Lunedì mattina il gestionale non risponde, il server dei file non si vede e la posta è ferma. Può essere un guasto, un errore o un attacco ransomware. A quel punto la domanda non è più «può succedere a noi?», ma «quanto ci mettiamo a ripartire?».
La risposta la dà il disaster recovery, cioè il piano per rimettere in piedi l’azienda dopo un incidente. In questa guida trovi la differenza con il backup e cosa sono RPO e RTO. E poi quanto costa un’ora di fermo, cosa chiede la NIS2 e come si costruisce e si prova un piano.
In sintesi
- Il backup è la copia dei dati; il disaster recovery è il piano per tornare operativi.
- Due numeri guidano tutto: RPO, quanti dati puoi perdere, e RTO, in quanto tempo riparti.
- Nel rapporto Sophos 2026 il costo medio di ripristino dopo un ransomware è 1,7 milioni di dollari, l’11% in più dell’anno prima.
- Nello stesso rapporto solo il 34% delle organizzazioni con 100-250 dipendenti ha fermato l’attacco prima di cifratura o estorsione.
- Per chi rientra nella NIS2 servono piani scritti di continuità, ripristino e gestione delle crisi, approvati dal vertice e riesaminati almeno ogni due anni.
- Il piano va provato: solo una prova misura i tempi reali di ripristino.
Backup e disaster recovery sono la stessa cosa?
No, e confonderli costa caro. Il backup è la copia dei dati: la materia prima del recupero. Il disaster recovery è il piano completo per tornare operativi dopo un incidente. Comprende chi fa cosa, in che ordine si riaccendono i sistemi e dove si ripristinano.
Puoi avere un ottimo backup 3-2-1-1-0 e restare fermo per giorni. Succede quando nessuno sa da dove ripartire, il server di ricambio non c’è o il ripristino non è mai stato provato. Il backup ti ridà i dati; il piano ti ridà l’azienda.
Cosa sono RPO e RTO?
RPO e RTO sono i due obiettivi su cui si costruisce un piano: quanti dati puoi perdere e in quanto tempo devi ripartire. Sembrano tecnici, ma sono decisioni di business.
- RPO (Recovery Point Objective): quanti dati puoi permetterti di perdere, misurati in tempo. Con un RPO di un’ora, nel caso peggiore perdi l’ultima ora di lavoro.
- RTO (Recovery Time Objective): in quanto tempo un sistema deve tornare disponibile. Con un RTO di quattro ore, il gestionale deve ripartire entro quattro ore dall’incidente.
Più i due numeri sono bassi, più la soluzione è sofisticata e costosa. Per questo non si fissano uguali per tutto: si decidono sistema per sistema, partendo da quanto costa il fermo di ciascuno. Ecco un esempio indicativo per una PMI di servizi, da adattare ai tuoi sistemi:
| Sistema | RPO | RTO | Come si ottiene |
|---|---|---|---|
| Gestionale e contabilità | 1 ora | 4 ore | Copie ogni ora e un server di riserva pronto a ripartire |
| Posta e calendario | 4 ore | 8 ore | Servizio cloud con backup dedicato della posta |
| Cartelle condivise | 24 ore | 24 ore | Backup notturno con copia immutabile |
| Archivio storico | 1 settimana | Alcuni giorni | Copia settimanale fuori sede |
Quanto costa un’ora di fermo?
Si calcola sommando tre voci: le ore delle persone ferme, il fatturato che non entra, le penali e i clienti persi. È il numero che decide quanto ha senso investire nel piano.
Un esempio con numeri ipotetici: un ufficio di 15 persone, con un costo aziendale medio di 30 euro l’ora. Il solo personale fermo vale 450 euro l’ora. Due giornate di blocco da 8 ore fanno oltre 7.000 euro, prima ancora di contare ordini, scadenze e immagine.
Quando il fermo nasce da un attacco, i numeri salgono. Sophos ha intervistato 2.158 responsabili IT di aziende colpite per il rapporto The State of Ransomware 2026. Il costo medio di ripristino è stato di 1,7 milioni di dollari per incidente, l’11% in più dell’anno prima. È una media su organizzazioni con almeno 100 dipendenti in 17 Paesi, non il costo tipico di uno studio o di una piccola impresa. Per la tua azienda conta il calcolo fatto sopra, sul costo reale del fermo.
Da cosa deve proteggerti il piano?
