La cybersecurity nelle infrastrutture critiche non può essere trattata come un semplice tema IT. Attacchi informatici, interconnessioni sistemiche, minacce statali e governance frammentata impongono un approccio strategico fondato su leadership, gestione del rischio e fiducia pubblica.

Le organizzazioni che gestiscono infrastrutture critiche forniscono servizi essenziali da cui dipende il funzionamento stesso della società. Settori come quello idrico, sanitario, dei trasporti e dei servizi finanziari sono sempre più spesso oggetto di attacchi informatici; eppure, a livello manageriale si va sempre considerando la cybersecurity come una questione di tecnologia operativa (OT), gestita dal proprio reparto IT come un centro di costo e affrontata seguendo liste di controllo basate sulla conformità. Essa dovrebbe invece essere trattata come componente fondamentale per soddisfare la fiducia pubblica, da cui dipende la loro stessa legittimità a operare.

La cybersecurity nelle infrastrutture critiche non è un problema IT che può essere scaricato sui dipendenti che lavorano sul campo. È una priorità strategica che sta alla base dell’esistenza stessa di queste organizzazioni. Di seguito si vedrà perché i rischi informatici aziendali e quelli critici differiscono notevolmente, come la rete interconnessa dell’infrastruttura digitale odierna crei rischi nascosti, i pericoli causati dagli attori statali e il modo in cui i modelli di governance organizzativa obsoleti aggravano le vulnerabilità del sistema.

Un rischio diverso da quelli aziendali

Il rischio informatico per le infrastrutture critiche non è semplicemente un rischio aziendale su scala più ampia, ma qualcosa di radicalmente diverso.

Nel mondo degli affari, l’obiettivo della cybersecurity aziendale è generalmente quello di proteggere le informazioni, le infrastrutture e le operazioni per mitigare le minacce informatiche che, in caso di violazione, hanno un impatto finanziario. Sebbene la perdita di ricavi e dati riservati sia devastante per un’azienda e per i suoi clienti, le conseguenze restano comunque relativamente circoscritte.

Quando si tratta di infrastrutture critiche, invece, il rischio informatico è un problema molto più serio. Nel caso di attacco informatico che colpisce i sistemi di trattamento delle acque, le reti elettriche o gli ospedali, le implicazioni più ampie sulla salute e sulla sicurezza pubblica sono meno contenibili, oltre ad avere conseguenze economiche significative.

Un’analisi precisa del rischio

Di conseguenza, gli approcci, i profili di rischio e le misure di controllo adeguati a proteggere l’IT aziendale sono del tutto inadatti per le infrastrutture critiche in cui le operazioni fondamentali dipendono da sistemi ciberfisici. Le organizzazioni dovrebbero sviluppare un quadro di rischio su misura per il proprio ambiente OT che tenga conto non solo della sicurezza, ma anche della durata di vita delle risorse e dei diversi modelli di rischio applicabili quando la tecnologia digitale è integrata direttamente nei processi operativi dei sistemi fisicamente esposti a rischi.

Reti interconnesse e complessità amplificata

I nostri sistemi sono ormai fortemente interconnessi, sia orizzontalmente che verticalmente, nel mondo fisico e nel ciberspazio. Essi riflettono le interdipendenze e la portata globale delle infrastrutture critiche che li compongono in contesti così complessi e dinamici che né le singole entità né le organizzazioni a cui appartengono hanno il pieno controllo o una consapevolezza completa dei rischi connessi.

Tecnologie come contatori intelligenti, sensori IoT, analisi basate sull’intelligenza artificiale e automazione hanno portato ad un miglioramento in termini di efficienza; tuttavia, ad ogni nuova dipendenza creata, i responsabili IT e aziendali devono considerare un insieme sempre più complesso di potenziali punti di errore e il loro impatto a cascata in caso di interruzione.

La supply chain come vulnerabilità

Secondo il Global Cybersecurity Outlook 2026 del World Economic Forum, il 78% dei CEO di organizzazioni altamente resilienti identifica la supply chain e le dipendenze da terze parti come le sfide più significative per rafforzare ulteriormente la resilienza. Ciò significa che, gestire il rischio di cybersecurity internamente è necessario ma di per sé insufficiente, perché la superficie di rischio è l’ecosistema globale, non la singola organizzazione.

Minacce strategiche e attori statali

Stando al WEF, gli attacchi informatici motivati da ragioni geopolitiche rappresentano il fattore più rilevante nelle strategie di mitigazione (64%). Inoltre, si osserva una notevole sovrapposizione tra le attività statali e quelle della criminalità informatica. Oggi, le minacce alle infrastrutture critiche non sono semplicemente di natura criminale o opportunistica. Sono strategiche, persistenti e guidate dagli Stati.

Governance e responsabilità frammentata

Le infrastrutture critiche non possono essere protette con un modello che tenga conto solo di attori motivati da ragioni finanziarie, né è possibile ignorare un avversario statale che impiega anni per insinuarsi in un’organizzazione. Questo è un aspetto di cui i vertici aziendali devono essere profondamente consapevoli.

L’ultimo tema da considerare riguarda un problema strutturale riscontrabile in molte organizzazioni che gestiscono infrastrutture critiche: la separazione tra chi gestisce il rischio informatico e chi ne subisce le conseguenze.

Le decisioni in materia di cybersecurity sono spesso di competenza del CIO o del CSO, i quali, purtroppo, non sempre dispongono dell’autorità, delle risorse o dei contatti adeguati ad attuare cambiamenti significativi a livello aziendale. Scelte rischiose, come non applicare patch, sottofinanziare la sicurezza OT o consentire il trasferimento di applicazioni critiche a un unico fornitore, vengono prese dai tecnici del gruppo operativo, spesso senza tenere conto dell’azienda nel suo complesso o del pubblico che essa raggiunge, un aspetto che la direttiva NIS2 dell’UE mira ad affrontare.

Un approccio unitario e integrato

Per raggiungere livelli adeguati di cybersecurity nelle infrastrutture critiche, è necessaria una convergenza dei rischi. Il rischio informatico deve essere integrato nelle pratiche di Enterprise Risk Management (ERM) che coprono il rischio operativo, il rischio finanziario e il rischio di sicurezza, sotto la supervisione delle medesime persone.

Se si considerano i quattro elementi costitutivi del rischio informatico nelle infrastrutture critiche – la natura categoricamente diversa, le conseguenze sistemiche sconosciute della maggiore interconnettività, il ruolo sempre più centrale sul fronte della competizione geopolitica e la frattura esistente tra gestione e conseguenze – si giunge a una conclusione chiara e ineludibile: disporre di un valido programma di cybersecurity nelle infrastrutture critiche non è una questione di informatica. È una questione di leadership, di governance e, fondamental