In breve
Un piano di business continuity riporta l'azienda a un livello di operatività predefinito dopo un'interruzione: riguarda persone, sedi, fornitori e comunicazione, non solo l'IT.
La business impact analysis individua le attività prioritarie e fissa MTPD, RTO e RPO: l'RTO deve essere sempre inferiore al periodo massimo di interruzione tollerabile.
Le strategie si scelgono per categoria di risorsa e valgono solo se ti fanno ripartire entro l'RTO a un costo sostenibile.
Il piano deve dire chi decide e chi fa cosa nella prima ora, con criteri di attivazione chiari e messaggi modello già pronti.
Un piano mai provato è un'ipotesi: prove a tavolino e test di ripristino lo rendono uno strumento che funziona, e la ISO 22301 lo mantiene vivo nel tempo.
Quanto tempo puoi restare fermo? La BIA ti dà la risposta, il piano ti dice cosa fare nella prima ora. Un piano di business continuity serve esattamente a questo: trasformare un'interruzione improvvisa (un attacco ransomware, un allagamento in magazzino, un fornitore che chiude da un giorno all'altro) in una sequenza di decisioni già prese, invece che in una riunione di emergenza in cui tutti parlano e nessuno decide.
Molte PMI pensano che la continuità operativa sia una faccenda da banche e grandi gruppi. In realtà è proprio l'azienda piccola a soffrire di più quando si ferma: meno ridondanze, meno persone che conoscono i processi, clienti che non aspettano. In questa guida vediamo cos'è un piano di continuità e cosa non è, come si fa la business impact analysis, come si scelgono le strategie, cosa deve contenere il piano per la prima ora di crisi e come si mette alla prova con un'esercitazione. Chiudiamo con il rapporto con la ISO 22301, la norma internazionale sui sistemi di gestione per la continuità operativa, e con gli errori che vediamo più spesso.
Cos'è un piano di business continuity e cosa non è?
Un piano di business continuity è l'insieme di procedure documentate che ti guidano a rispondere, ripristinare e riprendere le attività dopo un'interruzione. La definizione che usa la famiglia di norme ISO sulla continuità parla di procedure che portano l'organizzazione a tornare a un livello di operatività predefinito: non "tutto come prima" subito, ma il minimo concordato, nei tempi concordati.
Il punto chiave è la parola "predefinito". Il piano non improvvisa: parte da decisioni prese a mente fredda su quali attività riattivare per prime, con quali risorse e in quanto tempo. Per questo un buon piano è corto, operativo e legato a numeri precisi che vengono dall'analisi d'impatto.
Business continuity e disaster recovery non sono la stessa cosa
Il disaster recovery riguarda il ripristino dei sistemi informatici: server, applicazioni, dati, backup. La business continuity riguarda l'intera azienda: persone, sedi, fornitori, clienti, comunicazione, oltre all'IT. Il disaster recovery è quindi una parte del piano di continuità, spesso la più tecnica, ma non lo esaurisce.
Un esempio chiarisce la differenza. Se un ransomware cifra il gestionale, il piano di disaster recovery dice come ripristinare i dati dal backup. Il piano di continuità dice anche chi avvisa i clienti con consegne in corso, come si continuano a evadere gli ordini urgenti nel frattempo, chi parla con l'assicurazione e chi decide se fermare la produzione.
Non è nemmeno il piano di emergenza
Il piano di emergenza ed evacuazione previsto dalla normativa sulla sicurezza sul lavoro protegge le persone nel momento dell'evento: incendio, terremoto, fuga di gas. Il piano di continuità comincia quando le persone sono al sicuro e la domanda diventa: come riprendiamo a lavorare? I due documenti devono parlarsi (chi coordina, dove ci si ritrova, come si comunica), ma hanno obiettivi diversi e non si sostituiscono a vicenda.
Perché un piano di continuità serve anche a una PMI?
Una PMI ha bisogno di un piano di continuità perché ha meno margini per assorbire un fermo. Una grande azienda ha più sedi, più fornitori e più persone in grado di sostituirsi; una PMI spesso ha un solo magazzino, un solo gestionale e una sola persona che sa come funziona la fatturazione elettronica.
Uno scenario tipo
Pensa a un'azienda di componentistica con 60 dipendenti e un grande cliente automotive che riceve consegne ogni giorno. Un lunedì mattina il gestionale non si avvia: un ransomware ha cifrato il server. Senza piano, la giornata va così: il responsabile IT prova a capire cosa è successo, il titolare chiama il fornitore informatico, la produzione si ferma perché non ha le distinte, il commerciale scopre a metà pomeriggio che il cliente aspettava un camion alle 14.
