Business Continuity: come garantire la continuità operativa aziendale
Un guasto, un attacco ransomware, un blackout o l'indisponibilità di un'applicazione critica possono fermare produzione, amministrazione e servizi ai clienti in pochi minuti.
Un piano di Business Continuity identifica i processi essenziali, misura l'impatto economico del fermo e stabilisce come mantenere o ripristinare l'operatività entro tempi sostenibili per l'azienda.
Cos'è la Business Continuity
La Business Continuity è la capacità di un'azienda di continuare a operare, o di riprendere a farlo rapidamente, quando un evento imprevisto interrompe le normali attività. Non riguarda solo l'infrastruttura IT: coinvolge processi, persone, applicazioni, dati, sedi fisiche, fornitori, canali di comunicazione con i clienti e procedure di ripartenza.
Un evento distruttivo può avere origini molto diverse: un attacco informatico, un guasto hardware, un'interruzione elettrica, un problema logistico o un evento naturale. Ciò che rende un'azienda resiliente non è evitare che accada, ma avere già deciso, prima che accada, quali processi vanno protetti per primi e come farli ripartire.
Il punto di partenza per farlo in modo strutturato, e non improvvisato, è la Business Impact Analysis: l'esercizio che identifica quali processi sono davvero critici, quali dipendenze hanno e cosa succede economicamente e operativamente se si fermano.
Perché la Business Continuity conta oggi
Due spinte rendono il tema meno rimandabile di qualche anno fa: la pressione normativa e la frequenza degli attacchi.
Sul fronte normativo, la direttiva NIS2 richiede alle organizzazioni rientranti nel suo perimetro di adottare misure di gestione del rischio, tra cui la gestione della continuità operativa e delle crisi. Non impone un modello di piano specifico, ma la sostanza va dimostrata: un'azienda deve poter mostrare come reagirebbe a un'interruzione, non solo dichiarare di averci pensato.
Sul fronte degli attacchi, il Rapporto Clusit 2026 registra 507 incidenti informatici gravi in Italia nel 2025, in crescita del 42% rispetto ai 357 del 2024. Non è un problema che riguarda solo le grandi aziende: la maggior parte degli incidenti censiti colpisce realtà che non avevano previsto uno scenario di questo tipo, né un modo per continuare a lavorare mentre i sistemi vengono ripristinati.
Un assessment del rischio aiuta a capire quali minacce sono più probabili per la tua azienda specifica, prima ancora di costruire il piano di continuità vero e proprio.
A questo si aggiunge un fattore meno visibile ma altrettanto concreto: i clienti, i fornitori e i partner commerciali chiedono sempre più spesso, in fase contrattuale, garanzie sulla continuità del servizio. Non avere un piano documentato può diventare un ostacolo commerciale, non solo un rischio tecnico.
Business Continuity, Disaster Recovery e backup: le differenze
Sono tre concetti spesso confusi tra loro, ma rispondono a domande diverse.
Il backup protegge i dati. Il Disaster Recovery rimette in piedi i sistemi. La Business Continuity tiene in piedi l'azienda, anche quando IT e dati sono già stati recuperati ma restano da riorganizzare persone, sedi e fornitori.
Sono livelli che si costruiscono uno sopra l'altro: senza backup affidabile non c'è disaster recovery credibile, e senza disaster recovery non c'è continuità del business. Un piano di Business Continuity efficace presuppone gli altri due, ma non si esaurisce in essi.
Quanto costa un fermo aziendale
Un'ora di fermo non ha lo stesso costo per tutte le aziende. Dipende da quante persone restano bloccate, da quanto margine viene perso ogni ora e da eventuali penali contrattuali o costi straordinari di gestione dell'emergenza.
