Se il gestionale si ferma tre giorni: cosa succede e cosa verificare
La continuità operativa è la capacità dell'azienda di continuare a fatturare, incassare e consegnare quando un sistema si ferma. In Italia il 15,8% delle imprese con almeno 10 addetti ha avuto almeno un problema di sicurezza ICT nell'anno, ma solo il 31,8% esegue test periodici e il 35,9% tiene documenti su misure e procedure.
In breve
- Il rischio non è «essere attaccati»: è non accorgersene e non ripartire. Il 15,8% delle imprese con almeno 10 addetti ha avuto indisponibilità dei servizi, perdita o corruzione di dati, o divulgazione di dati riservati nell'anno precedente.
- Le misure che mancano non sono i prodotti: sono valutazione del rischio (36,9%), test periodici (31,8%) e documentazione (35,9%, in calo dal 48,3%).
- In Italia non esiste una statistica pubblica sulla quota di imprese con un piano di continuità formalizzato o con più di un fornitore IT critico: chi ti mostra una percentuale su questo tema la sta inventando.
- La verifica utile si fa in un'ora e risponde a una domanda sola: se il gestionale è offline per tre giorni, chi fa cosa, in che ordine, con quali dati.
- La polizza per eventi catastrofali è un obbligo separato e già decorso: non è la stessa cosa della continuità operativa.
Cosa si ferma davvero
| Processo | Cosa si blocca | Verifica in un minuto |
|---|---|---|
| Fatturazione attiva | Non emetti fatture, quindi non incassi e non hai un documento da consegnare | Esiste un modo per emettere fatture senza il gestionale? Chi lo sa usare? |
| Ciclo passivo | Le fatture ricevute si accumulano, le scadenze si perdono | Dove arrivano gli XML se il gestionale non li importa? Chi li guarda? |
| Magazzino e ordini | Non sai cosa hai, non confermi le consegne | Hai una lista delle giacenze stampata o esportata? Di quando è? |
| Pagamenti | Non paghi stipendi e fornitori nei tempi | Chi ha accesso all'home banking fuori dai sistemi aziendali? |
| Posta e documenti | Non ricevi ordini, non rispondi ai clienti | Se la casella è inaccessibile, chi avvisa i clienti e come? |
| Dati | Non hai lo storico per ricostruire chi ti deve cosa | Il backup è su un supporto separato, e l'ultimo ripristino è stato provato? |
La sequenza conta: prima si verificano i processi che generano cassa (fatturazione e incasso), poi quelli che la proteggono (pagamenti), infine il resto. Un piano che parte dal ripristino del server e non dice chi fattura è un piano tecnico, non operativo.
La verifica in un'ora
Sette controlli, tutti documentabili. Se ne fallisci più di tre, la continuità oggi dipende dalla fortuna. Puoi farli anche con la checklist interattiva: dà un esito e un riepilogo da copiare.
- Data dell'ultimo ripristino provato. Non l'ultimo backup eseguito: l'ultimo ripristino verificato. Se nessuno ricorda la data, il backup è un'ipotesi.
- Dove sta il backup e chi lo può cancellare. Un backup sullo stesso sistema che si guasta non è un backup. Un backup cancellabile da chiunque, nemmeno.
- Chi ha le credenziali di cosa. Una lista scritta, non «lo sanno tutti». Se manca, il primo giorno di fermo si perde a recuperare accessi.
- Cosa si può fare senza il gestionale. Moduli cartacei o file di emergenza per fatture, ordini, consegne: esistono o si improvvisano?
- Chi parla con i clienti se i sistemi sono fermi. Un nome e un canale alternativo, decisi prima.
- Quanto tempo puoi stare fermo. Due giorni? Una settimana? Il numero va scritto: è l'unico modo per decidere quanto investire.
- Chi chiama chi. Fornitore del gestionale, consulente IT, banca, commercialista: numeri e ordine di chiamata in un foglio accessibile da telefono.
Cosa dicono i dati italiani
Il quadro 2024 è meno drammatico di come viene raccontato e più concreto di quanto si pensi. Il 75,9% delle imprese con almeno 10 addetti usa almeno tre misure di sicurezza, «in linea con la media europea (76,5%)»: il problema non è l'assenza totale di strumenti. Il divario è su ciò che richiede tempo e responsabilità: valutazione del rischio (36,9%), test periodici (31,8%), documenti e procedure (35,9%, in calo dal 48,3%).
Quello che manca, in altre parole, è il lavoro che nessuno vuole fare: scrivere cosa succede, provarlo, e rifarlo ogni anno. Le imprese più piccole sono quelle che restano indietro, e la quota di imprese con documenti è scesa di oltre dodici punti in due anni.
La leva che arriva dal mercato, non dalla legge
La direttiva NIS2 non obbliga direttamente un'impresa da 300.000 euro: si applica a chi supera i massimali delle medie imprese. Ma impone ai soggetti che ci rientrano di presidiare «continuità operativa, come la gestione del backup e il ripristino in caso di disastro» e «sicurezza della catena di approvvigionamento». Tradotto: la pressione arriva dal questionario del committente, e arriva prima di qualsiasi obbligo formale.
