NIS2 Security Awareness: contenuti per un programma didattico

Un programma di formazione sulla sicurezza informatica basato sulla direttiva NIS2 dovrebbe consentire ai dipendenti di riconoscere i rischi nei loro flussi di lavoro reali, agire in modo corretto e segnalare rapidamente gli incidenti di sicurezza. Un video standard annuale sui link sospetti non basta. Il programma deve includere un modulo base per tutti, approfondimenti specifici per ruolo, esercitazioni regolari e una verifica documentata dell’efficacia.

Il programma formativo deve adattarsi al profilo di rischio dell’azienda. Un’azienda di produzione, un fornitore di servizi cloud e un operatore sanitario hanno bisogno delle stesse nozioni di base, ma di casi di studio, sistemi e procedure di escalation diversi.

Il punto di partenza giuridico

L’articolo 21, paragrafo 2, lettera g della direttiva NIS2 inserisce le procedure fondamentali di «cyberigiene» e la formazione in materia di sicurezza informatica nell’elenco delle misure di gestione del rischio.

Per la Germania, il BSI descrive corsi di formazione di base e misure di sensibilizzazione per utenti interni ed esterni. Tra queste ci sono corsi di sensibilizzazione, attività di sensibilizzazione regolari, linee guida chiare sulla sicurezza, uso sicuro dei sistemi in uso, oltre alla verifica e al miglioramento continui del programma.

La direttiva NIS2, però, non fornisce una serie di slide già pronta. Le aziende devono elaborare un programma adeguato in base ai rischi, ai destinatari e ai flussi di lavoro.

I tre livelli di un programma didattico efficace

1. Nozioni di base per tutti gli utenti

Chiunque abbia un accesso rilevante deve avere una base comune in materia di sicurezza. Ciò include canali di segnalazione ben definiti, la gestione sicura di identità, informazioni e dispositivi, nonché il riconoscimento dei tipici tentativi di inganno.

2. Approfondimento in base al ruolo

I rischi sorgono in processi concreti. La divisione Finanza decide sui pagamenti, le Risorse Umane gestiscono i dati delle candidature e dei dipendenti, l’Assistenza reimposta gli account e l’IT amministra gli accessi privilegiati. La formazione dovrebbe riflettere queste differenze.

3. Esercizi e apprendimento continuo

La conoscenza diventa davvero solida solo quando viene applicata nel contesto lavorativo. Brevi esercizi, simulazioni, feedback e aggiornamenti mirati colmano il divario tra la fine del corso e il comportamento reale.

I contenuti principali del modulo base

Phishing e social engineering

La formazione non dovrebbe limitarsi a spiegare gli errori ortografici più evidenti. I moderni tentativi di inganno sfruttano contesti aziendali plausibili, servizi noti, codici QR, SMS, piattaforme di collaborazione e richieste MFA inaspettate.

I collaboratori dovrebbero imparare a:

• valutare insieme mittente, contesto e plausibilità
• non confondere l’urgenza con la legittimità
• gestire con cautela link, codici QR e richieste di autorizzazione
• verificare le richieste sensibili tramite un secondo canale conosciuto
• segnalare i messaggi sospetti tramite il canale previsto

Le simulazioni di phishing consentono di esercitarsi in modo sicuro su queste decisioni. Non dovrebbero raccogliere password reali, codici MFA o dati sensibili.

Identità, password e MFA

La cyberigiene va oltre la lunghezza delle password. Il modulo dovrebbe spiegare l’uso di gestori di password approvati, password uniche e l’autenticazione a più fattori.

È particolarmente importante sapere come comportarsi in caso di notifiche MFA inaspettate, cambi di dispositivo, richieste di recupero e presunti contatti con l’assistenza. I dipendenti devono sapere che anche una pagina di accesso tecnicamente autentica può far parte di una truffa.

Canali di segnalazione e prima reazione

Spesso la sensibilizzazione non fallisce per mancanza di consapevolezza, ma per il passo successivo. Il programma formativo dovrebbe fornire risposte concrete:

• Quale pulsante, quale modulo o quale numero di telefono bisogna usare?
• Cosa fare dopo aver cliccato?
• Cosa fare dopo aver inserito le credenziali?
• Quali informazioni aiutano il team di sicurezza?
• Perché segnalare subito un errore è più importante che cercare un colpevole?