Da tutto ciò che può fermare il lavoro, dal guasto banale all’attacco informatico. Un disco che si guasta, una cancellazione per errore o un aggiornamento andato male bastano a bloccare l’ufficio. Lo stesso vale per un blackout o per la linea internet che cade.
Poi c’è il ransomware, lo scenario peggiore perché può colpire dati e backup insieme. In Italia l’Agenzia per la Cybersicurezza Nazionale ha registrato 181 attacchi ransomware nel primo semestre 2026, in media uno al giorno. Nel rapporto Sophos 2026 gli attaccanti sono riusciti a cifrare i dati nel 56% degli attacchi, contro il 50% dell’anno prima. Tra chi ha avuto i dati cifrati, il 66% li ha recuperati dai backup.
Nel campione Sophos le organizzazioni più piccole fermano l’attacco meno spesso delle grandi. Solo il 34% di quelle tra 100 e 250 dipendenti l’ha bloccato prima di cifratura o estorsione, contro il 46% di quelle con 3.001-5.000 dipendenti. Se l’attacco parte da una email, saper riconoscere il phishing aiuta a fermarlo prima; il piano serve quando non ci si riesce.
Cosa chiede la NIS2 sulla continuità operativa?
Per chi rientra nella NIS2, continuità operativa, backup e disaster recovery sono la lettera c) dell’articolo 24 del D.Lgs. 138/2024, che recepisce la direttiva. Le specifiche dell’ACN la traducono in tre requisiti, validi con alcune differenze per soggetti importanti ed essenziali:
- Tre piani scritti (ID.IM-04): continuità operativa, ripristino in caso di disastro e gestione delle crisi informatiche. I piani indicano finalità, ruoli, contatti, condizioni di attivazione, risorse, ordine di ripristino e obiettivi di ripristino. Li approva il vertice e si riesaminano almeno ogni due anni.
- Backup creati, protetti, mantenuti e verificati (PR.DS-11), con copie offline almeno per i sistemi rilevanti.
- Procedure di ripristino del normale funzionamento, dentro il piano di gestione degli incidenti (RC.RP-01).
In pratica gli «obiettivi di ripristino» si esprimono con RPO e RTO, e i piani devono riportarli per iscritto. Se il fermo nasce da un incidente significativo, il ripristino corre in parallelo alle notifiche al CSIRT Italia: preallerta entro 24 ore, notifica entro 72. La sequenza è nel nostro runbook delle notifiche. Le altre misure di base sono nella checklist per l’IT. Se non sai se la tua azienda rientra, parti dall’albero decisionale.
Test di autovalutazione
La NIS2 ti riguarda? E i tuoi piani di ripristino ci sono?
Il test ti dice se rientri nel perimetro e quali misure di base hai già coperto, continuità operativa compresa. Cinque minuti, nessun dato da lasciare.
Come si costruisce un piano di disaster recovery?
Si costruisce in cinque passi, uguali per ogni azienda: cambiano solo le priorità. Per uno studio professionale il sistema vitale può essere il gestionale documentale; per un e-commerce, sito e magazzino; per un’azienda di servizi, posta e CRM.
- Elenca i sistemi e i dati da cui dipende il lavoro: server, gestionali, posta, servizi cloud, linee e apparati di rete.
- Stima il costo del fermo di ciascuno e fissa RPO e RTO realistici. È qui che si decide anche l’ordine di ripristino.
- Scegli le soluzioni tecniche che rispettano quei numeri: frequenza dei backup, copia immutabile, server o ambiente cloud di riserva.
- Scrivi il piano: chi lo attiva e quando, chi chiamare, dove sono credenziali e licenze, in che sequenza si riaccende tutto. Deve essere leggibile anche da chi non l’ha scritto.
- Provalo e aggiornalo dopo ogni cambiamento importante dell’infrastruttura.
Un dettaglio che si dimentica spesso: una copia del piano deve stare fuori dai sistemi che protegge. Se è solo sul server che si è fermato, nel momento del bisogno non si legge.
Come si prova un piano di ripristino?
Con prove di difficoltà crescente, a intervalli fissi e con l’esito scritto. Non serve fermare l’azienda per farlo.
- Simulazione a tavolino: le persone coinvolte ripercorrono il piano su uno scenario, per esempio «il server del gestionale è cifrato». Emergono subito contatti sbagliati e passaggi mancanti.
- Ripristino parziale: si recuperano davvero un file, una casella di posta e una macchina virtuale in un ambiente separato, misurando i tempi.
- Prova completa: si riavvia un sistema critico sull’infrastruttura di riserva e si verifica che gli utenti possano lavorare.
