La Voce di Spesa che State per Approvare
Da qualche parte, nell'analisi degli scostamenti NIS2 posata sulla vostra scrivania, c'è una riga che recita più o meno così: «formazione in cybersicurezza per l'organo di gestione e per tutto il personale». È una delle voci meno costose dell'elenco. Una licenza per utente su una piattaforma di e-learning, una libreria di moduli video da cinque minuti, una campagna di phishing simulato ogni trimestre, un promemoria automatico a chiunque non abbia completato il modulo annuale. Venti euro a testa, una firma, e lo scostamento è colmato.
Prima di firmare, vale la pena sapere cosa dice la ricerca proprio su questo prodotto. Il più ampio studio controllato mai condotto sulla formazione anti-phishing aziendale è stato pubblicato all'IEEE Symposium on Security and Privacy 2025 da un gruppo dell'Università della California a San Diego. Ha seguito oltre 19.500 dipendenti di UC San Diego Health per otto mesi e dieci campagne di phishing simulato. Ha misurato due cose che quasi tutte le organizzazioni in Lussemburgo stanno per acquistare: la formazione annuale obbligatoria di sensibilizzazione alla cybersicurezza e la formazione integrata anti-phishing, cioè la breve lezione che compare quando qualcuno clicca su un phishing simulato.
La formazione annuale di sensibilizzazione non ha mostrato alcuna relazione significativa con il fatto che un dipendente cadesse in una simulazione di phishing. Chi l'aveva completata nell'ultimo mese non faceva meglio di chi era in ritardo di oltre un anno. La formazione integrata ha funzionato meglio del nulla, ma di poco: ha ridotto la probabilità di cliccare di circa 1,7 punti percentuali in media.
Questa è la base di partenza onesta. Non significa che la formazione sia inutile, e di certo non significa che possiate rinunciarvi, perché in Lussemburgo ormai non ne avete la facoltà. Significa che la versione predefinita è un artefatto di conformità e non una misura di sicurezza, e che se la comprate credendo il contrario avrete pagato per un falso senso di sicurezza in aggiunta a un vero obbligo di legge.
Cosa Richiede Davvero la Legge Lussemburghese
La legge del 5 maggio 2026 relativa alle misure volte a garantire un elevato livello di cybersicurezza ha recepito la NIS2 nel diritto lussemburghese ed è entrata in vigore il 10 maggio 2026. Le entità rientranti nell'ambito, in linea generale quelle con 50 o più dipendenti oppure con fatturato annuo superiore a 10 milioni di euro, operanti in uno dei diciotto settori elencati, avevano tempo fino al 10 luglio 2026 per auto-registrarsi presso la propria autorità competente, nella maggior parte dei casi l'Institut Luxembourgeois de Régulation. La mancata registrazione costituisce di per sé una violazione sanzionabile; se quella data è passata senza che nessuno nella vostra organizzazione abbia verificato la vostra posizione, è la prima conversazione da avere.
Sulla formazione in particolare contano due obblighi, e non sono lo stesso obbligo.
Il primo riguarda la governance. Ai sensi dell'articolo 20 della direttiva, gli organi di gestione devono approvare le misure di gestione dei rischi di cybersicurezza adottate dall'entità, sovrintendere alla loro attuazione e possono essere ritenuti responsabili delle violazioni dell'entità. I membri di tali organi sono tenuti a seguire una formazione al fine di acquisire conoscenze e competenze sufficienti per individuare i rischi, valutare le pratiche di gestione dei rischi di cybersicurezza dell'organizzazione e comprenderne l'impatto sui servizi erogati dall'entità. Le entità, a loro volta, sono tenute a offrire una formazione analoga ai dipendenti su base regolare. Le sanzioni non si limitano alle ammende: le autorità nazionali possono imporre il divieto temporaneo di esercitare funzioni dirigenziali.
Il secondo è operativo. Le pratiche di igiene informatica e la formazione in cybersicurezza figurano tra le dieci categorie obbligatorie di misure di gestione dei rischi, accanto ad analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, controllo degli accessi e autenticazione a più fattori. Tutte e dieci si applicano allo stesso modo alle entità essenziali e a quelle importanti. La differenza sta nella vigilanza: le entità essenziali sono soggette a supervisione sia proattiva sia reattiva, quelle importanti solo reattiva, il che in pratica significa che il primo esame serio dei registri formativi di un'entità importante avviene spesso dopo una notifica di incidente. Le sanzioni amministrative arrivano fino a 10 milioni di euro o al 2 % del fatturato annuo mondiale per le entità essenziali, e fino a 7 milioni di euro o all'1,4 % per quelle importanti.
