Formazione sicurezza informatica dipendenti: TISAX e NIS 2

Molti incidenti iniziano con un clic: un allegato aperto, una password riutilizzata, un bonifico autorizzato su una mail falsa. Per questo sia TISAX® sia la NIS 2 collocano la formazione del personale tra i requisiti di base. Non basta però "aver svolto un corso": serve una formazione che cambi i comportamenti e che sia dimostrabile.

Cosa chiede TISAX

TISAX è un marchio registrato di ENX Association. Non è una certificazione: è un assessment svolto da audit provider accreditati da ENX, che si conclude con un label (AL2 o AL3) valido tre anni e condiviso sul portale ENX.

Nel catalogo VDA ISA 6, utilizzato per gli assessment ordinati entro il 2026, il controllo dedicato a consapevolezza e formazione richiede come requisito obbligatorio che il personale sia formato e sensibilizzato. Tra i requisiti ulteriori figura un vero e proprio concetto di awareness e formazione, che indica temi minimi, gruppi destinatari, approvazione della direzione, misure regolari e misure legate a eventi, documentazione della partecipazione e riferimenti a cui il personale si rivolge. Per gli assessment ordinati dal 1° gennaio 2027 il riferimento diventa il catalogo VDA ISA2027.

In pratica l'auditor non si accontenta di una slide: vuole vedere un piano, chi ha partecipato e quando, e verificare con qualche intervista che le persone sappiano davvero come comportarsi.

Cosa chiede la NIS 2

La Direttiva (UE) 2022/2555, recepita con il D.Lgs. 138/2024, include tra le misure di gestione del rischio le pratiche di igiene informatica di base e la formazione in materia di sicurezza informatica (art. 21 della Direttiva, art. 24 del decreto).

Esiste poi un secondo livello: l'art. 20 della Direttiva e l'art. 23 del decreto richiedono agli organi di amministrazione di seguire essi stessi una formazione e di promuovere una formazione periodica per i dipendenti.

Le misure di base ACN, definite nella determinazione n. 379907/2025, prevedono programmi di formazione e sensibilizzazione, con un piano approvato dagli organi di amministrazione e un registro delle persone formate. Per un soggetto essenziale o importante, dunque, la formazione deve essere pianificata e tracciata.

Perché molti corsi non funzionano

Lo schema ricorrente è noto: un video generico all'anno, uguale per tutti, seguito distrattamente. Il risultato è un attestato, non un comportamento diverso. I limiti più comuni:

• contenuti generici, scollegati da sistemi e processi dell'azienda;
• un unico livello per tutti, dall'operatore di magazzino all'amministratore di sistema;
• nessuna verifica dell'apprendimento;
• nessun collegamento con le politiche interne.

Le caratteristiche di una formazione efficace

Partire dai rischi reali

Un'azienda che gestisce prototipi per un costruttore ha rischi diversi da un'officina che tratta solo dati amministrativi. La formazione deve partire da lì: informazioni trattate, vettori di attacco più probabili, regole interne in vigore.

Differenziare per gruppi

Un'impostazione tipica prevede almeno tre livelli:

• tutto il personale: phishing, credenziali e autenticazione a più fattori, uso corretto di posta e dispositivi, segnalazione degli incidenti;
• ruoli sensibili: amministrazione e acquisti (frodi sui pagamenti, cambi IBAN), progettazione, chi accede a dati dei clienti, chi opera in mobilità;
• IT e responsabili: gestione degli accessi, backup, aggiornamenti, gestione degli incidenti.

Verificare con un test

Un breve test finale serve a misurare la comprensione e a disporre di un dato da presentare in audit. Le domande più efficaci si basano su situazioni concrete, non su definizioni.

Ripetere e aggiornare

Una sessione annuale non basta a mantenere l'attenzione. Risulta più efficace un ciclo regolare con richiami brevi, integrato da sessioni straordinarie quando cambia qualcosa: un nuovo gestionale, un incidente, una nuova politica.

Le evidenze da conservare

Per TISAX e NIS 2 la formazione deve essere dimostrabile. Si consiglia di conservare:

• piano di formazione approvato dalla direzione, con temi, destinatari e frequenza;
• materiali utilizzati, con data e versione;
• registro presenze per ogni sessione;
• esiti dei test finali;
• attestati di partecipazione;
• registro dei neoassunti formati all'ingresso.

Il servizio di General Tech di Rosario Zappalà

La formazione è progettata ed erogata da Rosario Zappalà, consulente indipendente, da remoto o in presenza quando necessario. Dopo una call gratuita di 30 minuti e una proposta scritta personalizzata, il percorso prevede contenuti costruiti sulle politiche e procedure dell'azienda, sessioni distinte per gruppi di destinatari, test finale, attestato di partecipazione e registro presenze pronti come evidenza. Per misurare l'efficacia nella pratica, la formazione può essere affiancata da una campagna di phishing simulato.

Domande frequenti

La formazione online registrata è sufficiente per TISAX?

Può essere parte del percorso, ma da sola raramente basta. L'auditor verifica la consapevolezza effettiva, anche con interviste. Contenuti legati ai processi aziendali, un test e una documentazione ordinata fanno la differenza.

Con quale frequenza va ripetuta?

Né TISAX né la NIS 2 fissano una frequenza unica. Una sessione strutturata all'anno, con richiami brevi e una formazione all'ingresso per i neoassunti, è un punto di partenza ragionevole da definire nel piano.

Devono partecipare anche i fornitori esterni?

Chi accede a informazioni o sistemi aziendali deve conoscere le regole che lo riguardano. Per i fornitori IT esterni conviene prevedere almeno un'informativa sulle politiche applicabili, tracciata.

L'attestato è una certificazione?

No. Documenta la partecipazione e il superamento del test: è un'evidenza utile per audit e assessment, non una certificazione professionale.