Cybersecurity nella PA: incidenti, norme NIS2 e azioni chiave

Mentre la primavera 2026 porta il primo upgrade della rete del Parlamento italiano, gli attacchi ransomware continuano a colpire i piccoli comuni.

Incidenti recenti nella PA

Il bersaglio più frequente non sono i grandi ministeri, ma gli enti locali: comuni sotto i 15.000 abitanti, unioni di comuni e aziende sanitarie con personale IT ridotto e infrastrutture eterogenee. Gli attacchi ransomware colpiscono soprattutto i sistemi di protocollo e gestione documentale, cifrando atti, delibere e pratiche dei cittadini e bloccando i servizi anagrafici anche per giorni.

Il vettore d'ingresso resta quasi sempre lo stesso: credenziali sottratte tramite phishing, accessi VPN o RDP esposti senza autenticazione a più fattori, e fornitori terzi compromessi che fanno da ponte verso le reti dell'ente. È la dinamica della catena di fornitura: un singolo gestore di software documentale violato può esporre decine di amministrazioni che usano lo stesso applicativo.

L'impatto va oltre il riscatto. Si traduce in interruzione dei servizi essenziali, esfiltrazione di dati personali dei cittadini e, sempre più spesso, doppia estorsione con la minaccia di pubblicare i dati rubati. L'Agenzia per la Cybersicurezza Nazionale (ACN) e il CSIRT Italia registrano segnalazioni in crescita, ma molti incidenti restano sotto traccia perché i piccoli enti non dispongono di processi strutturati di rilevamento e notifica.

Azioni concrete

La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, sposta l'obbligo dalla semplice conformità documentale alla resilienza operativa misurabile. Per gli enti che rientrano nel perimetro, le priorità a breve termine sono concrete:

• Registrarsi sulla piattaforma ACN e prepararsi agli obblighi di notifica: pre-allerta entro 24 ore e notifica dell'incidente entro 72 ore.
• Attivare l'autenticazione a più fattori su VPN, posta elettronica e accessi amministrativi. È la singola misura che blocca la maggior parte degli accessi iniziali.
• Mettere in sicurezza i backup con copie offline o immutabili e, soprattutto, test periodici di ripristino: un backup mai verificato non è un backup.
• Inventariare asset e fornitori: sapere quali sistemi e quali terze parti trattano dati e servizi critici è il presupposto di qualsiasi gestione del rischio.
• Definire un piano di risposta agli incidenti con ruoli, contatti e procedure provati almeno una volta, invece di improvvisare durante l'emergenza.
• Formare il personale: il phishing funziona perché costa poco. Poche ore di addestramento mirato riducono in modo concreto la superficie d'attacco.

La governance è parte integrante dell'obbligo: la NIS2 attribuisce la responsabilità della sicurezza agli organi di vertice dell'ente, non solo all'ufficio IT.

Passo successivo

Entro il prossimo trimestre, ogni ente pubblico dovrebbe completare l'adozione del piano di risposta rapida alle minacce.

---

*Photo by Kvistholt Photography on Unsplash*