La formula di base
Costo totale del fermo = (ore di indisponibilità × costo del personale inattivo per ora) + (margine operativo perso per ora × ore di indisponibilità) + costi straordinari di gestione + penali e costi contrattuali + costo stimato di perdita o recupero dati
I fattori da considerare
- Numero di dipendenti coinvolti
- Costo medio orario per dipendente
- Margine o valore prodotto per ora
- Durata prevista del fermo
- Costi straordinari di gestione e ripristino
- Penali o costi contrattuali
- Perdita dati stimata e relativo costo di ricostruzione
Un esempio concreto di applicazione della formula è nella sezione "Esempio pratico per una PMI" più avanti in questa pagina.
Come costruire un Business Continuity Plan
Un piano di Business Continuity efficace si costruisce in sette fasi, ciascuna propedeutica alla successiva.
Governance
Prima ancora dei contenuti tecnici, va stabilito chi decide. Serve un responsabile chiaro del piano, una catena di comando per dichiarare lo stato di emergenza e attivare le procedure, e la copertura di chi è assente nel momento sbagliato.
Business Impact Analysis (BIA)
È la fase analitica: si mappano i processi aziendali, si identificano quelli critici, si stimano le dipendenze reciproche (persone, sistemi, fornitori) e si quantifica l'impatto economico e operativo di una loro interruzione. È il fondamento di tutto il piano: approfondita nella nostra pagina dedicata alla Business Impact Analysis.
Individuazione dei processi critici
A partire dalla BIA, si stabilisce un ordine di priorità: quali attività non possono fermarsi in nessun caso, quali possono attendere qualche ora, quali possono attendere giorni. Non tutto può avere la massima priorità, o il piano perde di senso.
Definizione di MTPD, RTO e RPO
Per ogni processo critico si quantifica il tempo massimo tollerabile di interruzione (MTPD), l'obiettivo di tempo di ripristino dei sistemi (RTO) e la quantità massima di dati che si può permettere di perdere (RPO). Sono i numeri che trasformano un'intenzione in un obiettivo misurabile.
Strategie di continuità
Si decide concretamente come mantenere operative persone, sedi, fornitori e comunicazioni durante l'emergenza: sede alternativa o lavoro da remoto, fornitori di backup, canali di comunicazione alternativi con clienti e dipendenti.
Procedure operative
Le strategie diventano documenti operativi: chi fa cosa, con quali strumenti, in quale ordine, con quali contatti. Una procedura che esiste solo nella testa di una persona non è una procedura.
Test e aggiornamento
Un piano non testato è un piano teorico. Vanno previste simulazioni e tabletop exercise periodiche, e un aggiornamento ogni volta che cambiano in modo rilevante organizzazione, sistemi o fornitori critici.
Esempio pratico per una PMI
Un'azienda con 40 dipendenti subisce un fermo che blocca 20 persone per 8 ore. Il costo medio orario per dipendente è di 35 euro, il margine perso è stimato in 1.500 euro l'ora, a cui si aggiungono 4.000 euro di costi straordinari di gestione.
Costo diretto stimato: 21.600 €, senza contare eventuali penali contrattuali o il costo di ricostruzione di dati persi. Un numero che, per molte PMI, giustifica da solo l'investimento in un piano di continuità.
Il servizio Nexsys
Nexsys accompagna le aziende in tutte le fasi della continuità operativa, dalla prima valutazione al mantenimento nel tempo.
Assessment iniziale
Si parte da un risk assessment aziendale per definire perimetro, stakeholder, vincoli e scenari di interruzione più rilevanti per la tua azienda.
Business Impact Analysis
Mappatura di processi critici, dipendenze, MTPD, RTO e RPO, con il metodo descritto nella pagina Business Impact Analysis.
Strategia di continuità
Definizione di come mantenere operative persone, sedi, fornitori e comunicazioni durante l'emergenza, con priorità coerenti a quanto emerso dalla BIA.
Disaster Recovery
Architetture di backup e recovery, ordine di ripristino e runbook tecnici, basati sulla soluzione Data Protection as a Service.
