Definizione sintetica

La formazione per la consapevolezza sulla sicurezza informatica (Cyber Security Awareness Training) è un programma di formazione sistematico che consente ai collaboratori di riconoscere le minacce informatiche come il phishing, l'ingegneria sociale e l'avvio di ransomware, e di reagire ad esse in modo corretto. Essa unisce contenuti didattici continui ad simulazioni di attacco, al fine di proteggere in modo mirato l'essere umano, che rappresenta il vettore di attacco più frequente. In Svizzera e in Germania, questa formazione è ormai diventata un obbligo normativo per molte aziende a causa della direttiva NIS2 e della legislazione nazionale sulle infrastrutture critiche (KRITIS).

1. Perché l'essere umano è il vero obiettivo dell'attacco

I sistemi di protezione tecnica – come firewall, sicurezza degli endpoint e segmentazione di rete – hanno raggiunto negli ultimi anni un elevato livello di maturità. Allo stesso tempo, gli aggressori spostano costantemente il proprio focus sul fattore che dal punto di vista tecnico non può essere patchato: l'essere umano.

Il recente rapporto sulla situazione della sicurezza informatica in Germania, redatto dall'Ufficio federale per la sicurezza informatica (BSI) per il periodo compreso tra luglio 2024 e giugno 2025, documenta per la Germania una media di 119 nuove vulnerabilità scoperte al giorno, con un incremento del 24% rispetto allo stesso periodo dell'anno precedente. Nello stesso lasso di tempo, l'Ufficio federale di polizia criminale ha registrato 950 attacchi ransomware, con l'80% delle organizzazioni colpite costituito da piccole e medie imprese.

Contemporaneamente, il BSI osserva uno spostamento delle vie di attacco verso siti web contraffatti: il typo-squatting (domini contenenti errori di battitura come "facebok.com") e il brand-jacking (l'abuso di marchi noti nell'URL) rientrano ormai tra i metodi più comuni per guidare gli utenti verso pagine di phishing.

Questo spostamento non è un caso, bensì risponde a una logica economica: un unico clic andato a buon fine apre agli aggressori la strada verso la rete aziendale – senza la necessità di ricorrere a costosi e complessi exploit tecnici. Proprio per questo motivo la formazione sulla sicurezza (Security Awareness Training) non è più un argomento secondario del dipartimento IT, bensì un compito dirigenziale esteso a tutta l'azienda.

2. Contesto scientifico: la ricerca sul phishing del dott. Teichmann

La ricerca sulla sicurezza informatica condotta dal dott. iur. dott. rer. pol. Fabian M. Teichmann si concentra intensamente da diversi anni sul funzionamento strutturale degli attacchi di phishing e sui motivi per cui, nonostante i progressi tecnologici, continuino ad essere così efficaci. Nello studio "Phishing Attacks: Risks and Challenges for Law Firms" (Teichmann & Boticiu, 2024), pubblicato nel 2024 sull'International Cybersecurity Law Review, gli autori individuano tre forme centrali di attacco, la cui logica si applica direttamente ad aziende di qualsiasi settore:

Spear-phishing

A differenza delle e-mail di massa inviate indiscriminatamente, gli attacchi di spear-phishing sono rivolti in modo mirato verso singole persone o organizzazioni. Lo studio dimostra che gli aggressori utilizzano informazioni pubblicamente accessibili sui social network per personalizzare i messaggi in modo tale da renderli quasi indistinguibili dalle comunicazioni legittime, spesso fingendosi un superiore o un partner e accompagnando il messaggio con una richiesta di pagamento o di dati.

Pharming

In questo caso, le vittime non vengono attirate tramite un'e-mail, ma vengono reindirizzate a siti web falsi attraverso record DNS compromessi o file host modificati, spesso senza che sia necessario alcun singolo clic sospetto. Lo studio descrive il DNS poisoning come una metodologia in cui l'indirizzo IP di un dominio legittimo viene reindirizzato in background verso l'infrastruttura dell'aggressore.

