?
La NIS2 chiede entrambi (Culture Digitali). Per una PMI, spesso si traducono in un unico documento con due sezioni distinte.
Passo 1: mappa i processi vitali
Prendi un foglio. Scrivi le attività senza le quali la tua azienda si ferma. Non tutte le attività: solo quelle che, se bloccate per più di qualche ora, causano danni concreti — perdita di ordini, blocco della produzione, inadempimento contrattuale, danno reputazionale.
Esempio concreto per un'azienda manifatturiera da 30 dipendenti:
- Ricezione e gestione ordini — se non entrano ordini, la produzione si ferma entro 48 ore
- Pianificazione produzione — senza il piano di lavoro, il reparto non sa cosa produrre
- Spedizioni e DDT — merce pronta ma non spedibile significa penali e clienti persi
- Fatturazione e incassi — blocco della fatturazione significa blocco del cash flow
- Comunicazione email/telefonica — se il cliente non ti raggiunge, chiama il concorrente
Per ogni processo, annota: chi lo gestisce, quali strumenti usa (gestionale, email, fogli di calcolo, macchinari), quali dati servono. Questo è il punto di partenza di qualsiasi business continuity plan PMI serio.
Passo 2: definisci RTO e RPO per ogni processo
Due sigle che devi conoscere:
- RTO (Recovery Time Objective): quanto tempo puoi restare fermo prima che il danno diventi grave. Per le spedizioni potrebbero essere 4 ore. Per l'aggiornamento del sito web, 48 ore.
- RPO (Recovery Point Objective): quanti dati puoi permetterti di perdere. Se fai backup ogni 24 ore, puoi perdere fino a un giorno di lavoro. Se il backup è in tempo reale, la perdita è quasi zero.
Non servono calcoli complessi. Siediti con il responsabile di ogni area e chiedi: "Se questo sistema si spegne adesso, quanto tempo abbiamo prima che sia un problema serio?" La risposta è il tuo RTO. Poi chiedi: "Se perdiamo i dati delle ultime X ore, quanto ci costa rifarli?" La risposta orienta il tuo RPO.
| Processo | RTO | RPO | Sistema coinvolto |
|---|---|---|---|
| Gestione ordini | 4 ore | 1 ora | Gestionale, email |
| Fatturazione | 8 ore | 4 ore | Gestionale, SDI |
| Spedizioni/DDT | 4 ore | 2 ore | Gestionale, corriere |
| Produzione | 2 ore | 1 ora | MES/pianificazione |
| 2 ore | 0 | Server posta/cloud |
Questa tabella è già il cuore del tuo BCP. Chi ti chiederà il piano — l'autorità, un auditor, un cliente grande — vuole vedere esattamente questo.
Passo 3: progetta la strategia di backup
La NIS2 pone requisiti precisi sui backup (Hi-Keep). Non basta "fare il backup". Devi dimostrare che i backup sono:
- Regolari — con frequenza coerente con gli RPO definiti
- Verificati — testati periodicamente per assicurarti che il ripristino funzioni
- Protetti — separati dai sistemi principali, così un ransomware non cifra anche quelli
- Documentati — procedura scritta di cosa viene salvato, dove, con quale frequenza
La regola pratica per una PMI: segui lo schema 3-2-1. Tre copie dei dati, su due supporti diversi, di cui una fuori sede (cloud o disco in altra location). Se il tuo gestionale è in cloud, verifica che il fornitore garantisca backup automatici e che tu possa esportare i dati in autonomia. Se è on-premise, il backup fuori sede è responsabilità tua.
Se stai valutando come il tuo gestionale si integra con una strategia di backup seria, può essere utile capire come funziona l'automazione dei processi anche sul fronte della protezione dati.
Passo 4: scrivi le procedure di ripristino
Qui è dove molti piani falliscono. Hanno i backup, ma nessuno sa come usarli sotto pressione. Scrivi, per ogni sistema critico, una procedura passo-passo che un collega competente ma non specializzato possa seguire.
