# Disaster recovery per PMI: come strutturarlo in 7 passi

Autore: [Luciano Blancato](https://www.lucianoblancato.it/chi-sono.html), stratega IT a Catania, IT Manager da oltre 15 anni su infrastrutture enterprise multi-sede e nell'informatica da oltre 30.
Pagina originale: https://www.lucianoblancato.it/NIS2/disaster-recovery-pmi.html
Aggiornata al 30 ottobre 2026.

## In breve

Per strutturare il disaster recovery di una PMI servono sette passi: elencare i servizi critici e quanto costa fermarli, fissare per ciascuno RTO e RPO, applicare la regola dei backup 3-2-1-1-0 con almeno una copia immutabile o offline, proteggere i backup dal ransomware, scegliere dove ripartire, scrivere un runbook e testare il ripristino a intervalli regolari.

## Backup, disaster recovery, continuità operativa

- **Backup**: la copia dei dati.
- **Disaster recovery**: la procedura per rimettere in piedi i sistemi informatici dopo un evento grave (ransomware, guasto alla sala server, incendio, errore umano).
- **Continuità operativa**: come l'azienda continua a lavorare, anche in modo ridotto, mentre l'IT viene ripristinata.

Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, mette tra le misure obbligatorie la «continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove applicabile, e gestione delle crisi» (art. 24, comma 2, lettera c).

## I 7 passi

1. **Inventario e analisi d'impatto.** Elenco dei servizi (non dei server) con responsabile, dipendenze e impatto di un fermo di un'ora, un giorno, una settimana: la business impact analysis.
2. **RTO e RPO per ogni servizio.** RTO = tempo massimo per tornare disponibile. RPO = quanti dati si accetta di perdere, misurati in tempo (24 ore: basta un backup notturno; 15 minuti: servono replica o backup molto frequenti). Livelli diversi per servizi diversi, fissati per iscritto.
3. **Architettura dei backup 3-2-1-1-0.** Tre copie, due supporti diversi, una fuori sede, una immutabile o offline (WORM, object storage con blocco, nastro o disco scollegato), zero errori nella verifica. Completi periodici più incrementali e snapshot secondo l'RPO.
4. **Proteggere i backup dal ransomware.** Credenziali del sistema di backup separate da quelle di dominio, con MFA; repository su rete separata (VLAN dedicata o micro-segmentazione); almeno una copia immutabile o offline; configurazione del software di backup e chiavi di cifratura conservate fuori dall'infrastruttura.
5. **Scegliere dove ripartire.** Stesso hardware (economico, non copre incendi o furti), secondo sito con failover preparato, oppure cloud. Negli ambienti virtualizzati (per esempio VMware con Veeam) si tengono repliche delle VM critiche e si può avviare una VM direttamente dal backup. L'alta disponibilità protegge dal guasto, non dal ransomware.
6. **Un runbook scritto.** Chi dichiara il disastro, chi viene chiamato e in che ordine, sequenza di ripristino (rete e firewall, poi Active Directory e DNS, poi database e applicativi), dove sono credenziali e chiavi. Conservato anche fuori dall'infrastruttura e collegato alla procedura di notifica degli incidenti NIS2.
7. **Test di ripristino regolari e documentati.** Ripristino parziale (file e una VM in ambiente isolato) almeno ogni trimestre; prova completa del runbook almeno una volta l'anno o dopo cambiamenti importanti, misurando i tempi contro l'RTO. Ogni test chiuso con un verbale.

## Un punto di partenza per dimensione (indicativo)

| Realtà | Backup | Copia protetta | Dove ripartire | Test |
|---|---|---|---|---|
| Micro impresa, pochi PC, servizi in cloud | Backup dei dati cloud con un servizio dedicato; NAS locale per i PC | Copia su cloud diverso dal fornitore principale, con conservazione bloccata | PC nuovi + ripristino dal cloud | Ripristino di file a campione ogni trimestre |
| Piccola impresa, uno o due server virtualizzati | Backup giornaliero delle VM, incrementali in giornata se l'RPO lo richiede | Repository immutabile o disco/nastro a rotazione fuori sede | Host di riserva o ripristino in cloud | Avvio di una VM in ambiente isolato ogni trimestre, prova completa annuale |
| Media impresa, più sedi, servizi critici | Backup delle VM più repliche delle macchine critiche | Copia immutabile in un secondo datacenter o in cloud | Secondo sito con failover preparato | Test periodici per servizio, prova completa del runbook almeno annuale |

## Cosa chiedono le norme

- **NIS2 (D.Lgs. 138/2024)**: continuità operativa con backup e ripristino in caso di disastro è misura obbligatoria per soggetti essenziali e importanti; le specifiche di base ACN la traducono in requisiti verificabili. Testo: https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138 — specifiche ACN: https://www.acn.gov.it/portale/nis/modalita-specifiche-base
- **GDPR, art. 32**: capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati personali dopo un incidente fisico o tecnico. Vale per tutte le aziende.
- **Standard**: ISO/IEC 27001 (controlli su backup e continuità), ISO 22301 (continuità operativa), NIST SP 800-34 (https://csrc.nist.gov/pubs/sp/800/34/r1/upd1/final). Prevenzione ransomware: guida #StopRansomware della CISA (https://www.cisa.gov/stopransomware/ransomware-guide).

## Gli errori più comuni

- Backup controllato solo dal log, mai ripristinato.
- Backup raggiungibili con le credenziali di dominio.
- Considerare il cloud (Microsoft 365, Google Workspace, gestionali SaaS) un backup: il fornitore garantisce il servizio, la responsabilità dei dati resta del cliente.
- Un piano che vive solo nella testa dell'IT.
- Un piano mai aggiornato dopo nuovi applicativi o nuove sedi.

## Domande frequenti

**Qual è la differenza tra backup e disaster recovery?** Il backup è la copia dei dati. Il disaster recovery è il piano per rimettere in funzione i sistemi dopo un evento grave: comprende i backup, ma anche dove ripartire, in che ordine, con quali persone e in quanto tempo.

**Ogni quanto va testato il piano?** Un ripristino parziale almeno ogni trimestre e una prova completa del runbook almeno una volta l'anno o dopo ogni cambiamento importante. Ogni test va documentato.

**Basta un NAS in ufficio?** No: non protegge da incendio, furto o ransomware, che spesso raggiunge anche il NAS. Serve almeno una copia fuori sede e una immutabile o scollegata.

**Con Microsoft 365 o un gestionale in cloud serve comunque un backup?** Sì: il recupero di dati cancellati, sovrascritti o cifrati oltre i periodi di conservazione del servizio resta responsabilità del cliente.

**La NIS2 obbliga ad avere un piano di disaster recovery?** Per i soggetti NIS2 sì (art. 24 D.Lgs. 138/2024). Per tutte le aziende il GDPR chiede comunque di poter ripristinare tempestivamente i dati personali.

## Strumenti gratuiti collegati

- Calcolatore RTO/RPO: https://www.lucianoblancato.it/tools/rto-rpo-calculator.html
- Costo del downtime: https://www.lucianoblancato.it/tools/costo-downtime.html
- Dimensionamento backup: https://www.lucianoblancato.it/tools/backup-sizing.html
- Recupero da ransomware: https://www.lucianoblancato.it/tools/ransomware-recovery-estimator.html
- Autovalutazione NIS2 sulle misure ACN: https://www.lucianoblancato.it/NIS2/autovalutazione.html

Gli obblighi normativi possono cambiare: verifica sempre il testo ufficiale del D.Lgs. 138/2024 e il portale NIS dell'ACN (https://www.acn.gov.it/portale/nis).