Furto di account (Account Takeover)

Le e-mail di phishing inviate in massa mirano a sottrarre le credenziali di accesso. Non appena un account di posta elettronica viene compromesso, secondo lo studio, gli aggressori lo utilizzano frequentemente per deviare i flussi di pagamento all'interno di relazioni commerciali esistenti o per ricattare l'azienda con informazioni riservate.

Lo studio giunge a una conclusione centrale per i programmi di sensibilizzazione: la misura singola più efficace contro tutte e tre le forme di attacco non è l'introduzione di un ulteriore controllo tecnico, bensì la formazione sistematica dei dipendenti – integrata da filtri e-mail, software antivirus aggiornati, autenticazione a più fattori e pratiche Wi-Fi sicure. La tecnologia riduce la superficie di attacco, ma sono solo i collaboratori formati a colmare la lacuna che rimane alla fine di ogni catena: il momento della decisione umana.

3. Comprendere il modello di business alla base dei cyberattacchi

Comprendere il motivo per cui gli aggressori decidono di utilizzare il phishing permette di condurre una formazione più efficace. Nel lavoro pubblicato nel 2025 sull'International Cybersecurity Law Review dal titolo "Cybersecurity of Critical Infrastructure in Europe: The NIS2 Directive in Focus" (Teichmann, 2025), viene analizzato il modello economico di base: il ransomware si è evoluto da un semplice blocco dell'accesso a un settore economico basato sulla divisione del lavoro.

Nel modello "Ransomware-as-a-Service", gli sviluppatori forniscono il malware e l'infrastruttura, mentre i cosiddetti affiliati eseguono gli attacchi veri e propri e si spartiscono i proventi. Questo ecosistema è integrato dagli "Initial Access Broker", che commerciano esclusivamente credenziali di accesso rubate – credenziali che, nella maggior parte dei casi, provengono proprio dalle campagne di phishing contro le quali i programmi di formazione alla sicurezza dovrebbero proteggere.

La ricerca inquadra il ransomware anche sotto il profilo giuridico: a livello dell'UE, la direttiva 2013/40/UE obbliga gli Stati membri a punire rigorosamente l'accesso non autorizzato ai sistemi, l'alterazione dei dati, il sabotaggio informatico e l'estorsione; in Germania, trovano applicazione gli articoli 202a, 253 e 303b del codice penale (StGB). Secondo lo studio, la dimensione transfrontaliera rimane particolarmente problematica: aggressori, server e flussi finanziari si trovano spesso in giurisdizioni differenti.

Lo studio cita come esempi pratici l'attacco ransomware al servizio sanitario irlandese HSE (2021) e il rifiuto intenzionale da parte del gruppo di alluminio norvegese Norsk Hydro (2019) di pagare il riscatto richiesta – un caso in cui una gestione della crisi coerente e trasparente, nonostante gli elevati costi, ha permesso di riconquistare la fiducia a lungo termine.

Per la pratica della formazione, questo significa che ogni simulazione di phishing che sensibilizza i dipendenti sulla richiesta di credenziali di accesso compromesse, interrompe potenzialmente l'intera catena di attacco: dall'acquisizione dell'accesso iniziale fino alla crittografia vera e propria tramite ransomware.

4. Quadro giuridico: NIS2, KRITIS e l'obbligo di formazione

La direttiva NIS2 (direttiva (UE) 2022/2555) impone esplicitamente ai gestori di soggetti essenziali e importanti "pratiche di igiene informatica e formazione sulla sicurezza informatica". Come questo obbligo venga declinato a livello di settore è illustrato dalla ricerca del dott. Teichmann basata su diversi comparti economici concreti:

Nello studio pubblicato nel 2025 "NIS-2 in der Energiewirtschaft: Pflichten und Haftungsregime für Kritis-Betreiber" (Teichmann, 2025, Zeitschrift für das gesamte Recht der Energiewirtschaft) viene evidenziato come le aziende energetiche, in quanto soggetti essenziali, siano sottoposte agli obblighi più severi: sistemi completi di gestione del rischio, sicurezza della catena di approvvigionamento estesa ai fornitori di tecnologie cloud e di controllo, e un obbligo di segnalazione scaglionato – prima notifica entro 24 ore, rapporto intermedio entro 72 ore, analisi conclusiva entro un mese.