Segnalare un errore deve essere più facile che tenerlo nascosto.

Gestione delle informazioni

I dipendenti hanno bisogno di regole chiare per la classificazione, l’approvazione, l’archiviazione e la condivisione delle informazioni. Ciò include anche l’archiviazione su cloud, gli strumenti di collaborazione, i dispositivi mobili e l’uso dell’IA generativa, se utilizzata in azienda.

La formazione dovrebbe basarsi sulle linee guida aziendali e non cercare di sostituirle con consigli generici sulla sicurezza.

Dispositivi, lavoro da remoto e sicurezza fisica

Il modulo base comprende inoltre:

• Non rimandare inutilmente gli aggiornamenti e i riavvii
• Bloccare i dispositivi e segnalare subito lo smarrimento
• Gestire correttamente le reti pubbliche e i supporti di ricarica o di archiviazione di terze parti
• Prestare attenzione a chi ti osserva da dietro, ai visitatori e agli accessi fisici
• Separare l’uso privato da quello aziendale secondo le linee guida

Anche in questo caso vale la regola: i corsi di formazione devono rispecchiare i sistemi e i modelli di lavoro effettivamente utilizzati.

Collaborazione sicura con i fornitori di servizi

I rischi legati alla catena di fornitura spesso iniziano proprio dalla comunicazione quotidiana. I collaboratori degli acquisti, della gestione progetti e dei reparti specialistici dovrebbero sapere come verificare nuovi referenti, coordinate bancarie modificate, condivisioni di file e richieste di accesso urgenti.

Approfondimenti specifici per ruolo

Finanza e acquisti

I punti chiave sono le modifiche ai pagamenti, le frodi nelle fatture, le catene di approvazione, i nuovi conti dei fornitori e la verifica tramite contatti noti. L’obiettivo non è «non cliccare mai», ma «non prendere decisioni con conseguenze gravi al di fuori del percorso di controllo approvato».

Risorse umane

Le Risorse umane hanno bisogno di esempi su documenti di candidatura, dati salariali e bancari, documenti d’identità, presunte richieste da parte della direzione e protezione dei dati sensibili dei dipendenti.

IT e Helpdesk

Qui sono fondamentali la verifica dell’identità, il reset di password e MFA, gli accessi privilegiati, il supporto remoto, le autorizzazioni OAuth e il social engineering contro i processi di assistenza.

Direzione aziendale e assistenti

Oltre alla formazione NIS2 dedicata alla direzione aziendale, sono rilevanti argomenti pratici come le autorizzazioni di pagamento, i documenti riservati, le modifiche a viaggi e appuntamenti e i canali di comunicazione contraffatti.

Produzione e aree operative

Qui i corsi di formazione devono essere brevi, accessibili e vicini alla realtà operativa. Gli argomenti possono riguardare supporti di dati rimovibili, manutenzione remota, segnalazioni anomale degli impianti, account condivisi e la procedura di escalation in caso di malfunzionamenti.

Quali formati si integrano

Un buon programma combina diversi formati invece di concentrare tutto in un unico lungo corso annuale:

• Modulo base: regole comuni e procedure di segnalazione
• Microlearning: breve ripasso su singole decisioni
• Simulazione di phishing: esercitazioni controllate e valutazione
• Esercitazione tabletop: ruoli e decisioni in caso di incidente
• Poster o campagna intranet: promemoria sui comportamenti concreti
• Modulo sui ruoli: approfondimento per i gruppi più esposti
• Aggiornamento mirato: risposta a nuovi sistemi, incidenti o minacce

I contenuti SCORM personalizzati possono essere utili se hai già un sistema di gestione dell’apprendimento o corsi specifici per il tuo settore. L’importante è che l’assegnazione, la versione e il completamento siano tracciabili.

Dal test di phishing alla formazione mirata

Una simulazione è particolarmente utile quando verifica una decisione concreta relativa all’apprendimento e, se necessario, attiva un follow-up adeguato.