Con un piano, la stessa mattina ha un altro ritmo. Il referente di turno attiva il team di crisi entro mezz'ora, il responsabile IT isola i sistemi e avvia il ripristino secondo una procedura già scritta, la produzione lavora sulle commesse prioritarie con le distinte stampate o salvate offline, il commerciale avvisa i clienti con un messaggio preparato in anticipo. Il fermo c'è comunque, ma dura meno e soprattutto non si trasforma in una perdita di fiducia.
Chi te lo chiede: clienti, assicurazioni, normative
Sempre più spesso il piano di continuità non è solo una scelta interna. I grandi clienti lo chiedono nei questionari di qualifica fornitori, insieme alle domande su backup e sicurezza informatica. Anche le assicurazioni contro il rischio informatico tendono a valutare come l'azienda reagisce a un incidente.
Per le aziende che rientrano nella direttiva NIS2, la continuità è un obbligo esplicito. L'articolo 21 della Direttiva (UE) 2022/2555 elenca tra le misure minime di gestione del rischio la continuità operativa, come la gestione dei backup e il ripristino in caso di disastro, e la gestione delle crisi. Se vuoi capire se la tua azienda è coinvolta, parti dalla nostra pagina sulla direttiva NIS2.
Come si fa la business impact analysis (BIA)?
La business impact analysis è il processo con cui analizzi le attività dell'azienda e l'effetto che un'interruzione avrebbe su di esse nel tempo. È la base di tutto il piano: senza BIA le priorità di ripristino sono opinioni, con la BIA diventano decisioni motivate. La ISO non impone un metodo unico, ma dedica alla BIA una specifica tecnica di linee guida, la ISO/TS 22317, pensata per essere adattata a organizzazioni di ogni tipo e dimensione.
Individua le attività prioritarie
Il primo passo è elencare i prodotti e i servizi che consegni ai clienti e risalire alle attività che li rendono possibili: ricezione ordini, pianificazione, produzione, spedizione, assistenza, fatturazione, paghe. Per ognuna ti chiedi cosa succede se si ferma per un'ora, un giorno, tre giorni, una settimana. Gli impatti da considerare non sono solo economici: contano penali e obblighi contrattuali, danni reputazionali, sanzioni, problemi di sicurezza.
Il risultato è una classifica. Di solito le attività davvero prioritarie sono poche: in una PMI manifatturiera possono essere la produzione per i clienti con consegne giornaliere, la spedizione e il pagamento degli stipendi. Molte altre possono aspettare qualche giorno.
MTPD, RTO e RPO: i tre numeri che contano
Per ogni attività prioritaria la BIA fissa alcuni tempi. Il vocabolario ISO della serie sulla sicurezza e resilienza li definisce in modo preciso, e conviene usarli perché sono gli stessi che un auditor o un cliente si aspettano di trovare.
Parametro | Cosa misura | Domanda da farti |
|---|---|---|
MTPD (periodo massimo di interruzione tollerabile) | Il tempo dopo il quale gli impatti del fermo diventano inaccettabili | Oltre quanto tempo il danno diventa insostenibile? |
RTO (obiettivo di tempo di ripristino) | Il tempo entro cui l'attività o la risorsa deve ripartire dopo l'incidente | Entro quanto devo essere di nuovo operativo? |
RPO (obiettivo del punto di ripristino) | Il punto a cui devono essere riportate le informazioni perché l'attività possa ripartire | Quanti dati posso permettermi di perdere? |
La regola da ricordare è che l'RTO deve essere inferiore all'MTPD: devi ripartire prima che il danno diventi intollerabile, con un margine. L'RPO invece guida la frequenza dei backup: se l'ultimo backup utile è di ieri sera e il tuo RPO è di un'ora, il problema non è il piano, è il backup.
Le risorse da cui dipende ogni attività
L'ultimo passo della BIA è capire di cosa ha bisogno ogni attività prioritaria per funzionare: persone con competenze specifiche, locali, macchinari, applicazioni, dati, fornitori, servizi esterni come connettività ed energia. Qui emergono i punti singoli di rottura: l'unico tecnico che sa riprogrammare una macchina, l'unico fornitore di un componente, il gestionale in cloud senza alternativa. Ognuno di questi punti diventa un input diretto per la valutazione dei rischi e per le strategie.
Dalla BIA alle strategie: come scegli cosa fare?
Dopo la BIA sai cosa proteggere e in quanto tempo ripartire; le strategie dicono come. Prima di sceglierle, però, serve una valutazione dei rischi che ti dica quali interruzioni sono più probabili e quali risorse sono più esposte.