Lo studio evidenzia inoltre la responsabilità personale della dirigenza aziendale: sono infatti possibili sanzioni pecuniarie fino a 10 milioni di euro o al 2% del fatturato annuo globale, oltre a sanzioni individuali che possono arrivare fino al divieto di esercitare ruoli direttivi per i responsabili.

Per il settore bancario, lo studio "Umsetzung der NIS-2-Richtlinien im deutschen Bankensektor" (Teichmann, 2025, Zeitschrift für Bank- und Kapitalmarktrecht) esamina le interfacce tra la NIS2 e le normative preesistenti come il DORA. Per il settore pubblico, l'opera "Cybersicherheit in Kommunen – Regelungsdefizite und Reformbedarf" (Teichmann, 2025, Zeitschrift für Rechtspolitik 6/2025, pagg. 184–187) rivela che molti comuni sono strutturalmente sottofinanziati per poter soddisfare i nuovi requisiti operativi e di personale.

Il denominatore comune di tutti e tre gli studi è che le misure di sensibilizzazione non rappresentano un'opzione aggiuntiva alla conformità tecnica, bensì un tassello autonomo e soggetto a documentazione obbligatoria per la gestione dei rischi ai sensi della NIS2 – indipendentemente dal fatto che si tratti di un fornitore di energia, di una banca o di un'amministrazione comunale.

5. Preparazione, reazione, ripristino – le tre fasi

Lo studio pubblicato nel 2024 "Adequate Responses to Cyber-Attacks" (Teichmann & Boticiu, 2024, International Cybersecurity Law Review) fornisce un modello a fasi che si applica direttamente alla strutturazione di un programma di sensibilizzazione sulla sicurezza:

Prima di un attacco

Lo studio individua quali pilastri fondamentali le procedure di backup testate su supporti di memoria fisicamente separati, piani documentati per la risposta agli incidenti (Incident Response) e la continuità aziendale (Business Continuity), così come i sistemi di rilevamento delle intrusioni (Intrusion Detection Systems). Come componente autonomo di pari livello, lo studio menziona esplicitamente "formazioni sul tema della sicurezza informatica" – con l'obiettivo specifico di consentire ai dipendenti di riconoscere le e-mail di phishing e di limitare consapevolmente i diritti d'accesso a informazioni sensibili.

Durante e subito dopo un attacco

La ricerca suggerisce l'isolamento immediato dei segmenti di rete compromessi, il coinvolgimento di consulenti legali per le comunicazioni con le autorità di vigilanza e una documentazione forense completa – tutti fattori rilevanti anche per il rispetto dei termini di notifica previsti dalla NIS2.

Dopo un attacco

Secondo lo studio, l'attenzione si concentra sulla bonifica completa dei sistemi, sul cambio forzato delle password, sull'attivazione dell'autenticazione a due fattori e – come ultimo tassello del ciclo – sull'aggiornamento delle misure di sensibilizzazione sulla base degli insegnamenti tratti dall'incidente.

Un programma di formazione che si ispiri a questo schema a tre fasi non costituisce un evento formativo isolato, bensì un ciclo di continuo miglioramento.