Ransomware Recovery
Backup immutabile, ambienti isolati, bonifica e rientro controllato in produzione dopo un attacco: uno scenario che, viste le cifre della sezione precedente, va gestito a parte. Approfondito nella pagina Ransomware Recovery.
Documentazione
Business Continuity Plan, DR Plan, procedure operative, contatti e matrici RACI: tutto scritto, non solo concordato a voce.
Testing
Restore test, tabletop exercise, simulazioni tecniche e verifica periodica degli obiettivi fissati nella fase di BIA.
Mantenimento
Aggiornamento del piano dopo ogni cambiamento organizzativo o tecnologico rilevante, anche attraverso i nostri servizi gestiti per un controllo continuativo nel tempo.
Per un supporto continuativo su tutti gli aspetti di sicurezza e continuità, la nostra consulenza in cybersecurity e i servizi cloud per aziende completano il perimetro della soluzione.
Domande frequenti sulla Business Continuity
Che cos'è la Business Continuity?
È la capacità di un'azienda di continuare a operare, o riprendere rapidamente a farlo, dopo un evento che interrompe le attività normali. Copre processi, persone, tecnologia, sedi e fornitori.
Che differenza c'è tra Business Continuity e Disaster Recovery?
Il Disaster Recovery ripristina i sistemi IT (server, applicazioni, dati). La Business Continuity riguarda l'intera azienda: include il DR ma si estende a persone, sedi, fornitori e comunicazione con i clienti.
Che cos'è un Business Continuity Plan?
È il documento che descrive come l'azienda mantiene o ripristina l'operatività durante un'emergenza: processi critici, responsabilità, procedure, tempi di ripristino e modalità di test.
Qual è la differenza tra BIA e Business Continuity?
La Business Impact Analysis (BIA) è una fase del percorso di Business Continuity: serve a identificare processi critici e a misurarne l'impatto in caso di interruzione. La Business Continuity è il percorso completo, di cui la BIA è il fondamento metodologico.
Cosa significano RTO e RPO?
RTO (Recovery Time Objective) è il tempo massimo entro cui un sistema o processo deve tornare operativo. RPO (Recovery Point Objective) è la quantità massima di dati che l'azienda può permettersi di perdere, misurata in tempo dall'ultimo backup utile.
Quanto costa un fermo informatico aziendale?
Dipende da personale coinvolto, margine perso per ora di inattività, eventuali penali contrattuali e costi straordinari di gestione. In questa pagina trovi la formula di calcolo e un esempio pratico; per una stima sulla tua azienda puoi richiedere una valutazione gratuita.
Ogni quanto deve essere testato il piano?
Va verificato periodicamente, tipicamente almeno una volta l'anno, e ogni volta che cambiano in modo rilevante organizzazione, sistemi o fornitori critici. Un piano non testato è un piano teorico.
La Business Continuity è richiesta dalla NIS2?
La direttiva NIS2 richiede alle organizzazioni rientranti nel suo perimetro di adottare misure di gestione del rischio, tra cui la gestione della continuità operativa e della gestione delle crisi. Non impone un formato specifico di piano, ma la sostanza va dimostrata.
Qual è il ruolo della ISO 22301?
È lo standard internazionale di riferimento per i sistemi di gestione della continuità operativa. Non è obbligatoria per la maggior parte delle PMI, ma fornisce un framework strutturato utile anche a chi non cerca la certificazione formale.
Il backup è sufficiente per garantire la continuità operativa?
Il backup è necessario, ma copre solo una parte dello scenario: credenziali compromesse, frodi, persistenze e indisponibilità dei servizi possono produrre danni anche quando le copie sono integre. Approfondisci perché il backup non sostituisce la Cyber Security.
Preferisci compilare il modulo? Scrivi i tuoi dati qui sotto
Il servizio telefonico è attivo dal lunedì al venerdì dalle 8:00 alle 18:00 al numero 0452456669. Puoi anche compilare il modulo sottostante: