Nel 2026 il rischio cyber è sempre più un tema di continuità operativa e performance aziendale, non solo IT. Le priorità per il board sono tre: ridurre l’esposizione alle vulnerabilità già sfruttate (KEV), consolidare governance e reporting in ottica NIS2/DORA, e abbassare il rischio terze parti. Il punto per il CISO è trasformare la sicurezza in disciplina operativa misurabile: decisioni rapide, owner chiari, evidenze verificabili.

Minacce reali 2026: cosa impatta davvero il business

1. Sfruttamento CVE già note (KEV) su asset esposti, con impatto immediato su disponibilità e continuità.
2. Compromissione identità (credenziali, MFA debole, accessi remoti) come vettore d’ingresso dominante.
3. Ransomware multi-stage con effetto su produzione, clienti, reputazione e costi legali/assicurativi.
4. Supply chain ICT: rischio transitivo da fornitori MSP/SaaS e integrazioni non presidiate.
5. Email compromise / social engineering con impatto diretto su frodi e blocchi operativi.

KEV/CVE: priorità risk-based, non patching a calendario

Quando una CVE entra nel catalogo KEV non è più “vulnerabilità teorica”: è rischio già monetizzabile dagli attaccanti.

Criteri di priorità

• Esposizione: internet-facing o segmenti critici
• Exploitability: exploit noto/attivo
• Impatto operativo: fermo processo, blocco servizio, perdita produttività
• Impatto economico: costi diretti/indiretti, revenue at risk

Playbook pratico (30 giorni)

• Creare una KEV Fast Lane separata dal patching ordinario.
• SLA dedicati:
  • KEV internet-exposed: 24–72h
  • KEV su sistemi critici interni: 7 giorni
• Misurare: % asset coperti entro SLA, MTTR KEV, eccezioni con owner e scadenza.

NIS2 e DORA: execution, non teoria

NIS2 (contesto Italia)

Le priorità sono organizzative prima che tecniche:

• ruoli formalizzati (incluso referente incidente/notifica),
• processo end-to-end di gestione e notifica,
• tracciabilità delle decisioni e delle evidenze.

DORA (settore finanziario e filiera)

Richiede disciplina operativa su:

• ICT risk management,
• incident reporting,
• test di resilienza,
• governo fornitori ICT critici.

Piano operativo business 30-60-90 giorni

30 giorni (quick wins)

• Inventario asset critici + esposizione esterna.
• Attivazione KEV Fast Lane.
• Definizione matrice owner/escalation incidente.

60 giorni (stabilizzazione)

• Workflow incident/compliance con evidenze standard.
• Revisione accessi privilegiati e MFA enforcement.
• Baseline backup/restore con test periodici.

90 giorni (maturità minima sostenibile)

• Dashboard board-ready rischio/compliance/resilienza.
• Table-top exercise con scenario supply-chain.
• Piano miglioramento continuo con priorità trimestrali.

KPI per board (max 10)

1. % KEV remediation entro SLA
2. MTTR incidenti critici
3. % sistemi critici con MFA forte
4. % backup testati con restore riuscito
5. Vulnerabilità critiche oltre soglia
6. Incidenti significativi per trimestre
7. Tempo medio decisione escalation
8. % fornitori ICT valutati/rivalutati
9. % eccezioni aperte con owner+deadline
10. Rischio residuo per processo core (alto/medio/basso)

Errori da evitare

• Patching “a volume” senza priorità rischio.
• Governance documentale senza prova operativa.
• Nessun owner unico su incident/compliance.
• Eccezioni aperte senza scadenza.
• Reporting tecnico non traducibile per il board.

Checklist immediata (oggi)

• Verifica esposizione internet degli asset critici.
• Allinea backlog CVE con KEV.
• Apri task remediation con owner e deadline.
• Conferma stato MFA su utenti privilegiati.
• Esegui verifica campione backup/restore.
• Aggiorna contatti escalation (IT, legale, comunicazione).
• Definisci trigger di notifica incidente.
• Verifica terze parti con accesso privilegiato.
• Aggiorna dashboard rischi top-5.
• Condividi decision log con direzione.

Domande che il CEO deve fare al CISO

1. Quali 5 rischi cyber possono fermare il business questa settimana?
2. Quali KEV restano aperte e perché?
3. Dove abbiamo dipendenze critiche da terze parti?
4. In quanto tempo possiamo rilevare, contenere e ripristinare?
5. Quale decisione di budget riduce più rischio nei prossimi 90 giorni?