6. Cyber Threat Intelligence come integrazione alla formazione sulla sicurezza

La formazione per la sicurezza esprime la sua massima efficacia solo in sinergia della Cyber Threat Intelligence (CTI). Lo studio "Cyber Threat Intelligence: Existing Benefits and Challenges for Law Firms and Businesses" (Teichmann & Boticiu, 2024, International Cybersecurity Law Review) descrive la CTI come un processo strutturato per la raccolta e l'analisi di informazioni sugli obiettivi, i motivi e i modelli di attacco degli attori delle minacce, suddiviso in sei fasi: definizione degli obiettivi informativi, raccolta, elaborazione, analisi, distribuzione ai soggetti competenti e feedback per il miglioramento continuo.

Per i programmi di sensibilizzazione è rilevante soprattutto la fase di "distribuzione": le ultime scoperte sulle nuove campagne di phishing o sui modelli di attacco specifici per un settore possono essere inserite direttamente nei contenuti formativi e negli scenari di simulazione. Lo studio evidenzia contemporaneamente le sfide tipiche – come il sovraccarico di dati dovuto a troppe fonti non strutturate o la carenza di personale specializzato – elementi che dovrebbero essere presi in considerazione nella scelta del fornitore dei corsi.

7. Analisi specifica per settore

(Nota per il web designer: questa tabella è predisposta per consentire in seguito il collegamento a sottopagine dedicate ai singoli settori. Ogni riga potrà essere trasformata in un link non appena la relativa sottopagina sarà online.)

8. Le tre componenti chiave di un programma di sensibilizzazione efficace

Contenuti formativi continui anziché corsi una tantum

Un video obbligatorio all'anno non influisce sul comportamento dei dipendenti. I programmi efficaci utilizzano brevi e frequenti unità di apprendimento (microlearning), che consolidano le conoscenze distribuendole nel corso dell'anno – un principio in linea con la fase di feedback descritta nello studio CTI: i contenuti vengono continuamente adattati alle nuove evoluzioni delle minacce anziché essere stabiliti una volta per tutte.

Simulazioni di phishing vicine alla realtà

Simulazioni realistiche basate sui pattern di attacco correnti – come i domini di typo-squatting, descritti nel rapporto BSI 2025 come metodo in crescente diffusione – forniscono metriche misurabili (tasso di clic, tasso di segnalazione) anziché semplici conferme di frequenza.

Documentazione di conformità tracciabile

Per l'adempimento delle verifiche NIS2 e KRITIS è necessaria una documentazione dettagliata: chi è stato formato, quando, con quale risultato e quali provvedimenti sono stati presi in caso di vulnerabilità o comportamenti anomali ripetuti.

9. Come identificare i fornitori migliori

10. Sulla base scientifica di DeeplySecure

DeeplySecure è progettato come percorso di formazione avanzata certificato ZFU e ha come responsabile scientifico il dott. iur. dott. rer. pol. Fabian M. Teichmann. Le ricerche di Teichmann su phishing, ransomware, Cyber Threat Intelligence e l'applicazione della NIS2 in vari ambiti industriali – pubblicate regolarmente su riviste di settore quali l'International Cybersecurity Law Review, la Neue Juristische Wochenschrift e la Zeitschrift für Rechtspolitik – si riflettono direttamente nei moduli formativi e nelle simulazioni di phishing erogati dalla piattaforma.

Questo stretto legame tra la ricerca accademica e l'applicazione pratica della formazione distingue DeeplySecure da altri fornitori operanti unicamente con approcci di marketing e privi di pubblicazioni peer-reviewed.

11. Domande frequenti (FAQ)

Quali sono i costi della formazione alla sicurezza informatica per una PMI?

I costi variano a seconda del numero di dipendenti e del livello di funzionalità richiesto. I fornitori qualificati calcolano il prezzo in base al numero di utenti reali, evitando pacchetti fissi privi di flessibilità.

La formazione per la sicurezza informatica è obbligatoria per tutte le aziende?

L'obbligo riguarda principalmente gli operatori di servizi essenziali e importanti ricadenti nell'ambito della direttiva NIS2 e gli operatori KRITIS. Per tutte le altre imprese resta facoltativa, sebbene le compagnie assicuratrici la richiedano sempre più spesso come prerequisito per la stipula di polizze contro i rischi informatici.