Valutare i rischi di interruzione
La valutazione dei rischi incrocia le risorse critiche emerse dalla BIA con le minacce che possono colpirle: guasti, attacchi informatici, eventi naturali, indisponibilità del personale, problemi di un fornitore. Non serve un catalogo infinito di scenari. Serve concentrarsi sugli eventi che colpirebbero le attività prioritarie e chiedersi, per ognuno, se le misure attuali bastano. Se hai già un sistema di gestione ISO, puoi riusare la logica che conosci dalla gestione di rischi e opportunità, applicandola però alla disponibilità delle attività più che alla qualità del prodotto.
Strategie per persone, sedi, tecnologia e fornitori
Le strategie di continuità si costruiscono per categoria di risorsa, e devono rispettare i tempi fissati dalla BIA. Alcuni esempi tipici per una PMI:
Persone: formazione incrociata su almeno due persone per ogni competenza critica, istruzioni scritte per le operazioni rare, elenco aggiornato dei contatti.
Sedi: possibilità di lavoro da remoto per gli uffici, accordi con un'altra sede o un partner per le attività che richiedono spazi fisici.
Tecnologia: backup con almeno una copia isolata dalla rete e un ripristino provato, accessi di emergenza, moduli cartacei o offline per le attività essenziali.
Fornitori: fornitori alternativi qualificati per i materiali critici, scorte di sicurezza, clausole contrattuali sulla continuità.
Per i fornitori la ISO ha pubblicato anche linee guida dedicate alla continuità della catena di fornitura, la ISO/TS 22318. Il criterio di scelta resta sempre lo stesso: una strategia vale se ti fa ripartire entro l'RTO a un costo sostenibile.
Cosa deve contenere il piano per la prima ora?
Il piano di continuità deve dire chi decide, chi fa cosa e come si comunica nei primi momenti dell'incidente. La prima ora è quella in cui si perde più tempo, perché nessuno sa se l'evento è grave abbastanza da attivare il piano e chi abbia l'autorità per farlo.
Struttura di risposta, ruoli e attivazione
Il cuore del piano è la struttura di risposta: un piccolo team di crisi con un responsabile, un sostituto, e i referenti per IT, produzione o servizio, comunicazione e rapporti con il personale. Per ogni ruolo servono nome, sostituto e contatti raggiungibili anche se la posta aziendale non funziona. Il piano deve indicare anche i criteri di attivazione: per esempio, fermo previsto oltre l'RTO di un'attività prioritaria, indisponibilità della sede, incidente informatico che coinvolge i dati dei clienti.
Comunicazione interna ed esterna
Durante un'interruzione la comunicazione è spesso il secondo incidente. Il piano deve prevedere chi parla con i dipendenti, con i clienti, con i fornitori, con l'assicurazione e, se previsto, con le autorità. Conviene preparare in anticipo messaggi modello brevi e veritieri, da adattare al momento. Se sei soggetto NIS2 o tratti dati personali, il piano deve collegarsi alle procedure di notifica degli incidenti, che hanno tempi propri.
La checklist della prima ora
Ecco una sequenza essenziale che puoi adattare alla tua azienda:
Mettere in sicurezza le persone e, se serve, attivare il piano di emergenza.
Valutare rapidamente l'evento e decidere se attivare il piano di continuità.
Convocare il team di crisi su un canale alternativo già concordato.
Contenere il danno: isolare i sistemi colpiti, bloccare le spedizioni a rischio.
Avviare le procedure di ripristino delle attività prioritarie nell'ordine fissato dalla BIA.
Comunicare a dipendenti e clienti chiave con i messaggi modello.
Registrare decisioni e orari in un diario della crisi, utile per il recupero e per l'analisi successiva.
Il piano non deve essere un manuale: deve stare in poche schede operative, una per scenario o per attività, accessibili anche offline e note a chi dovrà usarle.
Come si verifica che il piano funzioni davvero?
Un piano che non è mai stato provato è un'ipotesi. L'unico modo per sapere se funziona è esercitarlo regolarmente, partendo da prove semplici e aumentando la complessità nel tempo. La ISO 22301 fa delle esercitazioni una parte strutturale del sistema: chiede di provare le procedure e di usarne i risultati per migliorarle.
