Domande frequenti

La gestione della continuità operativa è la disciplina che si occupa di identificare le minacce che potrebbero interrompere un'organizzazione e l'impatto che tali interruzioni avrebbero sulle sue attività, per poi sviluppare la capacità di mantenere attive le attività critiche e di ripristinare rapidamente la situazione. Fornisce all'organizzazione una risposta collaudata e ripetibile che protegge le persone, gli stakeholder, la reputazione e le attività che creano valore. Lo standard riconosciuto a livello internazionale è ISO 22301.

Una continuità operativa efficace si estende oltre i confini aziendali, coinvolgendo l'intera catena di fornitura, in modo che il fallimento di un fornitore chiave non si traduca in un'interruzione del servizio.

La gestione del rischio e la continuità operativa sono complementari e si sovrappongono, ma rispondono a domande diverse. La gestione del rischio mappa le minacce su una matrice di rischio e definisce le modalità di mitigazione di ciascuna. La continuità operativa fa un ulteriore passo avanti: identifica le attività critiche, le pianifica e le testa, in modo che, quando un rischio si concretizza, l'organizzazione sappia già esattamente cosa fare.

In sintesi, la continuità operativa si fonda sulla gestione del rischio e trasforma la preparazione in una risposta collaudata.

Un piano di continuità operativa è un documento. Di per sé, la sua efficacia dipende esclusivamente dalle persone e dai processi che lo supportano. Un sistema di gestione della continuità operativa è la struttura dinamica che definisce, gestisce, monitora, rivede, mantiene e migliora continuamente tale capacità.

Un piano è il primo passo verso la resilienza. Un sistema di gestione certificato è un impegno costante che coinvolge ogni parte dell'organizzazione e richiede il supporto visibile del management di alto livello.

Non necessariamente. Il disaster recovery è il processo con cui si riprendono le attività dopo un evento dirompente, che si tratti di un incidente grave o di qualcosa di localizzato come un guasto software o un'interruzione di corrente. Un buon piano di disaster recovery consente di tornare operativi senza perdere troppi clienti o compromettere eccessivamente la reputazione aziendale.

La resilienza è diversa. È la capacità di resistere alle perturbazioni con interruzioni minime o nulle del servizio. Il ripristino in caso di disastro è una componente della resilienza, non un suo sostituto.

La resilienza organizzativa è la capacità di un'organizzazione di anticipare, prepararsi, rispondere e adattarsi ai cambiamenti graduali e alle interruzioni improvvise al fine di sopravvivere e prosperare. Essa integra continuità operativa, gestione delle crisi, gestione del rischio, sicurezza delle informazioni e informatica e una solida cultura del rischio in un'unica capacità coordinata, anziché in un insieme di piani isolati.

Sì. La norma ISO 22301 è lo standard riconosciuto a livello internazionale per i sistemi di gestione della continuità operativa. Aiuta le organizzazioni a identificare le minacce rilevanti per la propria attività e le funzioni critiche che tali minacce potrebbero compromettere, e a predisporre piani in anticipo per evitare l'arresto dell'attività. Si applica a interruzioni di ogni tipo, da condizioni meteorologiche estreme, incendi e alluvioni a interruzioni dei sistemi IT, guasti dei fornitori e attacchi informatici.

Sì. La norma ISO 22301 consente a un'organizzazione di ottenere una certificazione indipendente da parte di terzi per il proprio sistema di gestione della continuità operativa. La certificazione segnala a clienti, fornitori, dipendenti, investitori e autorità di regolamentazione che l'azienda è in grado di gestire gli incidenti e ridurre al minimo le interruzioni.

Dal punto di vista commerciale, può anche rappresentare un elemento di differenziazione, garantendo che i prodotti e i servizi su cui i clienti fanno affidamento saranno disponibili quando ne avranno bisogno, ed è un requisito sempre più frequente nelle gare d'appalto.

I due standard affrontano problematiche diverse ma complementari. ISO 27001 è lo standard per la gestione della sicurezza delle informazioni, incentrato sulla protezione della riservatezza, dell'integrità e della disponibilità delle informazioni. ISO 22301 è lo standard per la continuità operativa, incentrato sul mantenimento delle attività critiche in caso di interruzione e sul loro rapido ripristino.

Molte organizzazioni implementano entrambe le soluzioni, in modo da proteggere le informazioni e garantire la continuità operativa. Offriamo consulenza e supporto per la certificazione di entrambe.