Esempi:

• Chi conferma una richiesta MFA inaspettata riceve un breve modulo sulla “MFA fatigue”.
• Chi non verifica una modifica di pagamento seguendo la procedura nota riceve una formazione specifica in ambito finanziario.
• Se molti utenti non riescono a trovare il canale di segnalazione, non basta una semplice formazione individuale: bisogna migliorare il processo stesso.

La piattaforma di formazione AutoPhish supporta l’assegnazione automatica dopo le simulazioni, il monitoraggio dei progressi, corsi SCORM personalizzati e moduli su misura. In questo modo, il programma formativo può essere adattato meglio alle esigenze di apprendimento osservate.

Come si verifica l’efficacia

Il completamento dei corsi mostra la portata, ma non ancora un cambiamento nel comportamento. Una serie equilibrata di indicatori può includere:

• copertura dei gruppi target
• percentuale di completamento entro i tempi previsti
• risultati di brevi quiz di verifica
• tasso di segnalazione durante le simulazioni
• tempo trascorso fino alla prima segnalazione qualificata
• temi di rischio ricorrenti
• Andamento dopo una formazione mirata
• Feedback qualitativi dei collaboratori
• Miglioramenti ai processi e alle linee guida

La valutazione non dovrebbe basarsi su una classifica pubblica delle singole persone. L’obiettivo è migliorare il sistema e la cultura della sicurezza.

Lista di controllo per il programma didattico

Prima dell’approvazione, l’azienda dovrebbe essere in grado di rispondere a queste domande:

• Sono stati inclusi tutti gli utenti interni ed esterni rilevanti?
• C’è un modulo base e integrazioni specifiche per ruolo?
• I processi interni di segnalazione e approvazione sono descritti correttamente?
• I nuovi dipendenti vengono formati tempestivamente?
• L’introduzione di nuovi sistemi o l’emergere di nuovi rischi comporta un aggiornamento?
• La versione, l’assegnazione e il completamento sono documentati?
• Le esercitazioni vengono svolte in modo sicuro e nel rispetto della privacy?
• L’efficacia viene verificata regolarmente?
• Dai risultati si traggono miglioramenti concreti?

Domande frequenti

Quali contenuti formativi NIS2 sono obbligatori?

La direttiva NIS2 indica la “cyberigiene” e i corsi di formazione sulla sicurezza informatica come misure di gestione del rischio, ma non impone un programma formativo universale. I contenuti devono essere definiti in base ai rischi, ai ruoli, ai sistemi e all’attuazione a livello nazionale.

Il phishing deve essere obbligatoriamente incluso nel programma formativo?

Il phishing e il social engineering rappresentano rischi fondamentali per molte organizzazioni e sono indicati anche dal BSI come minacce rilevanti. La loro importanza concreta dovrebbe essere commisurata al profilo di rischio.

È sufficiente un modulo di e-learning all’anno?

Un modulo annuale può costituire la base. Per un effetto duraturo, sono utili l’onboarding, brevi ripassi, contenuti specifici per ruolo, esercitazioni e aggiornamenti in base alle esigenze.

Le simulazioni fallite dovrebbero automaticamente dare il via a una formazione?

Sì, se l’abbinamento è tecnicamente appropriato e proporzionato. Inoltre, i modelli ricorrenti dovrebbero far scattare una verifica dei processi, della comunicazione e dei controlli tecnici.

Si possono usare corsi propri?

Sì. I contenuti compatibili con SCORM possono essere integrati in piattaforme di formazione adatte. Sono importanti il controllo delle versioni, l’assegnazione, l’attestato di completamento e gli aggiornamenti regolari.

Conclusione

Un buon programma di formazione sulla sensibilizzazione alla NIS2 combina nozioni di base, conoscenze relative ai ruoli ed esercizi. Non si limita a spiegare i pericoli, ma allena a prendere decisioni concrete e a seguire le procedure di segnalazione. I risultati portano a corsi di aggiornamento mirati e a miglioramenti del sistema.

Con la piattaforma di formazione AutoPhish puoi assegnare corsi di formazione, integrare i tuoi contenuti, monitorare i progressi e abbinare simulazioni di phishing a un follow-up adeguato.