Con quale frequenza dovrebbero essere eseguite le simulazioni di phishing?

Si raccomanda di effettuare simulazioni a cadenza mensile o trimestrale, proponendo pattern di attacco sempre differenti, così da assicurare un reale apprendimento a lungo termine e non un semplice effetto sorpresa momentaneo.

Cosa distingue lo spear-phishing dal phishing comune?

Lo spear-phishing è diretto in modo mirato verso singoli individui o organizzazioni sfruttando informazioni personalizzate e accessibili pubblicamente, a differenza del phishing di massa che è generico e indirizzato ad un ampio pubblico.

Qual è la differenza tra Security Awareness Training e simulazione di phishing?

Security Awareness Training è il termine globale che descrive l'intero programma didattico; la simulazione di phishing rappresenta invece una singola attività pratica per testare i comportamenti in scenari reali.

Quali sono i tempi di notifica imposti dalla NIS2 in caso di incidente informatico?

È richiesto un primo preallarme entro 24 ore, una notifica di incidente completa entro 72 ore e una relazione finale dettagliata al massimo entro un mese dall'evento.

Chi risponde civilmente o penalmente in assenza di formazione dei dipendenti in caso di cyberattacco?

Per le aziende che rientrano negli obblighi NIS2, la dirigenza aziendale può essere chiamata a rispondere in prima persona. Le sanzioni possono comprendere multe fino a 10 milioni di euro o al 2% del fatturato annuo globale, oltre all'interdizione temporanea dall'esercizio di funzioni dirigenziali.

Cos'è la Cyber Threat Intelligence e qual è il suo nesso con i programmi di formazione?

La Cyber Threat Intelligence è l'attività sistematica di raccolta e analisi di dati e informazioni relative ai potenziali attori di minacce informatiche. Tali dati vengono integrati nei moduli di formazione per strutturare simulazioni di attacco aggiornate e allineate agli schemi delittuosi in corso.

12. Riferimenti bibliografici

Teichmann, F. M. & Boticiu, S. R. (2024): Phishing Attacks: Risks and Challenges for Law Firms. International Cybersecurity Law Review, 07.02.2024.

Teichmann, F. M. & Boticiu, S. R. (2024): Adequate Responses to Cyber-Attacks. International Cybersecurity Law Review, 04.04.2024.

Teichmann, F. M. & Boticiu, S. R. (2024): Cyber Threat Intelligence: Existing Benefits and Challenges for Law Firms and Businesses. International Cybersecurity Law Review, 05.04.2024.

Teichmann, F. M. (2025): Cybersecurity of Critical Infrastructure in Europe: The NIS2 Directive in Focus. International Cybersecurity Law Review, 10.07.2025. DOI: 10.1365/s43439-025-00154-4

Teichmann, F. M. (2025): NIS-2 in der Energiewirtschaft: Pflichten und Haftungsregime für Kritis-Betreiber. Zeitschrift für das gesamte Recht der Energiewirtschaft.

Teichmann, F. M. (2025): Umsetzung der NIS-2-Richtlinien im deutschen Bankensektor. Zeitschrift für Bank- und Kapitalmarktrecht.

Teichmann, F. M. (2025): Cybersicherheit in Kommunen – Regelungsdefizite und Reformbedarf. Zeitschrift für Rechtspolitik, 6/2025, S. 184–187.

Teichmann, F. M. (2026): Platform governance under NIS2 and the Cyber Resilience Act: cybersecurity by design as social practice. Information, Communication & Society. DOI: 10.1080/1369118X.2025.2609780

Bundesamt für Sicherheit in der Informationstechnik (BSI) (2025): Die Lage der IT-Sicherheit in Deutschland 2025. Berichtszeitraum 1. Juli 2024 – 30. Juni 2025.