Cyber risk ed ESG: la sicurezza diventa sostenibilità
Il cyber risk non è più soltanto un problema tecnologico, ma è diventato a tutti gli effetti un rischio strategico per l’intera organizzazione. Un attacco informatico può interrompere la produzione, può compromettere servizi essenziali e può causare rilevanti perdite economiche.
Il rischio che si corre può comportare anche l’esposizione di dati personali, informazioni riservate e proprietà intellettuale. Per queste ragioni la cybersecurity è sempre più collegata ai fattori ESG.
La relazione più evidente riguarda la governance e la responsabilità degli organi aziendali.
Il consiglio di amministrazione deve conoscere i principali rischi digitali e controllare le misure adottate. Ruoli chiari, formazione e procedure di risposta sono elementi di una buona governance ESG.
La dimensione sociale emerge quando una violazione colpisce clienti, dipendenti, cittadini o comunità. Il furto di dati può provocare frodi, discriminazioni, ricatti e perdita della riservatezza. Il blocco di ospedali, trasporti o reti energetiche può compromettere diritti e servizi fondamentali.
Anche la componente ambientale è poi coinvolta, soprattutto nelle infrastrutture e negli impianti industriali. Un attacco ai sistemi di controllo può causare sprechi, emissioni anomale o incidenti ambientali. La sicurezza informatica protegge inoltre i dati utilizzati per misurare consumi, emissioni e rifiuti. Informazioni alterate o indisponibili possono rendere inattendibile la rendicontazione di sostenibilità.
La CSRD può richiedere di considerare il cyber risk quando produce impatti o rischi materiali. La NIS2 rafforza invece prevenzione, continuità operativa, sicurezza dei fornitori e gestione degli incidenti.
Le due normative hanno finalità diverse, ma convergono su responsabilità, controlli e resilienza.
Quando il Cyber risk diventa un rischio ESG
Il cyber risk è di fatto entrato stabilmente nell’agenda dei consigli di amministrazione. La crescente dipendenza da dati, cloud, piattaforme, dispositivi connessi e fornitori tecnologici ha trasformato un problema considerato prevalentemente tecnologico in un rischio strategico per l’intera organizzazione.
Un attacco può fermare la produzione, compromettere dati personali, interrompere servizi essenziali o alterare le informazioni utilizzate per misurare consumi ed emissioni. Può inoltre generare sanzioni, contenziosi, perdita di clienti e un danno reputazionale destinato a durare più a lungo dell’incidente tecnico.
Il cyber risk assume così una chiara dimensione ESG, perché investe la responsabilità dell’impresa nei confronti dell’ambiente, delle persone e dei propri stakeholder. Normative come NIS2, GDPR, DORA e CSRD, insieme a framework quali NIST CSF e ISO/IEC 27001, contribuiscono a definire un sistema di responsabilità, controlli e rendicontazione.
Che cosa significa considerare il cyber risk come ESG
ESG indica i fattori ambientali, sociali e di governo societario che possono produrre impatti sulle persone e sull’ambiente oppure influenzare risultati, rischi e prospettive economiche di un’impresa. La cybersicurezza non costituisce automaticamente una quarta dimensione della sostenibilità. È piuttosto un fattore trasversale che attraversa tutte e tre le componenti ESG e può diventare materiale in relazione alle caratteristiche dell’azienda, al settore in cui opera e agli stakeholder coinvolti.
Un rischio finanziario e di impatto
Un incidente informatico può essere rilevante dal punto di vista finanziario quando provoca interruzioni operative, perdita di ricavi, richieste di risarcimento, sanzioni o aumento dei costi assicurativi. Può anche compromettere proprietà intellettuale, vantaggio competitivo e rapporti commerciali.
Lo stesso incidente può produrre un impatto sulle persone quando espone dati sanitari, finanziari o biometrici, interrompe servizi pubblici o mette in pericolo lavoratori e utenti. Nei sistemi industriali e nelle infrastrutture critiche, un attacco può determinare anche danni materiali o ambientali.
Questa doppia prospettiva richiama il principio della doppia materialità previsto dalla Corporate Sustainability Reporting Directive, la CSRD: l’impresa valuta sia come una questione incida sui propri risultati, sia quali effetti generi all’esterno.
Cyber risk e Governance: il legame più diretto
La componente Governance riguarda responsabilità, processi decisionali, controlli interni, gestione dei rischi, trasparenza ed etica aziendale. È quindi il punto di contatto più evidente tra cybersecurity ed ESG. Un’organizzazione dotata delle tecnologie di protezione più avanzate può restare vulnerabile se non stabilisce chi debba prendere le decisioni, come debbano essere comunicati gli incidenti e quali informazioni debbano raggiungere il consiglio di amministrazione.
