Organizzare la formazione cybersecurity in azienda richiede alcune decisioni concrete: quali persone coinvolgere, quali competenze sviluppare, come differenziare i percorsi e quali evidenze raccogliere per monitorare le attività svolte.
Per i responsabili HR, Learning & Development e Compliance, queste scelte diventano particolarmente rilevanti nelle organizzazioni con numerosi dipendenti, ruoli differenti e requisiti normativi specifici.
Il Regolamento DORA e la Direttiva NIS2, recepita in Italia dal D.Lgs. 138/2024, hanno rafforzato l’attenzione verso la preparazione delle persone nella gestione dei rischi informatici. Le due normative hanno ambiti di applicazione e disposizioni differenti, ma entrambe rendono importante valutare la formazione nell’ambito delle misure di sicurezza e resilienza.
Da dove partire per costruire un programma efficace?
Chi deve seguire la formazione cybersecurity in azienda?
La formazione cybersecurity aziendale può coinvolgere tutta la popolazione aziendale, ma non tutte le persone hanno bisogno degli stessi contenuti.
Un dipendente che utilizza strumenti digitali deve riconoscere tentativi di phishing e conoscere le procedure per segnalare un’attività sospetta. Un responsabile di funzione deve comprendere anche le conseguenze operative di un incidente e sapere quando attivare i referenti competenti. Le figure specialistiche necessitano invece di approfondimenti coerenti con le attività tecniche svolte.
Per individuare i destinatari è utile partire da tre elementi:
- Attività svolte: quali sistemi, informazioni e processi utilizza la persona?
- Rischi associati al ruolo: quali errori o comportamenti potrebbero esporre l’organizzazione a un incidente?
- Responsabilità: quali decisioni o azioni deve essere in grado di compiere in caso di rischio informatico?
Questa analisi permette di distinguere una formazione di base, rivolta a una popolazione ampia, da percorsi specifici per manager, alta direzione e funzioni specialistiche.
Quali contenuti prevedere nei percorsi di formazione cybersecurity?
Un programma formativo dovrebbe collegare ogni argomento a una competenza osservabile e a un’attività lavorativa.
La seguente matrice offre un esempio di progettazione per destinatari. L’ultima colonna indica possibili evidenze utili al monitoraggio del percorso, senza rappresentare un elenco uniforme di obblighi documentali previsti dalle normative.
| Destinatari | Competenze da sviluppare | Attività formative | Evidenze da raccogliere |
| Dipendenti | Riconoscere phishing e social engineering, proteggere credenziali e dati, segnalare anomalie | Moduli e-learning, esempi pratici, simulazioni | Completamenti, test, risultati delle esercitazioni |
| Responsabili di funzione | Valutare i rischi nelle attività del team e conoscere le procedure di escalation | Casi aziendali, scenari decisionali | Partecipazione, verifiche su casi pratici |
| Alta direzione | Comprendere governance, responsabilità e rischio ICT | Sessioni dedicate, analisi di scenari e requisiti applicabili | Programmi svolti, partecipazione, verifiche pertinenti |
| IT e sicurezza | Gestire incidenti, vulnerabilità e continuità operativa | Approfondimenti tecnici, esercitazioni | Risultati delle prove, competenze verificate |
| HR, L&D e Compliance | Pianificare, coordinare e monitorare la formazione | Approfondimenti organizzativi e normativi | Piani formativi, registri, report e aggiornamenti |
La matrice è un modello orientativo: destinatari, contenuti e modalità di verifica devono essere adattati ai rischi aziendali e alle disposizioni applicabili.
Un esempio pratico di percorso differenziato
Immaginiamo un’organizzazione del settore finanziario con più sedi, personale commerciale, funzioni centrali e responsabili di struttura.
Un piano di formazione cybersecurity potrebbe prevedere:
- Un modulo comune per tutti i dipendenti, dedicato ai rischi informatici quotidiani e alle procedure di segnalazione.