Esempio di procedura per il ripristino del gestionale:
- Verificare la natura del problema (guasto hardware, attacco, errore umano)
- Contattare il fornitore del gestionale — numero diretto, non il form sul sito
- Se il sistema è in cloud: verificare lo stato del servizio sulla dashboard del fornitore
- Se il sistema è on-premise: avviare il ripristino dall'ultimo backup verificato
- Attivare la procedura manuale di emergenza (ordini via telefono/email, DDT cartacei)
- Comunicare ai clienti coinvolti il ritardo stimato
- Documentare l'incidente: ora di inizio, azioni prese, ora di ripristino
L'ultimo punto non è opzionale. La NIS2 richiede esplicitamente la documentazione degli incidenti e la capacità di segnalarli alle autorità competenti entro tempi definiti (ICT Security Magazine).
Passo 5: gestisci la catena di fornitura
Un aspetto che molte PMI trascurano: la NIS2 chiede di valutare anche la sicurezza dei fornitori critici (Culture Digitali). Se il tuo gestionale dipende da un fornitore software, se il tuo e-commerce è su un hosting esterno, se i dati passano per un provider cloud — devi sapere cosa succede se quel fornitore ha un problema.
Per ogni fornitore critico, documenta:
- Che servizio ti fornisce e per quale processo
- Che SLA (livello di servizio) garantisce
- Come lo contatti in emergenza
- Se ha un suo piano di disaster recovery
- Se e come puoi esportare i tuoi dati in caso di cessazione del rapporto
Se hai già un sistema di valutazione delle prestazioni dei fornitori, aggiungi questi criteri. Se non ce l'hai, è il momento di iniziare almeno per i fornitori IT.
Passo 6: testa il piano
Un piano non testato è un documento, non un piano. La NIS2 lo dice chiaramente: servono test periodici (Hi-Keep).
Non devi simulare l'apocalisse. Parti con test semplici:
- Test di ripristino backup: prendi l'ultimo backup del gestionale e prova a ripristinarlo su un ambiente separato. Funziona? I dati sono completi? Quanto tempo hai impiegato?
- Test a tavolino: riunisci i responsabili di area, presenta uno scenario ("il server è giù dalle 8 di mattina, il tecnico arriva tra 6 ore") e percorri la procedura. Chi fa cosa? Dove sono i numeri di emergenza? Qualcuno sa come emettere un DDT cartaceo?
- Test della procedura manuale: per mezza giornata, prova a processare gli ordini senza il gestionale. Quanto reggete? Dove si inceppa il processo?
Documenta ogni test: data, scenario, esito, problemi emersi, correzioni applicate. Questa documentazione è parte integrante del piano e sarà richiesta in caso di audit.
Monitorare l'esito dei test nel tempo diventa più semplice con una dashboard che tenga traccia di scadenze e risultati.
Il ruolo del gestionale nella continuità operativa
Per la maggior parte delle PMI, il gestionale è il sistema più critico. Ordini, fatture, magazzino, produzione, contabilità: tutto passa da lì. Se il gestionale si ferma, l'azienda si ferma.
Questo significa che il gestionale è il primo sistema da proteggere nel DRP. Ma significa anche che un gestionale progettato bene può semplificare l'intero piano di continuità:
- Backup automatici integrati e verificabili senza intervento manuale
- Architettura cloud con ridondanza geografica — se cade un data center, il servizio resta attivo
- Log e audit trail — la NIS2 chiede tracciabilità, e un gestionale che registra ogni operazione la fornisce nativamente
- Esportazione dati — poter estrarre i dati in qualsiasi momento, in formati aperti, è una garanzia contro il lock-in e un requisito di resilienza
Se il tuo gestionale attuale non offre queste caratteristiche, il passaggio alla NIS2 è anche l'occasione per ripensarlo. Un sistema AI-native costruito su misura integra queste funzioni fin dall'architettura, senza aggiunte posticce. Ne abbiamo parlato anche a proposito della documentazione necessaria per la polizza cyber risk, che ha requisiti molto simili.