La responsabilità degli organi di gestione
La direttiva NIS2 attribuisce agli organi di amministrazione e direzione un ruolo esplicito. Essi devono approvare le misure di gestione del rischio informatico e sorvegliarne l’attuazione, oltre ad acquisire le competenze necessarie per comprendere e valutare le minacce.
La sicurezza non può pertanto essere delegata integralmente al CISO o al dipartimento IT. Il vertice deve conoscere i sistemi critici, le dipendenze dai fornitori, le conseguenze dei possibili incidenti e il livello di rischio residuo accettato dall’organizzazione.
In termini ESG, questo significa dimostrare l’esistenza di responsabilità chiare, flussi informativi, formazione, verifiche periodiche e indicatori capaci di misurare l’efficacia dei presidi.
Il cyber risk incide anche sulla qualità dei dati aziendali. Se un’informazione viene alterata, sottratta o resa indisponibile, può compromettere decisioni, comunicazioni finanziarie e rendicontazione di sostenibilità.
I dati ESG devono quindi essere protetti lungo l’intero ciclo di vita: raccolta, validazione, elaborazione, conservazione e pubblicazione. Accessi, modifiche e autorizzazioni devono risultare tracciabili, soprattutto quando gli indicatori provengono da stabilimenti, contatori, sensori o soggetti esterni.
La dimensione Social: proteggere persone e servizi
Ogni violazione di dati personali può produrre conseguenze sui lavoratori, sui clienti e sulle comunità. Non si tratta soltanto di tutelare la riservatezza, ma di impedire che le informazioni vengano utilizzate per frodi, ricatti, furti d’identità o discriminazioni.
Il rischio sociale cresce quando vengono coinvolti dati sanitari, informazioni economiche, minori o persone vulnerabili. Anche il blocco di un sistema può diventare un problema ESG se impedisce l’accesso a cure, energia, trasporti, pagamenti o altri servizi essenziali.
Il Regolamento generale sulla protezione dei dati, il GDPR, impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate al rischio. In presenza di una violazione dei dati personali, può inoltre rendersi necessaria la notifica all’autorità di controllo e, nei casi di rischio elevato, la comunicazione agli interessati.
Una gestione conforme non si limita a rispettare scadenze e procedure. La qualità della risposta dipende dalla capacità di fornire indicazioni comprensibili, assistere le persone coinvolte e ridurre le conseguenze dell’incidente.
Nel quadro ESG, diventano rilevanti anche la formazione dei dipendenti, la cultura della sicurezza, la protezione da pratiche di sorveglianza sproporzionate e l’equilibrio tra controllo aziendale e diritti individuali.
La dimensione Environmental: impianti e dati ambientali
Il rapporto tra cyber risk e ambiente è meno immediato, ma sempre più concreto. Stabilimenti, reti energetiche, acquedotti, infrastrutture di mobilità e impianti per la gestione dei rifiuti sono governati da sistemi digitali.
La compromissione delle tecnologie operative può modificare parametri di produzione, disattivare allarmi o impedire il controllo di processi critici. Le conseguenze possono includere consumi anomali, emissioni, sprechi di risorse, dispersioni o incidenti ambientali.
Anche senza produrre danni fisici, un attacco può alterare i dati utilizzati per calcolare emissioni di gas serra, consumi energetici, prelievi idrici e quantità di rifiuti. Un report costruito su informazioni compromesse può risultare inattendibile, pur applicando metodologie formalmente corrette.
La cybersecurity diventa così una condizione per la qualità dell’informativa ambientale. I controlli dovrebbero proteggere non solo la riservatezza, ma soprattutto integrità, disponibilità, provenienza e verificabilità delle informazioni.
Gli obblighi europei che incidono sul cyber risk
Il quadro europeo non è rappresentato da una sola norma. Imprese differenti possono essere soggette a obblighi diversi in base a settore, dimensioni, attività esercitate, dati trattati e rilevanza dei servizi offerti.
La NIS2 richiede alle entità comprese nel suo perimetro di adottare misure proporzionate per gestire i rischi relativi a reti e sistemi informativi. Gli ambiti comprendono analisi dei rischi, gestione degli incidenti, continuità operativa, backup, disaster recovery, sicurezza della catena di fornitura, crittografia, controllo degli accessi e formazione.
La direttiva disciplina inoltre la segnalazione degli incidenti significativi attraverso comunicazioni articolate in più fasi. In Italia è stata recepita con il decreto legislativo 138/2024.
DORA per il settore finanziario
Il Digital Operational Resilience Act, conosciuto come DORA, introduce requisiti uniformi per la resilienza operativa digitale delle entità finanziarie. Il regolamento riguarda gestione del rischio ICT, incident reporting, test di resilienza e controllo dei fornitori tecnologici.
DORA rafforza l’idea che la sicurezza non consista soltanto nell’evitare gli attacchi: l’organizzazione deve riuscire a mantenere o ripristinare le attività anche durante una crisi.
CSRD ed ESRS
La CSRD non impone a ogni impresa un indicatore cyber standardizzato e obbligatorio. Richiede però alle aziende interessate di individuare e rendicontare gli impatti, i rischi e le opportunità materiali secondo gli European Sustainability Reporting Standards.
Il cyber risk può emergere nelle informazioni relative a governance, controllo interno, consumatori, lavoratori, continuità operativa e rischi finanziari. La valutazione deve essere specifica: non ogni tentativo di attacco è materiale, mentre una violazione limitata numericamente può esserlo se riguarda dati sensibili o servizi essenziali.
I framework per gestire e misurare il cyber risk
Le normative indicano gli obblighi da rispettare, mentre i framework aiutano a trasformarli in processi operativi. Non sostituiscono la conformità legale, ma forniscono strutture, linguaggi e controlli utilizzabili per organizzare il sistema di gestione.
NIST Cybersecurity Framework 2.0
Il NIST Cybersecurity Framework 2.0 organizza la gestione del rischio intorno a sei funzioni: Govern, Identify, Protect, Detect, Respond e Recover. L’introduzione della funzione Govern rafforza il collegamento con l’ESG. Strategia, responsabilità, politiche, supervisione e supply chain vengono collocate alla base dell’intero sistema, favorendo l’integrazione tra cybersecurity ed enterprise risk management.
Il framework può essere utilizzato da organizzazioni di qualsiasi settore e dimensione per rappresentare la situazione attuale, definire il livello obiettivo e stabilire le priorità di miglioramento.
ISO/IEC 27001 e sistema di gestione
La ISO/IEC 27001 definisce i requisiti per un sistema di gestione della sicurezza delle informazioni. Il suo approccio basato sul rischio aiuta l’organizzazione a stabilire politiche, responsabilità, controlli, verifiche e azioni di miglioramento continuo.
La certificazione non garantisce l’assenza di incidenti e non dimostra automaticamente la conformità a tutte le normative. Offre però una base strutturata per documentare il governo della sicurezza e collegarlo ai processi di controllo interno.
A seconda delle attività, le imprese possono affiancare altri standard, come ISO 22301 per la continuità operativa, ISO 31000 per il risk management e IEC 62443 per la sicurezza dei sistemi industriali.
La scelta non dovrebbe trasformarsi in una raccolta di certificazioni. L’obiettivo è costruire un’architettura coerente nella quale ogni framework risponda a esigenze, rischi e obblighi effettivamente rilevanti.
Come integrare cyber risk ed ESG
Il primo passo consiste nell’inserire il cyber risk nella mappa dei rischi aziendali e nell’analisi di doppia materialità. Ogni scenario dovrebbe essere collegato a processi critici, stakeholder coinvolti, possibili conseguenze ambientali e sociali ed effetti finanziari.
CISO, CIO, responsabile ESG, CFO, DPO, risk manager, acquisti e internal audit devono utilizzare criteri coordinati. Servono inoltre procedure di escalation capaci di stabilire quando un incidente tecnico possa diventare una questione ESG materiale.
Tra gli indicatori utilizzabili figurano tempo di rilevazione e ripristino, disponibilità dei servizi critici, dipendenti formati, vulnerabilità risolte, copertura dei test, fornitori valutati e incidenti con conseguenze sulle persone. Le metriche devono essere contestualizzate: un numero elevato di eventi rilevati può indicare maggiore esposizione, ma anche migliori capacità di monitoraggio.
L’integrazione permette di evitare duplicazioni tra valutazioni NIS2, controlli GDPR, presidi DORA e raccolta delle informazioni CSRD. Non significa, però, confondere obblighi che mantengono finalità, scadenze e destinatari differenti.
Considerare il cyber risk come rischio ESG significa riconoscere che la sostenibilità dipende anche dalla capacità di proteggere persone, servizi, impianti e informazioni. La conformità rappresenta il punto di partenza; la resilienza, la responsabilità e la fiducia degli stakeholder sono il risultato da raggiungere.
Partecipa alla community