Tra le misure obbligatorie dell’Art. 21 del D.Lgs. 138/2024, la continuità operativa e la gestione delle crisi occupano un posto centrale. Non si tratta di “avere un backup”: la NIS2 richiede un approccio strutturato e verificabile.
Cosa richiede concretamente la normativa
La NIS2 è specifica: piani di backup adeguati e testati (non basta avere un backup — bisogna dimostrare che funziona),
procedure di DR documentate con RTO e RPO definiti (quanto puoi restare fermo? Quanti dati puoi perdere?), analisi d’impatto
per identificare servizi critici e priorità di ripristino, procedure di gestione crisi con ruoli e responsabilità chiari, e
verifica periodica attraverso test reali.
Un NAS con una copia dei dati in ufficio non basta. Il ransomware cifra anche il NAS raggiungibile via rete.
Un incendio distrugge sia server che NAS. Serve backup multi-livello, cifrato, offsite, monitorato e testato.
I 5 errori più comuni nel backup aziendale
Nella nostra esperienza di gestione backup per centinaia di aziende, vediamo costantemente gli stessi errori.
Errore 1: Non testare mai il ripristino. Il più grave e più comune. Abbiamo visto aziende scoprire backup corrotti solo nel momento del bisogno. Il test deve essere almeno semestrale e documentato.
Errore 2: Backup nello stesso luogo dei dati. Un singolo evento catastrofico li compromette entrambi. Serve almeno una copia offsite, geograficamente separata.
Errore 3: Backup non cifrati. Un backup esposto è un data breach. Cifratura in transito e a riposo (AES-256) è essenziale.
Errore 4: Nessun monitoraggio dei job. “Ma il backup era configurato!” — quante volte l’abbiamo sentito da aziende che scoprivano backup fermi da settimane. Servono alert automatici su ogni fallimento.
Errore 5: Nessun piano DR documentato. Senza piano, il ripristino è caotico. Chi decide cosa ripristinare prima? Chi ha le chiavi di cifratura? Quanto tempo serve?
L’approccio corretto:
la regola 3-2-1 e oltre
Un sistema conforme NIS2 prevede: almeno 3 copie dei dati su almeno 2 supporti diversi con almeno 1 copia offsite in
datacenter certificato. Cifratura AES-256 in transito e a riposo, monitoraggio automatico con alert,
test di ripristino semestrali documentati, e piano DR scritto e aggiornato.
Per il ransomware serve un requisito aggiuntivo: almeno una copia immutabile o air-gapped, non raggiungibile
dalla rete di produzione.
Il backup non è un progetto:
è un servizio
L’errore concettuale più grande è pensare al backup come a un progetto con una fine. È un servizio continuo che richiede monitoraggio quotidiano, aggiornamento delle policy, test periodici. Per le PMI, il Backup as a Service (BaaS) gestito da un MSP
è la scelta più efficiente.
Scopri i nostri servizi di Backup e Disaster Recovery