NIS2 è la direttiva dell'Unione Europea sulla sicurezza delle reti e delle informazioni. Amplia significativamente la portata della precedente direttiva NIS, includendo un maggior numero di settori classificati come essenziali o importanti, e innalza gli standard in materia di gestione del rischio, segnalazione degli incidenti e responsabilità manageriale, con sanzioni significative.

Se la vostra organizzazione opera in un settore soggetto alla normativa NIS2 o fornisce servizi a tale settore, è probabile che la normativa NIS2 sia rilevante, anche per le aziende con sede al di fuori dell'UE che forniscono servizi al suo interno. Attraverso i nostri servizi di consulenza,.

DORA, il Digital Operational Resilience Act, è il regolamento UE sulla resilienza operativa per il settore finanziario. Stabilisce requisiti in materia di gestione del rischio ICT, segnalazione degli incidenti, test di resilienza, inclusi i penetration test basati sulle minacce, e supervisione dei fornitori di servizi ICT critici di terze parti.

Si applica a una vasta gamma di enti finanziari e ad alcuni fornitori di servizi ICT che li supportano. Aiutiamo le aziende e i loro fornitori a prepararsi.

Possono farlo. Sebbene si tratti di strumenti dell'UE, le organizzazioni svizzere sono spesso soggette a tali normative a causa delle loro attività nell'UE, dei clienti con sede nell'UE e delle società del gruppo, o per effetto di vincoli contrattuali con clienti che rientrano a loro volta nell'ambito di applicazione. Gli istituti finanziari svizzeri operano inoltre nel rispetto delle aspettative della FINMA in materia di resilienza operativa, che procedono in parallelo.

La risposta pratica dipende dalla vostra presenza sul mercato e dalla vostra base clienti. Valutiamo la vostra situazione attuale e cosa, eventualmente, dovreste fare.

No. Prima si implementano le raccomandazioni, prima si ottiene la protezione necessaria, ma il budget e le risorse raramente consentono di fare tutto in una volta sola. Adottiamo un approccio graduale, dando priorità agli interventi in base all'urgenza e al budget disponibile, in modo da colmare prima le lacune più importanti.

Dipende dalle dimensioni e dalla complessità dell'organizzazione. Una piccola o media impresa, priva di un team interno dedicato e supportata da professionisti, è in genere in grado di richiedere la certificazione entro 12-18 mesi. Per le organizzazioni più grandi e internazionali, con un impegno concreto da parte dei vertici aziendali, questo periodo può estendersi fino a 18-24 mesi.

No. La necessità di rimanere operativi è fondamentale per le organizzazioni di ogni dimensione e settore. Le organizzazioni più piccole potrebbero avere meno tempo, denaro e risorse per prepararsi, eppure il costo di un'interruzione non gestita può essere elevato. È molto più facile integrare la resilienza man mano che un'organizzazione cresce, piuttosto che implementarla in un secondo momento. Aiutiamo regolarmente le organizzazioni più piccole ad aumentare la loro resilienza e un primo colloquio conoscitivo non comporta alcun obbligo.

Collaboriamo con clienti in tutta la Svizzera, nell'Unione Europea e negli Emirati Arabi Uniti. La nostra esperienza settoriale spazia dai servizi bancari e finanziari, alla tecnologia e alle telecomunicazioni, alla sanità, alla pubblica amministrazione, all'energia e alle infrastrutture critiche, alla produzione, ai trasporti e alla logistica, al settore marittimo, alla vendita al dettaglio e all'ospitalità, solo per citarne alcuni. Scopri i settori in cui operiamo.

Si inizia con una breve conversazione riservata in cui ci spieghiamo la tua situazione attuale e i tuoi obiettivi, senza alcun costo né impegno. In seguito, concorderemo insieme l'ambito del progetto, un piano a fasi e risultati chiari. Puoi prenotare una consulenza o contattarci per iniziare.

We deliver accredited and bespoke training across business continuity, crisis management and cyber resilience, from executive briefings through to professional certification. Programmes include DRI International accredited courses, our Critical Infrastructure Resilience Professional certification, crisis management masterclasses and top team exercises, and training on the 7A Risk Management Framework.

Consulta i nostri programmi di formazione per il catalogo completo.

Sì. I nostri programmi accreditati sono riconosciuti da DRI International e la formazione è impartita da professionisti senior che offrono consulenza alle organizzazioni nelle stesse discipline, anche in occasione di importanti eventi e collaborazioni con grandi istituzioni. Questo garantisce che il materiale didattico sia ancorato a casi reali, anziché essere basato esclusivamente sulla teoria.