Tre livelli di esercitazione
Il livello più semplice è la revisione a tavolino: il team di crisi si siede attorno a un tavolo e percorre uno scenario passo dopo passo, verificando che ruoli, contatti e procedure siano chiari. Segue la simulazione di scenario, in cui qualcuno introduce imprevisti durante la prova: il responsabile non risponde, il backup è più vecchio del previsto, un cliente chiama in diretta. Il terzo livello è il test tecnico: ripristinare davvero un sistema da backup, misurando il tempo reale rispetto all'RTO.
Per una PMI un ciclo realistico prevede almeno una prova a tavolino e un test di ripristino ogni anno, più una prova dopo ogni cambiamento importante: nuovo gestionale, nuova sede, nuovo fornitore critico. La frequenza giusta, comunque, la decidi tu in base ai rischi e la motivi.
Dopo la prova: correggere e aggiornare
Ogni esercitazione deve produrre un breve rapporto: cosa ha funzionato, cosa no, quali azioni servono, chi le fa ed entro quando. È qui che il piano migliora davvero. Gli errori tipici emergono subito: contatti obsoleti, password di emergenza che nessuno trova, procedure che danno per scontato un sistema non disponibile. Trattali come azioni correttive vere, con un responsabile e una scadenza, e ricontrolla alla prova successiva che siano state chiuse.
Piano di continuità e ISO 22301: quando ha senso certificarsi?
Puoi avere un buon piano di continuità senza essere certificato. La ISO 22301 serve quando vuoi un sistema di gestione che tenga vivo il piano nel tempo e quando vuoi dimostrarlo a terzi con un certificato rilasciato da un organismo accreditato.
Dal piano al sistema di gestione
La ISO 22301 specifica i requisiti per pianificare, attuare, monitorare e migliorare un sistema di gestione per la continuità operativa. Segue la struttura comune a tutte le norme ISO sui sistemi di gestione (contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni, miglioramento), che trovi spiegata nella guida su cosa sono le certificazioni ISO. Nella parte operativa la norma chiede proprio quello che hai letto finora: BIA, valutazione dei rischi, strategie, piani e procedure, programma di esercitazioni. La differenza rispetto a un piano "da cassetto" è che il sistema obbliga a riesaminare e migliorare con regolarità.
La norma è pensata per organizzazioni di ogni tipo e dimensione, e ISO pubblica anche una guida applicativa, la ISO 22313. Come tutte le norme ISO viene rivista periodicamente: prima di avviare il percorso verifica l'edizione vigente ed eventuali emendamenti sulla pagina ufficiale della norma.
Come si integra con ISO 27001 e con gli altri sistemi
Se hai già un sistema ISO 27001, una parte del lavoro è fatta: la norma sulla sicurezza delle informazioni include controlli sulla continuità dei sistemi informativi, sui backup e sulla gestione degli incidenti. La ISO 22301 allarga lo sguardo a tutte le attività, non solo a quelle IT. Per molte PMI la soluzione più efficiente è un sistema integrato che condivide audit interni, riesame della direzione e gestione dei documenti. Trovi il quadro della sicurezza delle informazioni nella nostra guida completa alla ISO 27001 e un punto di partenza tecnico nell'articolo sulle misure minime di cybersecurity per PMI.
Cosa fa Complaion in un percorso ISO 22301
In un percorso con Complaion un Lead Auditor dedicato segue l'azienda dalla BIA all'audit di certificazione: aiuta a fissare RTO e RPO realistici, a scegliere le strategie proporzionate e a scrivere procedure che le persone useranno davvero. La piattaforma raccoglie le evidenze (rapporti di esercitazione, verifiche dei backup, verbali del team di crisi), gestisce i documenti con le versioni aggiornate e tiene lo scadenziario di prove, riesami e audit. Così, quando arriva l'organismo di certificazione, l'audit è preparato e le evidenze sono già in ordine. Trovi i dettagli del servizio nella pagina dedicata alla certificazione ISO 22301.
Quali sono gli errori più comuni?
L'errore più frequente è scrivere il piano senza aver fatto la BIA. Il risultato è un documento che dice "ripristinare i sistemi il prima possibile" senza dire quali, in che ordine e in quanto tempo: inutilizzabile sotto pressione.
Il secondo errore è affidare tutto all'IT. Il ripristino dei server è essenziale, ma se nessuno ha pensato a come avvisare i clienti, a chi può firmare un ordine urgente o a dove lavorano le persone se la sede è inagibile, il fermo si allunga comunque. La continuità è una responsabilità della direzione, che deve approvare le priorità e mettere a disposizione le risorse.
Il terzo errore è dare per scontati i backup. Molte aziende scoprono durante l'incidente che il backup era incompleto, cifrato insieme ai dati o mai ripristinato in prova. Un backup vale solo se hai verificato il ripristino entro i tempi richiesti dall'RPO e dall'RTO.