Per molte imprese il primo cliente che chiede evidenze su backup, autenticazione a due fattori e procedure di incidente è il momento in cui il tema diventa urgente. Preparare quelle risposte costa un pomeriggio; improvvisarle durante una gara costa la gara.
La polizza catastrofale è un'altra cosa
Dal 2025 è obbligatorio assicurare i beni contro eventi catastrofali: grandi imprese entro il 31 marzo 2025, medie entro il 30 settembre 2025, micro e piccole entro il 31 dicembre 2025, con proroghe settoriali. L'obbligo riguarda terreni, fabbricati, impianti, macchinari e attrezzature, ed esclude le imprese agricole. L'IVASS rileva che «la diffusione delle polizze rimane limitata rispetto al potenziale bacino di imprese».
La domanda utile non è «sono assicurato», ma «cosa resta scoperto»: beni in locazione, beni merce, massimali, difformità edilizie. Sono i dubbi che le associazioni di categoria hanno portato in audizione, e sono la parte del tema in cui un controllo documentale fa differenza.
Cosa questo controllo non è
- Non è un progetto di cybersicurezza. Non sostituisce antivirus, autenticazione a due fattori o segmentazione di rete: verifica se l'azienda sa cosa fare quando qualcosa si ferma.
- Non è una certificazione. Nessuno dei controlli elencati produce un attestato; produce un foglio con date, nomi e decisioni.
- Non è un calcolo del rischio. Non esiste, nelle fonti pubbliche consultate, un modello italiano validato per quantificare in euro il fermo di un'impresa di questa dimensione.
Domande frequenti
Quanto costa un fermo di tre giorni?
Non esiste un dato pubblico italiano per fascia dimensionale. Il modo corretto di stimarlo è interno: fatturato giornaliero medio bloccato, penali contrattuali, costo delle persone ferme, incassi slittati. Tre numeri che puoi calcolare in mezz'ora con i tuoi dati.
Il backup cloud risolve il problema?
Risolve la perdita di dati, non l'operatività: se il gestionale è irraggiungibile per tre giorni, il backup non ti fa fatturare. La domanda da fare al fornitore è un'altra: in quanto tempo torna disponibile il servizio, e con quale continuità di accesso.
Devo nominare un responsabile della continuità?
Non c'è un obbligo generale per un'impresa di questa dimensione. Serve però un nome scritto: senza, in emergenza ognuno chiama un fornitore diverso.
La NIS2 riguarda anche me?
La direttiva si applica ai soggetti che superano i massimali delle medie imprese. Un'impresa sotto quella soglia non è destinataria diretta, ma può ricevere richieste dai committenti che lo sono: è il canale da cui arriva la pressione.
Come si prova un ripristino senza rischiare i dati?
Si prova su una copia, in un ambiente separato, e si annota: data, chi ha eseguito, tempo impiegato, cosa mancava. Se il fornitore non consente una prova, è già un'informazione.
Basta un foglio di calcolo con i contatti?
È il minimo, ed è già meglio di niente: serve che sia accessibile senza la rete aziendale, aggiornato e con un ordine di chiamata. Il resto del piano sono le decisioni, non i contatti.
Per capire quanto pesa un fermo sui tuoi numeri, il punto di partenza è la cassa: previsione a 12 mesi e indici del bilancio.
Quando serve un professionista
Serve quando il tema diventa contrattuale (questionari dei committenti, gare, clausole di continuità) o quando il sistema informativo è gestito da un unico fornitore senza documentazione. In quei casi la sequenza è: inventario dei sistemi critici, tempi di ripristino dichiarati per iscritto, procedure scritte, prova annuale.
Se il tema si intreccia con i numeri che presenti a banche e committenti, guardiamoli insieme: contano i tempi di ripristino e l'impatto sulla cassa, non le etichette.
Fonti e approfondimenti
- ISTAT, Imprese e ICT 2024 – sicurezza informatica (17 gennaio 2025): incidenti, valutazione del rischio, test, documentazione, confronto con l'UE.
- MIMIT, Polizze per rischi catastrofali (aggiornata 3 giugno 2026): obbligo, beni assicurati, scaglionamento.
- IVASS, Relazione sull'attività svolta nel 2025 (giugno 2026): diffusione delle polizze rispetto al bacino di imprese.
- Direttiva (UE) 2022/2555 (NIS2) (27 dicembre 2022): art. 21, continuità operativa e sicurezza della catena di approvvigionamento; ambito di applicazione.
- ACN, Operational Summary, secondo semestre 2025: eventi e incidenti rilevati dal CSIRT Italia.
- Articoli correlati: previsione di cassa a 12 mesi, ciclo passivo con l'AI, controllo di gestione per PMI.