- Un approfondimento per il personale che gestisce dati e operazioni sensibili, basato su situazioni ricorrenti nella propria attività.
- Un percorso per responsabili e alta direzione, incentrato su responsabilità, rischio ICT e decisioni da assumere in caso di incidente.
- Contenuti specialistici per le funzioni tecniche, coerenti con le competenze richieste.
- Verifiche e aggiornamenti, pianificati in funzione dei risultati e dell’evoluzione dei rischi.
In questo modo è possibile mantenere una base di conoscenze condivisa e, allo stesso tempo, dedicare maggiore attenzione ai ruoli più esposti o con responsabilità specifiche.
Formazione DORA e NIS2: quali obblighi considerare?
Per progettare correttamente un piano formativo è necessario distinguere i requisiti delle due normative e verificare i rispettivi ambiti di applicazione.
Formazione cybersecurity secondo DORA
Il Regolamento (UE) 2022/2554, applicabile dal 17 gennaio 2025, disciplina la resilienza operativa digitale del settore finanziario.
L’articolo 13, paragrafo 6, prevede programmi obbligatori di sensibilizzazione sulla sicurezza ICT e di formazione sulla resilienza operativa digitale per tutto il personale e l’alta dirigenza. La complessità dei programmi deve essere commisurata alle funzioni dei destinatari.
Nella progettazione formativa, questo comporta la necessità di considerare le diverse responsabilità aziendali e di collegare i contenuti ai rischi ICT pertinenti.
Formazione cybersecurity secondo NIS2
La Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, introduce disposizioni per la gestione dei rischi di sicurezza informatica di una vasta gamma di settori critici ed essenziali per l’economia e la società.
L’articolo 23 del decreto attribuisce agli organi di amministrazione e direttivi specifiche responsabilità, compresa la formazione necessaria per acquisire conoscenze e competenze adeguate a valutare i rischi e le pratiche di gestione della sicurezza informatica.
Gli stessi organi devono promuovere l’offerta periodica di formazione ai dipendenti, affinché acquisiscano conoscenze e competenze sufficienti a riconoscere i rischi e valutare le pratiche di gestione della sicurezza informatica.
DORA e NIS2 non prevedono obblighi identici per tutte le imprese. La definizione del programma deve quindi partire dalla verifica delle disposizioni applicabili, evitando percorsi standardizzati costruiti sulla sola presenza di una sigla normativa.
Come documentare e verificare la formazione cybersecurity
Nelle organizzazioni complesse, l’erogazione dei corsi è soltanto una parte del lavoro. Occorre anche poter ricostruire quali attività sono state svolte, da chi e con quali risultati.
Per questo è utile definire fin dall’inizio un sistema di monitoraggio che consenta di rispondere a quattro domande:
1. Chi era destinatario della formazione?
Il piano dovrebbe identificare le popolazioni coinvolte e i criteri utilizzati per assegnare i percorsi.
2. Quali contenuti sono stati erogati?
È utile mantenere traccia dei programmi, delle versioni dei materiali e degli eventuali aggiornamenti.
3. Chi ha completato il percorso?
Registri, dati di partecipazione e report di completamento permettono di verificare l’avanzamento delle attività.
4. Che cosa hanno appreso i partecipanti?
Test, esercitazioni e scenari pratici possono offrire indicazioni sull’apprendimento e sulle aree da rafforzare.
Queste informazioni aiutano HR, L&D e Compliance a monitorare il progetto e a valutare eventuali interventi successivi.
La documentazione da conservare e le modalità di verifica devono essere definite considerando le politiche aziendali e gli specifici requisiti normativi applicabili.
Come valutare se la formazione cybersecurity funziona davvero
Un tasso di completamento elevato indica che il percorso è stato seguito, ma non dimostra da solo che le persone sappiano applicare le conoscenze acquisite.
Per una valutazione più completa è utile osservare tre livelli.
Partecipazione. Quante persone hanno completato la formazione prevista? Quali funzioni presentano ritardi o necessitano di recuperi?
Apprendimento. I partecipanti sanno riconoscere un tentativo di phishing? Conoscono le procedure di segnalazione? Riescono a scegliere il comportamento corretto in uno scenario realistico?
Applicazione. Le esercitazioni e gli indicatori disponibili mostrano miglioramenti nei comportamenti osservabili? Emergono errori ricorrenti su cui intervenire?
Per esempio, se una verifica evidenzia difficoltà diffuse nel riconoscimento delle richieste fraudolente di credenziali, è possibile prevedere un approfondimento mirato e una successiva esercitazione.
L’obiettivo è utilizzare i risultati per aggiornare la formazione in base ai bisogni effettivamente emersi.
Come gestire la formazione cybersecurity in organizzazioni con molti dipendenti
Quando un progetto coinvolge sedi, funzioni e popolazioni aziendali differenti, la gestione operativa diventa una componente importante della sua riuscita.
Occorre coordinare la pianificazione, l’assegnazione dei percorsi, l’erogazione delle attività e il monitoraggio dei risultati, mantenendo coerenza tra gli obiettivi formativi e le esigenze dell’organizzazione.
TABILIA affianca le aziende nella progettazione e nella gestione di percorsi formativi dedicati alla cybersecurity, con contenuti rivolti a differenti destinatari e livelli di approfondimento.
Ogni cliente è seguito internamente da un project manager dedicato, punto di riferimento per il coordinamento del progetto formativo dalla fase di progettazione all’organizzazione e alla gestione delle attività.
Per i responsabili HR, L&D e Compliance, avere un interlocutore dedicato facilita il raccordo operativo durante il percorso, soprattutto quando la formazione deve coinvolgere numerosi partecipanti e rispondere a esigenze differenti.
Domande frequenti sulla formazione cybersecurity aziendale
La formazione cybersecurity è obbligatoria per tutti i dipendenti?
Non esiste un unico obbligo identico per tutte le aziende. I requisiti dipendono dalla normativa applicabile e dalle caratteristiche dell’organizzazione. DORA e NIS2 prevedono disposizioni specifiche per i soggetti rientranti nei rispettivi ambiti.
Quali dipendenti devono seguire la formazione DORA?
Per le entità finanziarie soggette a DORA, l’articolo 13, paragrafo 6, prevede programmi di sensibilizzazione e formazione destinati al personale e all’alta dirigenza, con complessità commisurata alle funzioni svolte.
La NIS2 richiede la formazione dei dirigenti?
Sì. Il D.Lgs. 138/2024 prevede specifiche disposizioni sulla formazione degli organi di amministrazione e direttivi dei soggetti interessati e sulla promozione della formazione periodica dei dipendenti.
Quali documenti è utile conservare dopo un corso cybersecurity?
Possono essere utili piani formativi, programmi, registri di partecipazione, completamenti e risultati delle verifiche. La documentazione effettivamente necessaria va definita in base ai requisiti applicabili e alle procedure aziendali.
Come si organizza la formazione cybersecurity per una grande azienda?
È utile partire dalla mappatura dei destinatari, definire competenze e contenuti per ruolo, pianificare l’erogazione, monitorare la partecipazione e valutare l’apprendimento attraverso verifiche pertinenti.
Vuoi organizzare un percorso di formazione cybersecurity per la tua azienda? Scopri il catalogo corsi di TABILIA dedicato alla cybersecurity.
In particolare consigliamo:
Cultura della cybersecurity – Direttiva NIS2 per comprendere gli obblighi normativi e promuovere una cultura della cyber-resilienza nelle imprese;
Attacchi informatici in azienda – Case study per riconoscere e prevenire le minacce informatiche in contesti reali;
Cyber security e sicurezza dell’informazione per sviluppare competenze più ampie sulla sicurezza informatica e sulla protezione delle informazioni aziendali.
Oppure confrontati con il nostro team per valutare un programma coerente con le esigenze della tua organizzazione.