Il quarto errore è non aggiornare il piano. Persone che cambiano ruolo, numeri di telefono, nuovi fornitori, nuove applicazioni: in un anno un piano non mantenuto perde gran parte del suo valore. Collega l'aggiornamento a eventi precisi (assunzioni, cambi di fornitore, nuovi sistemi) e a una revisione periodica, e conserva il piano anche fuori dai sistemi che potrebbero fermarsi.
Come semplificare il percorso con Complaion
Un piano di continuità efficace nasce da una BIA fatta bene, da strategie proporzionate e da esercitazioni regolari, e resta utile solo se qualcuno lo tiene aggiornato. Complaion ti aiuta a fare tutte e tre le cose senza appesantire l'azienda. Partiamo dalle tue esigenze e ti proponiamo il percorso più adatto: un piano di continuità solido, un sistema integrato con la ISO 27001 o la certificazione ISO 22301 completa. Un Lead Auditor dedicato ti segue in ogni fase, mentre la piattaforma raccoglie le evidenze, gestisce i documenti, tiene lo scadenziario di prove e riesami e prepara l'audit con l'organismo di certificazione. È il metodo con cui abbiamo già accompagnato oltre 1.000 clienti. Il costo dipende da dimensione, numero di sedi, complessità dei processi e punto di partenza: contattaci per un'analisi iniziale e un preventivo su misura.
Domande frequenti sul piano di business continuity
Cos'è un piano di business continuity in parole semplici?
È un documento operativo che dice come la tua azienda continua a lavorare, o riparte, dopo un'interruzione grave. Indica quali attività riattivare per prime, entro quanto tempo, con quali risorse e chi prende le decisioni. Si basa sulla business impact analysis e va provato con esercitazioni periodiche. Non è un documento teorico: deve poter essere usato da persone sotto pressione.
Il piano di continuità è obbligatorio per una PMI?
In generale no, ma ci sono eccezioni importanti. Le aziende che rientrano nella direttiva NIS2 devono adottare misure di continuità operativa e gestione delle crisi. Altre normative di settore e molti contratti con grandi clienti possono richiederlo. Anche dove non è obbligatorio, è spesso la differenza tra un fermo di qualche ora e uno di qualche settimana.
Che differenza c'è tra RTO e RPO?
L'RTO è il tempo entro cui un'attività o un sistema deve ripartire dopo un incidente. L'RPO indica fino a che punto devi poter recuperare i dati, cioè quanta informazione puoi permetterti di perdere. Un RTO di quattro ore e un RPO di un'ora significano: ripartire entro quattro ore, perdendo al massimo l'ultima ora di dati. L'RTO deve sempre essere inferiore al periodo massimo di interruzione tollerabile.
Ogni quanto va testato il piano?
La ISO 22301 non fissa una frequenza unica: chiede un programma di esercitazioni coerente con i rischi e con gli obiettivi di continuità. Per una PMI è ragionevole almeno una prova a tavolino e un test di ripristino all'anno. Conviene aggiungere una prova dopo ogni cambiamento rilevante, come un nuovo gestionale o una nuova sede. Ogni prova deve produrre azioni di miglioramento con un responsabile.
Il backup in cloud basta per la business continuity?
No. Il backup è una misura tecnica necessaria ma copre solo i dati, e solo se il ripristino è stato provato. La business continuity riguarda anche persone, sedi, fornitori, comunicazione con i clienti e decisioni. Inoltre un backup sempre collegato alla rete può essere colpito dallo stesso attacco: serve almeno una copia isolata e una procedura di ripristino verificata.
Serve la certificazione ISO 22301 per avere un buon piano?
No, puoi costruire un piano efficace anche senza certificarti. La certificazione serve quando vuoi un sistema di gestione che mantenga il piano nel tempo e quando clienti, gare o partner chiedono una prova indipendente. Il certificato è rilasciato da un organismo accreditato, ha un ciclo triennale con audit di sorveglianza periodici e richiede di dimostrare che BIA, strategie, piani ed esercitazioni sono attivi.
Quanto costa un piano di business continuity?
Non esiste un costo standard, perché dipende da fattori molto diversi. Contano il numero di sedi e di attività prioritarie, la complessità dei sistemi informatici, la dipendenza da fornitori critici e quanto è già documentato. Pesa anche la scelta tra un piano semplice e un sistema certificato ISO 22301. Il modo più affidabile per saperlo è partire da un'analisi iniziale e chiedere un preventivo.
