Che cos'è, in breve
NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi (Direttiva UE 2022/2555), recepita in Italia con il D.Lgs. 138/2024. Sostituisce la prima direttiva NIS del 2016 e allarga di molto il numero di aziende coinvolte: non più solo grandi operatori di energia, trasporti o telecomunicazioni, ma anche una parte consistente delle medie imprese italiane.
L'idea di fondo è semplice: la sicurezza informatica di un'azienda non riguarda solo lei. Se un fornitore critico viene colpito da un attacco, il danno si propaga a tutti i suoi clienti. La NIS2 prova ad alzare il livello minimo di sicurezza lungo tutta la catena, non solo nei singoli anelli più esposti.
Chi rientra nel perimetro
La direttiva distingue due categorie di soggetti, con obblighi simili ma sanzioni diverse: essenziali (energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione, spazio) e importanti (servizi postali, gestione dei rifiuti, produzione chimica, industria alimentare, manifatturiero di determinati prodotti, fornitori di servizi digitali, ricerca).
Dentro questi settori, di norma rientrano le medie e grandi imprese, cioè quelle che superano le soglie dimensionali previste (in generale, almeno 50 dipendenti oppure un fatturato o un totale di bilancio annuo sopra i 10 milioni di euro). Alcuni soggetti rientrano indipendentemente dalla dimensione, per esempio i fornitori di servizi fiduciari o di DNS.
Anche una PMI fuori da questi settori può essere coinvolta indirettamente: se sei fornitore di un soggetto che rientra nel perimetro NIS2, è probabile che prima o poi ti vengano chieste garanzie di sicurezza per contratto. La direttiva si occupa esplicitamente della sicurezza della catena di fornitura. Non rientrare nel perimetro non equivale sempre a non essere coinvolti.
Per sapere con certezza se la tua azienda rientra, e in quale categoria, serve una verifica puntuale su settore di attività, dimensione e ruolo nella catena dei tuoi clienti. Non è una domanda a cui rispondere per approssimazione.
Cosa cambia in pratica
Per chi rientra nel perimetro, la NIS2 non chiede un singolo adempimento, ma un insieme di misure di gestione del rischio, proporzionate alla dimensione e all'esposizione dell'azienda. Le aree tipiche:
- Analisi del rischio e policy di sicurezza per i sistemi informativi;
- Gestione degli incidenti, con una procedura definita e non improvvisata;
- Continuità operativa: backup, disaster recovery, gestione delle crisi (vedi la guida su RTO e RPO);
- Sicurezza della catena di fornitura, compresi i rapporti con i singoli fornitori;
- Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi, comprese le procedure di gestione delle vulnerabilità;
- Valutazione dell'efficacia delle misure adottate, non solo la loro esistenza sulla carta;
- Formazione e igiene informatica di base per chi lavora in azienda;
- Crittografia, dove pertinente;
- Gestione degli accessi e autenticazione a più fattori, in particolare per gli accessi privilegiati.
A queste si aggiunge un obbligo specifico: notificare gli incidenti significativi. Chi rientra nel perimetro invia al CSIRT Italia una pre-notifica entro 24 ore dalla conoscenza dell'incidente, una notifica entro 72 ore e una relazione finale entro un mese: lo stesso schema descritto nella guida sulle prime ore di un attacco ransomware.
C'è infine un punto che cambia il tono della conversazione in azienda: gli organi di amministrazione e direzione devono approvare le misure di sicurezza, sorvegliarne l'attuazione e seguire una formazione specifica. In caso di violazioni gravi e ripetute, la responsabilità non resta confinata all'IT.
Le sanzioni, e perché non sono il punto principale
La direttiva prevede massimali elevati: fino a 10 milioni di euro o al 2% del fatturato globale annuo per i soggetti essenziali, fino a 7 milioni di euro o all'1,4% per i soggetti importanti, considerando l'importo più alto tra i due. Sono numeri pensati soprattutto per i grandi gruppi, ma servono a segnalare che la sicurezza informatica è ormai una materia di conformità, non solo una questione tecnica interna.
Per una PMI, il rischio più concreto raramente è la sanzione in sé: è restare fuori dalla catena di fornitura di clienti che, per rispettare i propri obblighi, iniziano a chiedere requisiti di sicurezza verificabili a chi lavora con loro.
Da dove iniziare
- Verifica se rientri nel perimetro, direttamente o come fornitore di chi vi rientra, e in quale categoria.
- Fai un'analisi dello stato attuale rispetto alle aree richieste: cosa esiste già, cosa manca, cosa esiste solo sulla carta.
- Assegna responsabilità chiare, comprese quelle degli organi di vertice, e definisci come vengono prese le decisioni sulla sicurezza.
- Metti per iscritto una procedura di gestione degli incidenti, con i tempi di notifica corretti e chi deve occuparsene.
- Pianifica la formazione: sia quella tecnica per chi gestisce i sistemi, sia quella di base per tutte le persone in azienda.
Checklist rapida
- so con certezza se la mia azienda rientra nel perimetro NIS2, e in quale categoria;
- so se sono fornitore di aziende che rientrano nel perimetro;
- esiste una procedura scritta di gestione degli incidenti, con i tempi di notifica corretti;
- qualcuno ai vertici dell'azienda ha approvato le misure di sicurezza in modo consapevole, non solo formale;
- i backup e i piani di continuità sono documentati e provati, non solo presenti;
- chi lavora in azienda ha ricevuto una formazione di base sulla sicurezza informatica.
In sintesi
La NIS2 estende gli obblighi di sicurezza informatica a molte più aziende di prima, chiede misure concrete e non solo documenti, e coinvolge la responsabilità di chi guida l'azienda. Anche chi non rientra direttamente nel perimetro può essere coinvolto come fornitore.