Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
La PEC inviata da Agenzia per la Cybersicurezza Nazionale a tutti i soggetti NIS2, con il richiamo all’aumento della minaccia in vista di Milano–Cortina 2026, è formalmente corretta, tecnicamente condivisibile e concettualmente inattaccabile.
Il problema, non è quello che c’è scritto. Il problema è il contesto in cui arriva e l’effetto sistemico che rischia di produrre.
Perché diciamolo chiaramente: il perimetro NIS2 oggi non è un sistema stabile. È un cantiere aperto. Un cantiere enorme, rumoroso, con aziende che stanno ancora cercando di capire cosa significhi davvero “misure di base”, con CdA che hanno appena iniziato a parlare di governance cyber e con strutture IT e sicurezza già sotto pressione per rispettare scadenze, produrre evidenze, riorganizzare processi e relazioni con i fornitori.
In questo scenario, una comunicazione “a pioggia”, uguale per tutti, che richiama l’urgenza legata a un grande evento internazionale, rischia di innescare una reazione istintiva più che razionale. Non la sicurezza strutturata, ma la sicurezza emotiva. Quella che porta a fare cose “perché lo dice ACN”, non perché siano inserite in una roadmap coerente.
Il rischio concreto è che molte organizzazioni reagiscano spostando improvvisamente priorità, risorse e budget. Non migliorando la postura complessiva, ma frammentandola. Si anticipano attività non pronte, si aprono change in produzione senza il giusto controllo, si chiede tutto e subito ai fornitori, si accelera dove servirebbe invece consolidare. È il classico scenario in cui l’urgenza prende il posto della governance, e la fretta diventa il primo fattore di rischio.
C’è poi un aspetto che questa comunicazione sembra sottovalutare, ed è forse il più delicato: la supply chain. Nel perimetro NIS2 non ci sono solo “destinatari finali” della sicurezza, ma anche una quantità enorme di integratori IT, MSP, system integrator, SOC esterni e fornitori critici che, in questo momento, stanno già accompagnando decine di clienti lungo il percorso di adeguamento.
Gap analysis, implementazione delle misure, revisione contrattuale, logging, incident management, audit: tutto questo sta già saturando capacità operative che non sono infinite.
Se ora, sull’onda della PEC, parte una sovrarichiesta simultanea legata alle Olimpiadi, il risultato non sarà un innalzamento ordinato della sicurezza. Sarà un collo di bottiglia. Gli stessi soggetti che dovrebbero essere un fattore abilitante diventeranno un punto di congestione, costretti a gestire richieste fuori roadmap, spesso scollegate da una reale analisi del rischio. E quando la supply chain si intasa, non rallenta solo la “sicurezza extra”: rallenta anche la compliance NIS2, quella vera, quella strutturale.
Qui sta il paradosso più scomodo. L’allerta è corretta nel merito, ma rischia di produrre effetti contrari alla messa in sicurezza se non viene assorbita con metodo. Perché la sicurezza non cresce per accumulo di urgenze, ma per stratificazione di scelte consapevoli. E un sistema già sotto stress, se viene ulteriormente stimolato senza distinzione di maturità, esposizione e ruolo, tende a reagire male.
Il punto non è che ACN non dovesse comunicare.
Il punto è che, in una fase così delicata di adeguamento normativo, un messaggio indistinto rischia di trasformarsi più in rumore che in segnale. Nel mondo reale “avvisare tutti” non equivale automaticamente a “proteggere tutti”. A volte equivale solo a mettere tutti in agitazione.
La lezione, se vogliamo trarne una, è più ampia della singola PEC. La NIS2 ci sta insegnando, spesso nel modo più scomodo possibile, che la cybersecurity non è solo una questione tecnica, ma un problema di orchestrazione. Tempi, priorità, capacità del mercato, maturità delle organizzazioni. Ignorarli significa spingere il sistema verso reazioni caotiche invece che verso una resilienza reale.
Perché la sicurezza fatta di fretta, sotto pressione e senza governance, non è sicurezza. È solo un’altra forma di rischio.
È uscito il sesto episodio di Betti-RHC, la serie a fumetti di Red Hot Cyber nata con l'obiettivo di trasformare la cybersecurity awareness in un'esperienza di formazione più semplice, coinvolgente e accessibile. Quello che è nato come un progetto editoriale innovativo è diventato negli anni un vero e proprio corso di cybersecurity awareness a fumetti, adottato da aziende e professionisti per sensibilizzare le persone sui rischi informatici attraverso storie, personaggi ed emozioni. In cinque anni di attività, la serie Betti-RHC ha raggiunto un risultato importante: circa 70.000 copie vendute, a testimonianza dell'interesse crescente delle organizzazioni verso nuovi strumenti per costruire una concreta cultura della sicurezza.
Il sesto episodio porta Betti dentro le nostre case, in un mondo "connesso", dove lampadine, telecamere, assistenti vocali, serrature, sensori ed elettrodomestici intelligenti promettono comfort e sicurezza, ma possono nascondere nuove e insidiose superfici di attacco. Attraverso una nuova avventura, Betti ci accompagna alla scoperta del mondo della domotica e dei dispositivi IoT, mostrando come la poca cautela nell'utilizzo di queste tecnologie possa trasformare oggetti quotidiani in porte d'accesso per chi vuole osservare, controllare o colpire.
Per accompagnare la crescita del progetto abbiamo realizzato il sito ufficiale di Betti-RHC, dove è possibile conoscere meglio la serie, gli episodi e il progetto di cybersecurity awareness sviluppato da Red Hot Cyber. L'obiettivo è continuare a portare la cultura della sicurezza fuori dai tradizionali percorsi formativi standard, utilizzando il linguaggio immediato del fumetto per parlare a dipendenti, professionisti e persone senza competenze tecniche. Per maggiori informazioni su Betti-RHC e sul sesto episodio “Open Mic” è possibile visitare il sito ufficiale: betti.redhotcyber.com.