- Significato
- Guida dell’azienda nel momento critico
- Elementi
- Unità di crisi, comunicazione, percorsi decisionali
- Correlati
- BCMS, risposta agli incidenti
- Rapporto con il NIS2
- Misura obbligatoria
- Aggiornamento
- giugno 2026
- Redazione
- Compliance Compass
Che cos’è la gestione delle crisi?
Gestione delle crisi è la guida di un’azienda a livello dirigenziale quando un evento supera la normale operatività quotidiana e richiede decisioni rapide e di ampia portata. Fa sì che l’organizzazione resti capace di agire in una situazione grave: attraverso percorsi decisionali chiari, un’unità di crisi designata e una comunicazione regolata verso l’interno e verso l’esterno. A differenza del trattamento puramente operativo degli incidenti, la gestione delle crisi guarda al quadro d’insieme – reputazione, obblighi giuridici, clienti, personale e prosecuzione dell’attività – e prende le decisioni sovraordinate di cui i gruppi tecnici hanno bisogno per lavorare in modo efficace.
La tecnica incontra la direzione
Mentre la risposta agli incidenti si occupa della gestione tecnica di un incidente, la gestione delle crisi coordina a livello dirigenziale: decide su priorità, risorse e autorizzazioni, per esempio se spegnere i sistemi, coinvolgere fornitori esterni o far evacuare le sedi. È inserita nel BCMS, che definisce ed esercita in anticipo l’organizzazione di crisi.
La comunicazione è decisiva
In una crisi una buona comunicazione è spesso importante quanto la tecnica: verso il personale, le autorità, i clienti, i partner e – aspetto particolarmente rilevante per il NIS2 – verso l’autorità competente. Modelli di notifica predisposti in anticipo e ruoli di portavoce chiari evitano contraddizioni e ritardi quando occorre comunicare all’esterno sotto pressione di tempo.
Un caso tipico: presso un’azienda di logistica, di notte, i sistemi centrali vengono cifrati. L’unità di crisi si riunisce secondo il piano di allertamento, decide lo spegnimento di altri sistemi, incarica un perito informatico forense e autorizza la comunicazione concordata. In parallelo fa in modo che la pre-notifica all’autorità competente avvenga entro 24 ore, la notifica entro 72 ore e la relazione finale dopo un mese.
Gestione delle crisi e NIS2
La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024 ed entrata in vigore il 16 ottobre 2024, indica espressamente la gestione delle crisi tra le misure obbligatorie. Interviene là dove la continuità operativa e il trattamento degli incidenti convergono a livello dirigenziale, ed è strettamente legata al rispetto dei termini di notifica previsti dalla legge.
Per approfondire: ISO 22301 – Business Continuity Management e organizzazione di crisi
Domande frequenti
Che cos’è la gestione delle crisi?
La gestione delle crisi è l’organizzazione e la guida di un’azienda a livello dirigenziale nel momento critico, perché decisioni, comunicazione e misure funzionino. Attraverso percorsi decisionali chiari, un’unità di crisi designata e una comunicazione regolata fa sì che l’organizzazione resti capace di agire in una situazione grave. A differenza del trattamento puramente operativo degli incidenti, guarda al quadro d’insieme: reputazione, obblighi giuridici, clienti, personale e prosecuzione dell’attività.
La gestione delle crisi fa parte del NIS2?
Sì: il recepimento del NIS2 in Italia, il D.Lgs. 138/2024 in vigore dal 16 ottobre 2024, indica espressamente la gestione delle crisi tra le misure obbligatorie di gestione dei rischi. I soggetti interessati devono predisporre e rispettare ruoli di crisi e percorsi di escalation e di comunicazione. Ne fa parte anche la catena di notifica prevista dalla legge, con pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese all’autorità competente.
In che cosa si distingue dalla risposta agli incidenti?
La risposta agli incidenti è la gestione tecnica di un incidente concreto a livello operativo, per esempio analizzare, contenere ed eliminare un attacco. La gestione delle crisi è la guida sovraordinata a livello dirigenziale: decide su priorità, risorse, autorizzazioni e comunicazione esterna, mentre i gruppi tecnici trattano la situazione acuta. Le due si incastrano, perché la parte tecnica ha bisogno delle decisioni sovraordinate per poter lavorare in modo efficace.