Leggete con attenzione questi due obblighi e noterete una cosa che la brochure dell'e-learning non menziona. L'obbligo a livello di consiglio riguarda il giudizio: queste persone sono in grado di valutare se le misure di sicurezza dell'organizzazione siano adeguate? Un video di venti minuti sul riconoscimento dei link sospetti non produce quella capacità, e nessun revisore che esamini la competenza di un amministratore accetterà un attestato di completamento come prova. Se non avete ancora mappato i vostri obblighi dall'inizio alla fine, il nostro servizio di conformità NIS2 per le organizzazioni lussemburghesi e la nostra precedente guida pratica alla NIS2 per le PMI affrontano la questione più ampia dell'ambito di applicazione.
Perché il Programma Standard Fallisce
I dati di UC San Diego spiegano il meccanismo del fallimento in modo abbastanza chiaro da meritare precisione.
Circa tre quarti dei dipendenti approdati su una pagina di formazione integrata vi hanno trascorso un minuto o meno, e circa un terzo l'ha chiusa immediatamente senza consultare il materiale. Non è una storia di personale distratto. È una storia su cosa significhi un'interruzione mentre si è in mezzo a un compito: la formazione compare esattamente nel momento in cui alla persona è stato detto che ha commesso un errore, si sente in imbarazzo e vuole tornare al lavoro. La progettazione didattica combatte proprio il momento per cui è stata concepita.
Il secondo risultato è quello che dovrebbe ricalibrare le vostre aspettative in modo permanente. Nel primo mese dello studio, circa il 10 % dei dipendenti ha cliccato su un link di phishing simulato. All'ottavo mese, più della metà aveva cliccato almeno una volta. Con abbastanza tentativi e abbastanza tempo, quasi tutti finiscono per cliccare qualcosa. Non è una lacuna formativa che potete colmare. È una proprietà dell'attenzione umana sotto carico di lavoro, e qualsiasi programma il cui successo dipenda dall'eliminarla è destinato a fallire.
Progettate per il clic, non contro di esso. Date per scontato che una persona competente e in buona fede prima o poi cliccherà un link malevolo o approverà una richiesta fraudolenta. Il compito del vostro programma è rendere quel momento superabile e recuperabile, non renderlo impossibile.
La conclusione degli stessi ricercatori andava nella medesima direzione: spostare il carico dall'utente alle contromisure tecniche. Ne hanno indicate due in particolare: l'autenticazione a due fattori basata su hardware o applicazione, e i gestori di password che compilano i campi solo sul dominio corretto. Entrambe funzionano eliminando la necessità che un essere umano noti qualcosa di sottile nel momento sbagliato.
Ci sono evidenze sul campo a sostegno. Google ha imposto le chiavi di sicurezza FIDO ai suoi oltre 85.000 dipendenti all'inizio del 2017 e da allora non ha riportato alcun phishing riuscito su account aziendali. Il meccanismo non è la persuasione. Un autenticatore FIDO è vincolato al dominio legittimo, quindi una credenziale catturata su un sito clone non può essere riutilizzata contro quello reale. La persona può essere completamente ingannata e l'attacco fallisce comunque.
Cosa Costruire al Suo Posto
Nulla di tutto questo suggerisce di saltare la formazione. Suggerisce di concentrare lo sforzo dove cambia un esito, e di ottenere la documentazione richiesta dall'ILR come sottoprodotto anziché come obiettivo.
1. Investite nell'autenticazione prima che nei contenuti
L'autenticazione a più fattori è già una delle dieci categorie obbligatorie di misure: non è quindi un extra da bilanciare contro la formazione. È un requisito che dovete comunque soddisfare, e la versione che scegliete determina se il phishing resta un rischio vivo. I metodi resistenti al phishing, chiavi di sicurezza FIDO2 o passkey, resistono al riutilizzo delle credenziali e agli attacchi con avversario interposto in un modo che i codici SMS, le password monouso e le approvazioni push non permettono. Iniziate dagli account che comportano il danno maggiore: amministratori, personale finanziario e approvatori di pagamenti, caselle di posta con accesso delegato e tutto ciò che è raggiungibile da Internet. Fondamentale: rimuovete per quegli account i metodi di ripiego più deboli. Un fattore primario resistente al phishing con ripiego via SMS resta una protezione SMS.
2. Misurate le segnalazioni, non i clic
Il tasso di clic è la metrica che ogni piattaforma di sensibilizzazione vende, perché è quella che migliora più in fretta e conta di meno. Il numero che predice davvero come andrà un incidente è la rapidità con cui qualcuno vi avvisa. Rendete la segnalazione un'azione da un clic nel client di posta, non punite mai chi segnala, e portate alla direzione due cifre: quale quota di una campagna simulata è stata segnalata e il tempo mediano tra la prima consegna e la prima segnalazione. Se la vostra mediana si misura in ore, la vostra capacità di rilevamento dipende dalla fortuna. Se si misura in minuti, il vostro personale funziona come una rete di sensori, che è l'unico ruolo in questo sistema in cui gli esseri umani superano davvero il software.
