Un ransomware blocca tutti i server. I dipendenti non possono lavorare. I clienti non ricevono le consegne. Il centralino e inondato di chiamate. Quanto puo resistere la tua azienda? Un giorno? Una settimana? Un mese? La risposta a questa domanda e l'essenza del Business Continuity Plan (BCP).
La NIS2, all'articolo 21, include esplicitamente la continuita operativa e il disaster recovery tra le misure obbligatorie. Non si tratta piu di una best practice — e un requisito normativo, con sanzioni per chi non lo rispetta.
Cos'e un Business Continuity Plan
Un BCP e un documento che descrive come l'organizzazione continuera a operare — o riprendera le operazioni — in caso di interruzione grave. Nel contesto cyber, parliamo di attacchi informatici, ma il BCP copre qualsiasi tipo di interruzione: incendi, alluvioni, pandemie, guasti tecnici. L'obiettivo e garantire che i servizi critici restino disponibili o vengano ripristinati entro tempi accettabili.
BIA: Business Impact Analysis
Il BCP parte dalla BIA, l'analisi dell'impatto sul business. Per ogni processo aziendale, valuti: quanto e critico? Quanto tempo puo restare fermo? Qual e il costo dell'interruzione? Da questa analisi derivano due parametri fondamentali:
- RTO (Recovery Time Objective) — il tempo massimo entro cui un servizio deve essere ripristinato. Per un e-commerce potrebbe essere 4 ore, per un sistema di posta elettronica 24 ore.
- RPO (Recovery Point Objective) — la quantita massima di dati che puoi permetterti di perdere. Un RPO di 1 ora significa che il backup piu recente non deve essere piu vecchio di 1 ora.
Componenti chiave del BCP
- Piano di disaster recovery — procedure tecniche per il ripristino dei sistemi IT
- Piano di comunicazione di crisi — chi comunica cosa, a chi, come
- Procedure operative alternative — come lavorare senza IT (si, serve prevederlo)
- Piano di gestione delle risorse — personale, fornitori, sedi alternative
- Procedure di escalation — quando e come coinvolgere il management e le autorita
Disaster Recovery: il cuore tecnico
Il Disaster Recovery Plan (DRP) e la componente tecnica del BCP. Descrive come ripristinare l'infrastruttura IT: backup, replica dei dati, siti di disaster recovery, procedure di failover. La strategia 3-2-1 resta il gold standard: 3 copie dei dati, su 2 supporti diversi, di cui 1 offsite (o nel cloud). Ma attenzione al ransomware: se il backup e connesso alla rete, puo essere crittografato insieme ai dati. Servono backup offline o immutabili.
Test del BCP: l'unico modo per validarlo
Un BCP non testato e un documento inutile. I test possono essere di diversi tipi: walkthrough (revisione del documento in gruppo), simulation (esercitazione con scenario simulato), parallel test (attivazione del sito DR in parallelo ai sistemi produttivi) o full interruption test (spegnimento dei sistemi primari e switch sul DR). Quest'ultimo e il piu efficace ma anche il piu rischioso — va pianificato con attenzione.
La NIS2 non specifica la frequenza dei test, ma le best practice suggeriscono almeno un test annuale del DR e un walkthrough semestrale del BCP. Ogni test deve generare un report con le criticita emerse e le azioni correttive.
BCP e NIS2: i requisiti specifici
La NIS2 richiede che il BCP includa almeno: la gestione dei backup, le procedure di disaster recovery, la gestione della crisi e le comunicazioni. Ma va oltre il tradizionale BCP aggiungendo l'obbligo di considerare gli aspetti cyber specifici: cosa succede se l'attaccante e ancora nei tuoi sistemi durante il ripristino? Come garantisci che i backup non siano compromessi? Come comunichi con clienti e autorita durante la crisi?
La continuita operativa non e un lusso per grandi aziende. E una necessita per qualsiasi organizzazione che dipende dai propri sistemi informatici — cioe praticamente tutte, nel 2026.