Il tempo misurato nelle prove si confronta con l’RTO deciso. Se il ripristino del gestionale richiede due giorni e l’obiettivo era quattro ore, il piano va rivisto prima che serva davvero.
Cosa conviene fare già oggi
- Elenca i tre sistemi senza i quali l’azienda si ferma in giornata.
- Chiedi per ciascuno la data dell’ultimo backup riuscito e quanto tempo servirebbe a ripristinarlo.
- Calcola il costo di un giorno di fermo, anche a grandi linee: ti dice quanto ha senso investire.
- Scrivi RPO e RTO dei sistemi critici e confrontali con quello che i backup permettono oggi.
- Metti su carta chi fa cosa in caso di blocco, con i numeri da chiamare, e conserva una copia fuori dai server.
- Fissa una prova di ripristino entro il prossimo trimestre e annota quanto dura.
Come ti aiuta Aeon Lab con il disaster recovery
Con il servizio di backup e disaster recovery, come MSP e MSSP di Roma progettiamo e manteniamo il piano con un unico referente:
- Analisi dei sistemi critici e definizione di RPO e RTO sul costo reale del fermo.
- Backup 3-2-1-1-0 con copia immutabile contro il ransomware e backup dedicato di Microsoft 365.
- Piano di ripristino scritto, con ruoli, contatti e ordine di ripristino: gli elementi chiesti dalla misura ID.IM-04.
- Prove periodiche con tempi misurati ed esito documentato.
- Ripristino di server, applicazioni e configurazioni quando serve. Per gli altri adempimenti c’è il servizio di compliance NIS2.
Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.
Verifica il tuo piano di ripristino, consulenza gratuita →
Domande frequenti
Mi basta un buon backup o serve anche il disaster recovery?
Servono entrambi. Il backup restituisce i dati, ma server, applicazioni e configurazioni vanno rimessi in funzione nell’ordine giusto. Per esempio: i dati del gestionale sono salvi, ma serve un server su cui reinstallarlo e qualcuno che sappia farlo.
Che RPO e RTO servono a una PMI?
Dipende da quanto costa il fermo di ciascun sistema. Per il gestionale di uno studio con scadenze fiscali, o per un e-commerce, poche ore sono spesso il limite. Per l’archivio storico si può aspettare qualche giorno. Si parte dal costo del blocco e si dimensionano gli obiettivi di conseguenza.
Ogni quanto va provato il piano?
Ti consigliamo almeno una prova di ripristino reale all’anno, e una dopo ogni cambiamento importante dell’infrastruttura. Le simulazioni a tavolino si possono fare più spesso. Per chi rientra nella NIS2 i piani vanno anche riesaminati almeno ogni due anni.
Il disaster recovery è un obbligo di legge?
Per chi rientra nella NIS2 sì: le specifiche ACN chiedono piani di continuità operativa e di ripristino scritti, backup verificati e procedure di ripristino. Per le altre aziende non c’è l’obbligo di un piano scritto. Se però tratti dati personali, il GDPR (art. 32) chiede misure che comprendano, se del caso, la capacità di ripristinare tempestivamente i dati dopo un incidente.
Che differenza c’è tra continuità operativa e disaster recovery?
La continuità operativa riguarda tutta l’azienda: come continuare a lavorare durante un’emergenza, anche con soluzioni manuali. Il disaster recovery è la parte informatica: come riportare in funzione sistemi e dati. Il secondo è un pezzo della prima.
In breve
Il disaster recovery si costruisce su due numeri, RPO e RTO, decisi sistema per sistema partendo dal costo del fermo. Per chi rientra nella NIS2 i piani vanno scritti, approvati e riesaminati. Per tutti vale la stessa regola: finché non l’hai provato, non sai se il piano funziona. Il piano di risposta è uno dei controlli della checklist di sicurezza informatica per PMI.
Pubblicato il 9 aprile 2026. Ultimo aggiornamento: 28 ottobre 2026.
Fonti
- Sophos, The State of Ransomware 2026 (2.158 responsabili IT e sicurezza in 17 Paesi, luglio 2026).
- Agenzia per la Cybersicurezza Nazionale, Operational Summary 1° semestre 2026.
- Agenzia per la Cybersicurezza Nazionale, Determinazione 164179/2025, misure ID.IM-04, PR.DS-11 e RC.RP-01 (successivamente aggiornata).
- Decreto legislativo 4 settembre 2024, n. 138, articolo 24.
- Regolamento (UE) 2016/679 (GDPR), articolo 32.