3. Formate sul serio i ruoli che portano il rischio
I moduli annuali generici trattano un responsabile di magazzino e un addetto ai pagamenti come lo stesso rischio. Non lo sono. Concentrate il tempo di formazione reale, con scenari reali, sul piccolo numero di ruoli in cui una singola decisione sbagliata costa cara: il personale finanziario che può muovere denaro, gli amministratori con credenziali privilegiate, le risorse umane che trattano dati personali, gli sviluppatori che rilasciano codice e chiunque abbia accesso ai sistemi dei clienti. Per questi ruoli, un'ora di scenari specifici, plausibili e radicati nel contesto locale vale più di dodici mesi di contenuti generici. Gli schemi che osserviamo nella Grande Regione, descritti nella nostra analisi del social engineering nella Grande Regione, meritano di fare da base a quegli scenari, perché gli attaccanti locali riutilizzano il contesto: nomi reali di fornitori, particolarità delle buste paga transfrontaliere, quel passaggio multilingue che fa sembrare normale una formulazione strana.
4. Date all'organo di gestione pratica decisionale, non un video
L'obbligo dell'articolo 20 riguarda la capacità del consiglio di valutare e approvare. Il formato che produce questa capacità è un'esercitazione guidata in cui l'organo di gestione deve prendere decisioni vere con informazioni incomplete: notifichiamo all'ILR entro 24 ore sulla base di ciò che sappiamo ora, mettiamo offline il portale clienti, chi parla con la stampa, paghiamo. Due ore di questo rivelano più cose sulla vostra governance di qualsiasi valutazione, e producono esattamente il tipo di prova documentata, datata e verbalizzata che un'autorità di vigilanza chiederà. Abbiamo già scritto su come condurre una simulazione di crisi, e lo stesso approccio si adatta direttamente all'obbligo di governance NIS2. Per i team tecnici, l'equivalente è il lavoro pratico in un ambiente realistico anziché una presentazione, ed è per questo che sono state costruite le nostre esercitazioni su cyber range.
5. Tenete prove che un revisore possa davvero leggere
Qualunque cosa realizziate, registratela in una forma che regga alla domanda di un'autorità due anni dopo: chi ha partecipato, quando, cosa è stato trattato, quali decisioni ha preso di conseguenza l'organo di gestione e cosa è cambiato dopo. Verbali del consiglio che attestino l'approvazione delle misure di gestione dei rischi, fogli presenza datati per la formazione dei dirigenti e una breve sintesi scritta dei risultati e delle azioni di follow-up di ogni esercitazione valgono molto più di un cruscotto che mostra il 98 % di moduli completati. I tassi di completamento provano che delle persone hanno aperto una pagina. I verbali e le azioni correttive provano che l'organizzazione è governata.
La Riformulazione Scomoda
La ragione per cui questo conta al di là della conformità è che il programma standard crea un'illusione precisa e pericolosa. Quando il cruscotto mostra un tasso di clic in calo, l'organizzazione conclude che le sue persone sono la difesa e declassa silenziosamente le misure che servirebbero davvero a contenere un incidente. Poi una richiesta ben confezionata arriva un venerdì pomeriggio, qualcuno di ragionevole la approva, e l'analisi post-incidente scopre che dietro quella persona non c'era nulla progettato per intercettarla.
Le organizzazioni che gestiscono bene questa materia hanno compiuto uno spostamento discreto ma decisivo. Formano i loro organi di gestione a governare, formano i ruoli ad alto rischio su scenari che potrebbero plausibilmente capitare loro, rendono la segnalazione priva di attrito, e poi mettono il denaro vero in autenticazione, segmentazione, monitoraggio e risposta provata, così che il clic inevitabile risulti contenuto anziché catastrofico. Questa combinazione soddisfa la legge e riduce il rischio, in quest'ordine quanto alla burocrazia e in quest'ordine quanto all'importanza.
Se state lavorando ora alle vostre misure NIS2 e volete un programma formativo costruito su queste basi anziché una licenza da rinnovare ogni anno, possiamo aiutarvi a progettarlo, condurre le esercitazioni per l'organo di gestione e produrre la documentazione che la vostra autorità di vigilanza richiederà. I nostri servizi di formazione sulla sicurezza in Lussemburgo coprono l'intero spettro, dalle esercitazioni a livello di consiglio al lavoro tecnico specifico per ruolo. Contattateci e partiremo da una revisione onesta di ciò che avete già e di dove non reggerà.