Cosa rischi se non ti adegui
La NIS2 prevede sanzioni significative per le aziende inadempienti. Ma il rischio vero non è la multa. È quello che succede quando un incidente colpisce un'azienda senza piano: decisioni prese nel panico, dati persi, clienti che non aspettano, fornitori che cercano alternative.
C'è anche un effetto a catena: molte grandi aziende stanno iniziando a richiedere ai propri fornitori la conformità NIS2 come requisito per restare nell'albo. Se sei un fornitore di un'azienda soggetta, il tuo piano di continuità operativa diventa un requisito commerciale, non solo normativo. Lo stesso vale per chi deve censire i beni aziendali per la polizza catastrofale: la mappatura degli asset richiesta è in gran parte sovrapponibile.
Checklist operativa: il minimo per ottobre 2026
Ricapitolando, ecco cosa devi avere pronto:
- Elenco dei processi critici con RTO e RPO definiti
- Mappatura dei sistemi che supportano ciascun processo
- Politica di backup documentata (cosa, dove, quanto spesso, chi verifica)
- Procedure di ripristino scritte passo-passo per ogni sistema critico
- Procedure manuali di emergenza per operare senza i sistemi principali
- Elenco fornitori critici con contatti di emergenza e SLA
- Registro dei test eseguiti con esiti e azioni correttive
- Responsabile del piano nominato — una persona che ne risponde
- Piano di comunicazione — chi avvisa chi, dentro e fuori l'azienda
- Calendario di revisione — il piano va aggiornato almeno ogni anno
Non serve che sia perfetto al primo giro. Serve che esista, che sia realistico e che qualcuno lo abbia testato almeno una volta. Poi lo migliori a ogni test.
Se stai pensando di costruire o ricostruire il gestionale attorno a questi requisiti — o anche solo di capire se il tuo sistema attuale regge un disaster recovery serio — puoi verificarlo in 90 secondi con Fattibile?, il validatore gratuito di Snoda. Descrivi cosa ti serve, e ottieni subito un'idea di fattibilità, tempi e range di costo. Niente email, niente call. Oppure scrivici direttamente.
Domande frequenti
Quali PMI devono avere un piano di continuità operativa per la NIS2?
Le PMI che rientrano nei settori essenziali o importanti definiti dalla direttiva NIS2: fornitori di servizi digitali, aziende della filiera alimentare, manifattura critica, trasporti e logistica, gestione rifiuti, tra gli altri. Il criterio non è solo dimensionale — conta il settore e il ruolo nella catena di fornitura (ICT Security Magazine).
Qual è la scadenza per il business continuity plan NIS2?
Le misure di sicurezza, tra cui il piano di continuità operativa, devono essere implementate entro il 31 ottobre 2026 (Hi-Keep).
Posso scrivere il BCP senza un consulente esterno?
Sì, se la tua azienda ha una struttura relativamente semplice e pochi sistemi critici. Serve mappare i processi vitali, definire RTO e RPO, documentare le procedure di ripristino e testare il piano. Per realtà più complesse può servire supporto specializzato, ma la struttura di base è alla portata di qualsiasi PMI con le indicazioni della roadmap di Culture Digitali.
Che differenza c'è tra BCP e DRP?
Il BCP copre la continuità di tutti i processi aziendali critici, non solo quelli IT. Il DRP è la parte del BCP dedicata specificamente al ripristino dei sistemi informatici e dei dati dopo un incidente. Per la NIS2 servono entrambi, ma per una PMI spesso confluiscono in un unico documento strutturato.
Ogni quanto va testato il piano di continuità operativa?
La NIS2 richiede test periodici. Come minimo, pianifica un test completo all'anno e verifiche parziali (ad esempio il ripristino di un singolo backup) ogni sei mesi. Ogni test va documentato con esito, criticità emerse e azioni correttive applicate.
Questo articolo è stato generato da un sistema di intelligenza artificiale e sottoposto a un controllo automatico di qualità e di verifica delle fonti prima della pubblicazione, senza revisione editoriale umana. Informazione resa ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 (AI Act). I contenuti hanno finalità informativa e non sostituiscono un parere professionale.